Откуда, как и почему «утекают» данные?

А также чем утечки данных нам грозят. Про «масштабы бедствия», место России в мире и нашу специфику. Июньские случаи крупномасштабных утечек выглядят тревожно, и очередной свежий отчёт InfoWatch по результатам анализа утечек информации за 2016 год, в том числе финансовых и персональных данных, помогает разобраться. То, что следует осознавать потребителям разных видов услуг, в том числе услуг связи.

Своеобразным «триггером» оказалась публикация в сети базы данных компании Deep Root Analytics, работавшей по контракту с Республиканской партией США. В течение двух недель в июне 2017 года в открытом доступе лежали данные о 198 миллионах жителей США (61% населения страны). Можно было узнать имена, даты рождения, электронную почту, физические адреса, религиозные и политические пристрастия, а также расовую принадлежность граждан.

Но утечки даже такого масштаба оказываются лишь верхушкой айсберга. Организаций и агентств много, баз данных ещё больше. И эти базы регулярно воруются во всём мире, США или та же Россия – не исключение. Проблема в объёмах содержащейся в базах информации. Ещё с десяток лет назад для получения исчерпывающей информации о конкретном индивидууме требовалась определённая «исследовательская работа»: раздобыть (купить) отдельные базы и свести воедино все найденные данные. По мере роста вычислительных мощностей и хранилищ перестали экономить на объёмах, в базы данных попадает всё подряд, в том числе явно избыточная информация. Немного утрируя: представьте себе, если добыв всего-то базу данных дошкольных учреждений, мы получим полную информацию о родителях и родственниках ребёнка? Включая номера телефонов, фамилии, адреса и т. п.

Вспомнился пример «в тему» из какого-то совсем мохнатого года, когда мне в лапы случайно попал диск (ещё CD 700 МБ) с базой данных абонентов МГТС. Все мы помним интернет-сервисы вида «узнай номер телефона по фамилии» (большинство их давно заблокированы), но база МГТС была намного интересней. При поиске по телефону/фамилии/адресу (любой параметр) добывался целый пакет сопутствующей информации, в том числе списки бывших и нынешних жильцов с ФИО и датами рождения, списки совместно проживающих и ещё многое другое, уже не помню деталей. Паспортных данных вроде не было, но ведь и база была минимум 10-летней давности, если не древнее. Могу себе представить, сколько «полезного» можно увидеть в современных базах, где сотня-тысяча лишних гигабайт не в счёт. Небось, со сканами всех документов клиента.

То есть, мы неизбежно движемся к тому, что практически полный «массив» персональных данных о любом человеке можно будет добыть без особых хлопот и трудозатрат. Не собираюсь никого запугивать, просто это нужно иметь в виду и воспринимать как данность. Другой вопрос — конфиденциальная информация. Промышленная, коммерческая, личная (например, содержимое медицинской карты) и т. п. Здесь есть за что бороться, и бороться с утечками данных нужно.

А как бороться с тем, незнамо чем? Судя по публикуемой статистике компании SearchInform (полный текст исследования здесь) в Российских компаниях об «утекающих на сторону» данных в большинстве случаев не подозревают или узнают с очень большим опозданием. Даже узнав, реагируют по принципу «лишь бы никто больше не узнал об этом маленьком недоразумении», увы.

Про отчёты InfoWatch

Тема утечек платёжных и персональных данных вполне «горячая», но регулярные публикации мы чаще воспринимаем как «развлекательное чтиво». А описываемые события – как не имеющие к читающему никакого отношения. Однако опубликованный отчёт — именно тот случай, когда профессиональная аналитика и многочисленные графики несут в себе сугубо практический интерес для нас с вами. Посмотреть на циферки/картинки, почитать и сделать выводы. Возможно, в чём-то пересмотреть свои привычки и поведение. Группа компаний InfoWatch профессионально занимается защитой предприятий, и отчёт наверняка ориентирован на потенциальных клиентов, я постарался выбрать и прокомментировать то, что может быть интересно и полезно читателям Mobile-Review.

Латентность, плавно переходящая в совокупность, а там уже и до полной категоризации недалеко... (смайлик). Но мы попробуем продраться через всё это «избыточное поле элементов» и оценить ту самую «генеральную совокупность». Поехали!

«Российская картина утечек, в целом, соответствует мировой. Все закономерности, выявленные на глобальной выборке в 2016 году, справедливы и для нашей страны. Это означает, что угрозы, с которыми сталкивается мировое сообщество уже сейчас, можно и нужно принимать в расчет при выработке национальных подходов к защите информации. Причем как в масштабах страны, так и применительно к обеспечению информационной безопасности в конкретной отрасли, организации.

Вместе с тем, сравнивая распределения утечек в мире и России по отдельным критериям, можно отметить ряд особенностей, которые характеризуют своеобразие российской картины утечек информации, отражают специфику отечественной цифровой реальности».

Вот вам и первый образец «специфики». Платежные данные у нас утекают более чем вдвое реже, чем в среднем по миру. Зато коммерчески ценная информация «уходит налево» ровно вдвое чаще. В InfoWatch считают основными причинами общий пофигизм и непонимание реальной ценности воруемого.

«Для России характерна более высокая по сравнению с остальным миром доля так называемых «квалифицированных» утечек данных. То есть таких случаев, когда злоумышленник осознанно использует украденную им информацию для достижения личной выгоды.

Сотрудники организаций, ежедневно имеющие дело с чувствительной информацией, периодически «забывают», что результат их труда является служебным произведением и, по общему правилу, принадлежит работодателю. Отсюда многочисленные случаи продажи баз данных, содержащих сведения о клиентах и контрагентах организации-работодателя».

Боюсь, что для России это «секрет Полишинеля». Сколько помню, всегда априори предполагалось, что ушедший работать к конкуренту маркетолог или иной человек, имеющий доступ к базе данных клиентов, уносит с собой всё, до чего сможет дотянуться. Разумеется, поступают так далеко не все и не всегда, но быть к этому морально готовым следует. Случаи своеобразного шантажа тоже были не редкостью. Может, конечно, многое изменилось, но сомневаюсь.

«Другой аспект этой проблемы проявляется в том, что рядовые сотрудники организаций, агрегирующих чувствительную информацию, зачастую без всяких сомнений используют свое служебное положение в личных целях. Так сотрудники операторов связи и сотовых ретейлеров часто злоупотребляют доступом к сведениям о соединениях абонентов, балансе лицевого счета. Мотивы могут быть разные — от досужего интереса до банальной корысти».

Вот, это уже напрямую относится к сотово-мобильной теме. Насколько я помню, в InfoWatch стараются избегать огульных обвинений. А тут посвятили сотрудникам операторов и ритейла отдельный абзац, да ещё и с определением «часто». Громких разборок было сравнительно немного, однако помним о пресловутых только 9% эпизодов, информация о которых просачивается наружу. Я бы предложил относиться к информации о своих звонках/SMS (в том числе о своём местоположении в момент звонка) так же, как к персональным данным: эта информация остается конфиденциальной ровно до того момента, пока вы никому не интересны (помните анекдот про «Неуловимого Джо»)?

«То же касается сотрудников аппарата органов публичной власти, работников налоговых инспекций, различных проверяющих организаций».

Справедливости ради, прошлись и по госорганам. Но тут уж точно ничего нового для нас с вами нет и вряд ли предвидится, согласитесь.

«Доля утечек данных по вине сотрудников компаний год от года сокращается.

Основным фактором в этом процессе выступает растущее число (и, соответственно, доля) утечек в результате внешнего воздействия — атак на инфраструктуру организаций, в результате которых происходит потеря контроля над информацией. В 2015 году в России на долю непривилегированных пользователей — сотрудников организаций — пришлось 84% утечек, в 2016 году — уже 65%. По миру аналогичный показатель равен 52% и 34% соответственно».

Здесь хочется расшифровать абзац простыми словами. Особенно первую фразу абзаца: «Доля утечек данных по вине сотрудников компаний год от года сокращается». Сокращается потому, что быстрее растёт доля (в процентах) взломов снаружи. Это как если взломщик забрался на склад через плохо запертую дверь магазина, украл ящик колбасы. Распробовал, понравилось, пришёл ещё и вынес уже два ящика. На этом фоне процент потерь от воровства продавцами будет неуклонно снижаться.

И в качестве подтверждения — диаграмма с «вектором» атаки. Пока в России неожиданно мало потерь от пресловутых «хакеров» по сравнению с утечками изнутри предприятия. Ещё один сюрприз — необычно высокий процент данных, утёкших через бумажные носители. То ли высока эффективность принятых мер по принудительному запрету пользования флешками на рабочих компьютерах (насколько я в курсе, активно применяется), то ли это тонны бумаг с «чувствительной» информацией, которые ведомства продолжают утилизировать привычным методом выбрасывания коробок и мешков с копиями документов на ближайшую городскую свалку.

Сергей Потресов ([email protected])

Опубликовано — 27 июня 2017 г.

Поделиться:

Мы в социальных сетях: