Журнал "Системы Безопасности" № 6‘2022

Ц И Ф Р О В А Я Т Р А Н С Ф О Р М А Ц И Я , A I , I o T 125 Невидимый цифровой периметр Рассмотрим другой пример масштаба рисков цифрового мира. Физический периметр офиса вашей организации защищать неслож- но. У вас есть определенное количество точек прохода и почти наверняка есть охранник или вахтер – специальный человек, который сле- дит за проходом людей, выносом и вносом предметов. Конечно, есть регламенты, прика- зы, инструкции, журналы. Все просто и понят- но, можно пощупать и проверить. А что на цифровом периметре? Как информа- ция попадает в вашу организацию? Через сеть и компьютеры, через телефоны и планшеты сотрудников, флешки и внешние диски сотрудников и контрагентов. К вам пришли на переговоры и презентацию партнеры и попросили пароль от офисного Wi-Fi. Часть сотрудников сидит на удаленке и работает с домашнего компьютера, на котором вече- ром сын и его одноклассники играют в игры, добытые на торрентах с пиратских ресурсов. Нет, вы не такой? Вы не пускаете детей за рабочий компьютер, а просто сидите в одной домашней сети Wi-Fi. И заходите из этой сети в корпоративную. Вместе со всеми другими домашними умными устройствами, телефо- нами гостей, которые у вас дома подключа- лись к Wi-Fi. Сформировать и осознать пери- метр, цифровую границу в таком случае про- сто невозможно. Каждый сотрудник, его супруг и одноклассники их ребенка становят- ся сторожами на проходной вашего цифрово- го периметра, внутри которого хранится информация на миллионы рублей и тысячи человеко-часов – пусть она даже не нужна никому, кроме вашей организации. Но это ценность, которой можно лишиться разом из- за цепочки нелепых событий. Что мы имеем? Невидимый и сложный циф- ровой мир, бесценные результаты работы в нем, запредельный уровень плохо контро- лируемых рисков, единицы специалистов по информационной безопасности с космиче- скими денежными запросами, отсутствие вбитых в головы людей правил элементарной цифровой гигиены. Звучит очень опасно и даже драматически безвыходно. Что мы можем с этим сделать? Как специали- сты по обычной безопасности могут повлиять на ситуацию, улучшить ее? Пора снизить накал ужаса и паники. Решение есть Что стоит предпринять? Службам безопасно- сти и старшему руководящему составу необходимо помочь своим айтишникам прежде всего административно и на уровне процедур и дисциплины. Чтобы понять, кто из ваших сотрудников вообще знаком с понятия- ми безопасности и дисциплины, часто доста- точно посмотреть те отчеты, которые подает организация в военкомат. Кто служил, кто обучался, кто имеет звание, кто в принципе хотя бы соприкасался с настоящей дисципли- ной. Но многим придется сначала объяснить неразрывную связь между дисциплиной и безопасностью. Сотрудники служб безопас- ности могут прописать понятные процедуры и контролировать эти процессы. Важно не отдавать это полностью на откуп единствен- ному приходящему сисадмину – "сыну мами- ной подруги". Необходимо навести порядок с журналами и время от времени проверять, не создавая при этом чудовищное давление, как привыкли сотрудники безопасности. Айтишникам и так есть чем заняться, нужно помочь именно выстроить дисциплину, выйти на простые и понятные регламенты – на уро- вень "простой гигиены", чтобы ее соблюдение стало настолько же привычным, как помыть руки. И постепенно "цифровой фронт" ото- двинется. В мире масса сложных вещей, понятных толь- ко узким специалистам. В информационной безопасности разбирается примерно тот же 1% людей, они-то как раз и обновляют свои домашние интернет-устройства. Но сотрудни- кам безопасности нет необходимости знать непонятные термины. Их знают айтишники – и нужно помочь им с организацией, дисцип- линой и распорядком. Нужно попросить айтишников объяснить, какой у них план вос- становления в случае сбоев или атаки. Это должен быть абсолютно понятный план: теле- фон такой-то, встали, отключили здесь, отключили там, сходили туда… В реальности почти ни у кого толком проработанных пла- нов нет, а тренировок по ним тем более. Все сочиняется на ходу, а необходимо иметь заго- товки. Нужно убедиться, что резервный мас- сив данных размещен разными способами в трех местах и в двух разных физических локациях, что есть копии. Тут уместен прямой контроль: "Давайте посчитаем", "Давайте про- верим по графику, когда все обновляли". Для этого не нужно понимать все, что пишут в заумных статьях программисты в очках с толстыми линзами. Но нужно понимать, что существует порядок и дисциплина. Вот то, что можно сделать в общем случае в области информационной безопасности, даже не при- влекая специалистов. Особенности защиты музея Если говорить о специфике безопасности в музейном мире, то она мало отличается от безопасности в любой конторе. За тем лишь исключением, что в силу некоммерческого профиля деятельности и скромных бюджетов эти организации не представляют интереса для тех, кто ворует информацию или нападает на компании с целью шантажа, угрожая "циф- ровым пожаром". Музеи скорее подвержены эпидемиям компьютерных вирусов, которые распространяются волнами во всем мире, или инцидентам из-за действий конкретных сотрудников. Да, есть уникальные данные музейных учетных систем, фотографии и опи- сания, черновики еще неизданных каталогов музейных коллекций. Есть системы автомати- зации инженерного оборудования, которое обеспечивает температурно-влажностный режим при хранении фондов. Есть чувстви- тельная информация для служебного пользо- вания. Есть охраняемые законом персональ- ные данные, требования к обеспечению сохранности которых достойны отдельной строчки в штатном расписании и бюджете (но у вас ведь не так?). Не стоит забывать о проблеме кадрового голода и непривлекательном уровне зарплат в музейном мире. Специалистов по информа- ционной безопасности с огромным удоволь- ствием вычищают с рынка труда богатые ком- мерческие и специализированные ИТ-компа- нии. Существует проблема баланса между удобством пользования информационными системами и стоимостью систем безопасности и резервирования. Все, как и в мире обычной физической безопасности, только в цифро- вом слое вселенной – невидимом, как микро- бы и радиация, горючем, как бензин, доро- гом, как само время. Пора соблюдать цифровую гигиену В заключение вернемся к простым аналогиям. Хозяйка на кухне использует две доски – для овощей и для сырого мяса. В банку с варень- ем лезут чистой ложкой. Люди избегают тем- ных переулков, знают про защищенный секс, ненавидят звонки из так называемой службы безопасности банка. Вот так же внимательно необходимо следить за тем, куда вы идете в Интернете, на какие ссылки нажимаете, что и кому сообщаете в сети. В технологическую сеть автоматики и СКУД нужно заходить для настройки с отдельных заведомо чистых ком- пьютеров, сети – сегментировать, пароли – обновлять, уходя – блокировать компьютеры. Государство начало разговор о цифровом суверенитете, об объектах критической информационной инфраструктуры. Музеи получают централизованные рассылки с реко- мендациями ФСТЭК. Но сколько специали- стов, которые понимают эти рекомендации? Какой огромный объем работ и бюджет нужны для пересмотра всей цифровой инфраструктуры и ее перевода на отечествен- ное ПО? При отсутствии специальных средств и кадровом голоде это займет годы. Но нет повода отчаиваться. Пожаров становится меньше, если следить за системой и развивать ее. Преступников нахо- дят быстрее благодаря развитию видеона- блюдения и аналитики, если они включены. Медицина успешно борется с болезнями. На все это ушли столетия. А цифровой мир в сравнении с общей историей человечества еще молод. И порядок в нем так или иначе будет наведен. Уже сейчас основную борьбу с массовыми атаками и эпидемиями ведут автоматизированные средства, комплексы, использующие машинное обучение. Скорость их реакции недоступна человеку, но соответ- ствует уровню угрозы. Программы воюют с программами. Вы можете этого не замечать, но на самом деле мы достаточно защищены. Крупные производители автоматизируют тестирование и проверку рисков, обновления, сплошную проверку передаваемых по кана- лам связи данных. Надо просто соблюдать элементарные правила и цифровую гигиену. И вовремя делать то, что машины оставляют сделать людям. n www.secuteck.ru декабрь 2022 – январь 2023 Ваше мнение и вопросы по статье направляйте на ss @groteck.ru