Линда Маккарти - IT-безопасность: стоит ли рисковать корпорацией?
Отстаивать бюджет обучения безопасности
Не позволяйте выбрасывать в первую очередь статью на обучение безопасности из напряженного годового бюджета. Иначе придется заплатить позднее. Создаваемая сегодня безопасность требуется для скрепления всех последующих частей. Ведь вам не придет в голову вложить все средства в разработку нового продукта, а затем не запереть двери лабораторий? Конечно нет. Но, оставляя открытыми ваши корпоративные сети, вы с большой вероятностью можете подвергнуться такому же риску.
Включать вопросы безопасности в обязанности руководства
Некоторые из руководителей ловят случай для продвижения по служебной лестнице. Иначе говоря, они прыгают от одних денег к другим. Для того чтобы чеки к ним поступали, им нужно их заслужить, выполняя поставленные перед ними цели. Чтобы при таком продвижении руководители не забывали о вопросах безопасности, постарайтесь, чтобы в поставленные перед ними цели была включена безопасность. Включите награду за достижение цели по обеспечению безопасности в план премий.
Когда система генерального директора InterMint была взломана, то перед одним из руководителей сразу же возникла цель по решению этой проблемы. Но то, что один из менеджеров имеет цель в вопросах безопасности, не много значит, если вся остальная цепочка управления не имеет таких целей. Если бы перед начальником Смиты была поставлена цель в отношении безопасности, то мне пришлось бы гораздо больше потрудиться для взлома систем операционного зала.
Делать обязательным обучение системных администраторов
Системные администраторы чрезвычайно занятые люди. Очень легко составить для системного администратора общий учебный план, а затем в конце года убедиться в том, что по нему ничего не сделано.
Часто системные администраторы так заняты, что не могут оставить свои сети или клиентов. Не создавайте ситуацию, в которой системные администраторы не могут оставить свою работу хотя бы на неделю. Например, Тия не должна чувствовать, что если она будет отсутствовать неделю, то вся ее сеть обрушится, или же по возвращении ее будет ждать полный беспорядок. Для этого, пока она будет на занятиях, ее начальник должен поручить ее территорию другому сотруднику. Нельзя допускать и того, чтобы после полного учебного дня ваши люди должны были отработать еще шесть часов, делая ваших пользователей счастливыми. Системные администраторы просто сбегут с занятий, если увидят в них дополнительную нагрузку к той работе, которую они обязаны сделать в этот же день. А вы сами стали бы заниматься при таких условиях?
Чтобы заставить системных администраторов вашей компании получить необходимое им обучение, отражайте его в служебной характеристике.
Посещать семинары по безопасности
Семинары по вопросам безопасности — это прекрасное место для распространения и получения информации, которую трудно получить где-либо еще. Выберите некоторые из профессиональных семинаров по безопасности для посещения вашими системными администраторами (такие, как SANS и USENIX). Так как всех туда послать невозможно, то пошлите по одному человеку на каждую конференцию и поручите им поделиться полученными там знаниями. Если возможно, то пусть они сделают краткий доклад по возвращении с семинара.
Те из вас, кто уже имеет большой опыт в вопросах безопасности, могут предложить свои выступления на таких конференциях.
Организовывать деловые ланчи
Большинству из нас крайне не хватает времени. Если вы пытаетесь втиснуть обучение в ваш перегруженный дневной график, то вспомните о том, что почти всем нужно есть! Попытайтесь проводить ежемесячно или ежеквартально доклады во время ланча. Выберите важные темы по безопасности и распределите намеченный материал между своими и приглашенными докладчиками. Это хороший способ держать ваших системных администраторов в курсе важных вопросов безопасности и эффективно использовать ценное время.
Распространять информацию по безопасности
Не заставляйте всех бегать в поисках свежей информации. Поручите одному из сотрудников поддерживать свою осведомленность на современном уровне и передавать остальной группе информацию об ошибках, снижающих безопасность, патчах, новых видах уязвимых мест, продуктах и т. д.
Не пожалейте дать его должности звучное название, а ему самому добавку к заработной плате. Многие работают из убеждений, но даже им деньги не повредят. Работа по поддержанию вашей группы в хорошо информированном состоянии заслуживает вознаграждения. Не пренебрегайте распространением информации. Некоторые люди любят придерживать ее, помня старое изречение: «Информация — это власть». Я лично нахожу таких людей небезопасными. Но их кругом слишком много. Помните об этом, стараясь обеспечить вашу компанию потоком фактов по вопросам безопасности.
Присоединиться к спискам рассылки по вопросам безопасности
Важно вовремя узнавать об очередной угрозе, возникающей в Интернете. Если ваш персонал технической поддержки не будет в курсе новых дыр и проблем в безопасности, то хакеры опередят его на несколько шагов. Добейтесь, чтобы ваши системные администраторы были лидерами в информационной стае, иначе она растопчет их. При сборе информации большую помощь окажут защищенные псевдонимы.
Выпускать «белые статьи»[34]
Я знаю множество действительно талантливых системных администраторов. Если вы один из них, то поделитесь своим опытом с другими. «Белые статьи» являются отличным способом это сделать.
«Белые статьи» сделают вас более известным за пределами вашей компании. Они будут позитивным посланием, показывающим всему миру стремление вашей компании к открытости технологий и информации.
Писать в периодические издания
Хороший материал ищут многие газеты, журналы и бюллетени, освещающие вопросы безопасности. Если у вас есть что рассказать о технической поддержке, о продуктах, инструментах и т. п., то поделитесь своей информацией с другими. Это прекрасный способ поразить публику.
Превращать инструменты в продукты
Если вы разрабатываете инструменты для поддержки безопасности в вашей среде, то подумайте о превращении их вашей компанией в выпускаемые продукты или выставьте их в Интернете для бесплатного пользования. Может быть, ваши инструменты смогут применять и другие люди.
Контрольный список
Используйте этот список для определения того, как идут дела с обучением в вашей компании. Можете ли вы поставить «Да» против каждого пункта?
— Все ли руководители (сверху донизу) выразили общее стремление к безопасности?
— Подкрепили ли они это стремление финансированием обучения безопасности?
— Имеется ли программа обязательного обучения системных администраторов?
— Включены ли в эту учебную программу темы по настройке и поддержке безопасности?
— Существуют ли политики обучения безопасности?
— Составлены ли они тщательно, отвечают ли современным требованиям и широко ли известны?
— Все ли сотрудники, включая и высшее руководство, обучаются их обязанностям в области безопасности в компании?
— Существует ли инфраструктура для повышения и продолжения образования в сфере безопасности?
Заключительные слова
В мире компьютеров время — это все! Время вычислений процессора, время доступа памяти, время появления на рынке и т. д. — все протекает невероятно быстро. За 30 миллисекунд сигнал, летящий со скоростью света, может пройти расстояние от одного побережья Соединенных Штатов до другого. Иногда мне кажется, что с такой же скоростью некоторые менеджеры меняют одну работу или компанию на другую.
Менеджеры ищут продвижений по службе, больших заработков, доли в акциях и т. д. Правду говоря, их особо не в чем упрекнуть. Я бы и сама не отказалась от места вице-президента или от кучи акций.
Сегодня на деловом рынке большинство людей не работают в одной компании всю свою жизнь. Это ведет к краткосрочному мышлению. Достигли своей цели, получили свою премию и двигайтесь дальше к следующей возможности. По этой причине любая компания, которая действительно заботится о безопасности информации, должна ставить перед сотрудниками цели по вопросам безопасности на год. Чтобы их не затоптали пробегающие через компанию руководители, цели безопасности нужно связывать с остальными служебными целями и получением премий.[35]
Одной из таких целей является защита бюджета на обучение. При общем взлете бюджетов на развитие информационных технологий в 2002 году (с увеличением на 92 процента числа фирм, затрачивающих более 1 миллиона долларов на безопасность) основная часть этих расходов идет на старые проекты, отложенные из-за Y2K-кризиса.[36] Теперь посмотрим, задумаются ли над проблемой обучения компьютерной безопасности при осуществлении инициатив по национальной защите после событий 11 сентября 2001 года. Но мне кажется, что историческим выбором как правительственных органов, так и частных компаний будет вложение средств, скорее, в новое оборудование и развитие технологий, чем в обучение, необходимое для поддержки безопасности.
