Если вам есть, что сказать сообществу профессионалов ИБ и ИТ – заведите здесь свой блог

Человек и система ИБ: вытеснение или объединение?

Виктор Гулевич, директор по развитию бизнеса компания «Стахановец»

Поддается ли автоматизации безопасность рабочего места, если с ним связана деятельность человека?

Автоматизация множества рутинных процессов, не требующих творческого подхода, – это необходимость и неизбежность. В результате исчезли профессии фонарщика и телефониста, постепенно уходят специальности кассира, работника конвейера, почтальона и др. Однако появляются новые профессии, подразумевающие более интеллектуальные виды деятельности и творческий, нестандартный, аналитический подход к решению повседневных задач.

При этом с безопасностью автоматизированных процессов все ясно: тот, кто занимается автоматизацией, несет ответственность и за возможные сбои в работе. В отношении новых профессий и процессов дело обстоит сложнее. С одной стороны – это люди и связанный с ними «человеческий фактор», с другой – компьютеры, высокотехнологичные приборы, автоматизированные среды (такие как «умный дом/офис»), в которых используются системы СКУД, контроля над активностью и пр. Так кто же должен отвечать за людей, за их безопасность, «безвредность» и сбои в работе? И насколько поддается автоматизации безопасность рабочего места, если с ним связана деятельность человека?

Связь, которой нет

Стала модной модель работы ИБ-структур компаний по аналогии с иммунитетом человека: если в «организм» попадает новая «инфекция», он «перебаливает», возникает понимание того, как именно «инфекция» работает и приносит вред, принимаются меры по его минимизации, происходит восстановление «организма», создаются новые «лекарства», позволяющие не допустить повторения «заболевания», разработанные «вакцины» раздают другим заинтересованным сторонам. Это – довольно простой, автоматизированный, а главное, естественный процесс. В нем задействованы разные взаимосвязанные системы безопасности, которыми можно управлять (или наблюдать за их работой).

При этом системы ИБ зачастую воспринимают человека как вредоносный чужеродный элемент. Действия человека для них подобны незаживающей ране, через которую в «организм» компании проникают вредоносные вирусы, злоумышленники пытаются добраться до «внутренних органов». Можно сказать, что у автоматизированных СИБ имеется аллергия на неописанные и неавтоматизированные действия человека. Соответственно, реакция сотрудника на фишинговое письмо/звонок, попытки доступа к чувствительной для компании информации, установка стороннего ПО и другие раздражители вызывают ответные действия «иммунной» системы безопасности.

Проблема состоит в том, что в современных системах ИБ отсутствует связь между человеком и машиной. Мы пока не научились «сшивать» наши программно-аппаратные ИБ-системы с «живой тканью», но уже делаем первые шаги в данном направлении. Среди них – обучение сотрудников компаний основам ИБ и тому, как не стать жертвами фишинга, контроль над личной информацией и активностью сотрудников с корректировкой их действий, использование паролей и аутентификации, правил работы с электронной почтой, соблюдения конфиденциальности и коммерческой тайны, контроль над посещаемыми сотрудниками сайтами, используемыми программами, коммуникациями (внутри и во вне компании), сбор и анализ статистики использования ресурсов, анализ соответствия действий сотрудников политике компании и пр.

Следуя этим простым правилам, можно воздействовать на сотрудников и элементы ИБ-системы для достижения симбиоза человека и машины. Глубокая интеграция человека в систему ИБ обеспечивает появление дополнительного «агента защиты» – высокоинтеллектуального и наделенного гибкими аналитическими способностями. Правда, любой агент, будь то антивирус или сотрудник, нуждается в своевременном «обновлении». И если с антивирусом справится АС, то с человеком – только другой человек.

Комплексный подход к защите информации позволяет выявить проблемы, дать рекомендации, сформулировать требования к защите информации и предложить решение – не только программно-аппаратное, но и организационно-правовое. Для реализации проекта инженера и руководителя проекта недостаточно – заказчику и исполнителю необходимо сформировать команды, в которые войдут технари, аналитики, эксперты и представители бизнеса.

ИБ Вендоры против ИБ

Политика многих производителей средств защиты информации нацелена лишь на действия в рамках имеющихся бюджетов заказчиков. Вендоры не ориентированы на разъяснительную работу, не проводят обучающих мероприятий и не доносят до конечного потребителя, бизнеса, простую мысль: современные реалии требуют увеличения затрат на ИБ. Основное преимущество, фигурирующее в рекламных материалах, – возможность полной автоматизации процессов ИБ, завязывания их на одного человека и дальнейшего сокращения ИБ-службы. Еще одна маркетинговая уловка – симплификация ИБ в глазах пользователя. Если в правом нижнем углу экрана моего компьютера находится определенный значок, то все в порядке, я защищен, и можно спокойно отключить мозг. Ну а если действие программы закончится, надо будет просто заплатить за еще один год «безопасной» жизни.

Вендорам нет дела до реалий вашей ИБ и вашего бизнеса! Так пусть они соревнуются в своих нишах, а мы получаем все более мощные сетевые экраны, антивирусы, IPS, SIEM, WAF и т.д. А интегрировать автоматизированные системы с человеком будут уже совсем другие компании – те, которые сделали ставку не на замещение людей технологиями, а на их объединение.

Тэги: 
Оцените материал:
Total votes: 86

Другие статьи
Поделиться:
 
 
Комментарии в Facebook
 

Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.