Политики безопасности компании при работе в Интернет. Сергей Александрович Петренко
успехах, все равно остаются самым слабым местом в корпоративной системе защиты информации. Согласно исследованиям университета Carnegie-Mellon, на каждую 1 тыс. строк кода программы приходится от 5 до 15 ошибок. Можно посчитать, сколько ошибок потенциально содержит каждая из перечисленных операционных систем:
• Windows 2000 – 35–60 млн. строк кода;
• Windows ХР – 45 млн. строк кода;
• Debian GNU/Linux 2.2-55 млн. строк кода;
• Linux Red Hat – 30 млн. строк кода.
В-третьих, по данным независимых аналитических центров на начало 2005 года, системы обнаружения вторжений (IDS) обнаруживают не более 14–18 % всех осуществляемых атак. При этом большинство систем обнаружения вторжений построены на принципах обнаружения на основе сигнатур атак (см. табл. 1.1), то есть обладают теми же недостатками, что и антивирусное программное обеспечение.
В-четвертых, системы контроля доступа на основе биометрических параметров тоже не идеальны. Отпечатки пальцев не настолько уникальны, как утверждают производители: существует вероятность 0,1, что постороннее лицо будет идентифицироваться как имеющее право доступа.
Аналогичные выводы можно сделать практически по каждой технологии защиты информации. Наглядно оценки зрелости современных технологий защиты информации представлены на диаграмме аналитической компании Gartner Group (см. рис. 1.12).
Рис. 1.12. Оценки зрелости технологий защиты информации
В целом анализ инцидентов безопасности начиная с 2001 года и по настоящее время свидетельствует о ежегодном росте их числа в среднем на 200–300 % (см. рис. 1.13). При этом, согласно исследованиям Института компьютерной безопасности США, в 2004 году из 750 млн. долларов, потерянных компаниями из-за инцидентов в области информационной безопасности, более 500 млн. долларов убытков были обусловлены следующими видами инцидентов:
• неавторизованный доступ к ресурсам внутренних сотрудников,
• неразрешенное использование Интернета,
• саботаж,
• сканирование и взлом систем,
• кража конфиденциальной информации.
Рис. 1.13. Статистика инцидентов безопасности
Анализ статистики инцидентов в АС отечественных предприятий показывает, что для российских компаний наиболее злободневны вопросы нейтрализации следующих основных угроз (см. табл. 1.2)
В результате, по данным Gartner Group, проблема защиты информации выделилась среди других проблем совершенствования информационных технологий и стала одной из приоритетных проблем развития отечественных компаний и предприятий (см. рис. 1.14).
Рис. 1.14. Текущие проблемы развития информационных технологий
Как эффективно подойти к решению проблемы защиты информации? По-видимому, сначала