При таком развитии событий миссис Смит чрезвычайно повезло. Ведь информация компании могла быть уничтожена, а системы обрушились бы на несколько дней. Ей также повезло, что факт взлома не просочился наружу. Это вовсе не тот случай, когда генеральному директору хотелось бы попасть в выпуск новостей CNN. Ядовитые осадки плохой рекламы нанесли бы гораздо больше убытков, чем причинил в действительности сам взлом.
Руководители часто просят меня рассказать им о безопасности в Интернете и в интранет. При этом я часто обсуждаю с ними случай в ISD. Я не устаю повторять: «Да, это действительно произошло. И может произойти снова». Чтобы «забить гвоздь до конца», я говорю: «ISD это компания с миллиардными годовыми доходами. Если такое могло случиться с ними, то почему вы считаете, что у вашей сети есть иммунитет? Вы знаете состояние безопасности вашей сети? Когда вы в последний раз получали итоговый отчет по вопросам безопасности?» В этот момент многие из моих слушателей покрываются холодным потом.
Попытайтесь понять это, и вы избежите проблем потоотделения, когда вас поставят перед свершившимся фактом. Вам поможет в этом активная позиция в вопросах безопасности.
Мы пойдем другой дорогой
Правильно относиться к безопасности на любом уровне сотрудников
Когда вышестоящие руководители не придают значения безопасности или вообще не хотят за нее отвечать (как будто бы эту работу будут делать другие), то они отправляют сотрудникам нижнего уровня указания, о выполнении которых затем не заботятся. В ответ на это сотрудники нижнего уровня часто теряют интерес к безопасности вообще. Так указания посылать опасно!
Не перекладывать работу на другие плечи
Просто возвысить голос о важности безопасности недостаточно. Фактически каждому известно, что компьютерная
занятия. Если они не могут этого делать, то найдите время для организации обучения на стороне. Перед тем как сказать: «У нас просто нет времени на это», подумайте конструктивно. Обучение не обязательно должно быть громоздким и отнимать много времени. Некоторые фирмы предлагают учебные видеофильмы, которые можно просматривать во время перерывов в работе, а также курсы индивидуального обучения по электронной почте. Обучение не обязательно должно предполагать 30 парт, установленных рядами. Подберите метод, который бы заработал в вашей компании.
ИТОГОВЫЙ ОТЧЕТ ПО ВОПРОСАМ БЕЗОПАСНОСТИДата: мая 22, 2002
Кому Изабель Уинфри, вице-президенту и директору по информационным технологиям
Джеффу Сен-Пьеру, вице-президенту и финансовому директору
От кого: Майка Нельсона, директора внутреннего аудита
По вопросу: Аудит финансовой безопасности
ОБЩАЯ ОЦЕНКА
НАСТОЯЩЕЕ СОСТОЯНИЕ СРЕДСТВ БЕЗОПАСНОСТИ ФИНАНСОВОЙ СЕТИ НЕ ОБЕСПЕЧИВАЕТ ДОСТАТОЧНОЙ ЗАЩИТЫ ИНФОРМАЦИИ КОМПАНИИ ISD.
ИНФОРМАЦИЯ В СЕТИ ISD ПОДВЕРГАЕТСЯ СЕРЬЕЗНОМУ РИСКУ НЕАВТОРИЗОВАННОГО РАСКРЫТИЯ, ИЗМЕНЕНИЯ И УНИЧТОЖЕНИЯ.
РИСКИ ДЛЯ БЕЗОПАСНОСТИ, О КОТОРЫХ БЫЛО ДОЛОЖЕНО ГОД НАЗАД, НЕ УСТРАНЕНЫ. РЕЗУЛЬТАТЫ АУДИТА ПОКАЗЫВАЮТ, ЧТО РИСКИ ДЛЯ БЕЗОПАСНОСТИ ФИНАНСОВОЙ СЕТИ В ДЕЙСТВИТЕЛЬНОСТИ ВОЗРОСЛИ.
Обнаружен ряд причин такого положения дел:
Недостаточное обучение.
Недостаточность средств для расширения штата специалистов по вопросам безопасности.
Плохая связь между высшим руководством и линейными менеджерами.
Отсутствие стандартов на настройки безопасности рабочих станций.
Неправильное использование механизмов предупреждения, обнаружения и докладов о неавторизованном доступе к информации.
РУКОВОДСТВО ДОЛЖНО ПРИНЯТЬ НЕОТЛОЖНЫЕ МЕРЫ ДЛЯ УМЕНЬШЕНИЯ ИМЕЮЩЕГОСЯ РИСКА.
Аудит проводил: Мартин Паттерсон, администратор по вопросам безопасности
Отчет получил:
Дата получения:
Рисунок 3.2
Обеспечить понимание вопросов безопасности всеми руководителями
Поддерживать прямую связь с руководством
Если вы являетесь директором (или каким-то другим руководителем), то обеспечьте вашим людям легкий доступ к своему времени и вниманию. Особенно будьте внимательны, когда возникнут проблемы с безопасностью! Первую линию обороны вашей сети будут составлять хорошо налаженные каналы общения с людьми, находящимися рядом с машинами.
Если вы являетесь системным администратором, то убедитесь в том, что разговор с вашим ближайшим начальником будет полезен для решения проблемы. Если вы в этом не уверены, то должны набраться смелости и обратиться к следующему руководителю в управленческой цепочке ради достижения результатов.
Контрольный список
Регулярно ли представляются руководству итоговые отчеты по вопросам безопасности?
Существует ли надежный канал связи между высшим руководством и исполнителями? И что более важно все ли знают, что он собой представляет и где находится?
Возлагается ли ответственность за безопасность на вице-президента, директора по вопросам безопасности или другого руководителя? Чем выше такой руководитель находится в руководящей структуре, тем лучше! Убедитесь, что руководитель, отвечающий за безопасность, не спрятан в глубинах бюрократической системы и имеет реальную власть. Иначе он будет только козлом отпущения.
Демонстрирует ли руководство свою приверженность программе безопасности компании, должным образом ее представляя и совершенствуя?