Чужой среди своих

Когда русского историка Карамзина, выехавшего в 1803 г. за границу, спросили: «Как там, в России?» — Николай Михайлович ответил кратко: «Воруют». Такой порядок вещей и сейчас сохраняется незыблемым, изменилась лишь система ценностей. Главной целью «охоты» стала информация: во(первых, за ней опосредованно стоят все те же материальные блага, во(вторых, с появлением компьютерных сетей добывать информацию стало гораздо проще.

После многих лет упорной борьбы с вирусами и спамом руководители компаний столкнулись с новым видом нарастающих угроз — утечкой данных. Дмитрий Харченко, директор по маркетингу компании InfoWatch, приводит типичный пример: 

«В компании N сработал монитор вeб трафика, предотвративший отправку протокола собрания дирекции на адрес открытой почты. Нарушила режим обращения с конфиденциальной информацией секретарь директора, утверждавшая, что на эту почту ее попросил отправить протокол директор регионального офиса, который не смог присутствовать. Он велел использовать открытую почту, так как по корпоративной почте он письма почему то не получил. Однако директор регионального офиса впервые слышал о такой просьбе, поскольку ему протокол поступил вовремя. Секретарь была новичком, директора офиса по голосу не знала, видела его фотографию в корпоративном Интранете, а человек, представившийся им, говорил уверенно и в приказном тоне. Налицо была попытка использовать социальную инженерию. Несмотря на эти нарушения, информация не попала к злоумышленнику, так как компания пользовалась системой контроля веб трафика».

Портрет нарушителя

Внутренние угрозы — одно из наиболее обсуждаемых сегодня понятий информационной безопасности. Оно включает целый «букет» опасностей со стороны собственного персонала, способных привести к материальным убыткам. В целом, природа опасности описывается двумя направлениями: умышленные и неумышленные действия сотрудников. Тех, кто сознательно создает внутреннюю угрозу для компании, называют инсайдерами.

«К группе умышленно действующих сотрудников мы относим внедренных, обиженных, подрабатывающих или ищущих новую работу инсайдеров, — поясняет Денис Зенкин, директор по маркетингу компании Perimetrix. — Другую группу нарушений составляют те, что происходят случайно или из за внешних манипуляций. Хотя на первую группу приходится всего 10% инцидентов, она является причиной более половины ущерба». По данным компании InfoWatch, 71% инцидентов относится к категории неумышленных (беспечность, халатность) и 29% происходит по злому умыслу.

Александр Ковалев, технический директор компании «Праймтек», отмечает: «Процент сотрудников, умышленно работающих против своей компании, крайне низок. Многие работники добросовестно выполняют свои обязанности, но именно они способны неумышленно совершать ошибки, которые могут нанести ущерб. И это особенно опасно, потому что такие работники не осознают своей вины и даже уверены, что их действия абсолютно правильны. Кроме них всегда есть недобросовестные сотрудники, использующие свои полномочия и корпоративные ресурсы в личных целях».

Алексей Сабанов, заместитель генерального директора компании Aladdin Software Security R.D., полагает: основная сложность построения системы защиты от инсайдера состоит в том, что как законный пользователь системы он по долгу службы имеет доступ к конфиденциальной информации. «То, как пользователь распоряжается этим доступом — в рамках служебных полномочий или за их пределами, отследить весьма сложно, но необходимо», — говорит он, добавляя, что в современных условиях обладателем и передаточным звеном инсайдерской информации может быть кто угодно, начиная от подкупленной уборщицы, занимающейся сбором финансовой документации, по разным причинам не попавшей в шредер, и заканчивая представителем ремонтной службы, которому на сервисное обслуживание был передан сервер или ноутбук с конфиденциальными данными. Более простые пути нарушения внутренних политик ИБ организации сводятся к двум составляющим: превышению предоставляемых пользователю прав доступа над его должностными обязанностями и наличию мотивации пользователя к нарушениям.

Михаил Кондрашин, руководитель Центра компетенции Trend Micro в России и СНГ, констатирует, что единого понимания термина «внутренние угрозы» не существует. «Вредоносный файл, который приходит пользователю по электронной почте, — это внутренняя угроза, а как классифицировать беспечного пользователя, который загружает вредоносный код с сайта? Сам сайт — внешняя угроза, а беспечный пользователь — внутренняя, — поясняет он свою мысль. — Даже отключающий антивирусную защиту пользователь — это уже внутренняя угроза».

Как указывает Денис Батранков, консультант по информационной безопасности компании IBM Восточная Европа/Азия, группа X Force компании IBM расширила понятие инсайдера.

Это не только внутренний сотрудник, умышленно или неумышленно нарушающий принятые в организации правила доступа к внутренней информации, но и тот, кто использует корпоративные серверы и доступ в Интернет для распространения пиратских фильмов, музыки и лицензионных программ. В IBM к инсайдерам причисляют также неавторизованных хакеров, сумевших каким то образом обойти систему защиты и получивших доступ к внутренней информации, в том числе попавших во внутреннюю сеть от имени какого то внутреннего сотрудника или партнера. И для борьбы со всеми типами инсайдеров IBM предлагает средства защиты, включая услуги по дизайну, инсталляции и управлению всех решений, в том числе решения DLP. 

Аргументы и факты

В соответствии с отчетом Computer Crime&Security Survey 2007 института компьютерной безопасности CSI, в прошлом году темпы роста количества инцидентов в мире, связанных с неправомочными действиями сотрудников компаний, оказались самыми высокими по сравнению с другими нарушениями в области ИБ: в 2006 г. они составляли 42% всех инцидентов, в 2007 г. — 59%.

С этими выводами согласуются и результаты отчета «Инсайдерские угрозы в России» компании Perimetrix. В нем указывается, что внутренние факторы заметно опережают внешние в рейтинге угроз ИБ. Несмотря на то что 100% организаций оснащено антивирусным ПО и межсетевыми экранами, лишь 24% имеют защиту от утечек, которые с регулярностью и происходят.

Исследование Perimetrix показало, что всего 5% организаций избежали утечек в прошлом году. А между тем, даже одна утечка может принести огромные убытки. Вот почему руководители отделов безопасности самой большой угрозой электронной безопасности называют утечки (76%) и халатность сотрудников (67%). К другим опасным внутренним угрозам относятся искажение, утрата информации и саботаж, сбои в работе ИС.

Однако в соответствии с результатами этого исследования 63% респондентов указали, что они до сих пор не проводят аудит выполнения сотрудниками политик безопасности. Всего 48% участвовавших в опросе проводили изучение эффективности политик безопасности в прошлом году.

Тем не менее, в ближайшее время 34% компаний планируют принять на вооружение системы защиты от утечек, а 22% — внедрить шифрование данных при хранении.

Каналы утечки

«Неограниченный широкополосный доступ в Интернет и совершенствование мобильных устройств, которые становятся все более миниатюрными и мощными, меняют картину мира, — говорит Рамиль Яфизов, директор Symantec по продажам в финансовом секторе. — Информация легко распространяется и становится доступной для сотрудников, партнеров, консультантов, подрядчиков в любое время и в любом месте. Важная информация может передаваться по незащищенной электронной почте. Конфиденциальные файлы могут оказаться в открытой папке на сервере или скопированы в ноутбук, который отвезут домой или возьмут в дорогу».

Специалисты аналитического центра InfoWatch подготовили исследование «Утечки первого полугодия 2008 года. Аналитический отчет», согласно которому около 95% информации, являющейся объектом внутренних нарушений, относится к персональным данным (в 2007 г. этот показатель составлял 93%, в 2006 г. — 81%);  6% — коммерческая тайна и «ноу хау».

По данным названного отчета, среди каналов утечки инсайдеры все еще отдают предпочтение мобильным устройствам (флеш накопители, ноутбуки, мобильные телефоны, смартфоны, а также архивные носители) (31%), Интернету (27%, кроме электронной почты).

Характерно, что уровень сетевой активности инсайдеров стабильно растет (в 2006 г. — 12%, в 2007 г. — 25%, в 2008 г. — 27%), а доля инцидентов с использованием мобильных устройств сокращается (в 2006 г. — 50%, в 2007 г. — 39%, а в 2008 г. — 31%).

В рамках закона

В сфере информационной безопасности законотворческую деятельность в России осуществляют два регулятора: ФСБ — в части защиты национальных интересов и применения криптографии и ФСТЭК — как основной государственный орган, разрабатывающий требования к защите информации. В создании некоторых документов в сфере ИБ для телекоммуникационных компаний принимает участие АДЭ.

Единого органа, который бы взамен расформированного Госстандарта отвечал за работу над стандартами, по крайней мере в части ИБ, в настоящее время не существует. «В России нет стандарта даже на сами средства защиты, не говоря уже о таких подмножествах, как внутренние угрозы. В таких условиях каждая вертикаль вынуждена самостоятельно решать эти проблемы, и на данный момент в области стандартизации преуспели лишь авиационная, банковская и газовая отрасли», — констатирует А. Сабанов.

Помимо материальных и репутационных рисков серьезным следствием утечки конфиденциальных сведений могут стать правовые — преследование по закону. Два года назад в России был принят Закон «О персональных данных». Формально он запрещает компаниям допускать утечки приватных сведений, требует пресекать их и не допускать искажения личных данных. В соответствии с этим законом, лица, виновные в нарушении его требований, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность. «„Закон о персональных данных“ обязателен, — объясняет А. Сабанов. — Весной нынешнего года с большой задержкой вышли необходимые подзаконные акты, в которых, к тому же, есть неясные моменты. Однако жизнь показывает, что даже самый недоработанный закон лучше полного беззакония».
По мнению Д. Зенкина, в области стандартов складывается неоднозначная ситуация. С одной стороны, имеется нормативная база, которая требует от организаций соблюдения определенных требований по защите от внутренних ИТ угроз: федеральные законы «О персональных данных», «О коммерческой тайне», «Об архивном деле» и др. С другой — существует целый спектр контролирующих органов и необязательных стандартов, которые иногда даже противоречат друг другу. Поэтому отдельные организации ориентируются на свой отраслевой стандарт (например, Стандарт СТО БР ИББС 1.0 для банковской сферы), а большинство попросту выжидает.

Один из международных отраслевых стандартов в банковской сфере, Payment Card Industry Data Standard (PCI DSS), был разработан с целью защиты электронных торговых и платежных систем и обеспечения безопасной среды для хранения данных держателей карт. Требования PCI DSS распространяются на все компании, работающие с платежными системами Visa и MasterCard по всему миру, включая Россию и страны СНГ, причем не только на банки, но и на все предприятия, которые продают свои продукты и услуги по картам либо предоставляют платежные шлюзы продавцам, осуществляющим продажу через Интернет (например, WebMoney, Яндекс.Деньги и т. д.).

«Среди многочисленных стандартов и подзаконных актов лишь отдельные из них являются обязательными, например, PCI DSS, — поясняет Д. Батранков. — Но по принятой в IBM практике нужно следить за актуальными угрозами, а не за стандартами, которые за этими угрозами просто не успевают. Любой стандарт обеспечивает базовый уровень безопасности. В современных компаниях все чаще будет использоваться виртуализация, технологии VoIP и другие передовые технологии, в которых уже найдены уязвимости. Эти технологии заказчики еще только включают в планы стратегии развития ИТ, и это надо учитывать. Развитие Интернета и внутренних порталов с применением технологий WEB 2.0, увеличение численности мобильных пользователей, подключающихся по VPN, привели к появлению нового класса угроз и новых методов защиты от них. Поэтому постоянно будут создаваться новые и обновляться текущие стандарты безопасности».

Многие эксперты отмечают, что международный стандарт ISO 27001, основанный на анализе и управлении рисками, становится де факто стандартом в построении систем управления информационной безопасностью. В ближайшие годы его применение, как и проведение официальной сертификации в соответствии с ГОСТ Р ИСО/МЭК 17799 2005, получит широкое распространение.

Александр Ковалев, технический директор компании «Праймтек», поясняет: «Согласно ГОСТ 17799, аудит предполагает определенные предварительные этапы. Прежде всего, тестирование рабочей системы, на основании которого строится модель работы. Отдельно должна существовать модель нарушений, описывающая действия, которые могут привести к денежным потерям, утечке информации и прочим нежелательным для заказчика последствиям. Совмещая эти две модели — работы и нарушений — мы получаем модель, пригодную для аудита, на основании которой можно говорить о происходящих нарушениях работы. Аудитом именно такой модели занимается продукт „Инсайдер“ — набор приложений, осуществляющих аудит работы пользователей на низком уровне в полном соответствии с ГОСТ 17799».

Функциональность DLP

Почти каждый производитель продуктов борьбы с утечками данных внес свою лепту в наводнение рынка разнообразными аббревиатурами: DLP (Data Loss Prevention), DLP (Data Leak Prevention), ADL (Anti Data Leakage), CMF (Content Monitoring and Filtering), ILP (Information Leak Prevention), ILDP (Information Leakage Detection and Prevention) и др. Но главное даже не в названии: недостаточно четкое позиционирование самого понятия борьбы с утечками стало одним из серьезных сдерживающих факторов развития рынка. О функциональности таких продуктов, например, заявляют практически все игроки рынка средств управления контентом (Secure Content Management — SCM). Некоторые из них уже приобрели настоящих игроков в этой нише (McAfee Onigma, Websense PortAuthority, Trend Micro Provilla.).

Тем не менее, участники рынка смогли в конце концов договориться об унифицированном названии продуктов для борьбы с утечками данных — DLP. В определении самого понятия эксперты также сходятся во мнении: DLP решение строится на основе централизованных политик и системы управления, обеспечивая идентификацию, мониторинг, аудит и защиту конфиденциальности данных при их хранении (data at rest), использовании (data in use) и движении (data in motion).

Эксперты указывают, что в среде пользователей Web 2.0 стратегия безопасности в отношении защиты периметра сети с помощью прежних мер (межсетевых экранов, систем обнаружения вторжений) становится неэффективной. Блокирование периметра остается важной задачей, однако защита должна фокусироваться на контроле доступа к информации. Разработчики, специализирующиеся на продуктах DLP, делают ставку на идентификацию и категоризацию всех данных в компании, а затем — на реализацию корпоративных политик для отслеживания работы с критически важной информацией с применением контроля там, где это необходимо.

Основой для реализации стратегии прекращения утечек в организации является введение политик допустимого использования ресурсов (Acceptable Use Policy — АUP). Такие политики регламентируют множество аспектов: доступную по e mail информацию, правила пересечения веб сообщений через границу сети, правила в отношении использования съемных накопителей, настройку предупреждений в соответствии с политиками безопасности и пр.
Функциональность DLP в отношении электронной почты включает сканирование сообщений и их вложений, контроль доступа к частным файлам, интеграцию со средствами шифрования для предотвращения от чтения электронной почты, идентификацию типов файлов c целью запрета неавторизованной пересылки замаскированных файлов.

Средства борьбы с утечками предотвращают пользователей от доступа к сайтам и приложениям, которые обычно используются в качестве обходных путей контроля критической информации (совместный доступ к файлам P2P, FTP сайтам, сайтам типа Yandex Mail). Они также препятствуют загрузке и сохранению таких внешних данных, с которыми могут тайно проникнуть на пользовательские компьютеры шпионские программы.

Защита конечных точек строится на блокировании доступа к ненадлежащим приложениям (в том числе беспроводным подключениям), на управлении доступом к записи на съемные устройства, шифровании портативных накопителей. «Решения DLP могут сканировать широкий круг устройств хранения с целью обнаружения такой конфиденциальной информации, как сведения о заработной плате руководителей, личные дела, контракты и бухгалтерские записи, — рассказывает Р. Яфизов. — Когда подобные данные обнаруживаются в свободном доступе, их можно автоматически перенести в защищенное место или зашифровать в соответствии с политикой безопасности».

Одна из технологий, применяемых в продуктах DLP, например, в системе Trend Micro LeakProof, — метод цифровых отпечатков.

«Технология цифровых отпечатков позволяет на каждой рабочей станции и даже на не подключенном к корпоративной сети ноутбуке блокировать передачу конфиденциальных данных, — говорит Михаил Кондрашин. — Размер цифрового отпечатка не зависит от размера файла, что дает возможность объявить конфиденциальными тысячи и десятки тысяч документов. При попытке передать конфиденциальный файл или поместить его, например, в ZIP архив с паролем, будет высвечено окошко с предупреждением о том, что операция была заблокирована». У Trend Micro LeakProof есть еще одно свойство — пользователь не может обнаружить присутствие этой программы у себя на компьютере. Специальная маскировка скрывает файлы на диске, процессы в памяти, сервисы в параметрах системы. Такой подход ограниравления политикой безопасности, обнаружения, процедурами реагирования на инциденты и инструментами отчетности для всей сети, систем хранения данных и конечных информационных ресурсов. Единый подход к соблюдению правил безопасности позволяет, однажды составив правила, автоматически гарантировать их соблюдение по всему предприятию».

Сетевые агенты анализируют трафик, пытаются выполнить восстановление сессии и вы явить протоколы, запрещенные политиками безопасности, — ведь просто блокировка ICQ.EXE не мешает пользователю с помощью открытой библиотеки протоколов написать собственную программу ICQ.
Современные узловые агенты «обросли» дополнительными функциями, к примеру, онипериодически проводят проверку аппаратной конфигурации компьютера пользователя.

Если пользователь изъял 512 Мбайт ОП — сразу появится сообщение о несовпадении конфигураций ОП.

сокращают в объеме. Однако такие системы достаточно громоздкие. Сейчас на рынке возникает потребность в более простых системах, не нуждающихся в отдельном сервере для службы управления. Некоторые разработчики занимаются созданием таких агентов, которые устанавливаются подобно антивирусу и позволяют контролировать систему без применения крупной распределенной платформы.

В двух линейках продуктов у компании InfoWatch — InfoWatch Traffic Monitor и InfoWatch Crypto Storage (выход планируется осенью 2008 г.) — акцент сделан на перекрытии основных возможных каналов утечки конфиденциальных данных. Для выполнения данной задачи решения InfoWatch применяются как на серверах, так и на рабочих станциях. Например, для контроля почтового, веб! и IM-трафика используются серверные решения, а для контроля сменных носителей и локальных принтеров — агенты на рабочих станциях.

Будущее DLP

Бизнес становится все более мобильным, пользователи корпоративной сети могут подключаться к ней из любой точки мира, в том числе с помощью мобильных устройств, что открывает новые каналы для утечки данных. Как считает Д. Харченко, ситуация осложняется еще и тем, что в качестве пользователей в данном случае выступают топ!менеджеры компании (или ключевые сотрудники), которыкрайне сложно заставить соблюдать корпоративные требования по обеспечению информационной безопасности. «Обычно работа с такими категориями пользователей выделяется в специальное направление отдела информационной безопасности, — говорит он. — Осенью 2008 г. компания InfoWatch планирует выпустить продукт — InfoWatch Crypto Storage, который позволит существенно снизить риски, связанные с утечкой конфиденциальной информации через мобильных пользователей».
Среди технологических тенденций рынка DLP Д. Харченко выделяет следующие:

• повышение интереса к системам класса Unified Threat Management (UTM), объединяющим если не в одном устройстве, то в одной консоли все инструменты (или хотя бы события) управления политиками защиты от внутренних и внешних угроз. В идеале такие системы должны сводить в единое пространство все события, связанные с безопасностью, причем не только информационной;
• активизация перехода работы на «тонкие клиенты». Возврат к данной технологии обусловлен стремлением компаний четко обозначить информационный периметр предприятия (который в этом случае гораздо удобнее защищать). Кроме того, это обеспечивает компаниям, особенно крупным, существенную экономию ресурсов на обслуживании и владении всей информационной системой;
• все более возрастающая популярность модели SAAS (software as a service), которая позволяет уменьшить не только общую стоимость владения, но и размер первоначальных инвестиций в сложные информационные технологии.

Еще одна из интересных тенденций в развитии DLP-систем, которую отмечают эксперты рынка, — введение функциональности экспертных систем. Однако пока никто не готов представить финальный продукт, который «думает» за заказчика.

Контентная фильтрация: за и против

Алексей Сабанов,
заместитель генерального директора компании Aladdin Software Security R.D.

Предоставляя глобальные коммуникационные возможности, сеть Интернет вместе с тем является источником ряда угроз, а подчас и инструментом для реализации атак на информационные ресурсы компаний. Поэтому необходимо строго контролировать и анализировать почтовый и веб трафик (как входящий, так и исходящий), обеспечивая безопасную работу пользователя с веб ресурсами.

Важным вопросом при создании антиинсайдерских систем защиты информационной инфраструктуры компании является разработка политик использования веб ресурсов. Для этой цели мы рекомендуем использовать Aladdin eSafe — систему фильтрации контента и очистки трафика от вредоносного кода, которая отличается высокой производительностью и гибкой масштабируемостью. Система eSafe способна обнаруживать неразрешенные к использованию приложения, надежно блокировать вредоносное ПО, эффективно противодействовать вирусным атакам и осуществлять 100% фильтрацию входящего и исходящего трафиков.

Ключевым компонентом системы является уникальная технология eSafe AppliFilter. Она блокирует коммуникации шпионских и вредоносных приложений с их управляющими серверами, обеспечивая полный контроль над корпоративным трафиком. Модуль eSafe AppliFilter определяет и блокирует по сигнатурам более 500 коммуникационных протоколов 20 семейств приложений, куда входят вредоносные («шпионы», трояны, key loggers и т. п.), рекламные и управляемые приложения (пиринговые технологии — KaZaa, Gnutella, eDonkey, системы мгновенного обмена сообщениями — ICQ, MSN, Yahoo!). Кроме того, AppliFilter противодействует атакам через уязвимости протокола TCP, атакам drive by и эффективен в случае локального заражения персональных компьютеров — через USB порты, FDD, CD/DVD и другие съемные носители. Ограничивая доступ к небезопасным веб сервисам, eSafe AppliFilter позволяет защитить ресурсы сети от компрометации и нарушения целостности. 

Александр Ковалев,
технический директор компании «Праймтек»

Мы не проводим контентной фильтрации, так как продвинутый пользователь вполне способен обойти современные методы анализа контента. Например, если внутренний нарушитель перед отправкой сообщения замаскирует его при помощи методов стеганографии под видом графического или музыкального файла, то средства контекстного анализа окажутся практически бессильными. Безусловно, у контентного анализа есть потенциал, но он может быть реализован только в совокупности со средствами аудита, которые способны выявить процесс подготовки отправки сообщения с конфиденциальными данными.

В нашем продукте «Инсайдер» акцент сделан на мониторинге технического процесса. Слежение за активностью, как сетевой, так и узловой, помогает выявлять угрозы с разными предпосылками.

Помимо активности пользователей комплекс «Инсайдер» следит за неизменностью аппаратной конфигурации компьютеров, позволяет удаленно управлять компьютером.

В комплексе применяются два метода защиты — активный и пассивный. Администратор без опасности может получать уведомления о нарушениях по e mail, SMS или другими способами, а затем разбираться с нарушителем индивидуально. Благодаря тому, что в функциональности «Инсайдера» реализованы проактивные методы слежения, он узнает о событии за момент до его наступления. На этом строится активная защита, которая подразумевает запрет использования определенных системных ресурсов (запуск нерегламентированных программ, обращение к внешним устройствам). В результате нарушитель физически не сможет реализовать задуманное.

Денис Зенкин,
директор по маркетингу компании Perimetrix

Существующие DLP решения имеют огромный недочет: они сфокусированы на методах контентной фильтрации. Иными словами, они пытаются УГАДАТЬ объект защиты на основе малоэффективных вероятностных методов. Об эффективности этого метода свидетельствует Gartner: 
по их оценке (Hype Cycle of Information Security 2007), предельная надежность контентной фильтрации составляет 80%, и это при условии использования всего арсенала (сигнатур, морфологии, цифровых отпечатков, регулярных выражений).

Концепция Perimetrix прямо противоположна. Мы уверены, что успех защиты основан на знании ОБЪЕКТА защиты. Все конфиденциальные данные помещаются в криптоконтейнеры и помечаются на основе многомерной модели конфиденциальности. Система постоянно следит за их использованием и предотвращает действия, не совместимые с корпоративной политикой ИБ (в том числе изменение или удаление меток). Такой подход обеспечивает 100% защиты классифицированных документов, исключает компрометацию данных даже в случае физического хищения носителя (документы зашифрованы). Технологии же контентной фильтрации остаются на периметре, позволяя проводить автоматическую классификацию новых документов. Основные элементы Perimetrix: Perimetrix EIS (Enterprise Inte gration Server) — интеграция с гетерогенными корпоративными средами хранения и обработки данных (RDBMS, системами класса ERP, CRM, HRMS, PLM и пр.); Perimetrix NetEX (Network Exposal) — система выявления и анализа скрытых зависимостей между конфиденциальными данными, связанными с ними событиями и сотрудниками компании с целью проактивного выявления и предотвращения внутренних нарушений. 

Универсальная платформа: за и против

Денис Батранков,
консультант по информационной безопасности, IBM Восточная Европа/Азия

Создание единой системы управления для борьбы с утечками информации — мечта любого администратора. Сейчас IBM предлагает единую систему SiteProtector для управления всеми используемыми продуктами. Неважно, что это — VPN шлюз, межсетевой экран, система предотвращения атак, софт для защиты рабочей станции или сканер безопасности — все управляется с одной консоли. Если у клиентов установлены продукты других производителей, то IBM обладает технологиями объединения управления всеми этими разнородными продуктами в единую консоль, в виде виртуального центра управления — Virtual Security Operation Center (VSOC) . В результате клиенты получают возможность мониторинга и управления всеми своими устройствами из окна браузера или даже со своего КПК, поскольку VSOC реализован как веб-приложение. Реальный центр управления находится на площадке IBM, ближайшая площадка (по состоянию на 2008 год) расположена в Брюсселе. Аналогичные центры управления безопасностью есть на каждом континенте.

IBM предлагает услуги по управлению безопасностью всех имеющихся у вас устройств, вплоть до установки обновлений, перенастройки межсетевых экранов. Вам остается только мониторить состояние защиты. IBM обязуется оповещать о проблемах безопасности, исправлять их и даже может гарантировать, что в случае пропуска атаки заплатит штраф до 50 тыс. долл. 

Дмитрий Харченко,
директор по маркетингу омпании InfoWatch

На первый взгляд, интеграция решений по защите от утечек в коммуникационную технику и ПО выгодна. Но ни одного подобного решения до сих пор не выпущено.

Максимум, до чего дошли производители, — программный интерфейс для подключения средств защиты (в том числе от утечек). Но и такие интерфейсы пока редкость в межсетевых экранах, маршрутизаторах, точках доступа и т. п.

Тем не менее, производители активно продвигаются в этом направлении. Уже имело место приобретение некоторыми производителями средств DLP с целью их использования в продуктах общего назначения.

В ближайшие годы полная интеграция вряд ли свершится. К примеру, аналогичные продукты — антивирусы и антиспамсистемы — так и не интегрировались окончательно в почтовые сервера и ОС. 

Судьба следопытов

Денис Зенкин,
директор по маркетингу компании Perimetrix

Ровесник третьего тысячелетия, DLP рынок меньше чем за десять лет прошел насыщенный путь, от младенчества до зрелости. То состояние, которое он сейчас переживает, я бы назвал кризисом среднего возраста. Из многочисленных стартапов выжили сильнейшие, сумевшие привлечь инвестиции и преуспеть в разработке и маркетинге. Эти компании смогли создать мощные бренды и достаточно эффективные технологии, но в течение последних двух лет практически все они стали предметом поглощений со стороны игроков из смежных рынков. Что неудивительно — они представляли собой типичные венчурные предприятия, имеющие цель раскрутки и перепродажи. Казалось бы, теперь, оказавшись под крылом более крупных и устойчивых структур, эти продукты начнут новую жизнь. Увы, практика свидетельствует об обратном. Консолидация рынка оказала стагнирующее влияние на технологическое развитие DLP решений. Бывшие технологически активные игроки рынка потеряли свою идентичность, растворились и утратили потенциал развития. Ясно, что новые хозяева не могут, да и не будут уделять такое же большое внимание DLP функциональности, какое им уделялось прежде, — приоритет DLP оказался в очереди с приоритетами других продуктов их обширной линейки. Неоспоримый факт: слияния и поглощения со стороны игроков более зрелых рынков стали суровой реальностью DLP рынка. Компании, специализирующиеся на функциональности DLP, или изначально создаются с целью перепродажи, или становятся объекта ми поглощения из за того, что неуспевают вырасти и уверенно встать на ноги. Думаю, что в ближайшее время «жертвами» этого процесса станут оставшиеся компании, такие, как Verdasys, Vericept, Reconnex и Orchestria. В сфере информационной безопасности еще достаточно желающих пополнить свое портфолио DLP-решениями, но начинать работу «с нуля» сегодня для крупной организации экономически нецелесообразно.

Впрочем, эта особенность открывает перспективы для новых нишевых игроков, агрессивные технологические новации и фокусированная маркетинговая активность которых встретят большое внимание рынка и окажут положительное влияние на бизнес.

Массовая миграция DLP функциональности в направлении «все в одном» даст им возможность подчеркнуть свой фокус: «Делать хорошо все сразу невозможно. Мы делаем одно, но лучше всех».

Такие разработчики обладают и существенными технологическими преимуществами: они имеют возможность стать законодате лями моды — концентрировать внимание на конкретных DLP функциях и актуальных требованиях заказчиков. В комплексных решениях в сфере ИБ им неминуемо будет назначен фоновый приоритет. А ведь еще так много нового можно реализовать! 

С чего начать?

Олег Кузьмин,
директор департамента информационной безопасности компании «Ай Теко»

Вкомпаниях часто не решена основная задача, с которой следует начинать, — нет четкого определения, какая конкретно информация должна подлежать защите, где она хранится и обрабатывается. Грамотное определение конечной цели заключается в создании системы защиты конфиденциальной информации, которая предусматривает не только установку продуктов защиты от инсайдеров, но и обозначение цели и решаемых системой задач, разработку реально работающего комплекса организационных и технических мер. Прежде всего, необходимо определиться с конечной целью, поставленной в организации: выявление инсайдеров или защита конфиденциальной информации. По своей сути, они различны. В основе продуктов для выявления инсайдеров используются технологии фильтрации сетевого трафика, классификации данных или мониторинга действий служащих. Процесс схож с действиями рыбака, расставившего сети: какая то рыба в них запутается, какая то благополучно проплывет мимо. Может оказаться, что именно тот инсайдер, который допустил утечку наиболее важной информации, не будет вы явлен.

Внедрение продуктов защиты от инсайдеров как составной части системы защиты информации нередко сопряжено с рядом трудностей: отсутствием единого понимания, кого следует считать инсайдером; сложностью выбора конкретного продукта; ограниченностью ИТ ресурсов для полноценного внедрения продуктов и управления ими; необходимостью наложения нового решения на уже внедренные технологии и существующие в организации процессы. Проблемы может вызвать и сопротивление отдельных работников нововведениям, рассматривающих их как «тотальный шпионаж» за своими действиями и возможное последующее недобросовестное использование полученных данных сотрудниками отдела ИБ. Все эти вопросы лучше решать с помощью привлекаемого системного интегратора, имеющего серьезный опыт как в области организации борьбы с инсайдерами, так и в построении систем защиты конфиденциальной информации в целом.