Путь разведчика
Информационные технологии, без которых даже полковник Исаев не сможет обеспечить безопасность вашей компании.
Когда-то героя саги про разведчика Штирлица опечалила весть о том, что все – под колпаком у Мюллера. Сегодня цифровая трансформация развернула ситуацию на сто восемьдесят градусов: бизнес оказался под колпаком у «нашего человека» – директора по безопасности. И такое положение дел внушает всем чувство защищенности и спокойствия. Один только корпоративный Максим Максимович Исаев знает, каких усилий это стоит его департаменту.
Защита информации: «Вы обязаны сжечь это письмо еще до того, как успеете отстегнуть лямки парашюта»
Ключевой принцип полковника Исаева – «легенда» должна быть безукоризненной: потребители, партнеры, сотрудники, регуляторы и надзорные службы будут знать только то, что им положено. Святая святых современного бизнеса – персональные данные и корпоративная информация. Сегодня директор по безопасности может выбирать такие ИТ-решения, которые обеспечат защиту конфиденциальности и целостности данных компании, их оперативную доступность для сотрудников и надежность хранения.
Например, в финансовой компании «Росно» для защиты персональных данных клиентов внедрено ИТ-решение, которое включает ПО Oracle Identity Manager, интегрированное с БОСС-Кадровиком, а также другими информационным и целевыми системами. Решение охватывает управление учетными записями и группами доступа в наиболее важных бизнес-системах компании, а разработанный дополнительно веб-сервис централизованной аутентификации для Oracle Access Manager 11g позволил охватить приложения, которые не являются веб-ориентированными.
Современные ИТ-решения дают в руки директора по безопасности удобные возможности для защищенной поддержки работы мобильных сотрудников. Так, 2500 работников крупнейшего производственного предприятия, занимающегося выпуском сложной техники, получили безопасный доступ к основным корпоративным приложениям с мобильных устройств. Их права строго разграничены, дополнительно обеспечивается конфиденциальность данных при передаче их через интернет.
Также нельзя забывать о том, насколько важно гарантировать непрерывность бизнеса. Для этого стоит, в частности, провести аудит основных ИТ-систем, который позволит проанализировать надежность хранения данных и стабильность доступа к ним. Так сделал «Регистратор Р.О.С.Т.» – ведущая российская компания, работающая на рынке ценных бумаг. Выяснилось, что в случае выхода из строя ее центрального офиса реестры клиентов (акционеров более чем 7800 компаний) останутся надежно защищенными, а сроки выполнения операций в них будут соответствовать требованиям законодательства. Рекомендации аудиторов, полученные в процессе проверки, «Регистратор Р.О.С.Т.» использовал для дальнейшего совершенствования защиты своих ИТ-cистем, а также для разработки комплекса действий по восстановлению деятельности других подразделений при возникновении чрезвычайных ситуаций.
Необходимо позаботиться и о том, чтобы у компании имелся план восстановления после аварии (Disaster Recovery Plan, DRP), то есть описание действий сотрудников на случай ситуации, когда программное обеспечение или оборудование полностью неисправно в течение длительного периода времени. Например, процессинговая компания «МультиКарта» в рамках внедрения Системы Управления Непрерывностью Бизнеса (СУНБ) разработала порядки действий при возникновении негативных влияний на ее деятельность, создала планы кризисного управления и восстановления работоспособности бизнес-сервисов.
Борьба с мошенничеством: «Верить в наше время нельзя никому, порой даже самому себе»
Постоянная головная боль директора по безопасности – противодействие мошенничеству, которое может угрожать компании как извне, так и изнутри. Основной метод работы с такими рисками – проактивный аудит, который информирует службу безопасности о совершении подозрительных действий на ранних стадиях активности такого рода.
Так, один иностранный банк, располагающий несколькими филиалами в Москве, создал защищенную сетевую инфраструктуру, используя принцип сегментирования корпоративной сети. Для групп сотрудников, включенных в различные сегменты, описаны разные правила доступа к конфиденциальной финансовой информации, что исключает возможность несанкционированного входа в закрытые системы банка. Для усиления безопасности каждый сегмент снабжен межсетевым экраном, что дает возможность блокировать приложения, запрещенные корпоративной политикой, а также выявлять и ограничивать вход и выход нелегитимного трафика за периметр сети. Имеются и специализированные ИТ-решения, которые защищают сервер компании от DDoS-атак, то есть не допускают остановку работы сайта и клиентских приложений.
Сегодня одним из наиболее эффективных вариантов комплексной защиты считается размещение ИТ-инфраструктуры компании в облаке провайдера, что дает тройной эффект: гибкость бизнес-процессов, безопасность корпоративных сервисов и оптимальное соотношение цена – результат.
При размещении основных бизнес-процессов в арендуемом облаке компания имеет возможность управлять как жизненным циклом услуг, так и защитой, в частности с помощью системы сетевой безопасности, а также средств федеративной аутентификации и антивирусной защиты, сервисов защиты от стандартных (утечки данных, сетевые атаки) и специфических облачных угроз. Например, ряд производственных компаний, размещенных в облаке, используют сервисы Центра управления безопасностью в арендованной инфраструктуре, сокращая тем самым стоимость систем защиты и одновременно наращивая их надежность.
Обеспечение физической безопасности: «Штирлиц идет по коридору. По какому коридору? По нашему коридору»
Наряду с информационными угрозами актуальным вопросом остается физическая безопасность и предотвращение аварий. Более того, стремительная информатизация предприятий приводит к появлению новых рисков.
Современные комплексные системы безопасности препятствуют несанкционированному проникновению в служебные помещения, а также собирают в единое информационное пространство специализированные решения физической безопасности: управление входными турникетами и металлоискателями, распознавание лиц, охранное телевидение и видеонаблюдение, контроль доступа и охранно-тревожную сигнализацию и т.д. Особый класс составляют решения для обеспечения безопасности спортивно-зрелищных объектов с большим количеством посетителей, а также умные системы видеоаналитики, распознавания лиц и номеров (автомобилей, контейнеров и т.д.).
Так, в офисе одной добывающей компании установлены турникеты с поддержкой технологии 3D-распознавания лиц – она мгновенно узнает человека по его биометрическим параметрам. Работа системы контроля доступа на территорию включает два этапа: считывающее устройство турникета анализирует карту-пропуск, а затем производит сравнение лица с шаблоном из базы данных.
Высокотехнологичное видеонаблюдение внедрено в Центральном операторном пункте (ЦОП) комбината «Апатит» группы компаний «ФосАгро» в Мурманской области. Оно успешно работает с видеоизображениями, полученными из точек с повышенным уровнем шума или запыленности. Благодаря ему предприятие смогло отказаться от регулярных обходов, а контроль над процессами, персоналом и безопасностью всех цехов теперь ведется онлайн, обеспечивая мониторинг состояния инженерных систем и оборудования, а также своевременное оповещение о тревожных и аварийных ситуациях.
В крупной нефтегазовой компании внедрена централизованная система противоаварийной автоматики нового поколения, в которой в качестве центрального звена используются не программируемые логические контроллеры, а система более высокого уровня. Она реализует алгоритмы защиты нефтепровода в случае утечки, превышения допустимого давления нефти или выхода на запрещенный режим работы. Это дает возможность резко снизить значение человеческого фактора в принятии решений при возникновении предаварийных и аварийных ситуаций.
Наличие ИТ-системы, которая включает заранее прописанные ситуации и сценарии действий, позволяет не только повысить эффективность наблюдения за текущими процессами, но и обучать сотрудников, например, правильному поведению в нештатных ситуациях. Использование для обучения 3D-моделей сложных объектов и агрегатов трудно переоценить, если реальный объект расположен далеко и, возможно, в труднодоступном месте.
Как разведчик Штирлиц, директор по безопасности должен знать все «легенды», явки и пароли, предугадывать возможные ходы злоумышленников и конкурентов. Хорошо, что сегодня у него есть ИТ-решения, которые освобождают голову от рутинных задач, позволяя сосредоточиться на главном – стратегических мерах, обеспечивающих безопасность бизнеса. В этом корпоративного Макса Отто фон Штирлица не сможет заменить никакая ИТ-система.