Персонал — главная угроза для информационной безопасности компаний. Так считают руководители крупнейших российских предприятий, таких как «Роснефть», ВТБ и РЖД. Свыше 100 управленцев опросили эксперты университета Иннополис. Также в список главных проблем информационной безопасности российские топ-менеджеры отнесли возможную деятельность иностранных правительств и компаний. Генеральный директор InfoWatch Наталья Касперская ответила на вопросы ведущей «Коммерсантъ FM» Натальи Ждановой.
Фото: Олег Харсеев, Коммерсантъ
— Человеческий фактор — такую пресловутую причину назвали руководители крупнейших компаний. Насколько он действительно существенный и как часто представители бизнеса на это жалуются?
— Это действительно серьезный фактор. По нашим оценкам, примерно 70% угроз утечек конфиденциальной информации идет именно от сотрудников компаний, то есть вызваны внутренними факторами.
— Это злонамеренные какие-то вещи? В чем это проявляется, или это случайности?
— По-разному. Количество инцидентов я бы оценила пополам — половина злонамеренных, половина случайных, вызванных некомпетентностью персонала или какими-то неумышленными действиями, непродуманными.
— Это касается всех сотрудников или все-таки в основном люди, которые имеют доступ к какой-то информации, здесь имеются в виду, менеджеры хотя бы среднего звена?
— Утечки, естественно, происходят от любой категории сотрудников, но ущерб значительнее будет от тех, кто имеет доступ высокого уровня. Они, кстати, реже совершают ошибки, и у них чаще идут утечки умышленного характера.
— Наталья Ивановна, в целом, что происходит с динамикой? Характер таких утечек сейчас преобладает, или все-таки на одном уровне в течение последних лет это остается? Человеческий фактор как бы держится в топах, но при этом показатель не меняется?
— К сожалению, человеческий фактор в безопасности всегда лидирует.
— То есть за последние годы вы не заметили какого-то резкого увеличения утечек, связанных именно с людьми?
— Все утечки связаны с людьми, это всегда только человеческий фактор. Бывают, конечно, какие-то механистические способы, но, как правило, это либо кому-то нужно, либо человек что-то недодумал, то есть это исключительно человеческий фактор.
— Есть какие-то адекватные способы защиты, не перекроешь же всем доступ в корпоративную электронную почту или использование мессенджеров не запретишь, какие существуют механизмы?
— Безусловно, во-первых, необходимо начинать всегда с организационных мер, то есть необходимо понять, какая информация будет защищаться и каким образом, разделить эту информацию на категории. Информация, которая попадает в первую категорию, то есть наиболее важная, должна защищаться какими-то более серьезными способами. Если информация менее значимая — меньше. Дальше используются технические способы, есть системы защиты от утечек, которые перехватывают информацию, анализируют ее и блокируют, не давая возможности утечь информации ограниченного доступа.
— То есть это комплексная масштабная работа, и она должна вестись по всем фронтам?
— Конечно.
— А вы лично в своей компании сталкивались с такими проблемами, были такие сотрудники, от которых информация вовне исходила?
— Вы имеете в виду внутри нашей компании?
— Да.
— Бывали такие случаи, да. Мы хоть и работаем в этой области сами, тем не менее, такие случаи бывали.
— А ваш личный рецепт как-то отличается от универсального, как вы боролись с утечками?
— Мне кажется, что среди мер, помимо мер чисто безопасности, нужно еще использовать и воспитательные методы, то есть больше доверять сотрудникам, создавать климат в коллективе такой, чтобы не хотелось ничего воровать, красть или еще что-то делать нехорошее.