Несмотря на меры по защите информационных систем от кибератак, российские компании слабо защищены от утечки данных, особенно через мобильные устройства. Вместе с тем, руководители признают, что ради скорости работы готовы пожертвовать безопасностью. Как найти компромисс и снизить риск утечки важной информации?
В 2019 году доля утечки данных через мобильные устройства возросла на 5 % по сравнению с предыдущим периодом. При этом 60 % подобных инцидентов признаны крупными, а остальные 40 % — крупными с долгосрочными последствиями.
Причин несколько:
- люди всё больше операций выполняют через смартфон, некоторые практически не выпускают его из рук даже на работе. У многих рабочие процессы сосредоточены именно в смартфоне или планшете, превращая мобильное устройство в рабочий инструмент;
- современный гаджет с каждым годом получает всё больше возможностей. Всё лучше качество фотографий и видео, больше объём памяти, а значит, больше приложений, которые так или иначе получают доступ к информации о жизни и работе человека, в том числе, и к конфиденциальным данным: номеру карты, адресам и транзакциям, биометрическим данным и т. д. Таким приложениям требуется всё больше разрешений, и многие, не задумываясь, разрешают им любые доступы и действия со своим смартфоном или планшетом, даже не читая пользовательское соглашение;
- преднамеренный фактор тоже имеет место: примерно в 15 % случаев сотрудники «сливают» информацию конкурентам или продают за вознаграждение или из иной заинтересованности.
Итак, мобильные устройства стали неотъемлемой частью человека и его жизни, в том числе корпоративной, и чем дальше — тем выше риски утечки данных. Универсального «рецепта» борьбы с этим явлением нет. Мы можем лишь прогнозировать возможные каналы потери данных и постараться минимизировать их. Сейчас можно выделить три приблизительных сценария действий.
Исключить использование устройства в личных целях на работе
Убытки работодателю можно нанести не только путём отправки конкурентам конфиденциальной информации со своего смартфона. Достаточно просто нецелевого трафика и потери времени на рабочем месте. Но просто запретить пользоваться мобильником на работе тоже нельзя. Возможно, работник не просто сидит на Ютубе, а смотрит обучающее видео. Или отслеживает сообщения и посты о компании в соцсетях. Как определить, что именно делает сотрудник на устройстве во время работы?
Можно использовать ряд решений для контроля мобильного трафика:
- межсетевые экраны нового поколения (NGFW);
- для предотвращения установки и работы вредоносных программ — связка из прокси и антивируса;
- DLP-система и прокси-сервер;
- DLP-система в связке с рабочими приложениями.
Такие приёмы позволяют отсечь доступ к развлекательному и другому лишнему контенту, оставив только необходимые для работы ресурсы и программы. Плюсом идёт защита критической информации от утечек и ограничение на случайный доступ и установку вредоносных кодов и ПО.
Специалисты отмечают, что для улучшения дисциплины в использовании мобильных данных в стенах компании достаточно просто упоминания о том, что в фирме вводится контроль трафика. Сотрудники сами меняют своё поведение в сети, осознавая, что их действия отслеживаются.
Повысить грамотность и ответственность сотрудников
Если конфиденциальная или важная рабочая информация хранятся в телефоне в открытом виде, потеря или кража устройства могут дорого обойтись компании. По статистике в России ежегодно крадут около 200 000 смартфонов. Это число можно умножить в несколько раз, ведь многие попросту не сообщают в полицию о краже, не веря, что правоохранительные органы найдут и вернут устройство. Многие пользователи просто не осознают всех рисков своей небрежности, например, отдавая телефон в ремонт или на обмен, не зачистив память или не удалив доступы к аккаунтам.
Угрозы разглашения или утечки данных появляются и из-за элементарного незнания рисков, неосторожной работы с ПО. Например, использование устаревшей операционной системы, сомнительных приложений с обширными запросами на доступ к функциям устройства. Большинство не заморачивается с чтением пользовательского соглашения, просто нажимая «ОК».
Отдельная тема — мобильный фишинг. Пользуясь слабой IT-грамотностью людей, особенно старшего возраста, злоумышленники легко получают доступ к информации гаджета через фишинговые ссылки, установку скрытых программ и кодов и т. д. Немногие пользователи осознают, что предоставляя доступ к камере и микрофону, они потенциально соглашаются на скрытую видеосъёмку и запись разговоров без дополнительных уведомлений или разрешений. Доступ к календарю и списку контактов открывает безграничные возможности для рассылок и дозвонов от «знакомого контакта», к которому доверия больше, чем к обычным холодным звонкам от колл-центра.
Похищение контактов и прослушивание корпоративных звонков могут серьёзно ударить по бизнесу. Чтобы минимизировать риски, стоит постоянно проводить инструктажи персонала по возможным опасностям тех или иных их действий в сети, устанавливать на мобильные устройства защитные программы, а также закрывать потенциально вредоносные ресурсы на уровне сети. Как вариант — ограничивать использование мобильных гаджетов в информационной структуре компании, когда без этого явно можно обойтись.
Пресечение намеренных утечек информации через мобильное устройство
Если хищение или разглашение данных в компании совершается умышленно — это самый нежелательный и сложный сценарий. При этом сотрудник будет осторожен и подготовлен, а значит, просто закрыть доступ не получится.
Здесь следует исходить из того, что современный смартфон может выступать как фото- видеокамера, диктофон, высокоскоростная точка доступа Wi-Fi, полноценный компьютер, огромное хранилище данных — со всеми возможностями и уязвимостями. Если сотрудник достаточно подкован, он вполне сможет обойти корпоративную систему защиты сетей, например, подключив рабочий ноутбук к сети через Wi-Fi-точку своего смартфона в обход всех экранов, файрволов и прокси.
Как отдел информационной безопасности может предотвратить подобные преступления:
- прямое ограничение использования мобильных устройств на рабочем месте. Именно так действуют фирмы с лицензией на государственную тайну и режимные предприятия, а также многие военные и закрытые объекты — там запрещено проносить мобильники на работу, и сотрудники оставляют гаджеты в специальных сейфах и шкафах. Однако при современном развитии гаджетов подобные запреты должны касаться и смарт-браслетов, «умных часов», колец и т. д. Сейчас — время интернета вещей, а значит, если человек не оставит за пределами работы все устройства, способные передавать, получать и фиксировать информацию, такой запрет не сработает.
- запрет на удалённый доступ к корпоративным информационным системам с определённых мобильных устройств. Правда, от других доступов такой метод не спасёт: всегда есть риск, что злоумышленник подключится к сети посредством кабеля через USB или в сеть внедрят вредоносную программу или скрипт.
- «глушилки». Этот способ позволяет подавить сигнал на определённой частоте, однако для использования таких устройств придётся получить специальное разрешение Комиссии по радиочастотам. Это не запрещено, здесь важно не переборщить и не заглушить сигналы, необходимые для ведения бизнеса. В противном случае есть риск вообще заглушить связь. Такие способы используются, например, для подавления сигнала в комнатах для ведения секретных переговоров, на режимных объектах или спецпомещениях, а также в больницах, где мобильный сигнал может помешать использованию медицинского оборудования.
- комплексный контроль посредством возможностей DLP-систем. Например, исключить возможность подключения корпоративных компьютеров и ноутбуков к мобильным устройствам по беспроводным и проводным сетям, а для контроля мобильного трафика разрешить подключать смартфоны и планшеты сотрудников к корпоративному Wi-Fi.
Полностью защитить компанию от утечки данных сегодня невозможно. Можно снизить к минимуму риск утечки, постоянно повышая грамотность сотрудников в плане кибербезопасности, а также применяя решения защиты информации, соблюдая баланс безопасности и скорости бизнес-процессов.
Нужны готовые решения, чтобы получить лицензию на государственную тайну? Звоните, это наш профиль.