IT-безопасность: стоит ли рисковать корпорацией?

А сейчас вы — президент Соединенных Штатов Америки. Усаживайтесь поудобнее и ощутите вашу власть. Теперь приготовьтесь выслушать плохие новости. Министр обороны сообщает вам, что сегодня в 4.20 утра террорист напал на автоколонну, направлявшуюся в посольство США в Саудовской Аравии, Выживших нет. На данный момент никто не знает, как произошел инцидент.

Через несколько дней вы узнаете, как это случилось. По данным вашего министра обороны, брешь в безопасности, облегчившая нападение, была проделана единственным сообщением, посланным по электронной почте. Некий капрал Лен Джонсон, морской пехотинец, служивший в охране посольства в Саудовской Аравии, использовал электронную почту для связи с домом. Вечером, перед нападением, он написал своей жене: «Завтра в 4.00 приезжают командир корпуса и сенатор. Мне придется рано встать, чтобы сопровождать их из аэропорта в посольство, поэтому я не смогу позвонить тебе утром, как мы договаривались. Я сообщу тебе позднее по электронной почте, когда ждать моего звонка. Обнимаю и целую детишек… Лен».

К несчастью для друзей и семьи Лена и для других людей, находившихся в этой колонне, его электронное письмо не было зашифровано. Министр обороны твердо убежден, что письмо капрала Джонсона своей жене было перехвачено террористом.

Разве может показаться странным, что капрал посылает домой жене незашифрованное электронное письмо. Повсеместно высшие руководители компаний посылают письма по электронной почте по самым секретным вопросам — о предстоящих биржевых сделках, планах выпуска новых продуктов, слияниях, приобретениях и т д. Нужно ли ожидать от простого солдата, что он увидит риск там, где его должны увидеть, но не делают этого высшие руководители компаний? Рассмотрим следующий случай…

Есть ли у электронной почты конверт?

Моя подруга Мишель Шейверс была подающим большие надежды сотрудником в NetDynamics, большой компании по сетевым технологиям в Силиконовой долине. Около года назад Мишель позвонила мне, чтобы поговорить о проблеме, которая у нее возникла с одним из ее коллег.

Так как коллега, о котором идет речь, был руководителем высокого ранга в ее компании, то она никогда не сообщала мне его имени. (Мы назовем его мистер Икс.) Из разговора с ней я поняла, что каждый раз, когда она выступала на совещаниях сотрудников компании, мистер Икс оказывался впереди нее на два шага. Он отвечал на все вопросы так продуманно, что его ответы звучали, как заранее подготовленная речь. Она была убеждена, что он заранее точно знал, что она собиралась сказать.

Мое первое впечатление состояло из трех частей: 1) мистер Икс определенно не любил Мишель; 2) мистер Икс, возможно, хотел прибрать к рукам подразделение Мишель; или 3) мистер Икс пытался (по каким-либо причинам) выжить Мишель из компании. Мне же, наоборот, Мишель нравилась. Она умела добиваться результатов в своей работе и не могла допустить, чтобы кто-то стоял у нее на пути. Поэтому, когда она обратилась ко мне за помощью, я с большим желанием протянула ей свою руку.

Возможно, что в глубине моей души таилось нетерпение запустить поглубже руку в грязные делишки мистера Икс. Но как профессионал по вопросам безопасности я знала, что такая информация мне действительно не нужна.

Мишель спросила: «Линда, этот парень очень подкован технически и общается со многими специалистами в нашей области. Возможно ли такое, что он читает мою электронную почту?»

Хороший вопрос. В ответ я задала Мишель три простых вопроса: «Ты шифруешь свои электронные письма?» — «Нет». «Мистер Икс работает в твоем здании?» — «Да». «Он работает на том же этаже, что и ты?» — «Да».

Я задала последние два вопроса, чтобы выяснить, в одной ли сети с Мишель находится мистер Икс. Я знала, что если Мишель ответит «Да» на любой из этих двух вопросов, то для мистера Икс не составит труда читать ее электронные письма.

Я объяснила ей, что если она не шифрует свою электронную почту, то каждый сможет ее прочитать. Я также пообещала ей, что загляну к ней в компанию и продемонстрирую, как легко это можно сделать.

Мишель очень заинтересовалась такой демонстрацией. Чтение чьей-либо электронной почты являлось явным нарушением политики компании. (Возможно, такая политика есть и в вашей компании.) Оказалось кстати, что Мишель имела полномочия на запуск любых инструментов и тестов в ее сети на этой неделе, так как ее инженеры проводили тестирование нового, только что разработанного ими программного обеспечения. Нельзя было выбрать лучшего времени для моей демонстрации.

Доступ к персональной информации получен

Для проведения демонстрации я встретилась с Мишель позднее в тот же день. Задача оказалась несложной. За 30 секунд моего нахождения за ее клавиатурой я «скачала» из Интернета инструмент «снупинга».[53] Затем я ввела с клавиатуры команду, запускающую выполнение «скачанной» программы, и все дела! Появилось первое почтовое сообщение. Как только челюсть Мишель отвисла до пола от изумления, вызванного тем, как просто это было сделано, я отвернулась от экрана. Я дала ей понять, что за все годы моего занятия аудитом безопасности я не прочитала ни строчки из закрытой персональной информации.

Когда я провожу аудит безопасности, то просматриваю только имена важных файлов и каталогов при проверке риска, но никогда не заглядываю в содержимое файлов.

Мишель не могла оторвать от экрана глаз. «Здорово! Это же письмо для президента компании!»

Я поняла, что достигла своей цели. Я стерла результаты «снупинга» и сказала: «Теперь ты знаешь, почему ваша компания должна использовать шифрование. Я хочу оставить этот инструмент в вашей системе как раз на тот случай, если тебе нужно будет показать президенту компании, как легко можно прочитать его электронную почту».

Конечно, это не помогло полностью решить проблемы Мишель с мистером Икс. Я показала Мишель, как легко мог бы мистер Икс читать ее электронную почту, но у нее не появилось доказательств того, что он действительно делал это. Разумеется, на самом деле не было так уж важно получать такие доказательства. Мистер Икс имел такую власть, что представление доказательств того, что он читает ее электронную почту, могло бы разрушить карьеру не ему, а Мишель.

Но, с другой стороны, то, что Мишель теперь знала об уязвимости своей почты, позволило ей понять, почему для ее компании так важно предусмотреть в бюджете на безопасность расходы на шифрование электронной почты. И пока эта технология не будет введена, Мишель знала, что ей следует ограничивать содержание своей почты.

Мишель и я никогда больше не возвращались к этому инциденту с электронной почтой. Но мне известно, что в настоящее время компания Мишель усердно работает над внедрением у себя программ шифрования электронной почты.

Резюме: Вы имеете право отказаться от вашего права на тайну переписки

В отличие от других случаев, описываемых в данной книге, в этой истории не проводился аудит. Однако в этом случае был обнаружен существенный риск в области технологии, на которую мы стали полагаться почти ежедневно.

Предприниматели, подобные Мишель, подвергают риску свою информацию и карьеру почти ежедневно, не сознавая этого. Мы полагаем, что если мы сами не читаем чужой электронной почты (и, возможно, не знаем, как это делается), то этого никто не делает. Это плохое предположение.

Не составляет особого труда не только сам просмотр почты, но и получение инструментов «снупинга» из Интернета. И если вы будете ожидать, что в результате работы такого инструмента экран вашего компьютера будет заполняться битами и байтами обрывков сообщений, то вас удивит, как «отполировано» выглядят украденные письма. Только взгляните на пример, приведенный на рисунке 10.1.

Теперь представьте себе, что электронное письмо послано вами, а не Мишель. Как вы будете себя чувствовать, зная, что кто-то еще читает вашу почту? Почувствуете ли вы, что ваше право на тайну переписки нарушено? Несомненно! Являетесь ли вы простым гражданином, посылающим личное письмо вашей любимой девушке, планируете ли вы новую стратегию компании или вы — капрал морской пехоты, говорящий «привет!» своим детям, у вас в любом случае имеется неотъемлемое право на тайну переписки.

Но если вы посылаете электронное письмо, не шифруя его, то вы непроизвольно отказываетесь от этого права. Я всегда говорю людям: «Если вы не шифруете свою электронную почту, то не помещайте в нее то, что вам не хотелось бы увидеть на первой странице The Wall Street Journal».

Рисунок 10.12[54]

Мы пойдем другой дорогой…

Заключительные слова

Ежедневно миллионы предпринимателей вкладывают свои надежды и мечты в почтовые послания, которые затем отправляют в плавание по Интернету. Если они делают это, не применяя шифрования, то, следовательно, забывают о всякой осторожности.

Применение технологий шифрования для ваших деловых сообщений по электронной почте является одной из самых легких и самых важных мер предосторожности для сохранения в тайне ваших секретных планов.

Наконец, не дайте себя застать врасплох, не обеспечив несколько уровней защиты от угроз. Электронная почта предоставляет противнику легкий способ засылки вирусов, «червей», «троянских коней» в вашу компанию. Для вредоносных программ существует много различных способов входа в вашу корпоративную сеть, и вам нужно оценивать вашу способность по предотвращению и защите как от известных угроз, так и от неизвестных.