Контракти.ua

В прошлой статье «Сисадминистрация предупреждает» были приведены почти два десятка способов, которыми недовольные сотрудники IT-подразделения могут навредить своему работодателю. Однако многие из описанных приемов диверсионной деятельности возможны только в том случае, когда собственник предприятия пренебрегает элементарными правилами безопасности. В то же время, если в компании структура IT-отдела выстроена грамотно, права и обязанности системных администраторов формализованы, при этом создана система дублирующей или перекрестной ответственности, вероятность совершения компьютерщиком эффективной диверсии значительно снижается. Мы попросили самих системных администраторов и специалистов по безопасности бизнеса рассказать о возможных мерах предотвращения диверсий и оценить эффективность этих мероприятий.

 

Григорий ГАВРЫШ, управляющий партнер компании ULTIMA THULE

— Главная особенность системных администраторов как сотрудников предприятия — практически неограниченный доступ ко всей информации, хранящейся в компании в электронном виде. При этом вопрос защиты от сисадмина — это в первую очередь выстраивание отношений с ним, т. е. вопроса управленческой культуры и лояльности. Тем не менее своим клиентам мы рекомендуем сначала позаботиться о составлении надлежащей документации, которая устанавливает статус информации и режим работы с ней. В состав этих документов также входит пакет бумаг о конфиденциальной информации и коммерческой тайне (положение, режим обращения, договоры о неразглашении, перечни сведений и номенклатура должностей). Эти документы в свою очередь должны быть определенным образом введены в действие. Хотя в отечественном нормативном поле довольно сложно привлечь сотрудника к ответственности за разглашение конфиденциальных сведений, тем не менее эта мера работает как дисциплинирующая. По возможности нанесения ущерба предприятию админы входят в группу риска и являются теми сотрудниками, которым в первую очередь должен быть разъяснен статус значимой информации, режим ее обращения в компании, а также санкции за разглашение конфиденциальных сведений. Причем системного администратора обязательно следует включать в рабочую группу, которая разрабатывает пакет документов по конфиденциальной информации и коммерческой тайне.

Следует помнить, что IT-шник в компании — это одна из персон повышенного оперативного интереса со стороны третьих лиц. Поэтому с ним следует проводить отдельную разъяснительную работу, показывая, каким образом заинтересованные персоны могут попытаться привлечь его к сотрудничеству либо получить сведения «втемную». Практика показывает, что уже простое знание ключевым сотрудником основных вербовочных подходов значительно снижает их успешность. При этом надо быть крайне осторожными со всякого рода провокациями и проверками со стороны СБ. Отношения с администратором следует строить прежде всего на доверии и уважении, поскольку такие работники по большей части интроверты и склонны к рефлексии.

Еще одна проблема — нередко системные администраторы увлечены различными он-лайновыми играми (MMORPG), на манер LineAge, World of Warcraft, Бойцовский клуб и т. д. Вроде бы и безобидное увлечение, но сейчас для активной игры в MMORPG требуются немалые средства (подробнее смотри «Подсесть на игру», Контракты, № 23, 2007, стр.50-53). Практически все эксперты по безопасности рекомендуют немедленно избавляться от сотрудников, «заболевших» игроманией, правда, имея в виду при этом азартные игры в казино. Увлеченные люди постоянно нуждаются в деньгах и готовы если не на все, то на многое, чтобы удовлетворить свою страсть к игре. Хотя принципиальных различий между казино и он-лайновыми играми нет — в обоих случаях требуется постоянно тратить деньги. Вместе с тем прямой запрет админу играть на работе окажется не эффективным — тот либо найдет способ обойти запрет, либо станет играть дома. Так что риск все равно остается. Единственный выход — вычислить игрового героя IT-шника и мониторить его продвижение («раскрутку»), контролируя резкие скачки, связанные с вложением денег в игру.

Тем не менее большинство системных администраторов, с которыми мне доводилось общаться, по психотипу относятся скорее к консерваторам. Без веских причин они не пойдут на продажу информации или откровенное вредительство. Большинство потенциальных проблем, которые могут доставить компьютерщики, решается с помощью оперативной психологии: ненавязчивого надзора за их работой, мониторинга личных и семейных потребностей (грубо говоря, на что могут внезапно потребоваться крупные суммы денег), отношений с коллективом и искренней своевременной помощи в ситуациях, когда она требуется. В общем, я уверен, что это наиболее эффективный метод противодействия, поскольку большинство технических способов защиты грамотный IT-шник сможет обойти.

 

Николай ФЕДЧИК, частный предприниматель, специалист по безопасности компьютерных сетей

— Большинство конфликтов между работодателем и сотрудниками IT-подразделения возникает из-за того, что сами компьютерщики не могут объяснить бизнесмену необходимость своего присутствия в компании и показать экономический эффект своей работы. При этом многие системные администраторы считают себя незаменимыми работниками и уверены в своей исключительной полезности, на основании чего и просят поднять зарплату. Но столкнувшись с просьбой доказать экономическую выгоду от их деятельности, теряются и не знают, что сказать. Наиболее распространенный ответ: «Вот сейчас сетку уроню, тогда увидите». Вместе с тем компьютерный отдел — лишь одно из подразделений компании, и его существование должно быть экономически оправдано. То есть администратор, желающий повышения оклада, должен подготовиться к разговору с собственником. Бизнесмены лучше всего понимают, когда с ними говорят на понятном им языке, следовательно, админ должен в цифрах, таблицах и графиках показать свою необходимость. Если ему это удается, то о саботаже со стороны компьютерщика можно не беспокоиться.

Я считаю, что вероятность нанесения вреда собственной компании сотрудником IT-подразделения сильно преувеличена. Чтобы сисадмин решился на диверсию, нужны очень серьезные основания. Чаще всего он готов отомстить уволившей его компании, особенно если расставание сопровождалось скандалом. В таком случае у него действительно есть внутренний мотив, и моральные преграды его не сдерживают. Поэтому увольнять компьютерщика следует аккуратно, не допуская конфликтных ситуаций и обиды на руководство. В первую очередь, едва принято решение попрощаться с IT-шником, нужно отстранить его от оперативной работы с базами данных, перепоручив этот участок работы другому администратору. Таким образом, уходящий работник уже не сможет модифицировать или уничтожить информацию в БД и навредить компании. Второй шаг — передача паролей и кодов доступа к программам. Третий — уничтожение учетной записи увольняющегося пользователя. Таким образом увольняемый специалист лишается доступа к базам данных и не сможет навредить компании.

По моему мнению, именно при передаче дел от системного администратора преемнику необходимо особое внимание. Вступающий в должность IT-шник обязан провести мониторинг пользователей, вычислить «мертвые души» (пользователей, уже ушедших из компании или фиктивные записи), отсортировать все учетные записи по правам доступа и вычислить, кому необоснованно предоставлены слишком широкие полномочия. Отдельный пункт — изменение паролей ключевых пользователей и мониторинг внешних обращений к БД. Не исключено, что именно по одному из этих путей уволенный сисадмин попытается получить доступ к базам данных.

Еще одна возможность минимизировать риск нанесения вреда собственным админом — проведение периодического аудита работы IT-отдела. В Украине есть несколько компаний, в том числе и международных, оказывающих подобные услуги. В развернутом отчете, составленном проверяющими, будет отражено большинство нюансов работы компьютерщиков, уязвимые места и потенциальные горячие точки информационной системы предприятия. Данная информация может значительно облегчить построение системы компьютерной безопасности.

Наконец, для сопровождения ключевых программ и администрирования баз данных можно пригласить сторонних специалистов на условиях аутсорсинга. В таком случае сисадминам компании остается только техническая работа, не требующая особых прав доступа. Более того, в приглашении «варягов» есть и ряд преимуществ. Во-первых, сводится к минимуму личностный фактор — работников, руководство предприятия и пришлых специалистов связывают только служебные отношения. Во-вторых, все компании, предоставляющие аутсорсинговые услуги, дорожат репутацией и тщательно подбирают сотрудников. Следовательно, маловероятно, что такой специалист будет совершать диверсии. В-третьих, большинство аутсорсинговых агентств соглашается нести финансовую ответственность, если их сотрудник навредит компании-клиенту. В то же время нельзя исключать, что чужой работник умышленно или случайно разгласит конфиденциальную информацию, например, в общении с коллегами или друзьями.

 

Виктор ЛАМАЕВ, начальник службы техподдержки копании FreeHost

— По моему мнению, один из наиболее эффективных способов защиты от собственных администраторов — предоставление кому-то из руководящего персонала более высоких, чем у сисадминов, прав доступа. Иначе говоря, этот человек будет единственным, кто обладает неограниченными возможностями во всех программах. А уж кого собственник или руководитель предприятия выберет на эту должность, не столь важно — это может быть начальник службы безопасности, замдиректора, начальник IT-отдела или сам директор. Смысл в том, что уход любого из IT-шников даже со всеми паролями не остановит работу компании — более высокие права доступа дают возможность восстановить или заменить параметры любой учетной записи. С другой стороны, не все руководители достаточно хорошо разбираются в компьютерных технологиях, поэтому на первом этапе (регистрация пользователей и разделение прав доступа) не лишним будет пригласить консультанта либо на разовой основе, либо заключив договор на периодическое предоставление подобного рода услуг.

Уменьшить риск нанесения вреда может вынесение носителей информации, скажем, серверов, в отдельное помещение, с ограниченными правами доступа в него. Например, попасть в серверную админ может либо в сопровождении сотрудника службы безопасности, либо с разрешения ее начальника. Разумеется, все посещения фиксируются в отдельной книге, чтобы установить, кто и когда мог повредить носители информации. Кстати, вынесение серверов в отдельное помещение, а в идеале — и в другое здание, уменьшают риск повреждения техники в случае пожара или другого форс-мажорного обстоятельства.

Еще один вариант — установление в помещении, где находятся серверы, камер видеонаблюдения. Все действия сисадмина, работающего с техникой, будут фиксироваться, что является мощным сдерживающим фактором. В таких условиях компьютерщик вряд ли решится на совершение диверсии, а если и решится, его вина будет легко доказуема.

Один из ключевых элементов системы безопасности баз данных — создание резервных копий (backup). При грамотно выстроенной структуре IT-департамента за создание и безопасность backup-ов отвечает отдельный специалист. Причем даже он не имеет права модифицировать данные в резервных копиях, а обладает лишь правом записи. Физический доступ к носителям информации с backup-ами должны иметь лишь доверенные лица владельца или руководителя компании. Таким образом предприятие в случае необходимости может без особых усилий восстановить утраченные данные. Разумеется, даже система backup-ирования не панацея — например, от модификации информации в БД перед созданием резервной копии она не спасет.

От внесения изменений в БД может помочь система логирования. То есть установка специальных программ, которые записывают, какой пользователь, когда и какую информацию вносил или изменял в БД. В идеале программа должна записывать не только логин (имя пользователя), но и IР-адрес (уникальный идентификатор) компьютера. В таком случае при несанкционированном доступе (например, администратор со своего компьютера, но от имени главного бухгалтера хочет стереть или модифицировать информацию) программа зафиксирует несоответствие, и виновника найти будет легко.

 

Олег ЛАЗАРЕНКО, сотрудник IT-отдела крупной украинской компании

— В некоторых компаниях применяется разделение полномочий сотрудников IT-подразделения по принципу обслуживаемых ими департаментов или управлений. Например, один системный администратор обслуживает бухгалтерию, другой — сбыт, третий — производство и так далее. Соответственно, они администрируют каждый свою СУБД и не имеют доступа к другой информации. Нередко для каждой из баз данных закупается и отдельный сервер. Причем за создание резервных копий для каждой из БД отвечает еще один сотрудник, не обслуживающий непосредственно ни одну СУБД. При таком построении IT-департамента ни один из сисадминов не имеет возможности нанести существенный вред — доступа к другим базам данных и к резервным копиям у него нет.

Вместе с тем в подобном построении есть и некоторые недостатки. Например, кто-то из персонала все равно должен иметь полные права доступа ко всем СУБД. Иначе любая неприятность, случившаяся в компании, скажем, продолжительная болезнь одного из администраторов, может парализовать работу подразделения. Да и штат IT-отдела будет весьма велик.

 

По мнению экспертов, выстраивание полной системы IT-безопасности включает:

1. Разделение полномочий и прав доступа

2. Оборудование отдельного помещения для серверов

3. Закупку техники для создания и хранения резервных копий баз данных

4. Инсталляцию специализированного программного обеспечения

5. Проведение периодического аудита деятельности компьютерного отдела

Обойдется предприятию такая защита приблизительно в $300 тыс. Разумеется, не каждой компании необходимы все перечисленные меры безопасности — для некоторых достаточно два-три элемента защиты. В таком случае расходы могут значительно сократиться и составить от $5 тыс. до $30 тыс.