Как известно, внутренние инциденты часто приводят к утечке персональных или конфиденциальных данных. Из года в год убытки от каждого из этих видов утечек растут на 20-25%. По оценкам аналитического центра InfoWatch, в 2006 году одна лишь экономика США потеряла более 60-65 млрд долларов вследствие утечек приватных сведений. Аппроксимируя этот результат в глобальном масштабе, можно утверждать, что общемировой ущерб от этих инцидентов составляет около 500 млрд долларов. Между тем, это лишь одна сторона медали, так как не учтенной осталась еще одна угроза — утечка конфиденциальной информации. Исходя из собственного опыта расследования инсайдерских инцидентов, аналитический центр InfoWatch по итогам года оценивает совокупные потери мировой экономики из-за утечки коммерческих секретов в 175 млрд долларов. Таким образом, вместе оба вида утечек обходятся ежегодно почти в 700 млрд долларов. Однако уже в следующем году с учетом инфляции и ежегодного роста убытков на 20-25% эта цифра может превысить 1 трлн долларов.

Но не будем сгущать краски. На фоне всех отрицательных тенденций есть целый ряд положительных событий. Во-первых, как показало исследование «Внутренние ИТ-угрозы в России 2006», число российских компаний, внедривших системы защиты от утечек, возросло почти в 5 раз за последний год. Во-вторых, в нашей стране наконец-таки появился закон «О персональных данных». Это лишь первый, но самый трудный шаг, с помощью которого России удастся упорядочить оборот приватных сведений граждан. Таким образом, есть все основания полагать, что эффективно защититься от внутренних угроз вполне реально.

Кроме того, исследование показало, что обеспокоенность внутренними угрозами ИБ среди российских организаций достигла апогея. Например, индекс опасности утечки информации на 50% опережает аналогичный показатель для любой из внешних угроз. Госструктуры и представители частного сектора поставили на первое место утечку информации далеко не случайно. Они отчетливо осознают все отрицательные последствия этого инцидента: прямые финансовые убытки (46%), удар по репутации (42,3%) и потерю клиентов (36,9%).

Организации начинают присматриваться к своим служащим все пристальнее и пристальнее. Более 40% респондентов уже зафиксировали за 2006 год более одной утечки, а почти 20% — более 5 утечек. Доля организаций, внедривших защиту от утечек, возросла за последний год на 500% или в 5 раз. Положительная динамика налицо, и это не может не радовать. В то же самое время говорить о массовом внедрении не приходится. Пока лишь каждый десятый внедрил эффективное решение на основе ИТ, однако девять из десяти планируют это сделать в ближайшие 2-3 года. Есть все основания полагать, что проникновение систем защиты от утечек на российский рынок продолжится и дальше, причем затронет абсолютно все отрасли экономики. Судя по всему, мы находимся на пороге экспоненциального роста данного сегмента.

Угрозы ИБ в России

По сравнению с прошлым годом несколько изменился ландшафт самых опасных угроз ИБ. На первом месте по-прежнему остается кража информации (65,8%). Ее индекс опасности подрос на 1,8% по сравнению с 2005 годом и на 3,8% по сравнению с 2004 годом. На втором месте оказалась халатность сотрудников (55,1%). Этого варианта ответа не было в прошлогоднем исследовании, поэтому не представляется возможным проследить за динамикой изменения индекса опасности этой угрозы. Тем не менее, уже сейчас можно сделать ряд выводов. Например, вирусные атаки заняли лишь третье место, набрав 41,7% голосов. Если сравнивать с 2005 годом, то эта угроза потеряла целых 7,3 процентных пункта, а если с 2004 годом, то сразу 18,3%.

Наиболее опасные угрозы ИБ

Источник: InfoWatch, 2006

На четвертом месте оказалась угроза, которая тоже не входила в предыдущие исследования — саботаж (33,5%). Судя по всему, можно снова утверждать, что высокий рейтинг опасности саботажа обусловлен тем, респонденты постепенно теряют чувство страха перед внешними угрозами. Если в случае с халатностью служащих приводился пример снижения рейтинга вирусных атак, то в данном случае налицо потеря лидирующих позиций со стороны хакерских атак. За прошедший год эта угроза потеряла 24,6 процентных пунктов, а за 2 последних года — 28,6%.

Таким образом, если пересчитать результаты предыдущего вопроса, разделив все ответы на внутренние и внешние угрозы, то видно, что инсайдеры превалируют над вирусами, хакерами и спамом. Для построения следующей диаграммы в категорию внутренних угроз были отнесены халатность сотрудников, саботаж и финансовое мошенничество, а в категорию внешних угроз — вирусы, хакеры и спам. После этого суммарный рейтинг опасности каждой категории был нормирован, чтобы сумма равнялась 100%. Отметим, что угрозы кражи информации, различных сбоев и кражи оборудования специально не были отнесены ни к одной из групп. Дело в том, что они могут быть реализованы, как изнутри, так и снаружи или вообще без вмешательства человека (например, аппаратные сбои).

Соотношение опасности внутренних и внешних угроз ИБ

Источник: InfoWatch, 2006

Судя по результатам, респонденты значительно больше обеспокоены внутренней ИБ, чем защитой от внешних угроз. Кроме того, следует учитывать, что неклассифицированные риски, например, кражу информации или оборудования, чаще всего относят к внутренним угрозам. В данном случае это не было сделано, чтобы не придавать угрозам со стороны инсайдеров дополнительного веса. Однако как показали расчеты, даже в этом случае внешние риски существенно уступают внутренним угрозам.

«Конечно, нельзя утверждать, что внутренние риски ИБ опаснее внешних, — считает Юрий Лысенко, начальник отдела ИТ-безопасности «РосЕвроБанка». — Однако налицо факт, что угроза со стороны служащих сегодня вызывает гораздо больше беспокойства, чем вирусы, хакеры, спам и т.д. Проблема здесь в том, что от внутренних нарушителей нельзя защититься также легко, как, например, от вредоносных программ. Внедрил антивирус — и все. А с внутренними угрозами так не получится. Это комплексная, но вполне решаемая проблема».

Структура внутренних угроз ИБ

В списке самых опасных внутренних угроз, по данным опроса, с огромным отрывом лидирует нарушение конфиденциальности информации (70,1%). Ближайший «конкурент» — искажение информации (38,4%) — отстал на целых 31,7 процентных пункта. Другими словами, риск утечки ценной информации волнует респондентов почти в два раза больше любой другой инсайдерской угрозы.

Самые опасные угрозы внутренней ИБ

Источник: InfoWatch, 2006

Между тем, индекс опасности этой угрозой в 2005 году достигал 100%, а в 2004 году — 98%. На первый взгляд может показаться, что обеспокоенность респондентов утечкой конфиденциальной информации за 2006 год несколько снизилась, однако внимательный анализ доказывает, что это не так. Прежде всего, в варианты ответов были добавлены две новые угрозы, которые не учитывались в предыдущих исследованиях. Это саботаж (26,2%) и мошенничество (19,3%). Легко видеть, что эти риски заняли третье и четвертое место в списке наиболее опасных угроз, так что включение их в опросный лист было совершенно оправданным. С учетом того, что каждый респондент по-прежнему мог выбрать только три варианта ответа, представляется наиболее вероятным, что две новые угрозы оттянули часть голосов с нарушения конфиденциальности на себя.

По мнению Василия Окулесского, начальника отдела защиты информации «Банк Москвы", «многие внутренние угрозы взаимосвязаны. Например, мошенничество подразумевает искажение информации в финансовых отчетах, а саботаж, в конечном счете, может реализоваться в нарушении конфиденциальности, краже оборудования, утрате данных. Однако сам факт, что утечки (нарушение конфиденциальности) набрали так много голосов, говорит о том, что к этой внутренней угрозе следует подходить наиболее внимательно».

Комментируя высокий индекс опасности таких угроз, как саботаж и мошенничество, следует отметить, что респонденты совершенно справедливо обратили свое внимание на эти риски. Дело в том, что среди опрошенных компаний преобладают представители крупного бизнеса. Между тем, чем больше компания, тем выше шансы совершения корпоративной диверсии или умышленного искажения финансовых отчетов. Кроме того, проблеме саботажа значительное внимание в 2006 году уделили журналисты и различные исследовательские институты. Один из респондентов во время интервью заметил, что если бы журналисты не стали акцентировать внимание проблеме ИТ-саботажа и в интернете не появились отчеты CERT, «Секретной службы» США и других организаций, то его компания даже не знала бы, что такие риски существуют.

Утечка конфиденциальной информации

Итак, наиболее опасной угрозой ИБ является утечка конфиденциальной информации, совершаемая инсайдерами. В этом году перед респондентами впервые поставили вопрос относительно наиболее плачевных последствий, возникающих вследствие утечек. Как оказалось, более всего респонденты озабочены прямыми финансовыми убытками (46%). На втором месте — ухудшение имиджа и общественного мнения (42,3%), а на третьем — потеря клиентов (36,9%).

Наиболее плачевные последствия утечки

Источник: InfoWatch, 2006

Олег Смолий, главный специалист управления по обеспечению безопасности ВТБ, утверждает, что поставил бы для коммерческой организации потерю репутации на первое место: «Доброе имя нельзя создать в короткий срок, имея даже очень много денег. Организации тратят годы на то, чтобы сделать свою торговую марку узнаваемой, развивают лояльность марке со стороны клиентов. Между тем, всего одна утечка может разом перечеркнуть долгие годы усилий».

Кроме того, респонденты озабочены снижением конкурентоспособности (25,2%) организации, что является скорее следствием целого ряда других негативных последствий утечки. Между тем, лишь каждый десятый (10%) упомянул среди наиболее плачевных последствий юридические издержки и судебное преследование, что свидетельствует о неразвитости правоприменительной практики в России. Напомним, что в 2006 году в России был принят закон «О персональных данных», который вступил в силу в феврале 2007 года и создал все предпосылки для того, чтобы компания, допустившая утечку, могла быть привлечена к ответственности. Тем не менее, эксперты компании InfoWatch сомневаются, что одно лишь наличие правильного закона поможет положить конец незаконному обороту персональных данных. Чтобы достичь успеха, необходимо еще вынести несколько судебных решений, наказывающих те организации, которые допускают утечки.

На следующем этапе исследования аналитический центр InfoWatch предложил респондентам указать самые распространенные каналы утечки информации. Заметим, что наибольшей популярностью среди инсайдеров пользуются мобильные накопители (86,6%), электронная почта (84,8%) и интернет (82,2%). По сравнению с 2005 годом первые две позиции не поменялись, а вот интернет потеснил с третьего места сетевые пейджеры, который в 2006 году набрали только 74,5% процентных пункта и заняли четвертое место. 

Каналы утечки

Источник: InfoWatch, 2006

Между тем, особое внимание на себя обращает существенно возросший рейтинг опасности печатающих устройств. В 2006 году он составил 60,9%, в то время как в 2005 году был лишь 34 процентных пунктов. Дополнительные вопросы респондентам, указавшим на этот канал утечки, помогли выяснить, что многие организации уже имеют достаточно зрелую систему ИT-безопасности, которая либо включает средства фильтрации исходящего сетевого трафика, либо ограничительные меры по доступу к внешним сетям. Что же касается принтеров и других печатающих устройств, то они остаются непокрытыми, поэтому инсайдеры переключают свой взор именно на них. 

Наконец, одним из самых важных моментов исследования стал вопрос о количестве утечек конфиденциальной информации, которые респонденты допустили в течение 2006 года. Как в 2005 и 2004 годах, большинство затруднились ответить, так как слишком многие респонденты еще не используют специализированных решений для выявления утечек. Однако положительный сдвиг уже налицо: если в 2004 году затруднения возникли у 67%, в 2004 году — у 62%, то в 2006 году — уже лишь у 44,8% всех опрошенных организаций.

Количество утечек

Источник: InfoWatch, 2006

Столь же позитивным выглядит тот факт, что существенно возросла доля респондентов, достаточно точно указавших количество утечек. Так, практически каждый четвертый (24%) сообщил, что его компания допустила от 1 до 5 утечек. В 2005 году об этом заявили лишь 7% организаций. Далее, почти каждый восьмой (12,9%) сообщил, что его компания зафиксировала от 6 до 25 утечек за год. Этот показатель вообще возрос с 0% в 2005 году до 12,9% в 2006 году. Другими словами, у респондентов появилась возможность фиксировать утечки или наблюдать результаты утечек во внешней среде организации. Точно такая же динамика наблюдается у группы, заявившей о более чем 25 утечках. В 2005 году ни один респондент не выбрал данный ответ, а в 2006 году это сделали уже 4,6%.

Доля респондентов, ответивших, что «ни одной утечки не было», сократилась с 31% в 2005 году до 13,7% в 2006 году. Судя по всему, за прошедшие 12 месяцев организации осознали, что точно так же подвержены внутренним угрозам и постоянным утечкам, как и весь остальной бизнес. Если раньше заявления об отсутствии утечек не основывались на каких-либо логических доводах, то теперь эта уверенность испарилась. Многие из тех респондентов, которые входят в 13,7%, не зафиксировавших утечек, уже установили комплексные системы внутренней ИБ.

Средства защиты

Среди наиболее популярных средств ИБ за последний год не произошло значительных изменений. По-прежнему пальму первенства удерживают антивирусы (98,6%), межсетевые экраны (73,9%) и контроль доступа (50,8%). Небольшое снижение индекса использования антивирусных средств (со 100% до 98,6%) было неизбежно вследствие существенного расширения базы респондентов. В то же самое время на четвертом месте оказались программы защиты от спама, которые за 2006 год прибавили 13,5% и достигли отметки 30,5 процентных пунктов. Далее в рейтинге наиболее популярных средств ИБ находятся системы обнаружения и предотвращения вторжений (23%) и системы защиты от утечек (10,5%). Последний факт необходимо отметить отдельно, так как средства внутренней ИБ впервые опередили популярную технологию VPN (7,5%). Заметим, что опросный лист специально не уточнял, какие именно средства защиты от утечек могут использоваться у респондентов, так что в этот пункт вошли самые разнообразные меры: фильтры исходящего почтового трафика и интернета, комплексный контроль над рабочим станциями, блокирование USB- и других портов, мониторинг выводимых на печать документов и т.д.

Средства ИБ

Источник: InfoWatch, 2006

«Использование различных систем для защиты от внутренних нарушителей действительно становится все более популярным, — отмечает Дмитрий Мананников, директор по ИТ-безопасности СДМ-банка. — Однако я хочу предостеречь организации, которые просто пытаются быстро затыкать дыры. Например, раз и отключили USB-порты на рабочих станциях, два и начали фильтровать исходящую почту. Проблема в том, что к внутренним угрозам надо подходить комплексно. Т.е. техническими средствами взять под контроль все каналы утечки, а административными — ограничить доступ к тем, которые контролировать невозможно».

Таким образом, использование средств защиты от утечек всего за один год возросло практически в пять раз: с 2% до 10,5%. Можно сделать вывод, что начинают сбывать прогнозы, сделанные еще в исследовании «Внутренние ИТ-угрозы в России 2004». Так, около 80% респондентов в 2004 и 2005 годах планировали внедрять системы защиты от утечки в ближайшие два-три года. На основании этих данных аналитический центр InfoWatch еще три года назад прогнозировал взрывной рост рынка внутренней ИБ, что сейчас и происходит. Например, компания InfoWatch по результатам 2006 года увеличила число своих клиентов в 3 раза, а оборот в 2 раза. Более того, топ-менеджмент фирмы отмечает растущий интерес к системам защиты от утечек со стороны ведущих системных интеграторов и представителей, в том числе, среднего бизнеса.  

Тем не менее, уровень проникновения в 10,5% нельзя считать удовлетворительным на фоне той угрозы, которую представляют собой внутренние нарушители и утечки конфиденциальной информации. На протяжении двух лет аналитический центр InfoWatch опрашивал респондентов относительно препятствий на пути внедрения системы защиты от утечек. В результате подавляющее большинство организаций затруднялось ответить. Эксперты InfoWatch списывали это на психологическую неготовность российского бизнеса к борьбе с инсайдерами. Следует отметить, что вывод нашел свое подтверждение в исследовании этого года.

Препятствия на пути внедрения защиты от утечки данных

Источник: InfoWatch, 2006

Итак, наиболее сложным препятствием на пути внедрения защиты от утечки является психологическая неготовность (25,4%). За ней следуют бюджетные ограничения (20,6%), нехватка квалифицированного персонала (17,5%), отсутствие технологических решений (14,8%) и стандартов (12,2%).

По сравнению с результатами предыдущего года следует отметить ряд тенденций. Во-первых, в 2006 году только 5,7% затруднились ответить на вопрос. В 2005 году этот показатель был на уровне 18%. Так что за прошедшие 12 месяцев респонденты, как минимум, обратили свое внимание на проблему внутренней ИБ и изучили препятствия на пути реализации эффективных мер противодействия. Во-вторых, доля организаций, указавших на «отсутствие технологических решений», снизилась за 2006 год с 29% до 14,8%, а за последние два года вообще на 43,2% (с 58% до 14,8%). Оба этих достижения следует приписать на счет грамотному информированию бизнес-сообщества средствами массовой информации, а также эффективной просветительской политике поставщиков. 

Между тем, если говорить о нехватке персонала и бюджетных ограничениях, то за 2005 год существенных изменений в этих показателях не происходило. Таким образом, респонденты по-прежнему оказываются психологически не готовыми к внедрению эффективных решений для защиты от внутренних нарушителей. Тем не менее, уже достигнутый уровень проникновения в 10,5% являет собой положительную динамику. 

Наиболее эффективные пути защиты от утечки

Источник: InfoWatch, 2006

Наиболее эффективным средством являются комплексные информационные продукты (44,8%). Эта мера лидирует вот уже на протяжении трех лет, поэтому можно смело утверждать, что именно в этом направлении будет происходить наибольший рост рынка внутренней ИБ в ближайшие годы.

Далее следуют организационные меры (25,3%), тренинги персонала (21,6%) и ограничение связи с внешними  сетями (18,1%). Таким образом, можно рассчитывать, что после преодоления психологических препятствий и бюджетных ограничений (рис. 13) финансовые ресурсы, выделяемые на защиту от утечек, будут распределяться как раз в этих долях. Однако наибольшая часть бюджета придется на комплексные продукты на основе ИТ.

Этот вывод косвенно подтверждают результаты последнего вопроса, в котором аналитический центр InfoWatch предложил респондентам определить свои планы на ближайшие 2-3 года. Согласно распределению ответов, девять из десяти (89,9%) организаций планируют внедрить в ближайшие три года ту или иную систему защиту от утечек.

Планы по внедрению защиты от утечек на ближайшие 3 года

Источник: InfoWatch, 2006

Наибольшим вниманием респондентов пользуются комплексные решения (32,8%), средства мониторинга Интернет-трафика (23,9%) и системы мониторинга рабочих станций (18,6%). Замыкает цепочку лидеров система мониторинга электронной почты (14,6%). Ее некоторое запоздание может объясняться тем, что часть организаций уже использует фильтры исходящих сообщений.

За последние три года внутренние угрозы ИБ ничуть не утратили своей актуальности. По-прежнему наибольшую обеспокоенность респондентов вызывают кража конфиденциальной информации, халатность сотрудников, но теперь в этот ряд еще добавился информационный саботаж. Сравнение индексов обеспокоенности внутренними и внешними угрозами ИБ показывает, что именно инсайдерские риски превалируют в списке наиболее опасных угроз. Более того, наибольший рейтинг опасности приходится на утечку конфиденциальной информации. Как показало исследование, респонденты очень хорошо осведомлены о негативных последствиях этих инцидентов: прямых и косвенных финансовых убытках, долгосрочном ущербе для репутации, потере клиентов и трудности в привлечении новых.

Если говорить о предотвращении утечек, то положительная динамика налицо. Каждая десятая организация уже использует те или иные средства защиты, хотя о по-настоящему массовом внедрении можно говорить в перспективе только ближайших трех лет. Что же мешает бизнесу и госструктурам начать внедрять защиту от утечек прямо сейчас? Оказывается, респонденты психологически не готовы пойти на такой шаг. Правда, девять из десяти планируют установить системы внутренней ИБ уже в ближайшие 2-3 года. Таким образом, тенденция налицо, причем если в прошлом году можно было говорить о ее малых темпах, то сегодня темпы уже впечатляющие: за 2006 год число респондентов, внедривших продукты на основе ИТ, возросло на 500%.