Алекс Экслер - Омерт@. Учебник по информационной безопасности для больших боссов
Ещё пример. Другой мой знакомый на свою частную веб-страничку, на которой вообще не бывала ни одна живая душа, выложил некий документ – только для того, чтобы его прочитал один его деловой партнер. Знакомый кинул партнеру ссылку на этот документ в Сети, тот текст прочитал. После этого текст с сайта был убран.
Через пару месяцев выяснилось, что текст был проиндексирован поисковой системой, и на сохранённый в поисковике кусок этой страницы попал их конкурент, которого очень заинтересовали определенные словосочетания. Знакомый таким образом поимел весьма большие неприятности, потому что показывать этот документ конкуренту нельзя было ни под каким видом. И таких случаев можно рассказать десятки и сотни.
Вывод. Конфиденциальные документы нельзя выкладывать в Сеть ни под каким видом! Даже совсем ненадолго. Даже на совсем не посещаемые странички. Потому что есть такая вещь как поиск. Она нам помогает, но она нас и губит. Эта зараза может зацепить какой-то текст и сохранить его у себя (или дать ссылку на этот текст, если он до сих пор валяется где-то в Сети), а потом посторонний по ключевым словам найдет то, что он совершенно не должен был найти.
Заключение
Разумеется, можно было ещё долго говорить о различных опасностях, уязвимостях и о том, как пытаться это всё предотвратить. Но, как известно, нельзя объять необъятное, поэтому пора уже остановиться и написать какое-то заключение.
Ещё раз подчеркиваю, главная цель этой книги – заставить тебя понять, что же, чёрт возьми, происходит вокруг. Потому что любые крайности – полная беспечность и глубокая паранойя – очень вредны. Нельзя, как дон Корлеоне, полностью отказываться от какого-то очень важного и нужного средства коммуникации – это не для двадцать первого века и не для твоего бизнеса. Тем более что у тебя есть фирма, есть офис, и если не проколешься ты, то с лёгкостью могут проколоться твои сотрудники.
Поэтому нужно не отрицать, а просто принимать разумные меры предосторожности. Знать о том, какие меры бывают и каким образом использовать те или иные методы. Предупреждён – значит, вооружен. А счастье, как говаривал сэр Пол Маккартни, - это тёплое ружьё.
Напоследок мне бы хотелось свести воедино большинство наиболее важных и ценных (как я надеюсь) советов и рекомендаций этой книги. Ну просто чтобы можно было при необходимости бросить на них взгляд и вспомнить о том, что говорилось на протяжении почти двухсот страниц…
Безопасностью информации в офисе должен заниматься специалист. Под этим термином понимается не студент, который за $200 в месяц не только не работает, но и еще немножечко вредит, а действительно специалист-профессионал, чьи услуги стоят немаленьких денег. Но оно того стоит!
Специалист по безопасности может одновременно быть главным IT-специалистом офиса и сетевым администратором, потому что эти профессии довольно близки. Однако такой универсал будет стоить хороших денег.
Очень серьёзные эксперты занимались попытками решения вопроса «Как защитить информацию от админа». Более или менее эффективного решения практически не нашлось. Это означает, что админ будет в курсе практически всех секретов фирмы. Так что подумай, стоит ли доверять эти вещи непонятно какому «специалисту»…
К сожалению, я не могу всеобъемлюще ответить на твой вопрос «Каким должен быть мой админ» в терминах, которые тебе будут понятны. Поэтому придется ограничиться достаточно невнятными фразами: «Желательно, чтобы его тебе порекомендовали знающие люди» и «Пригласи эксперта-консультанта, чтобы он оценил уровень знаний твоего админа». По-другому, к сожалению, не получается.
Краеугольный камень в вопросе безопасности информации в офисе – грамотное проектирование локальной сети.
Все данные в офисе должны храниться на сервере, а не на локальных компьютерах пользователей.
Сервер должен находиться в отдельной комнате, снабженной действительно серьёзной защитой от вторжения.
Оборудование сервера должно отвечать повышенным требованиям к надежности, поэтому обязательно использование RAID-контроллера и соответствующего количества жестких дисков.
Важная информация на сервере должна храниться в зашифрованном виде даже во время работы. (Это называется «прозрачное» шифрование.)
У админа (ответственного лица) должны быть специальные коды для доступа к зашифрованному диску на случай вторжения, которые позволяют или мгновенно закрыть данные навсегда, или открыть на небольшое время (чтобы обезопасить админа), а потом тоже закрыть навсегда.
Не реже раза в сутки все данные фирмы должны сбрасываться в архивы, шифроваться (в обязательном порядке!) и записываться на внешние носители – стримеры, магнитооптику, flash-drive, компакт-диски или DVD (в зависимости от требуемых объёмов). Причем в автоматическом режиме - через специальную программу, которая избавляет персонал от головной боли, обеспечивает регулярность и минимизирует человеческое участие.
В офисе обязательно должна быть серьёзная защита данных на случай сбоя в электропитании. (Мощный ИБП для сервера – просто необходим!)
При использовании парольной защиты пароль должен быть таким, чтобы его крайне сложно было подобрать.
Пароли нельзя записывать нигде и ни под каким видом.
Сервер и компьютеры пользователей обязательно должны быть защищены брандмауэром, антивирусной и антитроянской системой.
Фирме необходим собственный почтовый сервер с резервным интернетовским каналом.
Электронная почта должна быть защищена от спама, вирусов и троянов.
Пользователь должен сам предпринимать определенные шаги против спама, скама и троянов.
Важная переписка электронной почты должна все время шифроваться с помощью PGP – то есть письма нужно отправлять зашифрованными. Убеди партнёров сделать то же с их стороны.
Важная электронная почта должна храниться зашифрованной.
Корпоративная переписка и корпоративные документцы – собственность компании. Ты не только можешь хранить и перлюстрировать корпоративную электронную почту – ты должен это делать во имя безопасности!
Необходимо вести и хранить отчёты действий сотрудников на их локальных компьютерах.
Ни один сотрудник не имеет права использовать собственные программы шифрования с собственными ключами. Если есть необходимость локального шифрования, поручи администратору создать контролируемые им защищаемые диски. Любая внутриофисная информация должна быть доступна ответственному лицу (ответственным лицам).
В офисе должны хорошо знать, что именно делать каждому в момент наступления времени Ч.
Бумаги – огромная дыра в безопасности. Необходимо все бумаги переводить в электронную форму (с помощью одновременного распознавания), чтобы, во-первых, можно было осуществлять быстрый поиск нужных документов, а во-вторых, защитить все документы от посторонних.
Те документы, которые обязательно нужно хранить в бумажном виде, следует прятать в надёжный сейф, а работать с электронными копиями этих документов.
Электронным банкингом вполне можно пользоваться, если банк поддерживает действительно защищённый вход.
Если использовать пластиковые карты для оплаты товаров и услуг через Интернет, то нужно придерживаться довольно строгих правил безопасности. Но лучше вместо пластика использовать электронные кошельки.
Любая информация, попавшая в Интернет, остается там очень и очень надолго и через поисковую систему может быть доступной любым желающим.
Вот, пожалуй, и всё. Надеюсь, ты не стал параноиком? Однако следует помнить, что параноик – это человек, который боится чего-то совершенно беспричинно. Некоторая же паранойя в области защиты информации – не болезнь, а просто разумная мера предосторожности. Крайне важная мера предосторожности!
