Если на Западе самый большой ущерб компьютерным системам приносят хакеры, то в России наиболее актуальны другие проблемы — несовершенство законодательства, халатность сотрудников и банальный вандализм. А хакеры являются причиной лишь двух процентов инцидентов.
В конце прошлой недели в Москве состоялось сразу несколько мероприятий, посвященных изучению безопасности информационных систем. Свое глобальное исследование на эту тему представили специалисты компании KPMG. «Главная проблема заключается в том, что многие компании явно переоценивают средства, которые они используют для защиты информации, — говорит начальник департамента компании KPMG по управлению информационными рисками Сергей Татарченко. — Потратив сотни миллионов на внедрение систем безопасности, компании зачастую даже не удосуживаются провести проверку их эффективности».
Об уверенности в своих системах защиты заявили 96% респондентов опроса KPMG. Однако после уточняющих вопросов выяснилось, что только 35% компаний проверили работоспособность систем безопасности на деле, а 52% не имеют систем обнаружения хакерских вторжений. Итог — средняя величина прямых убытков опрошенных компаний из-за нарушений информационной безопасности составила $108 000.
Главными опасностями для информационных систем, согласно данным KPMG, остаются компьютерные вирусы и хакерские атаки. Самый большой ущерб одной из компаний-респондентов — более $10 млн — нанес так называемый почтовый вирус, попавший в корпоративную систему электронной почты. Некоторые компании страдают вовсе не из-за действий злоумышленников, а из-за банального несовершенства техники — например, почти 12% компаний потерпели значительные убытки из-за технических сбоев в критически важных информационных системах.
Совершенно иного взгляда на проблему придерживаются российские специалисты. По словам заместителя руководителя департамента информатизации Минсвязи Ивана Курносова, в России лишь около 2% инцидентов связаны с хакерскими атаками со стороны, тогда как большая часть всех опасных вторжений в информационные системы исходит от самих сотрудников компаний. Из них около 55% случаев связано с ошибками персонала, а 25% — с недобросовестностью сотрудников. Эта информация была обнародована на конференции Ассоциации документальной электросвязи (АДЭ) , посвященной безопасности информационных технологий.
Другая насущная российская проблема — отсутствие законов, направленных против многих видов компьютерных преступлений. «В нашем законодательстве нет никаких указаний на незаконность спама», — сетует консультант комитета по безопасности Госдумы Елена Волчинская. Даже опасные атаки, основанные на искусственной перегрузке сервера путем «заваливания» его ложными запросами с различных компьютеров, не содержат по российскому законодательству состава преступления. Тем временем за рубежом DDoS-атаки (от англ. Distributed Denial of Service) считаются одним из самых распространенных и опасных видов компьютерных преступлений.
Как рассказал «Ведомостям» замначальника управления безопасности Минсвязи Александр Сундуков, сейчас в АДЭ готовится «Концепция информационной безопасности», которая будет развивать положения президентской «Доктрины информационной безопасности» применительно к телекоммуникационным сетям. Сундуков ожидает, что документ будет принят уже в этом году.
«Концепция информационной безопасности» практически не касается проблем защиты телекоммуникационных систем техническими средствами. Тем временем, по словам одного из разработчиков концепции, директора по телекоммуникациям казанской компании «ICL — КПО ВС» Азата Ярмухаметова, по российской статистике, наибольшую угрозу для телекоммуникационной инфраструктуры представляют экскаваторы и прочая техника, повреждающая линии связи, а также вандалы — люди, ворующие дорогостоящий кабель и сдающие его на металлолом.