 |
|
 |
|
Постоянный контроль и анализ – важнейшее средство противодействия инсайдерским угрозам
Многие организации полагают, что в малом и среднем бизнесе инсайдерские риски невелики, пишет журнал Security Magazine (июльский номер за 2015 год). На самом деле статистика утверждает обратное: 70% потерь по вине инсайдеров приходятся как раз на малый и средний бизнес. Аналитическая модель рисков выглядит следующим образом: риск = угроза х вероятность х последствия. Эта модель полезна для анализа одного изолированного инцидента. Но инсайдерскую угрозу следует рассматривать как постоянную величину. Поэтому более убедительной выглядит следующая формула: риск = угроза х вероятность х последствия х «периодичность инцидентов» (при учете стандартного, среднего срока работы работника в компании). Хотя в арсенале ученых имеются и более изощренные модели рисков, данная формула хороша тем, что позволяет организации учитывать частоту инцидентов, связанных с инсайдерскими угрозами на протяжении определенного периода времени.
Что касается последствий, то имеются в виду: физический урон; человеческие жертвы; правовая ответственность; снижение доходов; репутационные потери…
Если организация в полной мере сознает уровень и характер инсайдерских рисков, то ей необходимо брать на вооружение методологию постоянного контроля и оценки (continuous evaluation), предполагающую анализ огромного объема данных, разведку по открытым источникам информации, не в последнюю очередь – мониторинг социальных сетей. Современные информационные технологии открывают невероятные возможности для сбора, систематизации и анализа данных с целью предотвращения инцидентов безопасности, происходящих по вине персонала.
У этой проблемы есть и обратная, моральная сторона. Некоторые полагают, по меньшей мере, неэтичным устанавливать жесткий контроль, попросту говоря, пристальную слежку за работниками организации. Вопрос в балансе информационных возможностей и их использованием во благо, а не во вред организации и персоналу.
Прежде всего, в компании должны быть четкие инструкции (политики), защищающие право наемных работников и хозяев на неприкосновенность частной жизни, личных интересов. В трудовых контрактах и официальных документах организации надо четко формулировать, что информация, получаемая в процессе внутренних проверок и контроля, должна быть достоверной, полной и отвечать тем обязательствам, которые компания берет на себя перед наемным работником.
Если брать в расчет государственные ведомства США, то мониторинг безопасности включает такие моменты как 1) подверженность влиянию из-за рубежа; 2) сексуальная ориентация, характер и поведение; 3) финансовые траты на жизнь; 4) подверженность алкоголизму и наркомании; 5) эмоциональная, ментальная неуравновешенность; 6) связи с криминалом; 7) поведение в быту; 8) злоупотребление информационными технологиями на рабочем месте. Что касается частных компаний, то многие из них неправомерно исключают из перечисленного списка такие аспекты как сексуальная ориентация, характер и поведение. Это ошибка. Для малых предприятий, возможно, угроза иностранного шпионажа не стоит так остро как слив служебной информации работником по прежнему месту работы.
Другая проблема заключается в том, чтобы определить, умышленно или случайно тот или иной работник допустил утечку информации. Расследование каждого такого инцидента должно носить глубокий характер и предоставлять точную и верную картину произошедшего. Если наказание несоразмерно реальной вине работника (например, увольнение), то последний может обратиться в суд.
Современные технологии дают огромные возможности организации для предотвращения инсайдерских угроз. Вопрос в том, как правильно, без нарушения законности и профессиональной этики, ими пользоваться.
|
вернуться назад
