Каким образом нужно реагировать на инциденты в области информационной безопасности, являющиеся, по большому счёту, в львиной доле случаев просчетами персонала? Русский менталитет подсказывает, что правильным ответом будет "настучать по голове виноватому и запретить всё нафиг, чтобы неповадно было". Что, собственно, в большинстве случаев и делается, как то ни прискорбно.
А ведь правильным ответом должно быть "проанализировать ситуацию, а затем уже делать выводы и принимать меры". И меры принимать тоже вдумчиво - если утечка не злонамеренная и не самая критичная для бизнеса, то инструктаж работников может дать гораздо более желательный для работодателя эффект, чем "стучание по голове".
В качестве примера хочу привести недавно появившуюся новость от том, как это делается "у них":
"Потеряв 21 анкету для получения гражданского паспорта Идентификационная и паспортная служба (ИПС) Великобритании получила от Управления по информационной безопасности (УИБ) лишь строгий выговор.
Согласно источнику, утечка произошла еще в мае прошлого года. Тогда паспортная служба сразу поставила в известность управление, а также граждан, чьи данные были потеряны.
По словам главы надзорного отдела УИБ Мика Горрила, управление было обеспокоено этим происшествием, однако благосклонно отнеслось к организации, поскольку надлежащие меры для предотвращения подобных инцидентов в будущем были предприняты достаточно быстро.
В результате глава паспортной службы Сара Рапсон подписала обязательство о том, что сотрудники пройдут обязательное обучение политикам информационной безопасности по хранению и работе с персональными данными. Кроме того ИПС будет обязано регулярно контролировать соблюдение правил безопасности при работе с конфиденциальной информацией, а так же корректность работы устройств по обработке данных".
Согласно источнику, утечка произошла еще в мае прошлого года. Тогда паспортная служба сразу поставила в известность управление, а также граждан, чьи данные были потеряны.
По словам главы надзорного отдела УИБ Мика Горрила, управление было обеспокоено этим происшествием, однако благосклонно отнеслось к организации, поскольку надлежащие меры для предотвращения подобных инцидентов в будущем были предприняты достаточно быстро.
В результате глава паспортной службы Сара Рапсон подписала обязательство о том, что сотрудники пройдут обязательное обучение политикам информационной безопасности по хранению и работе с персональными данными. Кроме того ИПС будет обязано регулярно контролировать соблюдение правил безопасности при работе с конфиденциальной информацией, а так же корректность работы устройств по обработке данных".
Что было бы у нас? Думаю, что ответ очевиден. Обязательно бы "полетели головы", была бы показательная порка виновных (и всех тех, кого сочли таковыми), куча слов о том, что нужно сделать для укрепления безопасности и... как то ни странно, никакого улучшения ситуации в целом. Поэтому, дорогие безопасники, давайте вместе поучимся у зарубежных коллег тому, как нужно реагировать на инциденты недорогие и малозначимые, чтобы проводить реальную профилактику действительно опасных и значимых инцидентов.
Р. Идов,
специалист по информационной безопасности
