Mail.ruПочтаМой МирОдноклассникиИгрыЗнакомстваНовостиПоискСмотриComboВсе проекты

Месть или глупость: почему сотрудники сливают информацию компаний

Умные хакеры, которые ломают хитрую защиту корпораций и правительств, чтобы спасти мир, погубить его или сорвать миллиардный куш. Примерно такую картину обычно рисует воображение, когда речь заходит об информационной безопасности и краже данных. На самом деле обычно все гораздо проще: в роли вольных или невольных нарушителей часто выступают не злодеи, а обычные служащие компаний

Как работодатели «вычисляют» виновных в утечке данных и чем это может грозить, по нашей просьбе рассказал Сергей Войнов, генеральный директор EveryTag.

По данным отчета Verizon Data Breach Investigations Report, последние четыре года количество ситуаций, когда инсайдеры сливают информацию, стабильно растет на 5% ежегодно. По результатам другого исследования, 90% компаний чувствуют свою уязвимость перед угрозой изнутри, а 53% за год сталкивались с одним или несколькими случаями, когда сотрудники нечаянно или специально делились с посторонними конфиденциальными данными. Что же толкает людей на эту скользкую дорожку?

Не стоит недооценивать глупость

Фото: Depositphotos

Как ни странно, очень часто данные сливают не ради денег, а по неосторожности, небрежности или из-за прямого нарушения правил обращения с важной информацией. Например, в канадском Калгари один товарищ, обратившись за технической помощью, умудрился случайно отправить в электронном письме личные данные 3700 сотрудников компании.

Insider Threat Report в числе самых распространенных причин случайных утечек называет письма с фишинговыми ссылками, ненадежные пароли, отсутствие блокировки на компьютерах и мобильных девайсах и открытые сети wi-fi. А это означает, что если вы когда-нибудь «на автомате» открывали письмо от незнакомого адресата, сообщали пароль от своего компьютера коллеге или отвечали из отпуска на срочный рабочий вопрос, подключившись к первой попавшейся открытой сети, то вы — потенциальный источник утечки данных.

В свое оправдание сотрудники говорят о недостаточности мер защиты и сложных условиях работы. В опросе Egress 55% служащих, сознательно нарушивших правила, заявили, что просто не могли действовать по-другому, так как у них не было инструментов для безопасного обмена данными. Из тех, кто поделился информацией случайно, почти половина (48%) сказали, что это произошло из-за спешки, 30% — что виновата стрессовая обстановка, а 29% сослались на усталость.

ENISA в своем обзоре тоже вступается за пользователей и отмечает, что специалисты по безопасности часто не учитывают психологию. Иногда они внедряют эффективные, но слишком сложные или времязатратные решения. И сотрудники, обнаружив, что следование правилам сказывается на их производительности (а значит, и зарплате), выбирают нарушать, но выдавать установленные KPI.

Впрочем, оправдания помогают не всегда, и виновному даже в случайной утечке информации может грозить как административное наказание в соответствии с внутренними правилами компании, так и штраф. Например, сотрудника ирландского дома престарелых обязали выплатить 15 000 фунтов стерлингов за халатность. А все потому, что он взял домой рабочий ноутбук с незашифрованными данными сотрудников и пациентов, и этот ноутбук был украден.

Работники часто даже не понимают, что действительно секретно

Фото: Depositphotos

Еще одна причина, по которой пользователи делятся конфиденциальной информацией, — они не знают о ее секретности или наивно уверены, что могут свободно распоряжаться теми данными, с которыми работают.

Только 40% сотрудников, опрошенных Egress, считают, что у компании есть исключительное право собственности на данные, а 29% респондентов и вовсе верят, что именно они владеют информацией, с которой работают. При этом 32% не прочь прихватить полезные сведения с собой на следующую работу. Любопытно, что старшее поколение относится к информации более ответственно, чем поколение миллениалов, выросших в эпоху свободного интернета. Среди респондентов старше 65 лет безусловное право компании на данные признали 51% опрошенных, от 16 до 24 лет — всего 33%.

Но незнание не освобождает от ответственности. А потому стоит следить за тем, что и кому мы рассказываем о своей работе — особенно если она связана с силовыми, судебными, банковскими и другими структурами, владеющими тайной информации. Иначе даже вполне невинные сведения в резюме могут стать основанием для обвинения в госизмене и реального срока.

70 тысяч рублей за слив данных

Фото: Depositphotos

У тех, кто «сливает» данные осознанно, конечно, преобладают корыстные мотивы. По данным Verizon, именно они «в ответе» за три четверти всех инсайдерских утечек 2018 года. Выгода не обязательно означает прямую продажу данных покупателю. Например, в опросе Egress 23% сотрудников признались, что унесли с собой данные при уходе на новую работу. О том, что старые клиенты помогут продвинуться на новом месте, наверное, думал и сотрудник Сбербанка в Ростовской области. При переходе в ВТБ он распечатал (копирование на флешку система заблокировала) и унес с собой клиентскую базу, а потом начал обзванивать клиентов, предлагая им сменить банк. Мужчине был назначен штраф и запрет на 1,5 года работать с банковской тайной.

Вообще, если в суде получается доказать, что злоумышленник извлек прибыль из кражи информации, наказания не избежать. Как, например, не удалось это сотруднику AXA Insurance, который фотографировал данные клиентов и пересылал их через WhatsApp служащим компании, занимающейся управлением страховыми претензиями. Он и трое его сообщников получили от 9 до 17 месяцев тюрьмы и испорченную репутацию.

Не стоит обижать сотрудников при увольнении — они могут отомстить

Фото: Depositphotos

Еще одна причина кражи данных — желание отомстить работодателю из-за возникшего на рабочем месте конфликта. В исследовании Egress этот мотив выбрали 13% сотрудников, которые сливали или удаляли важные данные.

Ярким примером здесь может стать история Ричарда Нила, одного из создателей и бывшего IT-директора Esselar — компании (и в этом особая ирония ситуации), которая занимается информационной безопасностью. Через полгода после своего ухода по причине конфликта Нил дождался удобного способа отомстить. Во время презентации, которую Esselar проводила для страховой компании Aviva, он взломал 900 мобильников работников Aviva и стер с них всю информацию. Результат — разорванные отношения между компаниями и потеря контракта, стоившего 80 тыс. фунтов стерлингов в год. Общие репутационные потери, в том числе от недополученной в будущем прибыли, бывшие коллеги Нила оценили в сумму более 500 тыс. фунтов стерлингов, а сам мститель получил 18 месяцев тюрьмы.

Как защитить свой бизнес

Фото: Depositphotos

Но какими бы ни были отдельные мотивы, глобальные причины инсайдерских утечек данных сводятся всего к двум вещам. Во-первых, у сотрудников есть возможность украсть информацию или стать причиной ее пропажи. Во-вторых, им кажется, что никто не узнает об их ошибках или махинациях — по крайней мере, не узнает настолько быстро, чтобы они не успели замести следы, перейти в другую компанию или и вовсе сбежать на Бали на деньги, полученные за продажу сведений. Однако здесь причастные к утечке данных сильно заблуждаются.

Растущее число происшествий и суммы, в которые они обходятся, заставляют компании выделять крупные средства на защиту данных от внутренних угроз. Так, по данным опроса VMware, 75% специалистов по информационной безопасности планирует увеличить бюджет на решения для безопасности организации. Что это значит для обычного сотрудника? Что подозрительные манипуляции с данными или случайные нарушения правил безопасности, скорее всего, будут замечены, и замечены быстро. В компании, которая хоть немного заботится о сохранности своих данных, весь персонал уже «под колпаком» у следящих и защитных программ. Вот лишь некоторые из них:

  • мониторинг активности пользователей (UAM), управление журналами событий и другие решения, позволяющие быть в курсе того, чем сотрудники занимаются в сети. Они позволяют не только отслеживать события в системе, засекая те, что могут нести угрозу, но и удаленно прекращать подозрительные операции, удалять зараженные файлы, «стучать» в СБ о нарушениях и т.д.
  • DLP-системы защиты от утечки данных. Эти помощники безостановочно анализируют передающуюся по корпоративной сети информацию: всю, что отправляется из системы, поступает в нее или пересылается пользователями друг другу. Программа проверяет — нет ли в документе слов, таблиц или еще чего-нибудь, что указывало бы на его секретность? А если есть — не пытаются ли с ним сделать что-нибудь запрещенное (отправить по неизвестному адресу, скопировать на внешний диск, распечатать и т.п.)? Обнаруженные подозрительные действия DLP заблокирует, а нарушителю придется объясняться со службой безопасности.

  • ILD-технология помогает найти тех, кто, решив обойти сетевые ловушки, ворует бумажные документы или «сливает» снимки экрана с конфиденциальными данными. Как это работает? Любой открываемый файл программа заменяет копией, в которой чуть-чуть изменен каждый элемент. Эти изменения незаметны глазу, но абсолютно уникальны (всего существует более 205 триллионов вариантов страницы А4). У каждой копии есть ключ с данными о том, кто и когда ею пользовался. Следовательно, если секретный документ (или даже его маленький фрагмент) вдруг «всплывает» где-то в неположенном месте, то система способна точно указать на сотрудника, который ответственен за утечку. Сейчас модули ILD начали встраивать в виртуальные комнаты данных, которые работают по принципу облачных хранилищ и позволяют безопасно обмениваться данными с удаленными сотрудниками. Если секретный документ из такой комнаты попадет в подозрительные руки, то программа также позволит отследить источник утечки и наказать виновного.

В 2019 году немало крупных компаний были втянуты в скандалы, связанные с утечкой информации. В их числе Сбербанк, РЖД, «Альфа-банк», ВТБ. После этих инцидентов бОльшее количество компаний использует сразу несколько инструментов защиты данных, успешно пресекая их утечки и находя виновных. А поэтому и шальная идея унести из компании конфиденциальные данные, и привычка беззаботно не принимать всерьез рекомендации службы безопасности сегодня могут обернуться действительно серьезными проблемами.


Это тоже интересно:

Во время загрузки произошла ошибка.
Покажите друзьям! Для этого выберите любимую соцсеть:
Обзоры новинок
Подробности о главных премьерах
Комментарии
7
Admin
В ответ на комментарий от ElectricStorm История переписки3
ElectricStorm
500к рублей в месяц за сохранения тайн я считаю достаточно. А за 20к вы сильно много хотите, поэтому что имеем, то имеем.
СсылкаПожаловаться
а жить при этом где ?? на крайнем севере где их даже потратить негде или в Лондоне ? опять таки вы считаете исходя из своих потребностей. а вот я считаю что этого мало ну или много. с тайнами работы можно доверять только людям с идеологической настроенностью и дело то не в деньгах а в отношении. соответственно капиталистическая модель идеологии не позволяет доверять кому бы то ни было так как можно все перекупить. есть еще азиатская модель идеологии вот там как раз можно говорить о доверии. хотя и последнюю уже вытесняет запад.
СсылкаПожаловаться
ElectricStorm
В ответ на комментарий от Admin История переписки2
Admin
Что в вашем понимании достойная зарплата ? 20Кр 20кдолларов или мильён тугриков ?? пока существует денежная единица вы никогда не сможете достойно оценить труд. если пересчитывать на потраченные коллории то я вас уверяю 20к рублей вам за глаза, а еще есть и психологические потребности и растраты их оценить невозможно. помните басню стрекоза и муравей ?? так вот сейчас стрекозы живут лучше чем муравьи а так как муравьев много а стрекоз мало то сбор получается большой. когда ситуация измениться тогда и будет что то достойное.
СсылкаПожаловаться
500к рублей в месяц за сохранения тайн я считаю достаточно. А за 20к вы сильно много хотите, поэтому что имеем, то имеем.
СсылкаПожаловаться
Admin
В ответ на комментарий от ElectricStorm
ElectricStorm
Сильно много хотят работодатели. И зарплату не платить и что бы сотрудник как с гостайной умел работать. Все вышеописанные способы не работают для защиты данных. Достаточно сфотографировать телефоном монитор и спокойно унести домой. Если телефоны запрещены, приносите флешку с линуксом, спокойно загружайтесь с неё и копируйте что хотите. Не забудьте вытащить перед этим lan кабель. А когда данных много, приносите второй жёсткий диск, подключаете его в системный блок, грузитесь с линукса и можете со всеми потрохами сделать копию. Да много чего можно сделать в общем в обход надзирателей. Единственный способ остановить слив, это достойная зарплата и отношение к сотрудникам, что бы сам человек держался за это место.
СсылкаПожаловаться
Что в вашем понимании достойная зарплата ? 20Кр 20кдолларов или мильён тугриков ?? пока существует денежная единица вы никогда не сможете достойно оценить труд. если пересчитывать на потраченные коллории то я вас уверяю 20к рублей вам за глаза, а еще есть и психологические потребности и растраты их оценить невозможно. помните басню стрекоза и муравей ?? так вот сейчас стрекозы живут лучше чем муравьи а так как муравьев много а стрекоз мало то сбор получается большой. когда ситуация измениться тогда и будет что то достойное.
СсылкаПожаловаться
ElectricStorm
Сильно много хотят работодатели. И зарплату не платить и что бы сотрудник как с гостайной умел работать. Все вышеописанные способы не работают для защиты данных. Достаточно сфотографировать телефоном монитор и спокойно унести домой. Если телефоны запрещены, приносите флешку с линуксом, спокойно загружайтесь с неё и копируйте что хотите. Не забудьте вытащить перед этим lan кабель. А когда данных много, приносите второй жёсткий диск, подключаете его в системный блок, грузитесь с линукса и можете со всеми потрохами сделать копию. Да много чего можно сделать в общем в обход надзирателей. Единственный способ остановить слив, это достойная зарплата и отношение к сотрудникам, что бы сам человек держался за это место.
СсылкаПожаловаться
КАСЫМ
В ответ на комментарий от Алексей
Алексей
это бизнес Как я собирал 90 000 рублей на игровой компьютер
СсылкаПожаловаться
И как собраль
СсылкаПожаловаться
дмитрий
так понятное дело-что за работа если нет халтуры...это неплохая прибавка к зарплате...левак...и нечего их во всем винить..кормить семьи как то надо и чтоб на Мальдивы хватало
СсылкаПожаловаться
Алексей
это бизнес Как я собирал 90 000 рублей на игровой компьютер
СсылкаПожаловаться
Чтобы оставить комментарий, вам нужно авторизоваться.
Вы не ввели текст комментария
Вы не ввели текст комментария
Обнаружили ошибку? Выделите ее и нажмите Ctrl+Enter.
Подпишитесь на нас