Кто обходится компании дороже: работники или киберпреступники?

В сфере кибербезопасности широко известно, что дорожку к взлому данных часто протаптывают сами сотрудники. Порой это происходит даже в буквальном смысле, когда преступники обманом получают физический доступ к компьютерам конечных пользователей. Чаще же конечный пользователь принимает невольное участие, открыв зараженное вложение в электронном письме, зайдя на вредный сайт или выйдя из офиса с незашифрованными данными на ноутбуке, который у него впоследствии крадут. Мы знаем, что такое случается, но как часто? Другими словами, какой процент утечек вызван непосредственно сотрудниками?

Кто обходится компании дороже: работники или киберпреступники?

Tweet

Чтобы ответить на этот вопрос, давайте рассмотрим три способа, посредством которых работник может способствовать взлому или спровоцировать его:

• злонамеренно (это называется «внутренней угрозой»)
• невольно – непреднамеренно и по недомыслию, в том числе:
1. открыв вложение, которое запускает инфекцию
2. позволив украсть незашифрованный ноутбук или USB-драйв
• намеренно нарушая политику, но невольно провоцируя взлом, в том числе:
1. умышленно нарушив правила для решения представляющейся более важной проблемы, например, обойдя защиту, для того чтобы отправить по электронной почте слишком большой файл, и послав его на ошибочный внешний адрес
2. сняв персональные данные с сайта без шифрования и при осознании возможности утечки

Смысл классификации этих действий по разным категориям заключается в том, что некоторые из них раскрываются лучше прочих. Может потребоваться довольно сложная судебно-медицинская экспертиза, чтобы определить, какой сотрудник открыл вложение электронной почты, которое, в конечном итоге, предоставило киберпреступникам управление сетью. Даже когда компании имеют возможность реконструировать эти детали, они зачастую не делятся такой информацией. Поэтому мы не всегда знаем, когда работник помог взломать систему извне. Тем не менее, мы знаем, сколько (по сообщениям) утечек происходит из-за потери данных сотрудниками. Для вычисления процента случаев, когда за взлом ответственны сотрудники, мы сейчас располагаем только этим набором данных:

• теми, что являются прямыми взломами преступников — и остается лишь гадать, сколько из них начались с подачи работников
• теми, которые непосредственно вызваны ошибкой работника, злым умыслом или намеренным нарушением политики

Однако, анализ этих цифр все-таки может дать кое-какую полезную информацию. На самом деле результаты оказываются даже еще интереснее, если разделить их по отраслям, так как получается, что в разные сферы существенно отличаются в плане интенсивности ошибок сотрудников. Например, уровень ошибок работников в здравоохранении значительно выше, чем в сфере образования, а в образовании он значительно превышает показатели оборонного сектора. С начала 2014 года картина всех заявленных взломов в США показывает следующее:

• 100% взломов систем федерального правительства и министерства обороны инициированы киберпреступниками
• 50% взломов в сфере высшего образования – дело рук злоумышленников
• 20% взломов в здравоохранении вызваны преступными действиями

Это означает, что, по крайней мере, 50% утечек в сфере высшего образования нарушений и 80% в здравоохранении напрямую связаны с сотрудниками, нарушающими политику безопасности. Так почему же цифры так разнятся по отраслям, и что с этим поделать? При сравнении этих трех сфер хозяйственной деятельности три основных составляющих, по-видимому, предопределяют попадание организации в процент случаев утечек данных по вине сотрудников. К ним относятся:

• Как часто и каким образом работники оперируют ценными данными (или персональными данными в случае частных компаний)
• Насколько сведущи сотрудники в вопросах киберпреступности
• Насколько соблюдаются политики безопасности

Федеральное правительство с самым низким рейтингом ошибок сотрудников при кражах (Сноудена вынесем за скобки) отлично выполняет свою работу, контролируя все эти аспекты, потому что, в целом, оно дает доступ к данным только на основе принципа «необходимости информирования», оно внедрило обязательное обучение кибербезопасности, и оно строго следит за соблюдением политики безопасности.

Обучение работников — один из ключевых факторов сокращения числа нарушений ИТ-безопасности.

Tweet

Это также помогает понять, почему работники сферы здравоохранения ответственны за большее количество утечек данных: они чаще обрабатывают личные данные, чем работники других отраслей. Это экспоненциально повышает возможность ошибки сотрудников, которые недостаточно обучены профилактике киберпреступности и совершают глупости. Притом, что мы не можем так просто повлиять на объемы обработки персональных данных по каждой отрасли, у нас есть все основания, для того чтобы сосредоточиться на той части проблемы, которая более чем поправима — на повышении квалификации сотрудников. Требуется лишь около 10 минут на то, чтобы объяснить человеку, что киберпреступники делают с персональными данными, почему важно шифровать, и каковы наиболее частые векторы распространения инфекции. Такие инструменты образования широко доступны и бесплатны. Проблема заключается не в отсутствии средств или ресурсов. Проблема в том, что очень немногие организации прилагают нужные усилия. По вебинару на данную тему и по другим тенденциям киберпреступности см. здесь.