Най-слабото звено
Абонирайте се за Капитал

Всеки петък икономически анализ и коментар на текущите събития от седмицата.
Съдържанието е организирано в три области, за които Капитал е полезен:

K1 Средата (политическа, макроикономическа регулаторна правна)
K2 Бизнесът (пазари, продукти, конкуренция, мениджмънт)
K3 Моят капитал (лични финанси, свободно време, образование, извън бизнеса).

Абонирайте се за Капитал

Най-слабото звено

Най-слабото звено

Човешкият фактор е най-големият проблем за информационната сигурност

Христо Ласков
3887 прочитания

© Инна Павлова


Няма такова нещо като 100% гарантирана защита. Не, не четете упътване за употреба на презервативи. Това е може би най-често повтаряната мантра от арсенала на експертите по информационна сигурност. И то не за друго, просто защото във вашата компания, както във всяка друга, работят хора. А хората правят грешки - било то съзнателно или неволно.

Освен че някой от служителите ви може да забрави отключения си служебен лаптоп или таблет в някое кафе или да загуби своя смартфон или някоя флаш памет с важни данни на нея, той може и да се "продаде" - иначе казано да направи така, че да позволи неоторизиран достъп до ИТ инфраструктурата ви. Или пък просто може да не знае какво прави, да клика наляво и надясно и да зарази компютъра си с вирус, който от своя страна да отвори вратите за демонични пълчища хакери, които да получат неоторизиран достъп до информация за вас и за компанията ви. Може да звучи апокалиптично, но уви - така е. Хакерите стават все по-добри, използват най-разнообразни методи за атака и дори залагат на персонализирани писма до всеки един от служителите ви с цел открадване на неговата парола или отдалечен достъп да служебния му компютър. Тоест те стават все по-таргетирани в усилията си да пробият нечия мрежа с цел финансова облага.

Както казва един от членовете на разпадналата се хакерска група LulzSec: "Нека опростим нещата: ти имаш много пари, ние ги искаме." Извадката е от чат сесия между хакера и изпълнителния директор на компанията Unveillance Карим Хиджази. А проблемът е, че колкото и правителства, институции и компании да се стараят да опазят своята информация и личните данни на потребителите си, те винаги ще са изложени на риска от пробив. Особено в България, където според компанията за информационна сигурност "Хай компютърс" "се действа реактивно, т.е. когато проблемът вече е факт".

Кой, какво и защо

Зачестилите хакерски атаки през последните месеци показаха на света две неща. На първо място, неуязвими неща няма. Дори и корпорации като Sony и Citigroup със своите милиарди долари финансови ресурси са принудени да преклонят глава през незнайни "воини", които съумяват да пречупят защитата на ИТ инфраструктурата им. И второ, в областта на информационната сигурност трябва да се действа реактивно - тоест всяка компания да направи всичко възможно да се защитава още преди наличието на евентуалния пробив, а не да се опитва да гаси пожари след това. Защото в случая със Citigroup стана ясно, че вече са източени 2.7 млн. долара от над 300 хил. изтекли кредитни карти на клиентите й.

Всъщност защитата на информационната инфраструктура на всяка една компания е регулирана дори юридически. Например администрацията в САЩ  изисква от всички компании и организации да предпазват информационните си системи от "вируси, троянски коне, фишинг, атаки за отказ на услуга, неоторизиран достъп и контролирани системни атаки". Сред препоръчаните от законодателя мерки са използването на технологични средства като защитни стени, антивирусен софтуер, системи за откриване и превенция на неоторизиран достъп и т.н. Американското правителство не спира да притиска дружествата, опериращи в страната, да се съобразяват с тези изисквания, очевидно обаче неуспешно, както показват атаките от последните месеци. И забавените реакции на компаниите, които не искат да си признаят, че имат проблем с информационната сигурност.

Един от основните проблеми, на който трябва да се обърне внимание, е човешкият фактор, твърдят специалистите по информационна сигурност. Компаниите все повече обръщат внимание на този проблем. Защото, както вече казахме, и най-добрата система за защита не може да спре необразования потребител, който не знае на какви рискове е изложен.

Обратно към дъската

Според "Ройтерс" в момента в САЩ и Западна Европа се наблюдава вълна на работодатели, които започват да инвестират в обучения на онази част от персонала си, която се оказва най-рисковото звено в информационната сигурност, както и в системи за наблюдение на поведението на служителите в интернет. "Технологиите са само част от проблема. Всички системи се състоят от технологии, процеси и хора. А за разбиването им е достатъчно да бъде пробито само едното звено", коментира Стив Пърсър, експерт в Европейската агенция за мрежова и информационна сигурност.

Проблемът обаче не е само в персонала, а и в естеството на дейността на всяка компания или организация. Защото няма универсални правила за следене на оналйн активностите на служителите на което и да било дружество. Дори обратното - в този аспект всяка фирма се спасява поединично. Според блога по информационна сигурност Zero Day компаниите не трябва да се осланят само на своето усещане за ИТ защитеност. "Ако не работите в сферата на информационните технологии, по-добре наемете консултанти или изнесете тези свои нужди на външна компания, която може да следи и да опази по-добре информационната ви сигурност", пишат анализаторите.

Хакерите използват и все повече персонализирани атаки срещу определени служители и звена на определени компании. Причината е, че голяма част от хората са доверчиви и вярват, че даден мейл е истински и кликването на линк в него наистина ще ги отведе на сайта на банката им например. Именно благодарение на човешка грешка бяха пробити системите за сигурност на Международния валутен фонд. Атаките срещу подобни организации карат хакерите да използват най-добрите си оръжия - персонализирани фишинг атаки, които използват дори публична информация, събрана от социални мрежи, изпращане на лични съобщения със заразени файлове от хакнати потребители в подобни сайтове и т.н. Всичко това е само част от арсенала на съвременните киберпрестъпници.

Друг проблем е неволното изтичане на информация от невнимателни служители. Според антивирусната компания McAfee и консултантите на американското правителство от SAIC именно това ще е най-голямата заплаха за всички организации отвъд Атлантика. Особено предвид факта, че за съхранение и достъп до информация се използват все повече средства и устройства - смартфони, таблети, компютри и т.н.

Всичко това в никакъв случай не означава, че не трябва да вярвате на банката си, когато получите мейл от нея. Просто имайте предвид, че не всичко, което блести, е злато.

Речник на заплахите

Троянски кон - приложение, което обикновено дава на хакера отдалечен достъп до заразения компютър без знанието на потребителя.

Червей - зловреден код, който има способността да се саморазпространява към други компютри и устройства.

Фишинг - използване на фалшива корпоративна идентичност за кражба на лични данни от потребители (например имитация на банка или система за електрони разплащания).

Спайуер - троянски кон, чиято цел е да краде лични данни от потребители.

Руткит - набор софтуерни инструменти, използван от хакери за сдобиване с администраторски права върху заразена машина.

Няма такова нещо като 100% гарантирана защита. Не, не четете упътване за употреба на презервативи. Това е може би най-често повтаряната мантра от арсенала на експертите по информационна сигурност. И то не за друго, просто защото във вашата компания, както във всяка друга, работят хора. А хората правят грешки - било то съзнателно или неволно.

Освен че някой от служителите ви може да забрави отключения си служебен лаптоп или таблет в някое кафе или да загуби своя смартфон или някоя флаш памет с важни данни на нея, той може и да се "продаде" - иначе казано да направи така, че да позволи неоторизиран достъп до ИТ инфраструктурата ви. Или пък просто може да не знае какво прави, да клика наляво и надясно и да зарази компютъра си с вирус, който от своя страна да отвори вратите за демонични пълчища хакери, които да получат неоторизиран достъп до информация за вас и за компанията ви. Може да звучи апокалиптично, но уви - така е. Хакерите стават все по-добри, използват най-разнообразни методи за атака и дори залагат на персонализирани писма до всеки един от служителите ви с цел открадване на неговата парола или отдалечен достъп да служебния му компютър. Тоест те стават все по-таргетирани в усилията си да пробият нечия мрежа с цел финансова облага.


Благодарим ви, че четете Капитал!

Вие използвате поверителен режим на интернет браузъра си. За да прочетете статията, трябва да влезете в профила си.
Влезте в профила си
Всеки потребител може да чете до 10 статии месечно без да има абонамент за Капитал.
Вижте абонаментните планове

10 коментара
  • 1
    denikide avatar :-P
    Denislav Ganchev

    Разбрахме "Хай Компютърс"

  • 2
    kiowa avatar :-|
    Kiowa

    Проблема е само един хората просто не мислят и нямат желание да се научат. Не само по пробле-ми с конфиденциалността, но и в самото ползване на компютърна или друга техника и софтуер.
    Мързел и незаинтересованост са основните проблеми.

  • 3
    jj avatar :-|
    J.J.

    "Според "Ройтерс" в момента в САЩ и Западна Европа се наблюдава вълна на работодатели, които започват да инвестират в обучения на онази част от персонала си, която се оказва най-рисковото звено в информационната сигурност, както и в системи за наблюдение на поведението на служителите в интернет."
    Точно това води до огромни печалби за пропагандаторите на колко важна била информационната сигурност, производителите на анти-вирусни и т.н. Тук може да се зададе въпросът дали наистина има толкова голяма опасност или просто горе-споменатите използват или дори са причина за случилото се. Отдавна в световното общество циркулира твърдението, че голяма част от вирусите същност се правят от производителите на анти-вирусни...

  • 4
    mapto avatar :-|
    mapto

    В далечната 1999 Ан Адамс и Анджела Заси написаха една много цитирана публикация: "Потребителят не е враг". Може би е хубаво да си я припомним когато говорим как хората са най-слабото звено.
    http://hornbeam.cs.ucl.ac.uk/hcs/people/documents/Angela%20Publications/1999/p40-adams.pdf
    На кратко: проблемът не е в потребителите, а в процесите и отношенията в организацията.
    От тогава са се случили много неща, но явно все още се повтарят отдавна разбулени мантри.

  • 5
    xon2003 avatar :-|
    Starsky

    хм, човешкият фактор може да бъде както най-слабото така и най-силното звено. Всичко си зависи от.... човешкия фактор!

  • 6
    gost22 avatar :-?
    gost22

    Абе защо съм останал с впечатлението, че всичките технологии и процеси са създадени да обслужват "човешкия фактор", а не обратното.
    Я си спомнете, в първите калкулатори на НР как се е въвеждала задачата, а бързо приключилите опити, хората да се дресират за работа с ДОС?
    Ако системата "куца" или подобряваш системата или я сменяш с по-добра. Другото е ала-бала и опит да се изкарат допълнително пари от "обучение" преди да се пусне следващата "нова подобрена система".
    Нарича се "издояване на продукта" и можете да си го прочетете във всеки учебник по маркетинг, в раздела "жизнен цикъл на продукта".

  • 7
    1024 avatar :-|
    1024

    Добра сигурност се постига като откачиш жицата :)

  • 8
    ariman_info avatar :-|
    Ariman

    До коментар [#3] от "J.J.":

    ти би ли ималм доверие на хора/частна фирма например/, който получават пари те си като гасят пожари/справка: силните съмнения, че поне един софийски сот работи комбина с престъпни групи/, аз не бих, затова тази функция е държавна, в обществена полза, за съжаление няма вариант държавата да поеме този контрол в съотвената сфера, която обсъждаме, така че всеки се спасява както може.
    +++ от мен.

  • 9
    arimancer avatar :-P
    zeromancer

    Все така да мислите .. повече работа за мен :)

  • 10
    dimiterptsvetkov avatar :-|
    uran

    "Абе аз щех да въведа ред в интернета само да ги нямаше тия потребители!" - ключова мисъл на генерал Лендфорс Стоун.


Нов коментар

За да публикувате коментари,
трябва да сте регистриран потребител.


Вход

С използването на сайта вие приемате, че използваме „бисквитки" за подобряване на преживяването, персонализиране на съдържанието и рекламите, и анализиране на трафика. Вижте нашата политика за бисквитките и декларацията за поверителност. OK