Пользователи - главная угроза ИТ-безопасности - Программные продукты

Источник: Computerra

Лучше всего быть CIO в небольшом технологическом стартапе. У вас много высоконагруженных серверов, интересные ИТ-задачи, отличный материал для выступления на профессиональных конференциях и очень мало обычных пользователей. Да и что за пользователи в стартапах? Сплошь высококвалифицированные ИТ-специалисты. С ними тоже сложно - они легко находят способы обхода групповых политик, они всячески стараются обойтись без вмешательства ИТ-служб в их личные компьютеры (и неважно, что на самом деле компьютеры рабочие), у них много идей о том, что нужно использовать на работе (BYOD - норма жизни) и т.д. Зато если уж им требуется техподдержка, то с компьютером действительно проблемы, а вот беспокоить по пустяковым вопросам вас никто не будет. Чем меньше в ИТ-службе пользователей, тем проще жизнь ИТ-специалистов.

Пользователи не являющиеся профессионалами в ИТ обычно не мешают ИТ-службам собирать данные для составления отчетности и формирования красивых KPI, мониторинг производительности, мониторинг интернет активности, отслеживание присутствия на рабочем месте и т.п. Здесь есть простор для творчества тех CIO, которые увлечены обеспечением ИТ-безопасности. Вот только обычным сотрудникам назойливое внимание со стороны ИТ-служб к их занятиям на рабочем месте тоже не нравится.

Например, по данным Cisco Connected World Technology Report, две трети пользователей считают, что работодатели не должны следить за Интернет-активностью сотрудников на рабочих компьютерах и только треть (34%) не возражает против мониторинга их деятельности. При этом только пятая часть сотрудников уверена, что работодатели отслеживают их действия в Интернете. Столь малый процент видимо объясняется тем, что руководство компаний довольно редко предпринимает меры против сотрудников, основываясь только на статистике их интернет активности. Конечно, слишком сильное увлечение социальными сетями может стать одним из аргументов в пользу того, чтобы с сотрудником расстаться. Впрочем, сотрудник, который прекрасно справляется со своими основными обязанностями, в большинстве компаний может не беспокоиться о том, чем он занимается в "свободное" от работы время.

В этом же отчете, исследователи обнаружили еще одну интересную тенденцию. Молодые сотрудники уверены, что за ними следят, даже в тех компаниях, где мониторинг не ведется. Видимо подобное ощущение возникает, в том числе и потому, что сотрудники знают, что они регулярно нарушают корпоративные требования и уверены в том, что и руководство об этом тоже знает. Принцип " суровость законов, оправдывается необязательностью их выполнения" в действии. 90% опрошенных ИТ-специалистов говорит, что политика безопасности запрещает сотрудникам пользоваться корпоративными устройствами для выхода в Интернет в личных целях, при этом 38% признают, что сотрудники игнорируют политику использования устройств.

Во многих компаниях ограничения на доступ к различным интернет-ресурсам носят характер "благих пожеланий". Теоретически сотрудники знают, что пользоваться социальными сетями в рабочее время нежелательно. Однако доступ с рабочих мест к подобным сайтам открыт. Казалось бы, что проще - закрыть на межсетевом экране лишние сайты? Мера более чем эффективная против 99% пользователей. Правда тут же появляется отдельная группа пользователей, которые используют социальные сети для работы. По странному совпадению, именно эти сотрудники больше всего времени проводят в социальных сетях в рабочее время.

По данным Cisco, большинство сотрудников уже смирилось с тем, что из-за интернета понятия "неприкосновенность личной жизни" больше не существует. 91% опрошенных считают, что не могут контролировать конфиденциальность своей информации, при этом треть респондентов не беспокоится о своих персональных данных, которые собирают и хранят компании. Если доступ разрешен, то сотрудники заходят на любые ресурсы и с личных устройств и с корпоративных. Более того отдельная проблема - то, что сотрудники не различают личные и корпоративные устройства, публичные и корпоративные сервисы, личную и рабочую информацию. 46% пользователей думает, что размещать в социальных сетях информацию безопасно. Громкие утечки конфиденциальной корпоративной информации в последнее время случаются еженедельно, а по мелочи так и вовсе ежедневно. Образцы продукции, которая должна вот-вот поступить в продажу теряются с такой регулярностью, что это уже кажется довольно банальным маркетинговым ходом. В поисковых системах легко находятся тысячи документов, которые теоретически не предназначались для общего доступа. К сожалению, многие пользователи не догадываются, что интернет практически всегда - публичное пространство.

ИТ-безопасность и поколение Y

В России к поколению миллениума или поколению Y относят родившихся в 1984 - 2000 годах. От начала перестройки и до конца тысячелетия, т.е. люди, которые совсем не застали СССР, пионеров, комсомол и т.п. В США отсчет этого поколения начинают с 1981 года. Социальные процессы в России и США довольно сильно отличались, однако технологические изменения были очень близки. Поколение Y - первое поколение людей, выросшее в окружении компьютеров, игровых приставок, мобильных телефонов и сетевых коммуникаций. Все это входило в нашу жизнь одновременно с их взрослением. Большинство представителей поколения Y вполне естественно чувствуют себя в "цифровой" среде.

Люди чуть более старшего возраста (поколение X) первый компьютер чаще всего увидели во взрослом возрасте. Основы компьютерной грамотности и ИТ-безопасности они изучали вполне сознательно. Желание поделиться с миром наболевшим у них тоже иногда возникает, но обычно они все же думают о том, что стоит выносить в публичное пространство, а что нет.

Среди пользователей в поколении X много тех, кто не доучил, а потому чувствует себя с компьютером неуверенно и иногда по незнанию делает глупости. Многие представители поколения Y уверены, что об использовании компьютера в обычной офисной жизни они знают все. С одной стороны они охотно подскажут "старикам" где в ворде нужная кнопочка. Однако с другой стороны, представители этого поколения делают интерент-глупости не задумываясь о своих действиях, абсолютно естественным образом. Что может быть типичнее: расшарить корпоративные файлы, сбросить их в файлообменник и дать общедоступную ссылку, выложить конфиденциальную информацию на "малопосещаемый" форум, обсудить рабочие вопросы в открытой (или даже закрытой) группе в Facebook, поделиться картинками с корпоративной вечеринки, твитнуть "смешное" высказывание руководства с совещания и т.п.

"Новое поколение сотрудников, которые приходят сегодня в компании, принося с собой новые методы работы и отношение к данным и их безопасности. Они уже не верят в конфиденциальность информации, и старшему поколению нужно учитывать эту парадигму при разработке концепции безопасности. Компаниям следует провести обучение своих сотрудников основам информационной безопасности, предупредить их о возможных рисках и дать указания о том, как обмениваться информацией и использовать онлайн-инструменты для обеспечения безопасности данных", - отмечает Адам Филпотт, директор по продажам Cisco.

Скоро в офисах: поколение Z

Если вы думаете, что поколение Y доставляет слишком много проблем - подождите, когда в офисы начнет приходить поколение Z. Сегодняшние подростки не просто используют гаджеты. Они совершенно естественным образом используют 3-4 гаджета одновременно, и при этом иногда возникает впечатление, что они онлайн 24 часа в сутки. Представьте, что будет, когда в их бурную социальную жизнь добавится рабочий компьютер? Судя по всему, через десять лет CIO придется разграничивать личное и рабочее пространство при помощи беспрецедентно жестких по сегодняшним меркам технологических мер, а средства управления правами доступа наконец-то станут общепринятыми корпоративным стандартом для документов. Смущает только то, что новое поколение CIO тоже будет из поколений Y и Z.

Ссылки по теме