Глобальное исследование выявило угрозы, которыми чревато снижение пользовательской дисциплины при работе в сети.
Компания Cisco® организовала очередное ежегодное исследование сетевого поведения удаленных сотрудников и выполнения ими процедур безопасности. Полученные результаты свидетельствуют о том, что несоблюдение правил сетевого поведения может поставить под угрозу как самого сотрудника, так и компанию, на которую он работает. Исследование побудило топ-менеджеров Cisco, занимающихся проблемами информационной безопасности, выступить с рекомендациями насчет того, как защититься от внешних угроз и расширить деловые возможности распределенных и мобильных сотрудников.
Исследование по заказу Cisco провела американская компания InsightExpress, опросившая более 2.000 удаленных сотрудников и ИТ-профессионалов, работающих в различных отраслях и компаниях разного размера в 10 странах (США, Великобритания, Франция, Германия, Италия, Япония, Китай, Индия, Австралия и Бразилия). Такая выборка позволяет исследовать разные социальные и деловые культуры, развитые и развивающиеся рынки и разные уровни распространенности Интернета.
Значение этого исследования растет по мере увеличения числа удаленных сотрудников. В отчете исследовательской компании Gartner за 2007 год говорится, что "в период с 2007 по 2011 год количество удаленных сотрудников, работающих на дому хотя бы один день в месяц, будет ежегодно увеличиваться на 4,3 процента… В тот же период количество сотрудников, работающих на дому один день в неделю, будет расти со скоростью 4,4 процента в год. К концу 2011 года количество удаленных сотрудников во всем мире составит 46,6 млн человек".
1 "Удаленный доступ и распределенная рабочая сила – факторы непреложные. Они дают компаниям конкурентные преимущества и повышают эффективность работы, - считает главный директор Cisco по вопросам безопасности Джон Н. Стюарт (John N. Stewart). - Компаниям следует воспользоваться новыми возможностями для повышения производительности труда без ущерба для безопасности. Наше исследование позволяет сделать обоснованные выводы и рекомендации по минимизации рисков, связанных с работой за пределами традиционного офиса. Это исследование дает возможность понять психологию удаленных сотрудников и спрогнозировать их подходы к защите данных".
Ложное чувство защищенности Один из важнейших результатов исследования состоит в том, что сегодня удаленные сотрудники стали менее бдительными при работе в сети. Хотя большинство сотрудников по-прежнему считает, что уровень безопасности в офисе выше, чем за его пределами, ощущение угрозы при работе в удаленном режиме постепенно притупляется. По сравнению с прошлогодним опросом, количество сотрудников, уверенных в безопасности интернет-соединений, выросло на 8 процентов, и из меньшинства (48 процентов) такие сотрудники превратились в большинство (56 процентов). Особенно ярко это проявилось в Бразилии (там такой точки зрения придерживается 71 процент опрошенных), Индии (68 процентов) и Китае (64 процента), то есть в трех наиболее динамично развивающихся странах, где сотрудники все чаще полагаются на Интернет и корпоративные сети.
Согласно результатам исследования, ИТ-специалисты считают, что при работе в сети удаленные сотрудники становятся все менее дисциплинированными: более половины респондентов - 55 процентов - признали, что удаленные сотрудники проявляют все большую беспечность с точки зрения безопасности (годом раньше об этом говорили всего 11 процентов опрошенных). Есть основания полагать, что ложное чувство защищенности вызвано переходом хакеров от открытых к скрытым атакам. В отчете Института компьютерной безопасности говорится, что в 2007 году количество финансово мотивированных атак впервые превысило число традиционных "компьютерных пакостей", таких как вирусы, черви и шпионские программы. Впервые за 12-летнюю историю исследований средние годовые потери от мошеннических атак превысили потери от всех других вредных программ. Современные угрозы с целью кражи личных идентификационных данных и корпоративной информации стали очень опасными, превратившись в "невидимок". Их скрытый характер порождает ложное чувство защищенности, которое ведет к снижению уровня дисциплины, особенно, среди надомных работников. "Надомный работник гораздо меньше думает о безопасности, чем сотрудник, работающий в офисе. Соблюдение установленных правил защиты не кажется обязательным, как только человек переступает порог собственного жилища, - говорит Джон Стюарт. - Стирание границ между домом и офисом, между работой и личной жизнью создает новые проблемы для предприятий, повышающих производительность труда с помощью надомной работы".
Основные результаты исследования и выявленные причины рискованного поведения выглядят так:
· Открытие электронных сообщений и вложений, поступивших из неизвестных или подозрительных источников. Хотя эта разновидность атак стара, как мир, многие удаленные сотрудники признаются, что до сих пор открывают подозрительные сообщения и вложения электронной почты, несмотря на потенциальную возможность "подцепить" вредоносную программу. Чаще всего такое поведение встречается в Китае, где в этом признались 62 процента опрошенных. Однако больше всего исследователей беспокоит растущее количество подобных случаев в странах с хорошо развитой интернет-культурой, таких как Великобритания (48 процентов), Япония (42 процента), Австралия (34 процента) и США (27 процентов). К примеру, в Японии 14 процентов опрошенных заявили, что открывают все без исключения письма и вложения, независимо от источника.
· Использование рабочих компьютеров и устройств в личных целях. В этом году на 3 процента больше людей стало использовать корпоративные устройства в личных целях (для покупок в Интернете, загрузки музыки и посещения сайтов в социальных сетях). Такая тенденция наблюдается в 8 из 10 стран, причем наибольший рост - с 27 до 50 процентов - показала Франция. В Бразилии рост составил 16 процентов, несмотря на все более негативное отношение респондентов к такому поведению (в прошлом году отрицательное отношение выразили 37 процентов опрошенных, в этом году - 52 процента).
Типичные отговорки: "моя компания этого не запрещает", "я живу один, и у меня много свободного времени", "мой начальник все равно об этом не знает", "если что-то случится, специалисты ИТ-отдела мне помогут". ·
Предоставление корпоративных компьютеров и устройств посторонним лицам для личного пользования. Чем больше человек работает дома, тем больше вероятность того, что корпоративное устройство будет использоваться посторонними лицами: членами семьи, друзьями и т.д., - которые не имеют представления о корпоративных правилах безопасности и не обязаны им подчиняться. Эта тенденция тоже нарастает. Здесь с большим отрывом лидирует Китай (39 процентов), но тревожные темпы роста наблюдаются и в других странах, например, в Великобритании (с 7 процентов в 2006 году до 22 процентов в 2007 году) и Франции (с 15 процентов до 26 процентов).
Типичные отговорки: "не вижу в этом ничего плохого", "моя компания этого не запрещает", "не думаю, что это увеличивает риск", "другие сотрудники делают то же самое".
· Пиратское использование соседских беспроводных интернет-соединений. По результатам глобальных исследований, 12 процентов удаленных сотрудников признаются в пиратском подключении к точкам беспроводного доступа своих соседей. В Японии и Франции за год количество таких подключений выросло втрое - соответственно, с 6 до 18 процентов и с 5 до 15 процентов. Высокие темпы роста наблюдаются также в Китае (с 19% в 2006 году до 26% в 2007 году) и Великобритании (с 6 до 11 процентов).
Типичные отговорки: "мне нужно было срочно передать информацию, а другие каналы не работали", "это удобнее, чем пользоваться собственным беспроводным соединением", "я не знаю, когда компьютер подключается к моей, а когда к соседской точке доступа", "мой сосед все равно об этом не знает". ·
Выполнение работы с помощью персональных незащищенных устройств. Если сотрудник выполняет работу с помощью устройств, которые не защищены корпоративными ИТ-системами, возникает серьезный риск потери личных и корпоративных данных. По мере увеличения числа удаленных сотрудников растет и доля работников, использующих несанкционированные системы (с 45 процентов в 2006 году до 49 процентов в 2007 году). Такое поведение широко распространено во многих странах, особенно, в Китае (76 процентов), США (55 процентов), Бразилии (52 процента) и Франции (48 процентов).
Типичные отговорки: "на этих устройствах стоят антивирусы и другие защитные средства", "я регулярно пользуюсь этими устройствами для работы", "сотрудники ИТ-отдела дали мне свое разрешение".
Рекомендации по защите удаленных сотрудников По мнению Джона Стюарта, сегодня ИТ-отделы должны больше, чем когда-либо прежде, понять, как работают удаленные сотрудники и что нужно сделать, чтобы в упреждающем режиме повысить уровень безопасности на предприятии. ИТ-специалисты часто подходят к безопасности с чисто технической точки зрения, но сегодня знание методов защиты, обучение пользователей и регулярное общение с ними, упреждающее возможные атаки, не менее важны, чем покупка нового межсетевого экрана. Расширение консультативной роли ИТ-отдела - вот что поможет изменить отношение к информационно-технологическим специалистам со стороны конечных пользователей и сделать инвестиции компании максимально эффективными. В результате информационные технологии перестанут восприниматься затратной частью бюджета и превратятся в настоящий инструмент бизнеса. Исследование, организованное в странах с разными культурами, подтвердило, что добиться этого можно лишь с помощью целенаправленных мер, учитывающих особенности разных народов и регионов.
"Исследование, проведенное в 2007 году, показало, что ИТ-отделы должны работать в трех направлениях. Я имею в виду распространение знаний, обучение и коммуникации между отделами, руководителями и всеми сотрудниками, - говорит Джон Стюарт. - Коммуникации и обучение сотрудников основам и правилам безопасности будут идти по-разному: что-то окажется более эффективным в Японии, а что-то – возможно, совсем другое - в Соединенных Штатах. Одни методы сработают в Китае, другие - во Франции. Распространение знаний и обучение требуют учета национальных и культурных особенностей вашей аудитории. Инструктор должен стать другом и помощником обучаемых, чтобы завоевать их доверие, а на основе доверия можно строить взаимное уважение и сотрудничество. Исследование показало, что управление корпоративной безопасностью включает и технологию, и процессы, и распространение знаний, и обучение, и коммуникацию. Это вопрос не столько технический, сколько психологический. Именно поэтому ИТ-специалисты должны выйти из закрытых лабораторий и вступить в активный диалог с пользователями. Другими словами, ИТ-отделы должны на деле продемонстрировать свою стратегическую роль".
________________________________________________________________
1 Gartner, Inc. "Dataquest Insight: Teleworking, The Quiet Revolution (2007 Update)" by Caroline Jones, May 14, 2007
О компании Cisco Cisco – мировой лидер в области сетевых технологий, меняющих способы человеческого общения, связи и сотрудничества. Информация о решениях, технологиях и текущей деятельности компании публикуется на сайтах www.cisco.ru и www.cisco.com. Cisco, логотип Cisco, Cisco Systems и логотип Cisco Systems являются зарегистрированными торговыми знаками Cisco Systems, Inc. в США и некоторых других странах. Все прочие торговые знаки, упомянутые в настоящем документе, являются собственностью соответствующих владельцев.