БЕЗОПАСНОСТЬ
До недавнего времени службы информационной безопасности с трудом выбивали у руководства средства на приобретение или модернизацию систем защиты. Необходимость этих дорогостоящих систем не искушенному в информационных технологиях начальнику представлялась сомнительной. Однако сегодня ситуация явно меняется: руководители сами ставят перед службой безопасности такие задачи, предоставляя свободу выбора в их решении. В большинстве случаев речь идет о предотвращении утечки конфиденциальной информации.
Каналы утечки
Для решения этой задачи следует проанализировать с точки зрения информационной безопасности возможные каналы утечки, их три:
- на отчуждаемых носителях информации;
- в нелегальных печатных копиях;
- через каналы ИС.
Для закрытия первых двух каналов утечки разработано немало средств, и в некоторых организациях они внедрены. Эти средства защиты реализуют функцию “контроля потоков”, запрещающую распечатку или копирование конфиденциального документа без ведома администратора безопасности. (В качестве примера можно назвать отечественную разработку Secret Net.) Кроме того, здесь необходима координация усилий подразделений информационной безопасности и охраны.
С проблемой утечки конфиденциальной информации через каналы ИС сто’ит разобраться подробнее.
Утечки из информационной системы
Причиной подобной утечки могут стать действия сотрудника - злонамеренные или ошибочные, либо атаки вирусов и вредоносных программных агентов, либо использование уязвимостей имеющегося ПО.
Как пример непреднамеренной ошибки показательна история подготовки визита принца Чарльза Уэльского в Польшу в начале прошедшего лета. Электронное письмо, адресованное сотруднику протокольного отдела и содержащее конфиденциальные данные о ходе предстоящего визита, нечаянно было отправлено другому адресату, некому бизнесмену. В письме говорилось, на каких автомобилях будет передвигаться принц и где он остановится.
Пример вирусной атаки, повлекшей утечки информации, - эпидемия вируса Kles.H, вспыхнувшая 17 апреля 2002 г. Этот вирус сканировал диски и прикреплял к письмам файлы документов.
Говоря об уязвимостях ПО, можно вспомнить обнаруженную 4 июня 2002 г. дыру в защите браузера Opera версий 6.01 и 6.02. Она позволяла дистанционно прочитать любой файл на диске. К чести разработчиков, соответствующие исправления появились практически мгновенно.
Существуют и более изощренные методы похищения информации: некоторые сайты предлагают посетителям зарегистрироваться, поучаствовать в опросе общественного мнения или заполнить какое-либо поле. Вводимые данные отправляются на сервер посредством так называемых CGI-форм. В них можно создать скрытые поля, куда будут вставляться файлы с жесткого диска.
Не стоит забывать, что около трети почтовых ящиков имеют Web-интерфейс, что позволяет работать с электронной почтой минуя корпоративные системы.
Эти примеры показывают, что в поисках утечки конфиденциальной информации необходимо контролировать содержимое исходящего из ИС трафика.
Средства контроля содержимого
В деле проверки исходящего трафика помогут средства контроля содержимого. Из всего спектра возможностей таких систем для решения данной задачи потребуются четыре функции:
- декомпозиция анализируемого трафика;
- поддержка различных форматов представления данных;
- поиск в трафике ключевых слов и выражений;
- реагирование на факты обнаружения утечки конфиденциальной информации.
Рассмотрим их подробнее.
Декомпозиция трафика означает, что на наличие ключевых слов и выражений анализируются не только служебные поля MIME-протоколов, но и содержание почтовых вложений и полей CGI-форм. Например: в письме есть вложение - файл архива, в нем - документ MS Word, в нем - таблица MS Excel, в ней - строка, в ней - ячейка, в ней - текст. То, что вложение заархивировано, не влияет ни на процесс декомпозиции, ни на результат анализа.
Поддержка различных форматов представления данных означает, что тип передаваемых файлов определяется не только по их расширению, но и по структуре.
Поиск ключевых слов и выражений необходим для сравнения шаблонов из заданного словаря с содержанием письма или CGI-формы. При этом язык и кодировка текста никак не влияют на результат анализа - ведь одно и то же слово на одном языке в различных кодировках представляется одинаковыми символами. Различаются лишь позиции этих символов в кодировочной таблице.
Реагирование на обнаруженную утечку конфиденциальной информации предполагает блокировку трафика и оповещение заинтересованных лиц о факте утечки конфиденциальной информации с указанием ее источника.
Правовые аспекты применения средств инструментального контроля
Средства контроля содержимого ставят вопрос о правомерности их применения.
В Уголовном кодексе РФ имеется очень интересная 138-я статья, в ней говорится, что “нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений граждан”, к которым относится и электронная почта, совершенное с использованием своего служебного положения, наказывается:
- штрафом от 100 до 300 минимальных размеров оплаты труда или
- лишением права занимать определенную должность на срок от двух до пяти лет или
- арестом на срок от двух до четырех месяцев.
Обойти опасность уголовного преследования за использование системы контроля содержимого (ведь в трафике могут быть и личные данные сотрудников) руководителю и администратору довольно просто. В комментарии к УК говорится, что “нарушение тайны переписки+ заключается в ознакомлении с ее содержанием БЕЗ СОГЛАСИЯ лица, которому эта информация ПРИНАДЛЕЖИТ”.
Кроме того, статья 57 Трудового кодекса РФ гласит, что “в трудовом договоре могут предусматриваться условия+ о неразглашении охраняемой законом тайны (государственной, служебной, коммерческой и иной)”.
Из чего следует, что руководству организации, если оно не желает подпасть под действие 138-й статьи УК, необходимо:
- разработать и утвердить список сведений, составляющих конфиденциальную информацию, и довести его до каждого сотрудника;
- получить от сотрудника письменное согласие с тем, что руководство или уполномоченное им лицо (например, системный администратор) будет знакомиться с любыми данными, обрабатываемыми в корпоративной ИС.
Не следует также забывать, что статья 81 Трудового кодекса РФ предусматривает возможность расторжения трудового договора по инициативе работодателя в случаях однократного грубого нарушения работником своих обязанностей, в частности - разглашения охраняемой законом тайны (государственной, коммерческой, служебной и иной), ставшей ему известной в связи с исполнением им трудовых обязанностей.
С автором можно связаться по адресу: saveliev@infosec.ru.
