Информационная безопасность в мобильный век

Информационная безопасность или удобство пользования? Как согласовать эти взаимоисключающие требования? Сделать это нелегко, так как разные специалисты по-разному оценивают значение этих двух факторов.

Поставщики решений для информационной безопасности утверждают, что пекутся об интересах пользователей, но сами пользователи вовсе не считают безопасность такой уж необходимой. Наоборот, по их мнению, системы информационной безопасности только мешают "нормально работать". И до тех пор, пока приверженцы информационной безопасности не войдут в положение конечного пользователя, им не удастся ускорить распространение своих систем.

Нигде вопрос безопасности не стоит так остро, как в области мобильной связи, ибо загруженные делами люди хотят получать доступ к контенту и услугам с максимальной легкостью, скоростью и минимальными затруднениями. "Чем бы ни занимался мобильный пользователь: банковскими операциями или работой в "Фейсбук (Запрещенная в РФ организация)е", - он совершенно не думает об информационной безопасности, - говорит Адриан Дэвис (Adrian Davis), главный исследователь-аналитик Форума информационной безопасности (британская независимая некоммерческая организация, занимающаяся консалтингом по всем вопросам защиты информации). - Его гораздо больше интересует расширение функциональности смартфона. Кроме того, многие полагают, что покупки в онлайновом магазине по национальной сети надежно защищены по определению".

Поколения, выросшие с "Амазоном" и онлайновыми банковскими услугами, привыкли доверять Интернету. Поэтому, они, несмотря на постоянные предупреждения, передавают конфиденциальную информацию и по мобильным сетям. В результате на операторов связи и производителей устройств ложится огромная ответственность за защиту информации при сохранении удобства пользования.

На работе, говорит Адриан Дэвис, пользователи еще меньше думают об информационной безопасности. Более того, меры безопасности рассматриваются ими как помеха, снижающая производительность труда, особенно, если сотрудник хочет работать с конфиденциальными данными в удаленном режиме. Для этого сотруднику, как правило, приходится пользоваться корпоративным мобильным компьютером и безопасным соединением VPN, доступ к которому предоставляется с помощью сложного пароля, имеющего ограниченный срок действия. "Все эти меры рассматриваются пользователями как досадное неудобство, мешающее работе", - замечает Дэвис.

Поэтому-то разработчики решений для информационной безопасности и пытаются сделать так, чтобы для доступа к базовым корпоративным системам пользователю приходилось вводить как можно меньше идентификационных данных. Современные решения для управления идентификацией и создания единой точки входа в корпоративную систему (single sign-on) заставляют пользователя вводить пароль всего лишь один раз, предоставляя ему после этого доступ ко всем необходимым ресурсам. Такой подход все чаще применяется в Интернете, где сайты начинают лучше взаимодействовать друг с другом.

Еще один способ расширить свободу действий конечного пользователя состоит в автоматическом определении индивидуальных прав доступа в зависимости от имени, должности и местоположения. "Очень важно предоставлять разным пользователям разные уровни безопасности, - утверждает Боб Тарзи (Bob Tarzey), один из руководителей британской аналитической компании Quocirca. - К примеру, компания вполне может ограничить права доступа операторам колл-центра, поскольку те работают с ограниченным числом приложений. Но если кто-то захочет ограничить права доступа продавцам, которые постоянно находятся в разъездах и работают на компанию не покладая рук по 15 часов в день, это будет совершенно неразумным шагом и ничего, кроме вреда, не принесет".

Другой подход состоит во внедрении гибкого управления безопасностью с учетом контекста и с использованием современных систем предотвращения потери данных (Data Loss Prevention, DLP). "Если я захочу скопировать конфиденциальные данные о заказчике на мобильное устройство, система заблокирует эту попытку. Вместе с тем скачать электронную таблицу Excel или документ в формате Word я смогу без ограничений", - отмечает Боб Тарзи.

Так или иначе, если мы пытаемся скрыть от конечного пользователя функции безопасности без ущерба для защиты конфиденциальных данных, задача от этого не становится легче – она просто «заметается под ковер». А это, в свою очередь, требует более тесного взаимодействия между производителями устройств, разработчиками программного обеспечения и сетевыми специалистами. Такое взаимодействие поможет создать более интегрированный, многоуровневый подход к информационной безопасности, который будет реализован не только на уровне сети, но и на уровнях устройств, приложений и данных. По мнению Фрэнка Стаджано (Frank Stajano), старшего исследователя по вопросам информационной безопасности из Кембриджского университета, специалисты по информационной безопасности должны научиться понимать конечных пользователей: "Разработчик наивно полагающий, будто он может заставить пользователя действовать неестественным для человека образом, лишь оттолкнет от себя пользователей и никогда не добьется желаемой цели".