Пренебрежение элементарными правилами ИБ помогает злоумышленникам получить доступ к конфиденциальным данным пользователя и, соответственно, оказывать при случае на него давление. Хранение незащищенной информации в облаке или простая комбинация символов в пароле – наиболее распространенные пользовательские уязвимости.
Проведя в 2014 году анализ более 40 проектов в области ИБ, компания «Информзащита» выявила десять самых распространённых уязвимостей и недостатков. Свой исследовательский аудит эксперты проводили в компаниях различного профиля: финансового, транспортного, телекоммуникационного сервиса, организаций нефтегазовой промышленности и др. На первом месте из выявленных факторов уязвимости в области ИБ, по заключению компании «Информзащита», стоит некорректная парольная политика. Затем в порядке убывания перечисляются и другие «лазейки» для злоумышленников, которые получают, таким образом, привилегии во взломанных сетях – вплоть до присвоения администраторского статуса. Вот оставшиеся эти девять пунктов: «использование небезопасного протокола TELNET», «некорректный или отсутствующий аудит событий», «плохо настроенные правила фильтрации трафика для межсетевых экранов», «неправильная сегментация сети: серверные сегменты не отделены от пользовательских», «не обновляемое вовремя ПО», «некорректная настройка сетевого оборудования», «отсутствие системы оповещений для обнаружения вторжений», «использование небезопасных протоколов для удалённого доступа с помощью технологии VPN» и, наконец, «некорректная настройка ограничения прав доступа к системным файлам».
Службы ИБ компаний и ведомств бьют тревогу в связи с частым использованием сотрудниками упрощенной парольной комбинации символов и использования ими небезопасных протоколов удалённого доступа. Ну, а что тут говорить о рядовых пользователях, когда сам президент США Барак Обама, по его собственному признанию, до недавнего времени использовал в качестве пароля для входа в свою электронную почту и приложений либо слово «password», либо более сложную, на его взгляд, комбинацию: «1234567». На 32-м симпозиуме по криптографии и информационной безопасности, проходившем в январе текущего года в городе Китакюсю (Япония), компании Fujitsu Limited и Fujitsu Laboratories представили результаты проведенных по заказу министерства внутренних дел и коммуникаций Японии исследований, в которых резюмировалось, что возросшие киберугрозы диктуют необходимость ужесточить корпоративную политику ИБ. Исследователи при этом подчеркнули, что основная проблема связана именно с пользовательским пренебрежением к мерам ИБ.
Чтобы идентифицировать пользователей-«идиотов», которые оказываются уязвимыми для кибератак или нечаянно открывают доступ к конфиденциальной информации компании или ведомства, делают возможным фишинг при просмотре своей электронной почты, неосмотрительно ведут себя в интернете во время сеансов веб-сёрфинга, была создана специальная программная среда, фиксирующая пользовательские «вольности» с точки зрения новых стандартизированных методов защиты информации. Не полагаясь на внимательность администраторов, которые в ручном режиме пытаются поддерживать порядок в корпоративных сетях с большим числом пользователей, анализировать пользовательскую активность в киберпространстве доверили автоматизированной программной системе. Это позволило уже сегодня добиться значительного повышения уровня ИБ в сетях, а также проводить инструктаж персонала в формате «разбора полетов» по каждому выявленному такой системой критическому событию. На основе сетевого мониторинга программа формирует персональные профили пользователей, в которых приводится оценка индивидульного степень уязвимости и уровень готовности к возможным кибератакам.
Учитывая расширяющиеся масштабы хакерских атак, а также активное участие спецслужб в охоте за конфиденциальными данными, такие меры выглядят даже очень своевременными. Уже открыто президент США и британский премьер-министр настаивают на запрете программных шифровальных систем, если в них не предусмотрены «чёрные ходы» для проникновения спецслужб. И если эти планы будут все-таки реализованы, то в идиоты придется записывать всех экспертов ИБ, поскольку при наличии такого «мастер-ключа» для обхода парольной или иной защиты — через «черный ход» — уязвимой окажется вся система информационной защиты. А если еще и хакеры овладеют таким «золотым ключиком» и запросто смогут администрировать корпоративные сети с целью извлечения максимальной выгоды, то ИБ сотрудников, использующих для своих почтовых ящиков сверхсложные пароли с криптозащитой, окажется фикцией, или просто — идиотизмом.
.png)