Гламурные средства утечки информации

Многие коллеги по цеху знают, что существуют организации в России, в которых запрещено проносить телефоны, фотоаппараты, диктофоны и флешки во избежании утечек информации. Для этого на входе размещаются металлоискатели, а также шкафчики (или камеры хранения), в которые и помещаются все запрещенные к проносу устройства.

Я всегда считал, да и до сих пор считаю, что это параноидальная безопасность, которая, к тому же, и никакого эффекта не дает. И подтверждение этому я в очередной раз нашел во время посещения  конференции RSA. Не то чтобы я только там это обнаружил, просто так совпало. За углом моей гостиницы обнаружился международный шпионский магазин, приторговывающий различной “шпионской” техникой - видеокамерами, встроенными в плюшевых медведей, очки или автомобильные брелоки, диктофоны в ручках, переносных кружках-термосах или наручных часах, и т.п.

Кстати, недавний скандал на Украине, с бывшим депутатом Онищенко, связан был именно с наручными часами, в которые был встроен диктофон, которым и были записаны якобы компрометирующие нынешнего Президента Украины разговоры. Часы в магазине тоже были, как и другие средства для видео/аудио-фиксации происходящего вокруг. Например, вот такой прелестный медвежонок (этакий Cozy Bear :-).

И вот там же я наткнулся на большую витрину, на которой было представлено большое количество различных флешек на 4-16 Гб, замаскированных под запонки или женские кулоны (кстати, на Интернет-сайте этого магазина таких товаров нет).

Флешки-запонки

И как контролировать такие устройства? Проверять каждую запонку на рентгенографическом аппарате? А женщин заставлять снимать их украшения? Представляю, какими скандалами будет сопровождаться каждая такая просьба. И, самое главное, быть уверенными, что найдутся все возможные побрякушки с встроенными флешками, все равно будет нельзя. Например, у меня в пиджаке завалялась с какой-то конференции флешка в виде кредитной карты (может быть чуть толще). А еще флешку можно спрятать в очки, перстень, пряжку ремня или женской сумки. Да мало ли вариантов подскажет нам фантазия, просмотр шпионских фильмов или посещение шпионских музеев в США или в России (раньше был закрыт для свободного посещения).

Флешка-кулон

Флешки-кулоны

Был и такой еще вариант скрытия носителей информации - внутри монеты. Правда российских рублей я там не видел, но лиха беда начало (да и наличие американских денег в кармане сегодня уже врядли кого удивит).

Что делать с этим каналом утечки информации? Сходу видится несколько стратегий управления этим риском (от худшей к лучшей):

• Запретить USB либо физически (эпоксидка в USB-порт, заказ техники без USB-портов) либо путем использования соответствующего ПО или встроенных возможностей ОС. Не самый удачный вариант, так как USB-порты могут понадобиться для подключения мыши, синхронизации с мобильными устройствами, зарядки или иных задач (я, например, в командировках часто подключаю смартфон к ноутбуку в качестве модема).
• Разрешить использование только флешек из белого списка, выдаваемых работодателем и соответствующих образом маркируемых. ПО на рабочих местах контролирует применение флешек и блокирует любое отклонение от разрешенного списка. Вариант чуть лучше предыдущего, но все равно не такой гибкий. Мне вот регулярно в руки попадают флешки с материалами разных конференций, или контрагенты договор какой передадут на своей флешке, или еще что. И как быть в таком случае? Организовывать отдельный процесс переноса данных с получаемых флешек на разрешенные в организации?
• Применение DLP-решений. Отличие от предыдущего вариант простое - акцент делается на контенте, который заливается на флешки, которые в свою очередь могут быть совершенно различными - корпоративными, личными, чужими. 
• Реализация принципа минимума привилегий с целью сокращения и числа лиц, которые имеют доступ к конфиденциальной информации, и источников информации, к которым имеют доступ сотрудники компании. На мой взгляд это лучший сценарий в российских условиях, но он требует и гораздо большей проработки, как организационной, так и технической. По сути речь идет о выстраивании целой системы контроля доступа к информации на предприятии. Многим гораздо проще пойти по запретительному сценарию, который не приводит к нужному эффекту и только озлобляет персонал.
• Не запрещать, уделяя внимание работе с персоналом. Самый правильный, но и сложно реализуемый в России сценарий. Различными мерами (преимущественно нетехнического характера) надо сделать так, чтобы у работников вообще не возникало мысли красть информацию. Тогда и контролировать пронос флешек и иных машинных носителей не придется. Только вот в России к этому варианту обращаются реже всего :-(
• Комбинированный способ.

ЗЫ. Предвидя комментарий, что кому не нравится досмотр, тот может валить из компании, отвечу: “Да! Именно так и надо вести с работниками, являющимися человеческим капиталом, и приносящим компании доход!”

ЗЗЫ. А вообще защита от флешек должна быть такой: