следующая тема »

[CyberCop]

Электронные носители - наиболее уязвимый канал незаконного изъятия конфиденциальной информации
Дата: 04.11.2004
Источник: crime-research.ru
Автор: Виктор Сабадаш

70-80% информации об объекте можно получить вполне законным способом, используя открытые источники: газеты, журналы и Интернет. Остаются востребованными и другие методы сбора информации, попадающие под определение «промышленный шпионаж», за который предусмотрена уголовная ответственность. В частности те, что предполагают несанкционированное вторжение в тайну переговоров, переписки, а также сбор охраняемой законом информации, отнюдь не в рамках оперативно-розыскной деятельности.

Наиболее уязвимый канал незаконного изъятия конфиденциальной информации – электронные носители. По мнению экспертов, 90% пользователей не имеют защиты от несанкционированного доступа в систему. В свою очередь, 90% пытающихся защититься от виртуального взлома, не могут определить, кто, сколько раз и с какой целью пытался получить доступ к их информации.

Особо опасна кража идентификационных данных, так как большинство преступников делают это либо из корыстных побуждений, либо для последующего сбора информации об организации. Материальный ущерб от преступности в сфере информационных технологий измеряется миллиардами долларов США и увеличивается из года в год. При этом ожидаемый рост финансовых потерь от преступных посягательств обусловлен не только и не столько увеличением количества электронных атак, сколько растущим масштабом использования сетевых информационных технологий в бизнесе. В условиях жесткой конкуренции компании вынуждены переводить большую часть своих бизнес-коммуникаций в Интернет, что без должного отношения к вопросам защиты информации делает их более уязвимыми для преступников.

В сложившихся условиях эффективное противодействие преступности в сфере информационных технологий возможно только при тесном взаимодействии правоохранительных органов, государственных, общественных и коммерческих структур. Не секрет, что значительная часть преступлений успешно пресекается сотрудниками милиции только благодаря сотрудничеству с компаниями-провайдерами, операторами радиотелефонной связи общего пользования, другими организациями и предприятия, действующими на информационном рынке. Однако многие организации, даже при установлении факта преступного посягательства предпочитают ограничиваться разрешением конфликта своими силами, поскольку их руководители опасаются подрыва своего авторитета в деловых кругах и, в результате, потери большого числа клиентов, раскрытия в ходе судебного разбирательства системы безопасности организации либо выявления собственной незаконной деятельности.

[Николай Николаевич Федотов]

учитывая то, что законодательства о сети Интернет в России нет как такового, приходится пользоваться аналогией права...

отсюда - некая компания производит и устанавливает в квартиры металлические двери...

Есть существенная разница между защитой своей собственной и защитой чужой информации. Тем более, не просто чужой, а персональных данных, которые предписано защищать в обязательном порядке. И только сертифицированными средствами.

Если провайдер предлагает своим клиентам лишь несертифицированные средства защиты, при этом подразумевается, что хранить под ними чужие персональные данные нельзя. А клиент об этом знает и всё равно хранит? Значит, он тоже виноват.

[Dmitry]

И только сертифицированными средствами.

Повторюсь, боюсь Вы выдаете желаемое за действительное. Возможно я ошибаюсь, но положения об обязательной сертификации средств и систем для обработки персональных данных ни в одном нормативном акте мне не встречалось, за исключением проекта закона "Об информации персонального характера", который пребывает в недрах Думы в зависшем состоянии лет уж, кажется, 6 или 7, если не больше.
Кстати, кто и как будет сертифицировать шкаф металлический несгораемый (сейф), в котором хранится бумажная картотека?

[Igor Michailov]

...В сложившихся условиях эффективное противодействие преступности в сфере информационных технологий возможно только при тесном взаимодействии правоохранительных органов, государственных, общественных и коммерческих структур...
 

Уважаемый CyberCop, по-моему упушена еще одна немаловажная структура - законотворческая,   , а без нее усилия практически всех других структур равны нулю.

[Igor Michailov]

Николай Николаевич, а кто , по вашему, проволит эту сертификацию и как называется этот сертификат?

[Dimon]

Николай Николаевич Федотов, я думаю, что "хранением" персональных данных и конфиденциальной информации "приходится" заниматься если не всем, то почти всем интернет-магазинам. Кроме того, интересно, можно ли сюда отнести еще и самые обычные форумы, включая этот? На некоторых таких форумах, кстати, принятым является то, что участники регистрируются под своими реальными именами.


Dmitry,
Не, Dimon'a "дрючить" не стоит.
Кстати, он данные собирал не втихоря от юзеров или даже знакомых. Анкета вывешивалась в открытом виде по открытому адресу, при заполнении анкеты, пользователю указывалось, что произойдет после нажатия соответствующих кнопок сайта, как будет использоваться предоставленная им информация и т.д.. Большую часть пунктов анкеты (включая телефоны) заполнять было не обязательно, только по желанию пользователя. Могу сказать, что многие из этих людей заполняли и другие анкеты, гораздо более подробная личная информация о них висит открыто в сети с их согласия, но этим уже не я занимался. Просто сложился определенный клуб, где люди друг другу доверяют и часто общаются в реале.

Более интересная тема - это сбор информации о юзере, которым занимаются компании, услугами которых он пользуется явно. У меня такое предупреждение "висит" на e-mail'е от Yahoo! И могу сказать, что если они сканируют электронную почту, которой я пользуюсь, то знают обо мне просто неприлично много. И не могу сказать, что я в восторге от этого. Только у Yahoo инфа об этом висит открыто. Боюсь, что если у нас занимаются тем же самым, то втихомолку и без каких-либо предупреждений.


Михаил Шабрашин, мне кажется, что аналогия не совсем корректная. Я предлагаю более красивую и романтичную (так когда-то начиналась моя "жизнь" в интернете, первые странички в смысле). Есть некий дом. Так как компания большая, есть скорее даже целый квартал домов, квартирами в которых владеет компания. Компания сдает эти квартиры различной планировки и комфорта своим клиентам (жителям), сдает за разную плату, исходя из уровня предоставляемых сервисов. После определенного срока, по желанию, клиент может продлить срок аренды или съехать. В последнем случае жилище освобождается и его/его ресурсы может использовать другой клиент. Квартиры изначально благоустроены и обладают определенными заданными характеристиками. Компания обеспечивает свет, воду, электричество, другие удобства и следит за тем, чтобы все это качественно работало. При всем при этом происходит примерно следующее, в квартиру к клиенту каким-то образом забираются посторонние люди (воры, провораторы, не важно). И выясняется, что эти люди попали туда не по той причине, что арендатор забыл запереть дверь, где-то потерял свой ключ или отдал его какому-то знакомому, не потому что он забыл закрыть окно или форточку перед уходом из дома. А потому, что ключ к его замку по халатности или злому умыслу компании-владельца квартала/домов получили третьи лица, причем вместе с этим ключом получили всю информацию об арендаторе, включая информацию о владении тем или иным имуществом (доменами), сроки аренды, информацию о платежах и паспортные данные. И пока речь даже не зашла о самом контенте (содержимом его квартиры) и хранившихся там "вещах" (включая "вещи" жены, детей, друзей, партнеров по бизнесу и т.п. - для интернета - это сответственно, могут также быть приватные данные о регистрации в интернет-магазине, на форуме и т.д.).

[Игорь Собецкий]

Повторюсь, боюсь Вы выдаете желаемое за действительное. Возможно я ошибаюсь, но положения об обязательной сертификации средств и систем для обработки персональных данных ни в одном нормативном акте мне не встречалось, за исключением проекта закона "Об информации персонального характера", который пребывает в недрах Думы в зависшем состоянии лет уж, кажется, 6 или 7, если не больше.

   К сожалению, Вы ошибаетесь. Рекомендую почитать федеральный Закон РФ "О лицензировании отдельных видов деятельности", а также ст. 13.11, 13.12 и 13.13 Кодекса РФ об административных правонарушениях. Там все достаточно подробно описано.
 

Кстати, кто и как будет сертифицировать шкаф металлический несгораемый (сейф), в котором хранится бумажная картотека?

   Как и всех остальных средств защиты информации - Федеральная служба по техническому и экспортному контролю, бывшая Гостехкомиссия при Президенте РФ. Для интересующихся - сайт этой достойной конторы - http://www.gostexkom.ru. Там подробно изложен порядок сертификации средств защиты от НСД.