Согласно результатам исследования компании Symantec, приведенных в отчете Norton Report 2013, в России жертвами киберпреступников за последний год стали 17 млн человек. Средний ущерб, приходящийся на каждого потерпевшего, оценивается в $87. Аналитики обращают внимание, что сегодня как никогда актуальна проблема защиты персональных мобильных устройств. Статистика удручает: 48% пользователей смартфонов и планшетов настолько беспечны, что не предпринимают даже базовые меры предосторожности и не утруждают себя установкой пароля и антивирусного ПО на личные мобильные гаджеты.

Участники секции говорили и о других современных проблемах. Были обозначены новые акценты в обеспечении ИБ для бизнеса, обсужден вопрос реальной защищенности госуслуг от злоумышленников.

Денис Легезо, редактор информационной службы CNews/CNews Analytics, предложил представить, каким будет наш мир в недалеком будущем. Беспроводной доступ к сетям, удаленное управление авто, различные роботы и даже детали автомобиля, напечатанные на 3D-принтере, – это уже сегодняшние реалии. Очевидно, что с совершенствованием ИТ будут меняться и задачи информационной безопасности.

Так, по данным исследований, в 2010 г. количество подключенных сетевых устройств во всем мире уже примерно в 3 раза превышало численность населения. К 2015 г., по прогнозам, это соотношение увеличится до 3,34, а к 2020 г. на душу населения будет приходиться в среднем уже 6–7 подключенных устройств. Сетевая защита, таким образом, оказывается новой, значимой нишей ИБ завтрашнего дня.

Андрей Курило, заместитель директора департамента регулирования расчетов Банка России, сделал вывод, что область обеспечения безопасности при предоставлении услуг с использованием электронных средств платежа существенно шире, чем реально регулируемая в соответствии с № 161–ФЗ, ст. 27 ч.3.

Уголовный кодекс дает совершенно четкие определения действиям преступников (хищение, мошенничество, кража, разбой). Однако квалификация по УК РФ не охватывает всего поля неправомерных действий в сфере предоставлении услуг с использованием электронных средств платежа (речь идет о всех видах банковского обслуживания, в том числе операциях по картам, ДБО, интернет- и мобильном банкинге, переводе денежных средств, использовании банкоматов и платежных терминалов, работе с БД и ИС банка). Наблюдается «лоскутное» регулирование разными правовыми механизмами. Многие инциденты, произошедшие в этой области, весьма условно можно определить как совершенное преступление, и при большом желании злоумышленник имеет возможность избежать наказания. «Непокрытыми» законом остаются, например, изготовление и распространение поддельных платежных документов с использованием программных средств, незаконное использование аутентификационных данных счета или инструментов доступа и пр.

Кроме внесения поправок в законодательные акты, необходимо принять ряд мер, которые, по мнению эксперта, уменьшат уровень киберпреступности. Так, банки должны перейти на выпуск чиповых карт с постепенным отказом от карт с магнитной полосой, и к 2017 г. магнитная полоса должна полностью пропасть с банковских карт. В числе прочих мер банки должны принять новую форму отчетности по инцидентам, а главное – информирование пользователей о фактах кибератак.

Типичные проблемы

Степень надежности и безопасности ИТ-инфраструктуры предприятия определяется возможностью контролировать изменения в ее критических компонентах, анализировать изменения в течение длительного срока и запрещать внесение изменений неавторизованным пользователям. Эти требования, казалось бы, просты, но их реализация может стать настоящей проблемой для службы ИБ. Если у каждой ИС существует свой журнал изменений, в свою очередь у каждого журнала – свой формат, анализировать логи вместе не представляется возможным, и риск пропустить критическое событие существенно возрастает. Кроме этого, нередко стандартные права доступа к большинству объектов избыточны, и сами журналы не хранятся долго. Андрей Игнатов, руководитель направления Dell Software, Aflex Distribution, рассказал, каким образом можно контролировать изменения в ИТ-инфраструктуре и централизованно управлять логами. Решение, построенное на базе ChangeAuditor и InTrus, собирает все журналы в единое хранилище, позволяя делать выборки данных и генерировать отчеты.

Денис Хлапов, консультант отдела консалтинга, «Информзащита», предложил оценить глазами злоумышленника реальную защищенность электронных госуслуг. Самый простой способ протестировать систему защиты – организовать DDoS-атаку. Эксперт уверен, что уже на этой стадии система, к сожалению, не выдержала бы. В числе причин, влияющих на низкий уровень безопасности электронных сервисов, эксперт назвал стремление чиновников освоить бюджет в заданный срок, пренебрежение анализом безопасности, наличие уязвимостей компонент системы, отсутствие базовых процессов управления ИБ и мониторинга атак и, конечно же, кадровый вопрос. «При внедрении новой услуги не проводится даже тест на проникновение – просто потому, что в госкорпорациях нет специалистов с подходящей квалификацией», – заключает Денис Хлапов.

Есть ли выход? По мнению эксперта, положительный эффект даст аутсорсинг проведения аудитов. Коммерческие компании давно применяют подобную практику, подтверждая тем самым ее эффективность. Для госучреждеиия систематический аудит может стать средством повышения реальной защиты электронных сервисов.

страницы:  1  |  2  |  3  |  4  |  5  |  следующая