"Итеранет" ищет утечки в соцсетях

Согласно исследованию компании "Итеранет", из всех утечек конфиденциальной информации, произошедших в 2013 г., обнаружено было лишь 15%, еще меньше – зафиксировано. Эффективным способом борьбы с утечками, помимо усиления безопасности корпоративной сети, эксперты считают мониторинг интернет-ресурсов.

Такие данные привел вчера заместитель директора по развитию бизнеса ООО "Итеранет" Илья Отчерцов на пресс-конференции в Москве. По его словам, исследование основывалось на 70 интервью с руководителями и представителями служб безопасности крупных, средних и малых предприятий и госучреждений России. Из них 12 респондентов представляли госсектор, 9 – крупные корпорации, а остальные  49 – средние и мелкие предприятия.

Согласно полученным данным, в 2012 г. в России совершено 1497 утечек, при этом открытые источники сообщили только о 75. На июнь 2013 г. зафиксировано 47 утечек, однако "Итеранет" оценивает реальное число в 735 случаев. Компания прогнозирует, что до конца года общее количество инцидентов достигнет 1470, а количество публично оглашенных – 94.

Таким образом, число обнаруженных утечек составляет 10–15% от общего количества, а число зафиксированных  – 3,5–6%. При этом "Итеранет" подчеркивает, что количество утечек по электронным каналам (электронная почта, USB-носители, принтеры) растет (со 112 в июне 2012 г. до 132 за аналогичный период 2013 г.), а по "бумажным" – падает (с 217 до 198).

Продолжает расти и количество умышленных утечек в России. Если в 2012 г. они составляли 77%, то в нынешнем году, по данным "Итеранета", наблюдается их прирост и прогнозируется увеличение до 80%. Мировая практика при этом показывает примерный баланс между случайными и умышленными утечками - 50/50.

Государственных утечек на июнь 2013 г. оказалось больше, чем коммерческих – 59% против 43%. При этом ущерб, наносимый российским компаниям и предприятиям, аналитики оценили не менее чем в $20 млрд в год.

В связи с этим технический директор "Итеранет" Алексей Дорофеев отметил, что необходимо не только выстраивать систему корпоративной безопасности, но и проводить мониторинг источников, где можно разместить конфиденциальную информацию – в частности, блогов и социальных сетей.

Отношение пользователей Интернета к методам борьбы с утечками оказалось своеобразным. В ходе соответствующего исследования компанией было опрошено 300 человек в возрасте от 18 до 60 лет. Структура выборки не раскрывается, однако Илья Отчерцов уточнил, что в ее составлении участвовали специалисты-социологи.

Большинство респондентов негативно воспринимают идею мониторинга соцсетей и блогосферы: 57% высказались против, 34% это безразлично и лишь 9% поддерживают идею. Однако если человека спрашивают о защите от утечки личной информации нефинансового характера, то его реакция меняется. 62% заявляют, что такие меры требуются, 31% равнодушны к ним, а протестуют только 7%. Наконец, пункт о защите личной и финансовой информации вызывает почти полное единодушие опрошенных: 84% высказываются за, 13% безразличны, и лишь 3% не согласны с такой мерой.

Комментируя эти данные, Отчерцов заметил, что пользователи российского Интернета недооценивают опасность утечек. "Мы видим отношение к мониторингу как к возможности получить персональные данные людей", - пояснил он. В то же время участники опроса выступают за защиту данных, которую сложно обеспечить без проведения соответствующего мониторинга.

"Риск утечек через каналы социальных медиа, безусловно, существует, – соглашается представитель пресс-службы группы компаний InfoWatch. – Однако сам по себе интернет-мониторинг не может быть услугой в законченном виде, поскольку заказчику важно получить не просто список упоминаний его компании или имени на просторах Сети, а готовую достоверную аналитику, представленную в удобном и наглядном виде".

В то же время собеседник ComNews отметил, что без полной версии отчета трудно понять, какая методология использовалась для того, чтобы определить количество незафиксированных утечек и оценить истинные масштабы проблемы. "Едва ли 70 компаний можно признать репрезентативной выборкой", - полагает он.

Руководитель направления информационной безопасности "МФИ Софт" Евгений Тетенькин напомнил, что мониторинг социальных сетей и блогосферы уже давно производится различными средствами, в том числе бесплатными и общедоступными. "В качестве поддержки системы защиты информации это полезная и необходимая мера, - убежден собеседник ComNews. – Но, конечно, ее нельзя рассматривать как инструмент борьбы с утечками информации без комплекса специализированных инструментов (DLP, шифрование и т.п.) и действенных политик информационной безопасности".

"Что касается выявления и фиксации инцидентов, то без DLP-систем это действительно сложно сделать, поэтому какие-либо разбирательства проводятся в единичных случаях, - подчеркивает Тетенькин. – Скорее всего, выявленные 15% относятся именно к этим единичным случаям, требующим особого внимания".

Заместитель генерального директора Zecurion Александр Ковалёв уточнил, что ручной мониторинг всего Интернета силами спецслужб или других организаций неэффективен без первичных фильтров в виде автоматизированных перехватчиков и анализаторов трафика. Если же речь идет о том, чтобы каждая компания внедрила DLP-системы и анализировала все, что сотрудники посылают за пределы корпоративной сети, это будет действительно эффективно, однако количество негативно настроенных сотрудников окажется чуть больше, чем в статистике "Итеранета". "При правильном подходе и толковании необходимости внедрения DLP-системы, по нашей статистике, больше 70% сотрудников реагируют более-менее позитивно", - уточнил представить Zecurion.

Ковалеву также показалась преувеличенной сумма ущерба в $20 млрд только для российских компаний. По его оценкам, она составляет чуть меньше 1 млрд. "При этом реальные цифры посчитать почти невозможно - все это "очень-очень экспертные" оценки, так как ни одна компания не раскрывает прямые затраты, да и тот же "негативный PR-эффект" посчитать с точностью до рубля нельзя", - объясняет менеджер.

По данным ежегодного доклада InfoWatch, в 2012 г. зафиксировано и обнародовано в СМИ 74 случая утечки. Из них 38% пришлось на госсектор, 47% - на коммерческие структуры. Утечки на бумажных носителях составили 28,4% от общего числа. Соотношение случайных и злонамеренных утечек – 18% на 77% (еще 5% не определено).

Аналогичный отчет Zecurion говорит о 36 случаях российских утечек "с ощутимым потенциальным ущербом" в 2012 г. Мировая статистика компании показывает, что на случайные утечки приходится 44,5% случаев, преднамеренные составляют 24,2%. Доля утечек на неэлектронных носителях в мире – 10,2%.