Нам ИБ не по карману, но ИБ нам по плечу

На западе сотрудников отделов безопасности не сильно балуют, а в нашей стране, пожалуй, любой безопасник, не кривя душой, может посетовать на то, что бюджета ему выделяют мало. Но не зря ведь существует пресловутый национальный менталитет…

Менталитет, вообще, замечательная штука: едва ли в какой-либо другой стране мира можно услышать сказку про кашу из топора. Ведь вовсе не обязательно вывалить огромные деньги на громоздкие, трудноинтегрируемые системы, когда самые простые и, казалось бы, очевидные каналы утечек персональных данных остаются не перекрыты. Автор материала решил предложить свой рецепт этого замечательного национального блюда, ведь каша из топора при правильном приготовлении зачастую может даже ни в чем не уступать заморским харчам.

Пароль – всему голова.

Пароль – это alma matter информационной безопасности, но даже несмотря на то, что о парольной политике не сказал только ленивый, все равно остаются индивиды, которые упорно не слышат настойчивых увещеваний. Поэтому стоит повторить. Примем за аксиому, что «ужасы» в виде паролей, записанных на листик и «надёжно» спрятанных под клавиатуру, побеждены. Следующим этапом будет отучение пользователей от «вредной привычки» сохранять пароли в штатном браузерском менеджере. Можно действовать наглядно, то есть, показать работнику, как легко «увести» его пароли.

Разберём способ на примере Opera. С машины сотрудника добываем файл под названием wand.dat (именно в нём браузер хранит пароли в зашифрованном виде). Затем идём на просторы Интернета в поиске бесплатной утилиты Unwand. Натравливаем её на файл и демонстрируем пользователю результаты. Как правило, понимание собственной неправоты к ним (пользователям – прим.ред.) приходит быстро. Конечно, только если это не клинический случай.

В идеальной ситуации корпоративные пароли должны быть криптостойкими и легко рифмуемыми. К примеру, «7*?rinG№THE_&&&BELL» и «kGOsdk*!@TO#$%&HELL» - настоящая поэзия безопасности. Однако не секрет, что пользователь вряд ли сможет запомнить больше одного такого «шедевра». На помощь придут сторонние «менеджеры паролей». В Сети их можно найти великое множество, как платных, так и бесплатных. Используя менеджер паролей, сотруднику будет необходимо помнить лишь один действительно сложный мастер-пароль от хранилища.

Что касается BYOD (bring your own device), то концепция «принеси своё собственное устройство» успела стать настоящей головной болью для служб ИБ. По большей части из-за того, что заставить работника соблюдать корпоративные стандарты безопасности при работе с этими девайсами нельзя – только уговорить, а уговариваются наши люди плохо. Тем не менее, начиная выстраивать безопасность своими силами, первым делом необходимо проработать пресловутый «парольный вопрос» и на мобильных устройствах...

Материал полностью читайте в №10 (51) журнала «Персональные данные»