14 Ноября 2005 16:11 | 14 Ноя 2005 16:11 | |

Российские нефтяники защищаются по-старинке

Отечественные нефтяные компании уже построили свои системы информационной безопасности. Тем не менее, необходимость постоянного их совершенствования заставляет службы безопасности знакомиться со всеми новинками в этой области. Такая возможность была предоставлена и участникам круглого стола, проведенного в октябре CNews Analytics совместно с Radware.

Организационные проблемы

Все нефтяные компании, принимавшие участие в круглом столе, имеют собственные каналы связи, а также всевозможные инструменты защиты, которые практически исключают проникновение извне в информационное пространство компаний. Кроме того, ключевым фактором является изолированность большинства корпоративных сетей от внешнего мира. Так, например, «Газпром» имеет собственного интернет-провайдера. Именно поэтому большинство проблем, связанных с утечкой конфиденциальной информации, возникает из-за внутренних угроз, например, таких как деятельность инсайдеров и человеческий фактор. В связи с этим, особое внимание уделяется политике безопасности и административным мерам. Так, при приеме на работу тщательно проверяется «чистота» сотрудника, чтобы исключить потенциального нарушителя. В некоторых компаниях у служб информационной безопасности присутствует также «портрет потенциального нарушителя», в соответствии с которым специалисты службы уделяют особое внимание сотрудникам, имеющих «повышенный» интерес к информационным технологиям и «исследованию корпоративной сети».

Кроме того, большой резонанс на круглом столе вызвало обсуждение проблемы правового регулирования контроля деятельности сотрудников, например мониторинга их корпоративной почты. С одной стороны в стандартах прописана необходимость постоянного аудита системы, под который попадает и действия сотрудников, а с другой, возникают неясности с толкованием российского законодательства в этой части. Большое количество вопросов вызывает применение уголовного кодекса в случае утечки информации. Даже если удается доказать причастность сотрудников к краже информации, очень сложно, а порой невозможно оценить размеры нанесенного ущерба. Часть проблем компаниям удается решать путем исключения возможных каналов утечки, например запретом интернета, использованием только внутренней почты, модернизацией трудового договора, а также обучения сотрудников основам безопасной работы.

Однако определенная часть вопросов остается пока нерешенной. Не всегда возможно использовать собственные каналы связи, и не всегда оптимальным решением проблемы защиты является «отключение» канала связи. Особенность информационной безопасности в том, что это непрерывный процесс, и эффективная защита сегодня будет не эффективной завтра. Поэтому можно предположить, что такие передовые технологии как IPS обязательно найдут свое применение в российских компаниях.

Илья Разумов / CNews