«Кадры решают все» – из речи генерального секретаря ВКП(б) И.В. Сталина, с которой он выступил 4 мая 1935 года в Кремлевском дворце перед выпускниками военных академий. Там же он произнес другую известную фразу: «Самый ценный капитал – люди». 

В большинстве крупных организаций существует практика проверки нани-маемого персонала у предыдущих работодателей. Но, как показывает опыт, этого категорически недостаточно. Наверняка все сталкивались с ситуацией, когда работник, увольняясь, забирает с собой всю информацию, к которой имел доступ. Какова будет цена похищенной информации? А если информация не просто покинула внутренний периметр, а еще была модифицирована или уничтожена? Какое количество денег потеряет организация при таком развитии событий? 

По статистике 80% угроз информационной безопасности исходят как раз от работников. Необходимо понимать, что внутренним злоумышленником может стать практически любой сотрудник. Его мотивация не всегда является очевидной, что существенно затрудняет его обнаружение. Хищение информации может произойти по разным причинам, но условно их можно разделить на две большие группы: те, кто совершает хищение по неосторожности или некомпетентности, и те, кто осуществляет это из корыстных или злонамеренных побуждений. И методы предотвращения подобных инцидентов для этих групп будут разниться.

В случае, когда информация «утекает» или модифицируется по причине технической некомпетентности персонала, значительного количества инцидентов можно избежать уже на стадии разработки нормативной базы. Причем нормативную базу необходимо не только разработать, но и довести до всего персонала, а не спрятать, как у нас любят, в закромах документации подразделения ИБ. 

Каждый сотрудник организации должен знать, что относится к защищаемой информации и какое наказание последует за совершенным «проступком». При работе с персоналом ни в коем случае нельзя забывать о «повышении квалификации сотрудников в области информационной безопасности». Под этим термином как правило скрываются различные тренинги и семинары по обеспечению безопасности: повышение осведомленности об актуальных угрозах, мерах и способах реализации атак и средствах защиты и т.п. Эти занятия позволяют существенно сократить риски утечки информации.

Так же не стоит забывать о ролевой модели доступа к информации. Зачастую можно услышать, что уходящему топ-менеджеру ничто не может помешать унести с собой информацию. К сожалению, такое происходит в случае, когда информационная безопасность воспринимается, как необходимый атрибут бизнеса. Но, если руководство банка воспринимает данное направление всерьез, тогда картина становится абсолютно противоположенной: сразу удается объяснить, что топ-менеджер – такой же «наемник», как и все остальные сотрудники, и что на него так же распространяются правила, касающиеся доступа к информации в соответствии с его полномочиями. 

Если мы говорим о целенаправленном хищении или модернизации информации, то описанные выше меры вряд ли остановят нарушителя. Здесь на помощь подразделению информационной безопасности придут продукты, попадающие под категорию DLP (Data Loss Prevention). Но без четкого понимания того, какую информацию необходимо защищать, какая является критичной, весь набор DLP-решений становится бесполезным. Такими же бесполезными эти решения станут в случае, если ответственное за их эксплуатацию подразделение не обладает достаточной квалификацией, как в области применения, так и в области оценки информационных активов. Можно «вооружиться до зубов» самыми дорогими и навороченными системами, но не получить от их обладания никакого ощутимого эффекта. Современные системы являются более требовательными к эксплуатирующему их персоналу. А в случае с внутренними угрозами мало быть просто пользователем настроенной DLP: система должна постоянно модернизироваться из-за новых бизнес-процессов, новых продуктов, услуг и т.д. Да и сотрудник, который будет отвечать за ее настройку должен быть не только технически грамотным, но и обладать некоторыми навыками в аналитике и даже в психологии.

Как и все процессы, касающиеся безопасности, к вопросу внутренней угрозы нельзя подходить формально. Невозможно обойтись только техническими, организационными или юридическими мерами. Должно быть понимание того, что защита информации – это прежде всего, организационный процесс, а потом уже технический.