Круче фсб. как юрист может наладить информационную безопасность в компании

Достаточно часто клиенты обращаются с вопросами о правовых последствиях защиты информации, обеспечения информационной и экономической безопасности предприятия. В ходе беседы выясняется, что ни у специалистов в сфере ИБ, ни у разработчиков, инженеров и интеграторов, ни у служб безопасности нет понимания правовой сути «информационной безопасности» вообще.

Специалисты этой области свято убеждены, что они защищают информацию, её экономическую и хозяйственную ценность, и откровенно удивляются когда выясняется, что это далеко не так.

Деятельность в области защиты информации в условиях российского правового поля не может заключаться в защите информации по-существу. Да, с юридической точки зрения «информационная безопасность» — это не защита информации. Это, увы, факт. Почему?

Дело в том, что с т.з. действующего законодательства информация не относится к объектам гражданских прав (статья 128 Гражданского кодекса РФ).

Информация не является имуществом, поскольку имущественные права на информацию возникают только тогда, когда мы имеем дело с категориями объектов интеллектуальной собственности (или, как они названы в законе, «охраняемые результаты интеллектуальной деятельности и приравненные к ним средства индивидуализации»).

Однако данная категория «информации» имеет специальный правовой статус, регулируется специальным законодательством (Часть 4 Раздел VII ГК РФ), а перечень видов такой информации строго ограничен (перечислен в статье 1225 ГК РФ, т.е.

это не любая информация), кроме того юридическими средствами защиты таких объектов гражданских прав являются предусмотренные законодательством способы защиты авторского права, которые, по-существу, защищают не саму информацию, содержащуюся в «объекте интеллектуальной собственности», а право на этот объект.

Между тем, данные средства защиты не распространяются, например, на конфиденциальную информацию (за исключением ноу-хау, которая защищается аналогичным с защитой коммерческой тайны образом — ст. 1465 ГК РФ, п.145 Постановления Пленума Верховного Суда РФ от 23.04.2019 №10).

Например, в статье 1467 ГК РФ определено до какого момента действуют исключительное право на секрет производства — «до тех пор, пока сохраняется конфиденциальность сведений, составляющих его содержание».

Следовательно, если конфиденциальность не обеспечена изначально, или в последующем в процессе экономической (хозяйственной) деятельности, ссылаться на то, что какие-либо исключительные права на секрет производства вообще были, по меньшей мере, некорректно в силу закона.

Вместе с тем, определение ноу-хау по своему содержанию практически никак не отличается от определения информации, составляющей коммерческую тайну (ст.3 Закона о коммерческой тайне).

Но эти понятия используют для характеристики разных правовых явлений: ноу-хау — объект гражданского оборота и интеллектуальных прав, коммерческая тайна — правовой режим по обеспечению конфиденциальности (т.е.

экономической ценности, в силу неизвестности этих сведений третьим лицам) и так далее.

Вторая проблема правового регулирования деятельности в области информационной безопасности заключается в том, что в полцессе такой деятельности используются различного рода программных и программно-аппаратных средств защиты информации, т.е.

различного рода программы для ЭВМ, авторские права на которые в соответствии с ст. 1261 ГК РФ защищаются как (!) литературные произведения. Иными словами любые авторы любых программ для ЭВМ на территории России — это писатели (к сожалению это так, таков закон).

В связи с этим нет оснований утверждать, что любые средства защиты информации могут быть отнесены к каким-то особым категориям товаров или продуктов программного обеспечения, поскольку, с т.з.

закона — это всего лишь набор цифр и знаков, которые защищаются как обычные литературные произведения, что неумолимо ведет к неопределенности правового положения программных продуктов в области информационной безопасности на территории России.

Более того, в российском законодательстве вообще отсутствует четкое определение понятия «компьютерная программа» и «программа для ЭВМ», а закрепленные в статье 2 Федерального закона от 27.07.2006 г. N 149-ФЗ понятия и их определения не являются достаточными для их корректного использования в правоприменительной практике.

Например, судьи в арбитражных суда и судах общей юрисдикции откровенно не понимают что значит «программный код», что такое «перенос разработки из тестовай среды в продуктивную» и т.д.

ведь им, как профессиональным юристам, необходимо давать правовую оценку и приводить мотивировку тех или иных выводов, а действующее законодательство не позволяет этого делать.

Между тем, действующее законодательство устанавливает такую любопытную правовую категорию как «Обладатель информации» (т.е. не собственник, не владелец, не пользователь, а именно «обладатель», поскольку, как было сказано выше, информация не является объектом гражданских прав).

Итак, обладатель информации – это лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам. (п.5 ст.2 и ст.6 Федерального закона № 149-ФЗ)

Всё казалось бы понятно, однако в 2017 году масло в огонь подлил Конституционный суд РФ, который в своем Постановлении от 26.10.2017 года №25-П пришел к следующим выводам:

1) интернет-сервисы, с помощью которых осуществляются передача электронных сообщений и хранение информации (!) «статусом обладателя информации не обладают» (!) (т.е. информация у них есть, но они ей не обладают, следовательно к ним как к «обладателю информации» вопросов быть не может);

2) нарушение прав обладателя информации будет являться действие по передаче информации с адреса электронной почты, контролируемой обладателем информации, на свой (личный) адрес электронной почты, (!) если обладатель информации принял все необходимые меры (!), исключающие несанкционированный доступ к этой информации третьих лиц.

Иными словами лицо, которое можно отнести к обладателю информации, имеет не только права, но и обязанности.

Поэтому специалистам в области ИБ, прежде, чем приступать к вопросу о защите информации, критически важно понимать в какой момент возникают права, а в какой момент обязанности у обладателя информации, и относится ли данное лицо к обладателю информации вообще.

В противном случае, как это следует из названного выше постановления, всю архитектуру информационной безопасности можно изначально выстроить неправильно (что, как правило, и бывает на практике и приводит к неэффективности всей системы защиты, либо невозможности использования результатов работы таких средств защиты в процессе защиты прав в суде, либо к избыточным административно-бюрократическим процедурам, проще говоря, приводят к ситуации, когда правила ИБ и работа средств защиты информации начинают мешать нормальным производственным и хозяйственно-экономическим процессам на предприятии).

Таким образом, деятельность в области «информационной безопасности» — это не защита информации, т.к.

такого объекта прав в российском законодательстве не существует, следовательно, отсутствуют основания использовать предусмотренные законом способы защиты прав (статья 12 ГК РФ), а используемые для её «защиты» средства с нормативно-правовой точки зрения не имеют какого-либо специального статуса или своего отдельного правового регулирования, позволяющего идентифицировать их именно как «средства защиты информации». Информационная безопасность с юридической точки зрения — это профессиональная деятельность, заключающаяся не в защите информации, а в защите прав и законных интересов лиц, возникающих в связи с обменом информацией (т.е. сведениями, сообщениями, данными не зависимо от формы их представления), ее обработкой, передачей и хранением.

Логичным здесь следовало бы поставить вопрос — если информация не является объектом права, никаких правовых средств для её защиты не предусматривается, средства защиты информации в законодательстве никак не определены, что же, в таком случае, мы защищаем и посредством чего?

По мнению автора, правовое обеспечение информационной безопасности достигается не нормами права (гражданского, административного, уголовного), а определенным режимом защиты информации, который обеспечивается путем создания комплекса соответствующих (!) правовых условий (!),  минимизирующих либо исключающих любую возможность несанкционированного доступа, обработки или распространения защищаемой информации.

Предметом такой деятельности являются исключительно права и законные нитересы участников отношений, возникающих в связи с передачей, обработкой и хранением информации (не зависимо от ее содержания и категории), а не содержанием передаваемых по существу сведений и данных.

Это принципиально большая разница, исходя из которой следуеть иметь ввиду, что любая информация не представляет сама по себе никакой ценности, пока ее содержание не начинает оказывать влияние на права, правовое положение, имущественне интересы или деловую репутацию определенного лица.

Поэтому правовой смысл информаценной безопасности, как самостоятельной деятельности, выражен здесь в недопущении нарушения прав такого лица, а не самой информации или ее содержания. Защита в данном случае достигается путем создания условий, при которых несанкционированное распространение или доступ к такой информации, не может привести к нарушению прав заинтерисованного лица.

А создание условий — это всегда выстраивание определенного алгоритма взаимоотношений и правил поведения, т.е. такая деятельность, которая напрямую информации и ее содержания не касается.

 Именно такой правовой смысл заложен в статью 10 Закона о коммерческой тайне, статью 20 Закона о государственной стайне, Законодательство о персональных данных, часть 5 статьи 9 Федерального закона «Об информации, информационных технологиях и защите информации», Указ Президента от 06.03.1997 №188, законодательство о банковской тайне, Налоговой тайне, Бухгалтерской тайне, Конфиденциальность фискальных данных и так далее.

Система защиты информации в компании: правила организации информационной безопасности

Одна компания обнаружила, что сотрудница отправляет в соцсети фотографии конфиденциальных документов, и уволила ее. Но суд обязал компанию восстановить сотрудницу и выплатить компенсацию и моральный ущерб.

Другая компания узнала, что работники продают секретную документацию. Суд дал каждому 2 года условно.

Решение суда в таких делах зависит от того, насколько грамотно компания охраняет свои секреты.

Мы запускаем серию статей о том, как правильно защитить информацию внутри компании. Это первая обзорная статья, в ней собрали самое важное по теме.

Выберите информацию, которую стоит защитить

Компании хотят защитить информацию, которая помогает им зарабатывать.

Фирменное блюдо в кафе — салат с уникальным соусом. Посетители становятся в очередь, чтобы его попробовать, за ним приезжают из других городов. Хорошо бы хранить рецепт соуса в секрете: если какой-то сотрудник продаст его соседнему кафе, выручка упадет и бизнес серьезно пострадает.

В законе нет исчерпывающего списка сведений, которые можно защищать. Руководитель решает это сам.

Обычно компании защищают технологии производства товара, списки поставщиков и клиентов, условия сделок, финансовую отчетность, планы развития. Такую информацию можно включить в коммерческую тайну.

1. Информация, которая разрешает заниматься бизнесом: учредительные документы, данные о регистрации.
2. Сведения о том, что работа компании не вредит людям: отчеты о загрязнении окружающей среды, противопожарной безопасности компании, санитарно-эпидемиологическом состоянии производства и другие.
3. Информация, которую законы запрещают держать в секрете: годовая бухотчетность АО, задолженность компании по налогам, потребительская информация о товаре и другие.

В таблице — примеры информации, которую можно и нельзя включить в коммерческую тайну:

МожноНельзя

— Список клиентов и поставщиков — Способы и принципы ценообразования — Маркетинговые исследования и рекламные кампании — Технологические сведения о продукции — Стратегические планы — Особенности производственных процессов — Информация о методах управления и внутренней организации предприятия — Деловая переписка	— Имя генерального директора — Состав и квалификация персонала — Бухотчетность — Потребительская информация о товаре — из чего состоит, когда произведен, условия использования и другое — Задолженность по зарплате — Вакансии — Список лиц, которые могут представлять организацию без доверенности — Номер лицензии на осуществление деятельности

Защитите секретную информацию от сотрудников и сторонних партнеров

Чтобы защитить секретные данные, компании нужно пройти четыре шага:

• Ввести режим коммерческой тайны.
• Заключить с сотрудниками договоры на создание продуктов.
• Защитить интеллектуальную собственность.
• Ввести режим конфиденциальности с внешними партнерами.

Ввести режим коммерческой тайны. Это минимальная мера защиты информации. Она поможет объяснить сотрудникам, чем они не могут делиться и какое наказание будет, если они разболтают коммерческий секрет.

Чтобы ввести режим коммерческой тайны, компании нужно:

1. Разработать положение о коммерческой тайне и конфиденциальности.
2. Ознакомить с ним сотрудников под подпись.
3. Создать условия для хранения секретных документов.
4. Обозначить всю ценную документацию грифом «Коммерческая тайна».
5. Вести журнал доступа к конфиденциальным сведениям.

Стоит что-то сделать неправильно — и вы уже не сможете оштрафовать или уволить сотрудника, который передает ценные сведения конкурентам.

Подробнее об этом расскажем в следующих статьях.

Компания уволила секретаря за то, что она отправляла в мессенджере фотографии секретных документов. Сотрудница через суд потребовала восстановить ее в должности и компенсировать зарплату и моральный ущерб.

В компании был неправильно введен режим коммерческой тайны: невозможно было доказать, что документы  входят в список конфиденциальных сведений, да и грифа «Коммерческая тайна» на них не было. А еще компания не смогла подтвердить, что сотрудница была ознакомлена с положением о коммерческой тайне.

Пришлось восстановить сотрудницу в должности и выплатить ей компенсацию.

Дело № 2-70/2020

Заключить договоры на создание продуктов. Во многих компаниях сотрудники что-то разрабатывают: пишут коды, статьи, создают музыку, придумывают дизайн для сайтов и книг. По общему правилу все, что сотрудник создает в рабочее время и в рамках служебных задач, принадлежит компании. Но ничто не мешает работнику сказать, что он делал проект в свободное время.

Чтобы не оставаться без ценных наработок, когда человек увольняется, пишите технические задания, заключайте договоры на создание продуктов, подписывайте акты приемки-передачи изобретений и оформляйте передачу исключительных прав на служебное произведение от автора к вашей компании. Об этом тоже расскажем подробнее в следующих статьях.

Сотрудник компании «Амедико» разработал мессенджер для телемедицины. После увольнения он открыл новую компанию — «Телепат», передал этой компании исключительные права на мессенджер и стал его продавать.

«Амедико» обратилась в суд с требованием, чтобы «Телепат» прекратил продажи мессенджера и выплатил компенсацию 5 млн рублей. Но компания не смогла подтвердить, что мессенджер был создан в рабочее время и в рамках служебных обязанностей. Суд отказал в удовлетворении иска.

Дело № А40-202764/18-110-1552

Защитить интеллектуальную собственность компании. Вы можете защитить:

• Объекты авторского права: видео- и аудиозаписи, литературные произведения, картины, логотипы, базы данных, программы.
• Товарные знаки.
• Промышленную собственность: изобретения, промышленные образцы, полезные модели.
• Секреты производства (ноу-хау): любые сведения, имеющие потенциальную или действительную коммерческую ценность.

Если интеллектуальную собственность для компании создают сотрудники, главное — договор на создание произведения, о котором мы уже говорили. При работе с подрядчиками тоже важно прописать в договоре, что права на продукт переходят вам.

Если заказываете логотип в дизайнерском бюро, проверьте, чтобы в договоре была прописана передача прав на логотип и авторский гонорар за это. Также в договору должны прилагаться техническое задание и акту приема-передачи.

Ввести режим конфиденциальности с внешними партнерами. Так партнеры не смогут использовать вашу информацию в своей работе. Если это случится, вы сможете потребовать, чтобы партнер прекратил это делать и выплатил компенсацию.

Вы дали разработчику пароль от вашей CRM, а он скачал себе базу клиентов и продал ее конкурентам. Если по договору это была конфиденциальная информация, можно обратиться в суд.

Режим конфиденциальности может сработать и в более мирных условиях.

Владельцу пекарни нужно оборудование на кухню. Он нашел поставщика, который не только привезет нужные приборы, но и установит их. Пекарю важно, чтобы детали сделки оставались в секрете, и он подробно расписал в договоре, что нельзя рассказывать: название оборудования, стоимость, количество и другие детали поставки. Поставщик привлек подрядчика для установки оборудования и рассказал, что и в каком количестве нужно установить в кафе. В таком случае хозяин пекарни можете подавать на поставщика в суд и требовать штраф: условия конфиденциальности были нарушены.

Без коммерческой тайны ввести режим конфиденциальности нельзя.

По договору компания «Терминал Сервис» гарантировала компании «Виакард», что логин и пароль от личного кабинета в их системе будут доступны только одному сотруднику в компании. Но фактически логин и пароль были вывешены на сайте «Терминал Сервис» в свободном доступе. Любой мог зайти в личный кабинет.

Суд счел это нарушением конфиденциальности и оштрафовал «Терминал Сервис» на 400 000 ₽.

Дело № А56-92673/2016

Когда секретная информация защищена сама по себе

Есть несколько случаев, когда информацию нельзя разболтать или использовать в личных целях, даже если у компании нет режима коммерческой тайны и конфиденциальности:

Переговоры. Если во время переговоров по сделке вы рассказали партнеру секретную информацию, он не имеет права передавать ее кому-то или использовать в личных целях, даже если договор в итоге не заключили.

Договор на научно-исследовательские и опытно-конструкторские работы. Если вы заказываете разработку детали для графического планшета, который хотите выпустить на рынок, или строительный план здания, где будет ваш офис, — партнеры обязаны сохранить в тайне предмет договора, особенности рабочего процесса и его результаты.

Договор подряда. Например, вы передали подрядчику конфиденциальную информацию, которая нужна для выполнения работ. Он не имеет права передавать ее кому бы то ни было без вашего разрешения. Даже заключать договор субподряда, раскрывая ключевые сведения вашего соглашения.

Корпоративный договор — это соглашение, которое учредители подписывают, когда открывают компанию. В нем они договариваются, как будут управлять компанией, как распоряжаться имуществом компании и как из нее выйти, прописывают правила приема новых учредителей. По общему правилу все, что написано в корпоративном договоре непубличного общества, конфиденциально.

Наказать за раскрытие коммерческой тайны

Если кто-то не спросил разрешения и поделился вашими конфиденциальными сведениями, можно его наказать одним из таких способов:

ОтветственностьНаказаниеОснование

Дисциплинарная	В зависимости от вины, по решению руководителя компании: — увольнение — выговор —замечание	ст. 192 ТК РФ
Материальная	Полное возмещение денежного ущерба, который получила компания из-за утечки секретной информации. Закон не запрещает применять материальное и дисциплинарное наказание за одно и то же нарушение	п. 7 ст. 243 ТК РФ
Административная	Штраф для граждан — от 500 до 1000 ₽ Штраф для должностных лиц — от 4000 до 5000 ₽	ст. 13.14 КоАП РФ
Уголовная	Наказание для сотрудника, который нарушил режим коммерческой тайны, в зависимости от тяжести нарушения: штраф до 1 500 000 ₽ и лишение свободы до 7 лет	ст. 183 УК РФ

В зависимости от тяжести проступка, наказание может применить компания — объявить выговор или уволить работника — или назначить суд — штраф или тюремное заключение.

Сотрудники продавали через интернет отчетность компании по одной из товарных категорий. Во время контрольной закупки их поймали.

Сотрудники пытались оправдаться тем, что все данные из отчетности и так можно было найти на официальном сайте компании, но суд не поверил в эти оправдания. В компании был установлен режим коммерческой тайны, где было четко прописано, какие сведения считаются конфиденциальными.

В итоге обоих сотрудников осудили на 2 года условно и запретили переезжать до окончания наказания.

Дело № 10-1675/2019

Партнеров тоже можно привлечь к ответственности. Чаще всего через суд добиваются выплаты компенсации.

ИП заключил с компанией агентский договор, по которому должен был привлекать клиентов и продавать продукцию компании на определенной территории. Потенциальный клиент обратился в компанию, чтобы купить продукцию. По правилам договора клиент был передан ИП. Но ИП отправил клиенту прайс другого производителя. Это стало известно компании.

Она обратилась в суд, чтобы получить компенсацию от ИП за то, что он нарушил условия агентского договора. По нему ИП не должен пользоваться информацией компании, в том числе данными о клиентах, в личных целях.

Суд принял сторону компании и обязал ИП выплатить штраф 100 000₽ и судебные издержки.

Дело № А45-47738/2018

Главное

Защищать можно любую информацию, которая может принести вашей компании прибыль, если это не запрещено законом.

Для защиты ценной информации:

1. Введите в компании режим коммерческой тайны.
2. Заключите с сотрудниками договоры, по которым все права на разработанные продукты принадлежат вам.
3. Защитите право собственности на интеллектуальные объекты: товарный знак, изобретения, компьютерные программы, литературные произведения и другое.
4. Введите режим конфиденциальности с партнерами.

За незаконное распространение коммерческой информации нарушителя могут уволить, назначить штраф до 1 500 000 ₽ или посадить в тюрьму на срок до 7 лет.

Построение системы обеспечения информационной безопасности в компании

Если отдел информационной безопасности создан по инициативе руководства компании, то проблема решена. Однако в реальности часто ИБ-отдел создается стихийно, при этом существует служба безопасности, которая не очень понимает, что такое технические меры защиты, есть также ИТ-служба, которая воспринимает ИБ-отдел как помеху и т д.

Организация защиты информации на практике ведется одним из способов: «снизу вверх» либо «сверху вниз».

Подход «снизу вверх» наиболее распространен. В данном случае инициатива по всем ИБ-мероприятиям исходит от рядовых специалистов или линейных руководителей. Подход включает в себя написание служебных записок, доведение до руководства информации об инцидентах и прочее.

Такой подход малоэффективен, так как высшее руководство компании не до конца понимает целесообразность и необходимость проведения большинства работ по информационной безопасности.

В итоге информационной безопасности уделяется малое внимание, ей занимаются по остаточному принципу, работы зачастую носят несистемный характер.

Подход «сверху вниз» предполагает вовлеченность топ-менеджмента и владельцев бизнеса в проблематику информационной безопасности.

Данный подход считается более эффективным, поскольку руководство смотрит на информационную безопасность с позиции бизнеса, ведется оценка рисков.

Подход позволяет получать требуемые ресурсы и принимать необходимые меры, так как комплексная защита информации на предприятии — инициатива руководства.

На первом этапе следует заручиться поддержкой руководства, а в организации работ придерживаться подхода «сверху вниз».

2. Определить состав рабочей группы

Важно определить, какие специалисты будут принимать активное участие в работах по информационной безопасности.

Есть мнение, что можно отдать работы по ИБ на аутсорсинг и полностью сосредоточиться на текущих задачах.

Это верно лишь отчасти, поскольку никакие внешние эксперты не смогут оценить реальную важность и ценность информационных ресурсов компании, они могут лишь привнести объективный взгляд со стороны.

Поэтому в рабочей группе обязательно должен быть представитель владельца информационных ресурсов.

3. Определить риски

После того как сформирована рабочая группа и получена поддержка действий от руководства, переходим к этапу управления рисками. На этом этапе необходимо:

• идентифицировать информационные активы, представляющие ценность;
• провести анализ информационных ресурсов, к защите которых предъявляются требования со стороны законодательства/отрасли;
• провести анализ информационных ресурсов на существующие уязвимости с точки зрения информационной безопасности;
• провести анализ источников угроз;
• проанализировать сами угрозы;
• оценить возможный ущерб;
• подготовить отчет для презентации руководству.

После проведения этапа должен быть составлен список определенных угроз и оценен ущерб, который может быть потенциально нанесен компании при реализации этих угроз. При расчете ущерба следует учитывать вероятность наступления тех или иных угроз.

После оценки возможного ущерба необходимо проработать риски по каждой актуальной угрозе.

4. Принять организационные меры

На данном этапе разрабатываются политики, стандарты, руководства и инструкции, направленные на поддержание системы ИБ. Фиксируется ответственность сотрудников за нарушение требований ИБ, разглашение и нарушение конфиденциальности информации. Важно понимать, что эффективная система ИБ не может существовать без регламентов, инструкций, документов, направленных на ее поддержание.

5. Выбрать и внедрить меры и средства защиты информации

На этом этапе осуществляется выбор средств защиты информации и оценка их эффективности. Оценка эффективности нужна для понимания, окупятся ли затраты, потраченные на СЗИ. Прибыль здесь косвенная — минимизация рисков, которые были определены ранее.

При выборе мер и средств защиты необходимо руководствоваться правилом: затраты на приобретение, внедрение, настройку, обучение специалистов, сопровождение средств защиты не должны превышать ущерба от реализации угрозы, на защиту от которой эти средства направлены.

6. Довести информацию до заинтересованных лиц

Важно донести до пользователей необходимую информацию по ИБ доступными для них способами. Сотрудникам лучше всего показать на практике, как безопасно работать и взаимодействовать, провести презентацию или обучение.

Руководству полезно будет показать убытки, которые может получить компания в случае невыполнения мер по информационной безопасности.

Специалистам нужно показать, какими средствами можно пользоваться, а какими нет и почему, а также озвучить ответственность за нарушения этих мер.

7. Провести мониторинг и оценку

После проведения всех этапов необходимо провести мониторинг и оценку результатов работ. Важно понять, насколько изменилось состояние ИБ.

Например, хорошим показателем будет появление инцидентов или вопросов по ИБ после проведения обучения сотрудников. Если до обучения обращений по инцидентам не возникало, а после обучения стали появляться инциденты, значит, оно прошло не зря.

Но на этом работа не заканчивается. Цикличность работ по ИБ связана с тем, что информационная среда очень изменчива. Происходят изменения внутри самих информационных активов, изменения в информационных технологиях, в способах обработки информации, а значит, нужно снова возвращаться к анализу рисков и актуализации системы ИБ.

Станислав Шиляев, руководитель проектов по информационной безопасности компании «СКБ Контур»

Специалист по информационной безопасности. Что делает и сколько зарабатывает

Специалист по информационной безопасности — не самая простая, зато востребованная ИТ-профессия.

Она пугает множеством терминов и своеобразных инструментов, хотя на деле доступна людям без технического бэкграунда.

Изучив ИБ, вы будете работать с государственными корпорациями, банками, средним и крупным бизнесом, облачными сервисами и стартапами. Проще говоря, везде, где есть вероятность взлома.

В этой статье подробно рассказываем, кто такой специалист по информационной безопасности, чем он занимается, сколько зарабатывает и как им стать. Бонусом — подборка книг для знакомства с профессией.

Обычно под специалистом по информационной безопасности подразумевают человека, который может внедрить и поддерживать защиту от несанкционированного доступа. Настроить сеть, предусмотреть ошибки и потенциальные баги, развернуть и запустить технологии мониторинга подключений.

Но есть и более узкие специальности уже внутри сферы:

• Пентестеры — так называемые «белые», или «этичные» хакеры. Они не взламывают ресурсы бизнеса незаконно. Вместо этого они работают на компании и ищут уязвимости, которые потом исправляют разработчики. Бывает, такие люди трудятся на окладе, или участвуют в программах Bug Bounty — когда бизнес просит проверить их защиту, обещая за найденные баги премию.
• Специалисты по разработке — такие специалисты участвуют в создании приложений и программ. Проще говоря, изучают архитектуру и готовый код и подсказывают, что здесь может быть ошибка или «форточка» для взлома. Банальный пример — оставить в форме ввода сайта возможность отправить SQL-инъекцию.
• Специалисты по сетям — они ищут возможные потенциальные и известные уязвимости в аппаратных и сетевых комплексах. Проще говоря, знают, как с помощью Windows, Linux или других систем злоумышленник может попасть в ваш компьютер и установить нужное ПО. Могут как найти возможность взлома, так и создать систему, в которую будет сложно попасть.

Есть ещё один вариант деления специалистов:

• Те, кто взламывает, и неважно, что именно, сети или программы. Их специализация — поиск ошибок и уязвимостей, этичный хакинг.
• Те, кто строит и поддерживает систему защиты. Именно этот вариант сейчас подразумевают работодатели, когда ищут специалистов по ИБ.

Такое деление — условное. Например, в небольшом бизнесе по разработке мобильных приложений специалист по ИБ будет заниматься всем циклом, начиная от разработки и заканчивая внедрением. А в крупной облачной корпорации вы можете работать только с Kubernetes, не трогая больше ничего.

Важно. Специалист по информационной безопасности сейчас — это тот, кто внедряет систему защиты в компанию и поддерживает её от попыток проникнуть извне.

Из-за неустоявшихся терминов есть небольшая путаница и в названиях вакансий — компании ищут специалистов по информационной безопасности, администраторов защиты, инженеров безопасности компьютерных сетей и другие названия, подразумевая одного и того же специалиста.

Главные задачи специалиста по ИБ — настраивать инструменты для защиты и мониторинга, писать скрипты для автоматизации процессов, время от времени проводить пентесты, чувствуя себя хакером. Следить за общими показателями системы и администрировать средства защиты информации.

Вот типичные задачи специалиста по ИБ:

• Изучить систему информационной безопасности в компании, разобраться, где есть явные уязвимости.
• Посмотреть общую ситуацию, узнать, кто в принципе может заинтересоваться взломом компании.
• Составить программу внедрения защиты. Решить, что исправлять сначала — например, настроить протоколы доступа, прописать скрипты защиты, настроить систему генерации паролей.
• Разобраться с продуктом — найти уязвимости в коде, составить техническое задание на устранение.
• Провести оценку системы защиты — провести согласованные атаки на сетевые ресурсы.
• Проанализировать мониторинг — узнать, кто интересовался системой, какими способами, как часто.
• Внедрить защиту для особо слабых узлов.

Плюс сферы ИБ — вы можете проработать несколько лет, но так и не столкнуться с чем-то неизвестным и непонятным. Конечно, точной статистики нет, но обычно все уязвимости и способы взлома известны.

Условно, порядка 80–90% времени работы занимает защита от уже известных способов взлома. Ещё 10% — это что-то новое, что ещё не прописали в методичках и документации.

Специалист по ИБ — это не всегда творческая профессия. Обычно наоборот, не нужно ничего выдумывать и изобретать велосипед. Специалист берет готовый чеклист или инструкцию, а затем внедряет систему защиты. Тестирует её, находит баги, исправляет их. И затем новая итерация.

Путь в профессию специалиста по информационной безопасности похож на стандартный для ИТ — сначала курсы или самообучение, затем стажировка и перевод на полноценную работу.

Судя по отзывам инженеров на профессиональных площадках, для старта в профессии достаточно 9–12 месяцев, из которых полгода занимает обучение на курсах.

Опыт работы в ИТ и программировании не нужен — это особая профессия на стыке системного администрирования, разработки и консалтинга. Конечно, если вы начинающий разработчик или инженер, будет проще — разбираться в общих принципах процессов в ИТ не придётся. Но ненамного, потому что в любом случае в ИБ есть масса своих тонкостей и технологий.

Идеальный план обучения в сфере ИБ — минимум теории и максимум практики. Просто изучить список популярных уязвимостей бесполезно, нужно попробовать внедрить защиту от них в рабочий продукт и столкнуться с ограничениями системы.

Правила информационной безопасности на предприятии

Компания, понимающая ценность информации как актива, должна прилагать все усилия для обеспечения конфиденциальности данных. Ключевым звеном каждого процесса становятся участвующие в нем люди, сотрудники организации.

Деятельность персонала по защите ИБ должны обеспечивать правила информационной безопасности на предприятии. Они различаются в зависимости от того, идет речь об офисе или о производстве.

Специальные правила требуется вводить для обеспечения безопасности при работе на удаленном доступе.

Необходимость внедрения правил информационной безопасности

Киберугрозы стали привычной частью окружающего мира, каждый день СМИ приносят сообщения о хакерских атаках и сбоях в работе банков или почтовых серверов.

Степень реальной опасности отдельный сотрудник компании мало представляет, пока не столкнется с тем, что утекли охраняемые персональные данные или конкуренты при помощи DDoS-атаки остановили работу прибыльного интернет-магазина.

Данные утекают у таких мировых гигантов информационной индустрии, как IBM, Yahoo!, Uber, Amazon, Equifax вне зависимости от уровня защищенности их информационных систем. Часто в этом виноваты китайские хакеры или транснациональные хакерские группировки.

Российскому бизнесу, чьи объекты не относятся к критически важным для информационной инфраструктуры страны, не стоит опасаться именно их, но и национальные группировки способны доставить немало неприятностей. Но наибольший риск несет несанкционированный доступ к данным со стороны сотрудников, часто не представляющих реальной ценности сознательно передаваемой или случайно уничтожаемой ими информации.

Тщательная разработка правил информационной безопасности для офиса и производства частично способны снизить степень риска.

Обучение сотрудников основам ИБ проводят даже на АЭС, где персонал априори должен быть подготовлен к неожиданностям.

Все это говорит о первоочередной необходимости информирования сотрудников и регламентации их поведения при работе с защищаемыми информационными массивами и объектами сетевой инфраструктуры.

Правила ИБ в офисе

Правила информационной безопасности для офиса не самые сложные, но степень ответственности сотрудников не всегда гарантирует их безусловное выполнение. Это значит, что внедрение правил должно сопровождаться мотивационными мерами, стимулирующими их выполнение, и депремированием, дисциплинарной ответственностью в случае невыполнения.

Информирование

Первым правилом ИБ в офисе должно стать информирование сотрудников. Инсайдерские утечки данных не менее опасны, чем внешние нападения.

Менеджеры по продажам, увольняясь, уносят с собой базы данных клиентов, а сотрудники мобильных операторов с легкостью торгуют детализацией телефонных разговоров абонентов.

О размере риска говорит объем рынка даркнета, измеряемый сотнями миллионов долларов в год только для российских ресурсов. Известный российский рынок торговли краденой информацией, Hydra, даже собирался провести ICO.

Всем пользователям корпоративной системы должны быть известны простые правила безопасности:

• использовать и периодически менять сложные пароли, никогда не передавать средства идентификации – пароль и логин – другим сотрудникам;
• не хранить в «облаках» конфиденциальную информацию, даже если нужно поработать с годовым отчетом из дома;
• уничтожать ненужные документы в шредере;
• не передавать информацию без официального запроса;
• не смешивать корпоративную и личную почту;
• архивировать важные файлы;
• блокировать компьютер перед уходом с рабочего места;
• уметь распознавать фишинговые письма;
• ознакомиться с практиками социальной инженерии и не поддаваться им.

Тестирование в игровой форме на знание правил информационной безопасности на предприятии позволит превратить теоретические сведения в сложившиеся навыки. Вторым важным способом поддержания необходимого уровня информационной безопасности в офисе станет контроль доступа.

Контроль доступа

Это решение реализуется на физическом, аппаратном и программном уровнях. Действует правило: никто не должен иметь больше привилегий, чем допускается его должностной инструкцией.

Юристу не нужен доступ к бухгалтерским программам, а программисту – к чату руководства.

Системные администраторы должны реализовать дифференцированную модель доступа, назначив каждому пользователю и группе пользователей роль, при которой доступными ему окажутся только определенные файлы и ресурсы. То же относится к правам администраторов.

Комплексный подход

Это правило должно стать незыблемым для системных администраторов и разработчиков структур информационной безопасности.

Невозможно устранять уязвимости и недочеты частичными решениями, латая прорехи одну за другой до тех пор, пока администрирование системы станет невозможным.

Необходимо с самого начала выстраивать ИБ как единую с систему с учетом возможностей ее роста и прогнозированием направлений дальнейшего развития. Система должна включать единый комплекс организационных, технических и программных средств и контролироваться как единое целое.

Правила ИБ при работе на удаленном доступе к сети

Самостоятельной проблемой становится регламентация работы сотрудников на удаленном доступе.

Современному бизнесу присуще стремление к минимизации затрат, на компанию могут работать сотни разработчиков и программистов, находящихся в разных странах и на одной виртуальной площадке занимающихся разработкой программного обеспечения.

Такое размывание периметра информационной безопасности очень опасно, так как конкуренты всерьез заинтересованы в несанкционированном доступе к новым разработкам.

В 2016 году на выставке Mobile World Congress разработчик антивируса с открытым кодом Avast провела небольшой эксперимент, создав три открытые точки подключения Wi-Fi со знакомыми именами Starbucks, MWC Free WiFi и Airport_Free_Wifi_AENA.

К ним подключилось 2 000 человек, декларирующих себя профессионалами в сфере информационных технологий. По завершении выставки был проведен доклад, из которого следовало, что авторам схемы удалось получить данные о трафике всех подключившихся, а 63 % раскрыли свои логины, пароли, адреса электронной почты.

Это говорит о том, что удаленное подключение через общедоступную Сеть редко бывает безопасным.

Во многих компаниях даже штатные сотрудники зачастую работают на удаленном доступе, находясь в командировке или в отпуске. 

Существуют правила, позволяющие сделать такие удаленные рабочие отношения максимально безопасными:

• исключить возможность использования удаленными сотрудниками для подсоединения к корпоративной сети открытых Wi-Fi-сетей, в которых возможен перехват трафика;
• домашние сети сотрудников должны быть защищены паролями и шифрованием как минимум уровня WPA2. В компании необходимо разработать правила информационной безопасности для удаленных сотрудников для защиты домашних сетей;
• подключение для мобильных устройств к корпоративной сети должно происходить только по каналам VPN. Компании желательно самой выбрать надежного поставщика услуг VPN и обеспечить сотрудникам на удаленном доступе возможность работать с этим сервисом;
• для работы необходимо иметь отдельное мобильное устройство и не смешивать частную и корпоративную информацию, система ИБ компании должна предусматривать меры защиты таких удаленных устройств;
• сведения о работе на удаленном доступе не должны публиковаться в социальных сетях, чтобы не вызвать интерес злоумышленников. Устное и письменное разглашение конфиденциальных данных недопустимо;
• пароли на ресурсах, связанных с работой на удаленном доступе, необходимо регулярно менять;
• плагины и программное обеспечение, содержащие известные хакерам уязвимости (например, Adobe Flash, Acrobat Reader, Java и другие), должны регулярно обновляться;
• компьютер и мобильные устройства нужно защищать паролем даже дома, чтобы гость или ремонтный рабочий не смогли похитить или случайно повредить данные.

Эти правила необходимо оговаривать с каждым работником на удаленном доступе на первом этапе сотрудничества. От компании требуется организовать собственную систему мер, позволяющую обезопасить работу с любым сотрудником на удаленном доступе, штатным или внештатным:

• внедрить механизм аутентификации пользователей (пароли, аппаратные средства-токены, биометрические данные);
• организовать единую систему управления доступом (централизованное управление доступом к IT-ресурсам компании);
• системно использовать средство организации собственных протоколов VPN (аппаратные устройства, программные решения, расширения брандмауэра);
• внедрить средства противостояния атакам (защита внутренней сети и сотрудников от атак).

Программа защиты удаленного доступа актуальна и для информационной безопасности на производстве, где многие объекты управляются по каналам беспроводной связи.

Иб на производстве

Правила информационной безопасности приобретают особую актуальность, когда касаются производства и автоматизированных систем управления (АСУ ТП). Системы управления отвечают за работу таких объектов, как домны, прокатные станы, гидроэлектростанции.

Любое внешнее вмешательство в их информационную инфраструктуру способно вызвать аварии и человеческие жертвы. Поэтому требования к ИБ АСУ строятся на собственных принципах, отличных от принципов управления информационными системами в общем.

Угрозы таким системам могут исходить от террористических группировок, в том числе исламской направленности. Прямого корыстного интереса у обычных хакеров к ним не возникает.

Такие системы часто поражаются специально созданными вирусами, направленными на вывод из строя объектов промышленной инфраструктуры и использующих уязвимости в классических информационных системах. 

АСУ ТП требует наивысшей степени защиты в тех отраслях, аварии в которых способны причинить ущерб наибольшему количеству людей и имущества:

• электроэнергетика;
• предприятия топливно-энергетического комплекса;
• транспорт;
• металлургия;
• машиностроение.

Основной проблемой создания системы ИБ становится то, что использование современных программных решений может навредить общей надежности системы, поэтому часто основной задачей становится максимальное ограждение АСУ от контактов с внешним миром по любым типам подключений, в том числе установка межсетевых экранов и создание демилитаризованных зон на границах с офисными сетями.

В 2015 году в Германии было совершено нападение на систему управления сталелитейным бизнесом. Доменная печь была выведена из строя, компания надолго встало из-за того, что хакерам удалось заразить вредоносным ПО офисную сеть.

На Украине хакеры проникли в локальную сеть и удалили данные с жестких дисков на рабочих станциях и SCADA-серверах и изменили настройки источников бесперебойного питания, что оставило без электроэнергии более 200 000 человек.

Регламенты создания системы информационной безопасности АСУ ИП утверждены в виде международных стандартов и российских ГОСТов. В качестве одного из основополагающих документов эту сферу регулирует Приказ ФСТЭК РФ № 31. 

При разработке правил информационной безопасности промышленного производства применительно к АСУ надо учитывать, что система имеет три уровня управления:

• уровень операторского (диспетчерского) управления (верхний уровень);
• уровень автоматического управления (средний уровень);
• уровень ввода (вывода) данных исполнительных устройств (нижний (полевой) уровень).

Объектами защиты для АСУ, согласно нормам Приказа № 31, являются:

• информация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);
• программно-технический комплекс, включающий технические средства (автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, каналы связи, программируемые логические контроллеры, исполнительные устройства), программное обеспечение (в том числе микропрограммное, общесистемное, прикладное), а также средства защиты информации.

Защита этих объектов возможна только на основе комплексного подхода, предусматривающего:

• систематический аудит степени АСУ ТП путем интервьюирования специалистов организации, изучения проектной документации, анализа структуры и архитектуры информационных систем;
• организацию технического анализа защищенности для нахождения уязвимостей при помощи программ-сканеров;
• ручной и программный анализ рисков;
• выявление и мониторинг новых типов угроз, представляющих опасность для функционирования объекта.

Стандартная архитектура АСУ ТП обычно не предполагает наличия большого количества ресурсов для размещения программ, отвечающих за безопасность. Предполагается использование только двух типов – систем мониторинга активности и обнаружения угроз и систем предотвращения угроз, подразумевающих управление доступом.

Системы мониторинга активности и обнаружения угроз

Наибольшие риски для АСУ ТП несут сотрудники-инсайдеры, допущенные к управлению и использующие съемные устройства, которые могут быть заражены вирусом. Но если система подключена к офисной, возможны внешние риски.

Системы мониторинга ограничены в функционале, они не допущены к процессам управления АСУ ТП и не могут блокировать действия пользователей.

Они способны только отслеживать всплески подозрительной активности и уведомлять о них по заданному алгоритму. Их функции:

• обнаружение внешних атак и аномалий в поведении элементов сети;
• мониторинг инцидентов информационной безопасности;
• пассивный анализ уязвимостей;
• анализ конфигураций оборудования, правил доступа сетевого оборудования;
• контроль целостности данных и программного обеспечения.

Системы анализируют сетевые потоки, выявляют аномалии и неизвестные IP-адреса, атаки на не запротоколированные ранее уязвимости.

Системы предотвращения угроз

Эти программные средства носят проактивный характер: они не только информируют, но и действуют. В основном они управляют доступом пользователей, имея полномочия на блокировку неавторизованных действий. В случае неопределенной трансакции они вправе запросить ее авторизацию у руководителя более высокого уровня и в его отсутствие блокируют операцию.

Ответственность за нарушение правил ИБ

Компания может применять к сотруднику за нарушение правил информационной безопасности меры дисциплинарной ответственности. Это замечание, выговор, иногда увольнение. Серьезным стимулом скрупулезно выполнять правила является депремирование.

Решение о привлечении к ответственности принимает руководитель организации по представлению непосредственного начальника виновника.

При выборе меры ответственности нужно предполагать, что нарушения правил информационной безопасности могут носить пассивный и активный характер.

Пассивные:

• получение информации нарушителем для использования в своих целях;
• анализ характеристик информации без доступа к самой информации.

Активные:

• изменение информации;
• внесение ложной информации;
• нарушение (разрушение) информации;
• нарушение работоспособности системы обработки информации.

Активные нарушения несут больше опасности для бизнеса и говорят о более высокой степени вины нарушителя, они должны наказываться строже.

Иногда от мер корпоративной ответственности приходится переходить к гражданско-правовой, подав на нарушителя в суд с требованием о возмещении ущерба или заявление в правоохранительные органы о возбуждении уголовного дела.

Утрата или намеренное разглашение конфиденциальной информации могут стать основанием для взыскания с виновника ущерба, и его размер может достигать миллионов рублей.

Целесообразным решением становится периодическое проведение проверок подразделений компании с целью определения степени выполнения правил безопасности всеми пользователями – от наладчика оборудования до генерального директора.

Менеджеры чаще пренебрегают правилами, именно поэтому они являются основными источниками угроз.

Результаты проверки могут стать основой для служебных расследований или переаттестации по профессиональной пригодности, поэтому они имеют дополнительный дисциплинирующий характер.

Вне зависимости от того, в каких условиях работают правила информационной безопасности предприятия, они должны соблюдаться неукоснительно. Только это приведет к тому уровню ИБ, который позволит избежать ущерба и аварий.

06.02.2020