Широко признано, что сотрудники организации часто являются самым слабым звеном в защите ее информационных активов.
Информационной безопасности не уделяется достаточного внимания с точки зрения влияния человеческого фактора.
В этой статье мы фокусируемся на взаимосвязи человеческого фактора с информационной безопасностью, представляя человеческие уязвимости, которые могут привести к непреднамеренному вреду организации.
Человеческий фактор оказывает глубокое влияние на успех и неудачу усилий по обеспечению безопасности и защиты предприятий, услуг, систем и информации.
Если разработчик упускает из виду безопасность системы, ИТ-система становится уязвимой и может быть использована злоумышленником.
Злоумышленники с помощью социальной инженерии пытаются получить конфиденциальную информацию, ориентируясь на уязвимые места людей, то есть слабые места в организации, обусловленные характеристиками и поведением людей.
Цель данной статьи – проанализировать человеческий фактор в сфере информационной безопасности, проанализировать, как информация и понимание безопасности могут стать основным инструментом преодоления этих недостатков.
Некоторые факты
Возросшие угрозы информационным технологиям привели к появлению новых решений, ориентированных на технологические инструменты, в то время как исследования, связанные с человеческим фактором, были ограничены.Организации часто игнорируют человеческий фактор.
Исследование безопасности, проведенное Cisco Systems, показало, что пользователи, работающие удаленно, по-прежнему будут участвовать в действиях, угрожающих безопасности.
Исследование поведения сотрудников показало, что, получив подозрительное электронное письмо, 37% не только откроют письмо, но и перейдут по ссылке, а 13% откроют прикрепленный файл.
Кроме того, получив обычное электронное письмо, 42% нажимали на ссылку и предоставляли конфиденциальную информацию, а 30% открывали файл, который предположительно должен улучшить производительность компьютера.
Среди специалистов по безопасности и ИТ-отделов был проведен опрос, чтобы определить их главные приоритеты на ближайшие несколько месяцев.
Около 44% респондентов заявили, что их команды ИТ и безопасности тратят менее 20% своего времени на ежедневную операционную безопасность.
Еще 32 процента заявили, что уделяют безопасности от 20 до 40 процентов своего времени.
Лишь 20 процентов участников посвятили значительную часть своей ежедневной и еженедельной административной деятельности обеспечению безопасности своих систем и сетей.
Человеческие факторы
С технической информационной безопасностью могут быть связаны человеческие и организационные факторы.Факторы, влияющие на компьютерную безопасность, делятся на две категории: человеческий фактор и организационные факторы.
Человеческий фактор важнее других факторов.
Они разделены на следующие группы:
- факторы, относящиеся к управлению, а именно рабочая нагрузка и низкая производительность персонала;
- Факторы конечного пользователя.
1. Отсутствие мотивации Многие организации считают, что сотрудников необходимо мотивировать к безопасному обращению с информационными активами, а руководство должно иметь возможность определить, что мотивирует их сотрудников.
2. Недостаточная осведомленность Недостаточная осведомленность связана с отсутствием общих знаний об атаках.
Распространенными примерами недостаточной осведомленности могут быть: Пользователи не знают, как идентифицировать шпионское и шпионское ПО, а также важность предоставления надежного пароля.
Они не могут защитить себя ни от кражи личных данных, ни как контролировать доступ других пользователей к их компьютеру.
3. Убеждение Распространенными примерами рискованных убеждений являются: Пользователи верят, что установка антивирусного программного обеспечения решит их проблемы информационной безопасности.
4. Неграмотное использование технологий Даже самая лучшая технология не может добиться успеха в решении проблем информационной безопасности без постоянного сотрудничества людей и эффективного использования этой технологии.
К распространенным примерам ненадлежащего использования технологий относятся следующие: создание несанкционированных реконфигураций систем, доступ к паролям других лиц, получение ненадлежащей информации.
Риски компьютерной безопасности можно классифицировать по нескольким признакам: злоупотребление привилегиями, ошибки и упущения, отказ в обслуживании, социальная инженерия, несанкционированный доступ, кража личных данных, фишинг, вредоносное ПО и несанкционированное копирование.
Пример важности человеческого фактора в обеспечении безопасности на практике
Хороший пример
Результаты внедрения системы распознавания лиц, построенной на платформе VisionLabs LUNA, в Почта Банке.
Биометрические технологии используются Почта Банком в процессах аутентификации при доступе к ресурсам сотрудников банка и партнеров (всего около 70 тыс.
человек), а также при обслуживании клиентов (которых более 4,5 млн).
Охват клиентов – физических лиц стопроцентный.
Среди корпоративных клиентов использование распознавания лиц не является обязательным (около 20% из них сегодня отказываются от использования технологии).
В системе используется база данных с результатами обработки более 10 миллионов изображений уникальных реальных лиц, которые одновременно используются для обучения самой системы.
Один сервер системы способен обрабатывать до 100 запросов в секунду, тратя на каждый запрос не более 2 секунд. Статистика работы системы за 2016 год:
- 4,5 тыс.
нарушений предотвращено использованием одних и тех же фотографий клиентами с разными именами;
- Пресечено 9,2 тыс.
потенциально мошеннических действий – запросы об утере или краже паспортов (в том числе выявление мошенников по базе данных системы), ошибки персонала при вводе данных клиентов;
- задержаны четверо мошенников, пытавшихся использовать поддельные документы;
- Было предотвращено около 600 попыток использования чужих аккаунтов.
Ожидается, что внедренная система поможет предотвратить убытки от мошенничества на сумму около 1,5 млрд рублей.
За тот же период система сэкономила более 15 тысяч часов рабочего времени фронт-сотрудникам, автоматизировав процесс аутентификации для 46 тысяч клиентов, изменивших те или иные персональные данные в 2016 году.
Плохой пример 
В 2016 году хакерским атакам подверглись 5 российских банков.
Атакам подверглись Сбербанк, Альфа-банк, Открытие, Банк Москвы ВТБ и Росбанк.
По оценкам экспертов, мощность атак варьировалась от «слабой» до «мощной».
Продолжительность приступов составляла от 1 до 12 часов.
Некоторые банки перенес серию от 2 до 4 нападений.
Хакеры, осуществившие атаку, использовали ботнет (сеть зараженных устройств), включавшую 24 000 машин Интернета вещей.
Vice сообщила, что за нападением могли стоять «люди, недовольные возможным вмешательством России в президентские выборы в США».
Конечно, избежать этих атак невозможно.
Свою роль сыграла неосведомленность сотрудников о том, как реагировать на эти атаки, что является важным человеческим фактором в работе организации.
Также руководству организации, в свою очередь, пришлось придерживаться некоторых рекомендаций по средствам защиты:
- Антивирусы (Касперский, Symantec, G DATA и др.
)
- Межсетевые экраны (Entensys, Kerio и т. д.)
- Специализированные инструменты защиты от DDoS (Attack Killer, Qrator и др.
)
- Технологии защиты от уязвимостей (Appercut, Checkmarx, Fortify и др.
)
- Специализированные средства защиты от целевых атак (Attack Killer, FireEye и др.
)
Заключение
Между хакерами и специалистами по безопасности идет постоянная битва.К сожалению, непредсказуемость поведения человека может разрушить самые безопасные информационные системы.
В этой статье предпринята попытка собрать и четко определить человеческие факторы, вызывающие проблемы безопасности, и представить предложения по способам их преодоления.
Из этого следует, что информационная безопасность является ключом к снижению угроз безопасности, вызванных уязвимостями человека.
Организации должны развивать и поддерживать культуру, которая ценит позитивное поведение в области безопасности.
Им необходимо привить свою культуру таким образом, чтобы безопасность начиналась и заканчивалась для каждого человека, связанного с их инфраструктурой, их бизнесом и их услугами.
Теги: #антивредоносное ПО #информационная безопасность
-
Действия По Изменению Пароля Hotmail
19 Dec, 24 -
Конические Сечения
19 Dec, 24 -
Высший Алгоритм – Предвзятое Резюме
19 Dec, 24 -
Процесс Создания Процесса
19 Dec, 24
