32
можно отнести дезорганизацию деятельности компании, получение ущерба
от того, чтобы была разглашена конфиденциальная информация и.т.п. В
результате эксперты определяют ценность актива при помощи – В результате
эксперты оценивают степень ущерба компании, который может возникнуть в
случае нарушения правил защиты информации от распространения, а также
доступности или целостности информации.
Верные расчеты затрат на ликвидацию последствий осуществляются
путем анализа вероятности возникновения угроз безопасности по разным
типам средств обработки информации организации. Данные расчеты можно
провести при помощи оценки экспертами ущерба от возникновения
вероятной угрозы, используя следующие категории:
– суммой, затраченной на восстановление и ремонт вычислительной
техники, компьютерной сети, а так же другого оборудования;
– суммой упущенной (потенциальной) прибыли;
– понесенными судебными издержками;
– потерями, которые связаны со снижением таких показателей как
производительность труда, простой или выход оборудования из строя.
Управляя рисками информационной безопасности необходимо
проводить оценку стоимости информации. Чаще всего в данном случае
используется метод ожидаемых потерь (ALE от англ. Annualised Loss
Expectency). Данный метод отражает убытки организации, которые могут
произойти в случае, когда не соблюдаются меры по защите информации. При
таком способе рассчитываются показатели, которые характеризуют
серьезность нанесенного ущерба, то есть уровень риска. В таком случае
крайне важно брать в расчет разные аспекты. К этим аспектам можно
отнести, например вероятность возникновения угрозы, а так же то, как часто
она проявляет себя за определенный период времени. Так же метод
подразумевает просчет возможного ущерба от реализации угрозы и степень
уязвимости конфиденциальной информации.
33
Обобщая описанное выше можно прийти к выводу, что суммарное
количество экономических потерь можно подразделить на несколько
категорий:
1) упущенная прибыль компании за счет не выпущенной продукции,
срыва сделки и т.п. Данная категория имеет самую большую долю
экономического ущерба. В небольшой компании упущенная прибыль может
достигать 50% от общего размера экономического ущерба, а в крупных
компаниях этот показатель может достигнуть 80%;
2) сумма, потраченная на замену, восстановление и ремонт
компьютерной техники, компьютерной сети и другого сопутствующего
оборудования составляет около 20% от экономического ущерба в малом
бизнесе и 8% для крупного бизнеса;
3) ущерб от потери производительности (простоя) для небольших
компаний составляет приблизительно 30%, а для крупных 12%.
В итоге составляется заключение, которое характеризует общий
уровень защищенности информационного актива компании на текущий
момент, определяет уровень зрелости компании по вопросам, связанным с
информационной безопасностью, а так же показатели совокупной
психологической готовности компании к внедрению режима защиты.
Как показывают исследования компании InfoWatch, большинство
компаний расходует на защиту своих информационных активов от 2 до 5%
бюджета на сферу информационных технологий. Затраты других компаний,
для которых чрезвычайно важна и критична конфиденциальность и
целостность данных (в том числе эффективность работы систем,
предназначенных для хранения, поиска и обработки информации, а также
соответствующих организационных ресурсов, обеспечивающих и
распространяющих информацию) составляют от 10 до 20% внутреннего
бюджета на ИТ. И лишь единицы тратят на поддержание инфраструктуры и
информационную безопасность до 40% от внутреннего бюджета компании.
34
Сумма, затрачиваемая на защитные мероприятия для различных
компаний, может значительно отличаться и напрямую зависит от того, какая
у неё нормативно-правовая база и уровень зависимости от информационных
технологий. Также сюда относят текущую оперативную обстановку и
уровень вовлеченности в электронный бизнес, профессиональные и
личностные качества сотрудников компании и т.п.
В таблице 6 приведены показатели по тому, как распределяется
бюджет, выделенный на ИТ сферу предприятия с отражением в данных
областях расходов на информационную безопасность.
Таблица 6. Распределение бюджета на информационные технологии и
информационную безопасность
Секторы
Средний
процент
бюджета на ИС
Расходы на защитную
деятельность или
продукты
Инфраструктура сети передачи
данных
8.0
Высокие
Рабочие станции, настольные
персональные и портативные
компьютеры
8.7
Высокие
Системы среднего класса
7.4
Средние
Серверы /суперсерверы LAN
8.7
Высокие
Программное обеспечение:
операционная системы и
утилиты
5.5
Средние
Мейнфреймы
4.7
Средние
Прикладное программное
обеспечение
6.8
Средние
Услуги внешних фирм
5.7
Средние
Оплата труда сотрудников
36.0
Высокие
Накладные расходы
3.1
Низкие
Расходные материалы
2.3
Низкие
Обучение
3.0
Средние
Из таблицы видно 6 видно, что основную долю расходов из
выделенного на ИТ и информационную безопасность предприятия
составляет оплата труда работников компании (36%), затем идет защита
35
серверов (8,7%) и рабочих станций (8,7%). На третьем месте находится
инфраструктура компьютерной сети (8%).
Проведение учета и оценки важной для организации информации, в
коммерческом аспекте деятельности компании дает возможность
предоставить руководителю компании объективную информацию, которая
может быть использована для принятия важных стратегических решений.
Приведенная методика оценки, конечно же, не является полностью
универсальным инструментом. Она позволяет на сегодняшний день наиболее
объективно измерить информационные активы, и является связующим
звеном между информационной безопасностью, как прикладной сферой
деятельности, и её финансово-экономической базой.
При эксплуатации автоматизированной банковской системы
администратор безопасности проводит оценку влияния на эффективность
мониторинга инцидентов информационной безопасности, оказываемого
вышеперечисленными факторами, а так же на то, насколько обеспечена
общая защищенность конфиденциальной информации в автоматизированной
банковской системе. В случае если текущее состояние инцидентов
информационной безопасности начинает отклоняться от нормального
состояния, которое можно охарактеризовать конкретными значениями ряда
показателей, администратором безопасности должна быть определена
причина данного несоответствия. То есть в таком случае, им должны быть
обнаружены факторы, которые имеют влияние на весь комплекс процессов,
связанных с мониторингом безопасности.
Необходимо обладать соответствующими компетенциями и опытом, а
также потратить достаточное количество времени для того, чтобы
квалифицированно найти причину. Когда обнаружен фактор, оказывающий
негативное влияние, администратору безопасности требуется совершить
действия, которые приведут к восстановлению нормального состояния
информационной безопасности. Примером такого фактора может быть
остановка поступающих данных о сканировании портов, причиной чего
36
может являться сбой в межсетевом экране. В данном случае он должен
перенастроить межсетевой экран. При выявлении причин позитивного
изменения состояния инцидентов информационной безопасности,
администратор безопасности принимает это за нормальное состояние и,
соответственно, корректирует значения показателей, характеризующих
данное состояние.
Так как средства защиты информации в коммерческих банках
периодически пополняются новыми информационными продуктами, то на
администратора безопасности значительно возрастает нагрузка. Поэтому
представляется целесообразным автоматизировано собирать данные, которые
характеризуют состояние инцидентов информационной безопасности,
определяя состояния функционирования средств защиты информации. А
также обрабатывают данные, полученные в следствии этих действий и
периодически выдают информацию, необходимую администратору
безопасности для принятия им последующим решений.
2.3 Выбор DLP-системы для коммерческого банка
Для выбора оптимальной DLP-системы для коммерческого банка,
проанализируем наиболее популярные DPL-системы, а так же проведем
сравнение характеристик этих систем между собой.
В нашей стране рынок этих систем формируется с небольшим
запозданием от мирового ранка, при этом со своими специфическими
особенностями. Происходит это постепенно, по мере возникновения
инцидентов, а так же попыток борьбы с инцидентами. Первую DLP-систему
в России начала разрабатывать компания «Инфосистемы Джет» в 2000 году.
Через три года была основана компания InfoWatch, являющаяся дочерней
компанией «Лаборатории Касперского». Решения, разработанные этими
двумя компаниями, задали дальнейшие ориентиры для остальных
разработчиков программного обеспечения по защите информации. Среди
37
этих компаний можно выделить Perimetrix, SearchInform, DeviceLock,
SecureIT (В 2011 году переименован в Zecurion) [37].
После введения в действие государством законодательных актов,
касающихся защиты информации (98-ФЗ «О коммерческой тайне» [2], 152-
ФЗ «О персональных данных» [1], а также других актов, которых в общей
сумме приблизительно 50 видов), возрос спрос на инструменты защиты, в
том числе и на DLP-системы. Через несколько лет на российском рынке
появились такие разработчики, как McAfee, «Гарда Предприятие», Trafica.
Можно отметить, что данные компании уже давно занимаются в области
аппаратно-программных средств защиты от НСД, но заметными на рынке
стали довольно недавно. Например, компания «Гарда Предприятие» еще в
2005 году разрабатывала аппаратно-программные средства защиты от НСД,
но стала известной на рынке только в 2011 году.
Для нашего исследования были выбраны 4 наиболее известных DLP-
системы от разработчиков, которые зарекомендовали себя на этом рынке:
1. Компания InfoWatch в 2003 году отделилась от «Лаборатории
Касперского» и на сегодняшний момент занимает около трети российского
рынка аппаратно-программных средств защиты от несанкционированного
доступа. Компания InfoWatch разработала полный спектр решений защиты от
НСД для клиентов различного уровня, начиная от средних компаний и
заканчивая крупными компаниями, а так же государственными структурами.
Самым востребованным решением от InfoWatch является DLP-система
Traffic Monitor, которая отличается развитым функционалом, уникальными
запатентованными технологиями анализа трафика, гибридный анализ,
поддержку большого количества языков, встроенный справочником веб-
ресурсов, масштабируемостью, большим количеством предустановленных
конфигураций и политик для различных отраслей [22].
Использование решений от компании InfoWatch помогают надежно
защищать конфиденциальные информационные активы от
38
несанкционированного доступа, а так же от утечки информации за пределы
компании.
DLP-система от InfoWatch позволяет разграничить сотрудникам права
доступа к документам и внешним устройствам, а так же контролирует их
использование, анализирует и фильтрует входящий и исходящий трафик.
DLP-система InfoWatch осуществляет контроль перемещения
конфиденциальной информации, ведет внутренний контроль обращения
информации, контролирует распространение корпоративной информации,
помогает отслеживать безответственное поведение работников с
конфиденциальной информацией, выявляет сговор, злоумышленника, лицо,
которое занимается шпионажем. Использование данной DLP-системы
позволяет свести к минимуму риски, связанные с утечкой ценных данных, в
связи с которыми появляется возможность получить серьезную финансовую
потерю организацией.
При использовании данной DLP-системы у компании появляется
четкая и прозрачная картина, отображающая потоки информации.
Полученные данные позволяют с легкостью провести оптимизацию уже
имеющихся бизнес-процессов, а так же исключить из документооборота
ненужных пользователей при помощи применения политики безопасности,
которая учитывает все нюансы.
Из недостатков DLP-системы можно выделить отсутствие контроля за
действиями сотрудников на рабочих станциях, высокую стоимость, а так же
тяжеловесность продукта для среднего бизнеса [22].
2. DLP-система Zecurion разработана российской компанией SecureIT в
2001 году и сначала состояла из инструмента по защите хранилищ данных от
несанкционированного доступа. Далее компания постепенно расширялась,
выпуская новые продукты в сфере информационной безопасности.
На сегодняшний момент в комплексную систему аппаратно-
программных средств защиты от НСД Zecurion входит четыре основных
модуля: Zgate, Zlock, Zdiscovery, Zserver, каждый из которых может
39
поставляться как отдельный продукт, так и в виде единой информационной
системы [23].
Модуль DLP-системы Zecurion - Zdiscovery предназначен для
обнаружения мест хранения конфиденциальной информации в
компьютерной сети предприятия и предотвращения нарушений политик
безопасности. Для обнаружения конфиденциальной информации в Zdiscovery
встроены специальные агенты, проводящие анализ данных со всех устройств,
логических дисков и даже со «скрытых дисков».
Модуль DLP-системы Zecurion - Zgate используется для
предотвращения утечек конфиденциальных данных, передающихся по
электронной почте, социальной сети, интернет-пейджеру или по другому
сетевому каналу передачи данных. В модуле Zgate имеется возможность
контролировать и архивировать:
– переписку в корпоративной электронной почте предприятия;
– письма и вложения, отсылаемые работниками предприятия при
помощи сервисов веб-почты;
– общения работников предприятия в социальной сети, на форуме или
блоге;
– сообщения, передаваемые через интернет-пейджеры;
– файлы, передаваемые посредством FTP канала [23].
Модуль DLP-системы Zecurion - Zlock используется для защиты
конфиденциальной информации от утечек на конечных точках
корпоративной сети предприятия. Zlock контролирует использование
устройств, которые подключены к разным входным и выходным портам, так
же контролирует использование внутренних устройств, сетевых карт,
модемов, Bluetooth, Wi-Fi, CD/DVD-дисководов, а также печать документов
посредством корпоративных локальных или сетевых принтеров.
Модуль DLP-системы Zecurion - Zserver используется для шифрования
данных, файлов и папок и предназначен для надежной защиты данных,
которая хранится и обрабатывается на сервере предприятия, а так же при
40
записи на носители для резервного копирования. Модуль Zserver производит
шифрование информации, которая размещена на жестких дисках, на
дисковых массивах (RAID-массивах), в SAN-хранилищах, а так же на
магнитных лентах и оптических дисках с использованием метода
прозрачного шифрования. Использование шифрования файлов и папок на
жестких дисках и магнитной ленте осуществляется для предотвращения
утечки конфиденциальной информации при физическом доступе нарушителя
к этим носителям.
Основными преимуществами данной DLP-системы является наличие
развитого функционала, модульности, встроенного справочника веб-
ресурсов, развитых технологий анализа трафика, гибридного анализа, гибкой
системы отчетности.
Среди недостатков можно выделить сложный интерфейс и средства по
анализу перехваченной информации, а так же недостаточную интеграцию
между отдельными модулями.
3. DLP-система «Контур информационной безопасности SearchInform»
была разработана одноименной российской компанией, основанной в 1995
году. Компания изначально специализировалась на разработке технологий по
хранению и поиску информации. Позже SearchInform использовала свой
опыт и наработки в области информационной безопасности для создания .
DLP-системы [24].
DLP-система «Контур информационной безопасности SearchInform»
имеет следующие функции:
– контролирует переписку работников предприятия в социальной сети
или мессенджере;
– перехватывает информацию, которая отображается на мониторе
пользователя;
– контролирует утечку информации через съемный носитель;
– обнаруживает процесс передачи файлов, которые защищены
паролем;
41
– контролирует рабочее время и эффективность работы сотрудников
предприятия;
– осуществляет мониторинг деятельности работников предприятия в
реальном времени;
– контролирует связи работников внутри предприятия и с внешним
миром;
– работает с графическими файлами, фильтрует изображения, которые
визуально похожи на документы [24].
Преимуществами данной DLP-системы является наличие широких
возможностей перехвата трафика и анализа событий, происходящих на
рабочей станции, контроль рабочего времени сотрудника и свой учебный
центр, предназначенный для обучения аналитиков и технических
специалистов. К ним также относят развитые инструменты поиска, скорость
обработки поисковых запросов, граф-связи сотрудников, модульность, а
также запатентованный компанией поисковый алгоритм «Поиск похожих».
Среди недостатков можно выделить ограниченные возможности по
блокированию передаваемой информации, а так же отсутствие единой
консоли управления.
4. DLP-система «Гарда Предприятие» от одноименной российской
компании, разрабатывающей системы информационной безопасности
ориентирована на крупные и средние предприятия. Изначально компания
специализировалась на комплексных решениях для операторов связи, в связи
с этим большое внимание было уделено скорости обработки данных,
отказоустойчивости и эффективному хранению информации. Разработку
программных продуктов в области информационной безопасности «Гарда»
ведет с 2005 года [21].
Преимуществами DLP-системы «Гарда Предприятие» является
простота развертывания, высокая производительность, наличие гибких
настроек правил детектирования, с возможностью записывать весь трафик, а