Данное исследование было сконцентрировано на ситуации, когда фирмы все активнее внедряют системы совместной работы и становятся все более мобильными и распределенными. Иначе говоря, речь идет о "внутренних угрозах", то есть угрозах потери корпоративной информации по вине самих сотрудников.
По заказу Cisco специалисты аналитической фирмы InsightExpress опросили более 2 тыс. сотрудников и ИТ-специалистов из Австралии, Бразилии, Великобритании, Германии, Индии, Италии, Китая, США, Франции и Японии. Целью опроса было выяснить и сравнить степень озабоченности ИТ-профессионалов по поводу такого рода угроз и реальных поступков сотрудников, которые - случайно или умышленно - могут подорвать престиж компании и нанести ей колоссальный ущерб.
"Стирание границ между работой и домом, а также между частными и корпоративными данными означает, что информация может быть получена, передана, сохранена и украдена в любом месте и в любое время, - объясняет главный директор Cisco по вопросам безопасности Джон Стюарт. - Это диктует необходимость изменения существующих подходов к ее защите. Мы все - от самой крупной корпорации до самого молодого индивидуального пользователя - должны соблюдать в этом деле дисциплину и постоянно держать в поле зрения эти проблемы. Как уже говорилось, данное исследование позволяет поднять информационную безопасность на новый уровень за счет концентрации усилий в области обучения, разработки правил и внедрения новых технологий".
По мнению Дж. Стюарта, изменения следует начинать с ИТ-отдела. Его сотрудники должны четко понимать, насколько поведение пользователей влияет на потерю данных. Один из самых примечательных результатов проведенного исследования состоит в том, что большинство ИТ-специалистов почему-то уверены, что остальные сотрудники компании все лучше понимают риски в области безопасности и все старательнее защищают корпоративные данные. К примеру, четверо из каждых пяти ИТ-профессионалов в Китае и каждый второй во Франции убеждены, что за последние годы сотрудники компаний научились лучше защищать корпоративную информацию. Между тем опросы самих сотрудников говорят совсем о другом, заставляя более трезво взглянуть на истинное положение вещей.
Хотя большинство угроз корпоративной информации исходит извне, исследование показало, что и "внутренние угрозы", то есть случайное или преднамеренное разглашение корпоративной информации самими сотрудниками, могут нанести компании серьезный ущерб. Большинство ИТ-специалистов считает, что сами сотрудники компании могут подорвать безопасность корпоративных данных сильнее, чем посторонние. Главной причиной этого 39% опрошенных ИТ-специалистов называют халатность сотрудников, а каждый пятый указал на угрозу потери данных из-за того, что тот или иной сотрудник по какой-то причине может почувствовать себя обиженным.
Что касается собственно средств утечки информации, то здесь лидируют схемные накопители (флэшки или портативные жесткие диски). Именно их каждый третий опрошенный ИТ-специалист считает самой серьезной опасностью с точки зрения возможности утечки данных. Следом идут электронная почта (ее упомянули 25% опрошенных ИТ-специалистов), потерянные и украденные устройства (19%), разглашение информации в разговорах с посторонними лицами (8%).
Что касается потерянных и украденных устройств, то за год, предшествовавший исследованию, примерно каждый десятый опрошенный сотрудник вследствие потери или кражи лишился корпоративного устройства со своими личными данными и корпоративной информацией. А 11% респондентов признались, что крали корпоративные данные и устройства для продажи либо знают других сотрудников, кто это делал с целью наживы. Это особенно характерно для Франции, где о таком поведении знает каждый пятый сотрудник (21%).
Любопытно, что некоторые сотрудники присваивают себе корпоративные устройства и продолжают пользоваться ими после ухода из компании, руководствуясь самыми разными побуждениями: "Взял устройство в личное пользование", "Хотел отомстить своей бывшей компании", "Компания все равно об этом не узнает".
"На первый взгляд наибольшую ценность представляет интеллектуальная собственность компании. Но наибольший ущерб она терпит, теряя данные своих заказчиков, - отметил Дж. Стюарт. - Таким образом, если вдуматься, именно эти данные организация обязана охранять в первую очередь, поскольку они ей не принадлежат. Ваша компания несет ответственность за сохранность информации, которую заказчики вам доверили. Другой важный массив данных, который есть почти у каждой компании, - данные о сотрудниках, естественно, рассчитывающих на то, что их личная информация хранится в надежном месте. Наконец, есть еще интеллектуальная собственность, которая имеет немалую ценность и ни в коем случае не должна разглашаться. Потеря данных любой из этих категорий подрывает престиж компании, обрушивает ее конкурентоспособность, снижает стоимость акций, уничтожает доверие заказчиков и ставит под угрозу отношения с партнерами".
По мнению Дж. Стюарта, чтобы свести угрозу потери данных к минимуму и сократить соответствующие издержки, компании должны: четко определить, какие именно данные нуждаются в защите; не думать, что сотрудники сами знают, какие данные следует защищать; распространить единую культуру безопасности на все подразделения компании; обучать сотрудников всех подразделений единым правилам безопасного поведения и защиты данных; поддерживать постоянный контакт с сотрудниками и знать особенности их работы.
