На вопросы Executive ответил Андрей Масалович – кандидат физико-математических наук, лауреат стипендии РАН «Выдающийся ученый России», член совета директоров «ДиалогНаука», один из разработчиков интеллектуального поиска Avalanche, в прошлом – подполковник ФАПСИ. Интервью с Андреем Масаловичем состоялось сразу после его выступления в Дискуссионном клубе Executive в июне 2011 года.
Executive: Андрей, тем, что мобильные и прочие устройства собирают данные о пользователях, сегодня никого не удивишь. Поэтому вопрос следующий: а давно ли ведется за нами слежка?
Андрей Масалович: С какого-то момента прекратилась монополия Microsoft и началась – еще до появления гаджетов – конкуренция на рынках массового потребления IT-продуктов и услуг. Выяснилось, что превосходство в этой войне будет на стороне того игрока, кто лучше остальных чувствует массовые предпочтения потребителей. Первоначально конкретный пользователь никого не интересовал, но информацию о нем собирали, для того чтобы ее потом обобщить. Так появились тулбары в браузерах, которые собирали статистику посещений. Первой на этом поймали Google, чей тулбар пересылал с пользовательских компьютеров информацию о перемещениях в Интернете. Вскоре в пользовательском соглашении браузера Google Chrome открытым текстом было сказано, что такие данные передаются и используются компанией в маркетинговых исследованиях.
С приходом и популяризацией гаджетов ситуация обострилась: отслеживать передвижения владельцев стали с помощью мобильных устройств. Их местоположение фиксируется вышками сотовых операторов, даже если аппарат находится в режиме сна. Мало того, появившиеся на айфонах фронтальные камеры фотографируют владельцев без их ведома и отправляют снимки в общую базу Apple. Персональную информацию сегодня сливают чуть ли не все крупные поставщики гаджетов. И даже если вы запретите передачу данных, компании знают, как ее получить другим способом. К слову, накопленные базы используют в качестве инструмента борьбы с терроризмом и не только.
Executive: Но информация часто попадает не в те руки. Расскажите о реальных угрозах.
А.М.: В масштабном плане особую опасность сегодня представляют средства удаленного управления, которые под видом обновлений программ проникают в компьютеры. Такая «маскировка» вражеских вторжений делает любое устройство уязвимым. Только представьте себе, что случится с «Сапсаном», если его система управления обновится и схватит троянскую программу.
Вообще кибервойна началась для меня 25 лет назад. Тогда еще не было Интернета, но существовал CoCom (координационный комитет по экспортному контролю – E-xecutive), который запрещал ввоз в СССР многих технологий, вплоть до дисплеев высокого разрешения. За многими вещами мы ездили сами. Так, для одного трубопровода в Сибири через цепочку посредников закупили управляющее оборудование и соответствующее программное обеспечение, а американцы следили за тем, чтобы СССР не мог приобрести современные средства контроля. Так вот через год работы трубопровода на двух соседних компрессорных станциях одновременно отключился контроль давления. Рвануло так сильно, что спутники нескольких стран засекли запуск ракет.
На уровне отдельного пользователя главной угрозой остаются утечки данных с помощью установки троянской программы, подключения физического устройства (сниффера) и др.
Отдельная тема – банкоматы. Мошеннических схем много. И пудру посыпают на клавиши, и «ливанскую петлю» вставляют, и камеры рядом устанавливают. «Красивая» афера случилась в Лондоне: там поставили «фальшивый» банкомат, который некоторое время полноценно работал – выдавал и забирал деньги, и в итоге получил нехилую базу счетов и паролей. В какой-то момент банкомат исчез.
Executive: И поверь после всего этого в безопасность…
А.М.: Есть только иллюзия того, что кто-то занимается нашей безопасностью. Те же самые антивирусы не способны избавить ваш компьютер от всех видов угроз. На серверах корпоративных сайтов есть документы, в которых прописаны права доступа к той или иной папке, так вот антивирусы их не проверяют. А хакеры прежде всего ищут эти файлы.
Более чем от половины угроз можно защититься элементарными «средствами гигиены»: например, регулярно (раз в месяц) менять пароли, делать их длинными и стойкими. Стандартная ошибка – указывать в качестве пароля набор цифр (телефон, номер ICQ, дата рождения), фамилию, фразу «qwerty» и т.д. Идеальным будет сочетание заглавных и строчных букв, цифр и специальных символов. Ни в коем случае нельзя пользоваться одним паролем на нескольких сайтах. Вы не представляете, насколько часто интернет-пользователи, допуская такую ошибку, попадаются на удочку злоумышленников.
Executive: Андрей, выступая на встрече Дискуссионного клуба Executive, вы сказали, что сегодня бизнесом движет бесконечная война. Какое место в ней занимает конкурентная разведка?
А.М.: Разведка отвечает на вопрос «Зачем?» Зачем конкурентам собирать информацию о вашей компании? Прежде всего, для того чтобы нанести атаку по ее репутации. Разведчики целенаправленно охотятся за подробностями личной жизни руководителей и признаками противоправной деятельности компании. Именно поэтому информация о репутации должна быть спрятана лучше всего.
Также под прицелом разведки – информация о тендерах и транзакциях как реальных показателях деятельности компании, ее клиентские базы. В последнем случае возникает еще одна угроза – внутренняя: гораздо проще получить эти данные, подкупив или переманив сотрудников. Вообще в последнее время конкуренты активнее привлекают методы воздействия на людей – вербовку, провокацию и т.д.
Чем меньше информации о компании в Интернете, тем лучше. В маркетинге даже есть такое понятие, как «лендинг-пейдж» – страница «приземления». Не нужно делать сайты, достаточно завести одну страницу с адресом компании, историей успеха, прайс-листом и регистрационной формой для обратной связи.
Тем компаниям, которые выложили в Интернет большой объем информации, необходимо построить политику безопасности: провести инвентаризацию всех активов компании, определить объекты защиты, виды угроз, факторы риска, назначить ответственных. В итоге должен получиться документ, в котором все это будет зафиксировано.
Executive: Утечки – еще одна головная боль для российского бизнеса. Каков процент компаний защищен от этого?
А.М.: В отчете McAfee написано, что 7-8% компаний могут защитить свою конфиденциальную информацию. Берусь это оспорить, потому что сам отчет конфиденциален, и я могу показать, как до него добраться. Из российских игроков такими исследованиями занимается компания Натальи Касперской – Infowatch, и в ее последнем отчета была другая цифра – 2%. В моей же практике – 0%. За все время, что я провожу аудит утечек, мною ни разу не было подписано заключение «Утечек не обнаружено», хотя среди клиентов есть и спецслужбы. Поэтому никто не застрахован. То, что мы наблюдаем сегодня, назвать техническим противодействием мало. Скорее, это жесткая психологическая борьба, в которую включаются профессиональные разведчики. Человек, который охотится за вашими данными на аутсорсинге, мотивирован: его зарплата начинается от 40 тыс. руб. в день.
В компании эту функцию должна выполнять контрразведка, которая работает под прикрытием другого подразделения компании – например, отдела аналитики или маркетинга. Ее задача – отыскать врагов и друзей. И чем лучше контрразведка работает, тем больше у вашей компании обнаруживается врагов. На деле же получается так, что вся ответственность лежит на службе безопасности. Это неправильно.
Фото: pixabay.com
Скремблер и вокодер - разные по сути вещи. Скремблер может быть частью вокодера. Для ИТ понятнее слово ''хэш''.
Выкусывать порты в компьютере на гарантии? Есть надежные программы, блокирующие доступ. Но в большинстве случаев интереснее присмотреться к работнику - а что он вообще за ''фрукт'' и получить объективную базу для выводов. Пусть качает - мы ему много дадим всякой дезинформации. А далее этот ресурс начинает работать как самая мощная реклама - это один из примеров того, как вложения в безопасность приносят фирме дополнительные существенные доходы. Такова практика.
Маски-шоу вовсе не так успешны, как иногда кажется, профессионалам они нисколько не страшны и взять ничего существенного не смогут - это ж просто люди, прежде всего, со своими подспудными страхами и никто из них не поменяет свои страхи на потенциальный успех даже при ловле очень крупной рыбы. Нужно только уметь активировать эти страхи, чтобы они превзошли уровень их зомбирования. Такова практика.
Технология GSM-трансферов (от 700 долларов) известна давно. Пользователь GSM-трансфера не испытывает никаких неудобств и пользуется обычным телефоном почти как всегда. В этом нет никакого парадокса, только технологии и знание. Никакой оператор связи, никакой СОРМ и сыск не могут найти владельца такого телефона. Это аналогично непеленгуемости пейджера. Но мы же не станем здесь обсуждать тонкости техники, схемы и алгоритмы?
Соглашусь с НР в том, что старые аппараты безопаснее, надежнее заказать в профессиональном ателье современный телефон - он будет внешне вполне обычным, но в нем не будет никаких НДВ.
Фирмы бывают разные - на большинство можно пройти и забрать любую информацию без особых усилий. В серьезных фирмах на каждой двери свой электронный ключ и многоплановая сигнализация, везде видео и маршрутизация прав прохода.
Безопасность либо есть, либо ее нет - зачем калитка, если забора вокруг нет?
Не думаю, что автора осмеяли бы в ИТ-изданиях - InfoWotch достаточно авторитетен, в том числе в Ит-сообществе.
Впрочем, повторюсь, в России это все совсем неактуально.