Повышенное внимание к внутренним угрозам информационной безопасности обусловлено тем, что инсайдерские риски превалируют над внешними угрозами в соотношении 6:4. Наибольшую опасность для банков представляют утечки персональных данных клиентов. Такой точки зрения придерживается абсолютное большинство респондентов проведенного исследования - 78%. При этом 54% респондентов опасаются потери клиентов, а 46% - ухудшения общественного мнения о банке из-за утечки. Внедрять систему выявления или предотвращения утечек в ближайшие 2-3 года собирается 91% опрошенных банков.

УТЕЧКА ИНФОРМАЦИИ ХУЖЕ, ЧЕМ НАПАДЕНИЕ ХАКЕРА

Отвечая на вопрос о самых опасных угрозах информационной безопасности, банки должны были выбрать только 3 варианта из предложенного списка (рис. 1). В результате на первом месте оказалась кража информации (64%). Индекс опасности этой угрозы в банковском секторе немного отстает от аналогичного показателя в среднем по всем отраслям экономики (на 1,8%). На втором месте оказалась халатность сотрудников - ее в качестве внутренней угрозы рассматривает 52% респондентов. Вирусные атаки (45%) и сбои в работе информационной системы (43%) заняли третье и четвертое места.

Для построения следующей диаграммы (рис. 2) в категорию внутренних угроз были отнесены халатность сотрудников, саботаж и финансовое мошенничество, а в категорию внешних угроз - вирусы, хакеры и спам. Отметим, что угрозы кражи информации, различные сбои и кражи оборудования специально не были отнесены ни к одной из групп, т.к. они могут происходить и в самом банке, и за его пределами, или вообще без вмешательства человека (например, аппаратные сбои).

Оказалось, что респонденты значительно больше обеспокоены внутренними угрозами, чем внешними. «Угроза со стороны служащих сегодня вызывает гораздо больше беспокойства, чем вирусы, хакеры, спам и т.д. Проблема в том, что от внутренних нарушителей нельзя защититься так же легко, как, например, от вредоносных программ. Внедрил антивирус - и все. А с внутренними угрозами так не получится. Это комплексная, но вполне решаемая проблема», - считает Юрий Лысенко, начальник Управления IТ-безопасности РосЕвроБанка.

Угроза со стороны недобросовестных служащих сегодня пугает банки больше, чем вирусы и хакеры

ПОТЕРЯ КОНФИДЕНЦИАЛЬНОСТИ СТРАШНЕЕ САБОТАЖА

Какова структура инсайдерских рисков? Респондентам предложили выбрать три наиболее опасные угрозы информационной безопасности, но только уже из списка внутренних угроз. Как показали результаты опроса (рис. 3), нарушение конфиденциальности информации (78%) считается самой опасной угрозой.

На втором и третьем местах утрата информации (61%) и сбой в работе информационной системы (41%). «В принципе, многие внутренние угрозы взаимосвязаны. Например, мошенничество подразумевает искажение информации в финансовых отчетах, а саботаж, в конечном счете, может реализоваться в нарушении конфиденциальности, краже оборудования, утрате данных. Однако сам факт, что утечки (нарушение конфиденциальности) набрали так много голосов, говорит о том, что к этой внутренней угрозе следует подходить наиболее внимательно», - убежден Василий Окулесский, начальник отдела защиты информации ОАО «Банк Москвы».

Банкам также предложили выделить самые плачевные последствия утечки конфиденциальной информации и персональных данных. При этом представитель каждой кредитной организации мог выбрать только два варианта из предложенного списка (рис. 4). Как оказалась, более всего респонденты озабочены возможностью потери клиентов (54%) и ухудшения имиджа банка (46%). На третьем месте - снижение конкурентоспособности (37%), которое является фактически следствием первых двух негативных факторов.

утечки конфиденциальной информации и персональных данных. При этом представитель каждой кредитной организации мог выбрать только два варианта из предложенного списка (рис. 4). Как оказалась, более всего респонденты озабочены возможностью потери клиентов (54%) и ухудшения имиджа банка (46%). На третьем месте - снижение конкурентоспособности (37%), которое является фактически следствием первых двух негативных факторов.

Отметим, что прямых финансовых убытков опасается лишь 28% опрошенных. Эта цифра отражает реальное положение дел, т.к. в России, в отличие от США и стран Евросоюза, ни одна организация не несет прямых потерь в случае утечки конфиденциальных данных. По этой же причине лишь малая доля респондентов опасается юридических издержек (2%) и преследования со стороны регуляторов рынка (23%).

ЕСЛИ ЗНАТЬ, «КАК», МОЖНО ДОГАДАТЬСЯ, «КТО»

На следующем этапе респондентам было предложено указать самые распространенные каналы утечки информации (рис. 5). Ответы на данный вопрос почти полностью повторяют результаты общеотраслевого исследования: на первом месте мобильные накопители (84%), электронная почта (78%) и Интернет (66%). Утечка информации, которая происходит с использованием печатающих устройств (распечатанные на принтерах документы), составляет 42%. Заметим, что утечка через Интернет-пейджеры (так называемые Instant Messenger - программы наподобие ICQ и подобные ей) - 34% голосов оказалась лишь на четвертом месте, хотя в среднем по экономике она устойчиво занимает третье место с 77%.

КАК ОБЕСПЕЧИТЬ ЗАЩИТУ

В банковском секторе значительно чаще, чем в других отраслях экономики, используются разнообразные ITпродукты и решения, обеспечивающие информационную безопасность. Кредитно-финансовый сектор является абсолютным рекордсменом по использованию защиты от утечки данных (13%). Среди наиболее популярных инструментов, которые используют российские банки (рис. 6), оказались антивирусы (99%), межсетевые экраны (82%) и контроль доступа (73%). Практически каждый восьмой банк использует то или иное средство для предотвращения кражи информации инсайдерами. В среднем по всем отраслям экономики этот показатель достигает лишь 10,5%.

«Использование различных систем для защиты от внутренних нарушителей действительно становится все более популярным. Однако я хочу предостеречь организации, которые просто пытаются быстро «затыкать дыры». Например, раз - и отключили USB-порты на рабочих станциях, два - и начали фильтровать исходящую почту. Проблема в том, что к внутренним угрозам надо подходить комплексно: техническими средствами взять под контроль все каналы утечки, а административными - ограничить доступ к тем, которые контролировать невозможно», - рассказывает Дмитрий Мананников, директор по IТ-безопасности СДМ-Банка.

Что именно мешает компаниям внедрять системы защиты от утечек? В предложенном ниже списке (рис. 7) каждый респондент мог выбрать только одну основную причину. Как оказалось, наибольший вес для российских банков имеет отсутствие стандартов (32%). Причем под стандартами понимаются не только нормативные или рекомендательные акты, но и единое видение системы внутренней безопасности. Так, многие респонденты отмечали, что сегодня еще не сформировался единый подход к решению проблемы внутренней информационной безопасности. В результате компаниям сложно планировать бюджеты и выбирать IT-продукты для внедрения. С этим обстоятельством связана еще одна проблема бюджетные ограничения (20%). Ведь, не имея единой стратегии по осуществлению мер внутренней безопасности, банк не может заранее распределять часть бюджета на решение проблемы инсайдеров.

Респондентам также предлагалось определить наиболее эффективные пути защиты от утечек (рис. 8). Речь идет о тех решениях, которые представляются организациям наиболее приемлемыми для решения проблемы внутренней информационной безопасности, но по ряду причин (см. выше), не используются на практике.

Самым современным средством защиты считается установка комплексных IT-решений (52%). Эта мера лидирует на протяжении 3 лет в общеотраслевом исследовании, поэтому можно утверждать, что именно в этом направлении ожидается наибольший рост рынка технологий для внутренней безопасности в ближайшие годы. Как полагают эксперты InfoWatch, наиболее эффективным способом минимизации инсайдерских рисков является комбинация различных способов. Правда, базовым все равно должно быть комплексное решение на основе IT, т.к. только с его помощью можно соблюдать информационную безопасность на рабочих местах.

Этот вывод полностью подтверждают ответы на последний вопрос исследования, в котором респонденты определяли свои планы на ближайшие 2-3 года. Так, 9 респондентов из 10 (91%) планируют внедрить в ближайшие 3 года ту или иную систему защиты от утечек (рис. 9), причем самые популярные - комплексные решения (34%).

ТРУДНОСТИ ПРЕОДОЛИМЫ

В заключение респонденты прокомментировали проблему внутренних нарушителей и высказали свое мнение по связанным с ней аспектам.

Представители банковского сектора снова выразили тревогу относительно отсутствия единого подхода к обеспечению внутренней безопасности. Отметим, что это мнение разделяют и предприятия других отраслей, например телекоммуникационной отрасли и ТЭК.

На практике отсутствие стандарта очень сильно затрудняет выбор конкретного решения, т.к. организация вынуждена выслушивать очень многих поставщиков, каждый из которых обладает какими-то своими плюсами. Кроме того, возникают естественные трудности с планированием бюджета.

Все респонденты едины во мнении: при построении системы внутренней информационной безопасности лучше всего не концентрировать всю функциональность на каком-то одном коммуникационном канале, а напротив - создавать расширяемую систему, потому что к ней легко добавить новый канал связи.