IT-безопасность: стоит ли рисковать корпорацией?

Руководители часто перекладывают ответственность за безопасность систем на системных администраторов, не обеспечив соответствующего финансирования установки средств, обеспечивающих безопасность и техническую поддержку сети. Так как безопасность не предусматривается изначально, то некоторые руководители думают, что расходы на нее можно просто не включать в бюджет, и безопасность становится постоянно отодвигаемой задачей. Например, руководители могут отложить установку программ-детекторов вторжения на следующий квартал. Перед тем как вы об этом узнаете, закончится год, и директор по информационным технологиям, принявший такое решение, уйдет из компании. А новый директор по информационным технологиям отложит приобретение программ-детекторов еще на шесть месяцев.

Безопасность будет наиболее эффективной тогда, когда она будет связана: 1) с деловыми инициативами и 2) с корпоративной целью. Во-первых, компания Costa Corp не сделала внедрение программ по обнаружению вторжения необходимой составной частью своей инициативы по электронной коммерции. Когда затраты на осуществление этой инициативы превысили возможности бюджета, то руководство решило забрать средства из другого проекта. Руководство решило отложить покупку программ-детекторов вторжения, которая была предусмотрена бюджетом, была утверждена и прошла оценочное тестирование группой обеспечения безопасности. Вместо этого средства были направлены в бюджет электронной коммерции. Приобретение программного обеспечения по обнаружению вторжения, необходимого для защиты компании, было отложено.

Когда средства обеспечения безопасности поддерживают деловую инициативу, то высшие руководители их обычно финансируют. Если бы им было показано, что программное обеспечение по обнаружению вторжения можно наращивать, что оно имеет возможность быстрого обнаружения как известных, так и неизвестных угроз и поддерживает деловую инициативу электронной коммерции то его покупка могла бы быть профинансирована. Более того, можно было бы начать переговоры о корпоративной лицензии (site license)[68] для защиты всей инфраструктуры компании.

Во-вторых, вы сможете добиться финансирования безопасности, связав ее с корпоративной целью по обеспечению безопасности. Примером такой цели может быть обеспечение целостности информации. Компания, целью которой является обеспечение целостности своей информации, демонстрирует твердое стремление руководства к безопасности.

Сотруднику службы безопасности, системному администратору или менеджеру, не сумевшим найти способ связать свою инициативу по обеспечению безопасности с корпоративной целью, будет затем трудно оправдать бюджетные требования и выстоять в борьбе с другими инициативами в области информационных технологий. К сожалению, во многих компаниях не удается обозначить безопасность как корпоративную цель. В условиях возрастания количества и изощренности атак в недалеком будущем такие компании могут оказаться легкой добычей при открытии сезона охоты на них.

Угрозы требуют действий

Сценарий атаки на канадскую плотину, о котором уже было рассказано, может показаться немного надуманным. Однако заглянем в репортаж в Washington Post за 27 августа 2002 года, в котором говорится, что войска США в Афганистане в январе того же года захватили компьютеры Аль-Кайды. В одном из них содержались компьютерная модель плотины и программное обеспечение, позволяющие моделировать ее катастрофическое разрушение при подготовке террористического акта. В ходе расследований, проведенных американскими специалистами, появились свидетельства того, что члены Аль-Кайды проводят время на веб-сайтах, которые содержат программы и команды для переключателей с цифровым управлением, расположенных в сетях электроснабжения, водоснабжения, транспортных сетях и сетях связи, о чем сообщалось также в Post. Атаки на инфраструктуру США вполне возможны, и если они будут успешными, то вызовут общенациональную катастрофу. Об атаке такого вида сообщалось в июне 2001 года, когда хакер пришел из сети, управляемой компанией Chinese Telecom, и преодолел защиту учебной сети, принадлежавшей компании California Independent Systems Operator (Cal-ISO), которая контролирует всю сеть электроснабжения штата. Очевидно, что подобные угрозы реальны.

Действия организации против таких угроз могут потребовать свежего взгляда на имеющиеся у нее политики, процедуры и средства защиты с целью определить их соответствие правилам, установленным для ее отрасли.

Например, соответствуют ли они следующим документам:

1. Стандарт ISO 17799. Впервые опубликованный в 1995 году стандарт BS7799 стал так широко использоваться во многих странах в законодательной практике по информационной безопасности, что был переработан в международный стандарт ISO 17799.