У діяльності правоохоронних органів і системах цивільної ідентифікації 4 страница
Як показав досвід проведення чемпіонату Європи з футболу серед юнаків віком до 19 років, що був проведений влітку 2009 року у містах Донецьку і Маріуполі, відеоспостереження дозволило контролювати ситуацію на вулицях, вести спостереження і оперативно використовувати наявні сили міліції саме в тих місцях, де в них була найбільша потреба. Запровадження технологій відеоспостереження дало можливість уникнути скупчення міліції на вулицях цих міст, що сприяло відчуттю святкового настрою як серед учасників чемпіонату, так і мешканців цих міст****.
Але головна сфера застосування відеоконтролю – організація спостереження за особливо вразливими об’єктами і суспільними місцями, що є превентивним захистом від небезпеки та встановлення злочинців безпосередньо після події.
Взагалі МВС України потрібно налагоджувати тісну співпрацю з Європолом. Європол, будучи міжурядовою організацією Євросоюзу, є органом обслуговування країн ЄС і повинен підтримувати відповідні європейські служби в профілактиці і боротьбі з організованою злочинністю та тероризмом.
Основні завдання Європолу:
– полегшення обміну інформацією між країнами ЄС;
– збір інформації і відомостей, їх зіставлення і аналіз;
– негайне інформування відповідних відомств країн ЄС про дані і обставини скоєння кримінальних дій;
– підтримка проведення розшукових робіт у країнах ЄС за допомогою передачі всієї службової інформації в національні інстанції;
– впровадження автоматизованих інформаційних банків*.
Розділ 14
БІОМЕТРИЧНИЙ ЗАХИСТ ІНФОРМАЦІЇ
ТА КОНТРОЛЬ ЗА ДОСТУПОМ
У КОРПОРАТИВНИХ МЕРЕЖАХ ДО БАЗ ДАНИХ
І ЕЛЕКТРОННИХ ПРИСТРОЇВ ЗБЕРІГАННЯ ДАНИХ
__________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
Значущість сфери інформаційної взаємодії повсякчас зростає. Зараз зміни в цій сфері, що відбуваються у зв’язку з появою і розвитком таких носіїв, як Інтернет, часто порівнюють із змінами епохи початку книгодрукування. З одного боку, зросла роль персональної інформації в економічному, соціальному і культурному житті, але, з іншого боку, стало набагато складніше захистити своє приватне життя і бізнес від стороннього втручання. Росте спокуса одержати інформацію незаконним шляхом.
Комп’ютерна злочинність стала одним з найнебезпечніших видів злочинних посягань і, відповідно до оцінок експертів, вона здатна завдати збитків, що перевищує об’єм розкрадань витворів мистецтва у всьому світі. Все це цілком переконує в актуальності проблеми захисту інформації, проте для того, щоб ця проблема була вирішуваною, необхідно визначити об’єкт захисту.
У такому разі цілком природньо розглядати поняття захисту інформації стосовно об’єктів інформації – носіїв відомостей, функціонування яких пов’язане з обробкою (зокрема – створенням і передачею) та зберіганням у вигляді електронних документів. Загалом виділяють усього чотири об’єкти захисту інформації:
– засоби обчислювальної техніки;
– дані, які зберігаються, обробляються і передаються за допомогою засобів обчислювальної техніки;
– технології обробки цих даних;
– канали передачі даних.
Таким чином, гарантувати захищеність інформації можливо тільки у тому випадку, коли забезпечений захист кожного з чотирьох зазначених об’єктів.
Свого часу зусилля розробників засобів захисту інформації були зосереджені в основному на створенні програмного забезпечення, який реалізовував ті або інші функції захисту. Але практичний досвід експлуатації таких розробок наочно продемонстрував обмеженість такого підходу і привів до висновку про необхідність створення апаратно-програмного захисту*.
В умовах швидкого розвитку глобального інформаційного суспільства і широкого використання інформаційно-комп’ютерних технологій у всіх сферах життя особливого значення набувають проблеми інформаційної безпеки та, як наслідок, захисту інформації. З цією метою запроваджуються функціональні та масштабні системи ідентифікації користувачів в інформаційних мережах, операційних системах і різних інших додатках до фірмового програмного забезпечення.
Згідно визначенню, даному в Законі України № 537-V від 9 січня 2007 року «Основні положення розвитку інформаційного суспільства в Україні на 2007–2015 роки», «Інформаційна безпека – це стан захищеності життєво важливих інтересів громадянина, суспільства і держави, коли попереджається нанесення шкоди через неповноту, несвоєчасність і недостовірність інформації, яка використовується; негативний інформаційний вплив; негативні наслідки використання інформаційних технологій; несанкціоноване розповсюдження, використання і порушення цілісності, конфіденційності та доступності інформації».
Вирішення проблеми інформаційної безпеки повинне забезпечуватися шляхом:
– створення повнофункціональної інформаційної інфраструктури держави і забезпечення захисту її критичних елементів;
– підвищення рівня координації діяльності державних органів щодо виявлення, оцінки і прогнозування загроз інформаційній безпеці, попередження таких загроз і забезпечення ліквідації їх наслідків, міжнародна співпраця з цих питань;
– вдосконалення нормативно-правової бази для покращення забезпечення інформаційної безпеки, зокрема захисту інформаційних ресурсів, протидії комп’ютерній злочинності, захисту персональних даних, а також правоохоронної діяльності в інформаційній сфері;
– розгортання і розвиток Національної системи конфіденційного зв’язку як сучасної захищеної транспортної основи, що спроможна інтегрувати територіально розподілені інформаційні системи, в яких обробляється конфіденційна інформація*.
Фахівці, які займаються проблемами забезпечення комп’ютерно-телекомуні-
каційної безпеки, заявляють про існуючу ймовірність вразливості таких важливих елементів національної інфраструктури, як різні інформаційні мережі, у тому числі й ті, що керують роботою електростанцій, електромереж, транспорту, систем водопостачання, пропускною спроможністю захисних дамб, гребель й інших життєво важливих об’єктів.
Відповідно до результатів третього щорічного опитування фахівців з інформаційної безпеки, проведеного в 2007 році компанією IDC в ста країнах світу (опитано 4016 чоловік), біометрія впевнено увійшла до списку ключових технологій захисту інформації (разом з забезпеченням безпеки безпровідних комунікацій, запобіганням несанкціонованого вторгнення та заходами правового регулювання). Конкретне місце біометрії у загальному рейтингу згаданих технологій коливалося залежно від конкретного регіону опитування, але скрізь не опускалося нижче другої позиції**.
В огляді «П’ять найважливіших перспектив у галузі інформаційної безпеки», який свого часу був розміщений на офіційному сайті корпорації «Microsoft», у сфері інформаційних технологій однією з ключових технологій забезпечення безпеки визнана біометрична ідентифікація. У відповідності до матеріалів огляду, досягнутий прогрес у мікроелектроніці та мініатюризації електронних пристроїв відкриває нові можливості перед користувачами і виробниками комп’ютерного устаткування. Включення засобів біометричної ідентифікації до комплекту постачання персональних комп’ютерів (ПК) дозволяє розглядати ПК як «нову еволюційну ланку» в заходах захисту інформації. Як переконливий приклад реалізації можливостей біометрії з метою захисту інформації в огляді розглядається застосування вбудованих сканерів відбитків пальців у комп’ютерах, що випускаються такими грандами IT-іиндустрії, як «Lenovo», «Fujitsu», «Toshiba», «Dell», «HP» і «Sony».
Як інші перспективні напрямки у галузі забезпечення інформаційної безпеки в огляді згадується симбіоз біометричних технологій з такими програмно-апаратними пристроями, як USB-токени, жорсткі диски з вбудованою можливістю шифрування, браузери та різна додаткова електронно-комп’ютерна апаратура з вбудованими засобами безпеки, засоби захисту для мобільних пристроїв*.
Завдання забезпечення безпеки (як об’єктів, так і інформації) з кожним роком стають все більш серйозними та багаторівневими. В сучасних організаціях, незалежно від форм власності, спостерігається зростання кількості співробітників, що мають доступ до різних інформаційних систем, так і збільшення самих використовуваних інформаційних підсистем. Тому всі організації, що в тому або іншому вигляді використовують інформаційні технології, стикаються з рядом проблем, які пов’язані з ідентифікацією та контролем доступа до інформаційних ресурсів. Це і збільшення кількості робочих місць адміністрування, це і високий ризик можливих помилок адміністрування, а також величезна кількість ідентифікаторів і паролів, що використовуються одним користувачем**.
Все це вимагає якісно нового підходу до їх вирішення. Зростання рівня вирішуваних завдань одночасно з необхідністю фінансової оптимізації проектів стимулює інвестиції у нові розробки. І однією з найперспективніших сфер є вдосконалення біометричних технологій.
Вже сьогодні біометрія заощаджує час і гроші, підвищуючи при цьому рівень безпеки. Ще на межі XX і XXI століть вважалося, що запровадження біометричної технології займе десятиліття – але вже зараз стало зрозуміло, що біометрія міцно ввійшла до нашого життя і в найближчому майбутньому відіграватиме все вагомішу роль.
Масово зразки серійних пристроїв, оснащених системами біометричної ідентифікації, почали з’являтися тільки в середині першого десятиліття XXI сторіччя і вже нині можна говорити про народження повністю сталого ринкового сектора, в якому майже кожного місяця з’являються нові незвичні вироби. Фантазія розробників не знає меж, тому важко навіть уявити, наскільки стане затребуваною у нашому житті біометрія вже у найближчі роки.
За останні декілька років застосування біометричних технологій стало одним з провідних напрямків у сфері безпеки. Одне з основних завдань у сфері безпеки – захист від несанкціонованого доступу до інформації, тому цілком логічною стала поява насамперед пристроїв збереження даних, які обладнані біометричними пристроями ідентифікації доступу. Наприклад, сканери відбитків пальців почали вмонтовуватися в різноманітні портативні пристрої: різні типи комп’ютерів і ноутбуків, мобільні телефони й інші інформаційні пристрої з електронною пам’яттю. Біометричні системи виявилися зручними для використання як з погляду апаратно-технологічної реалізації, так і з точки зору забезпечення відповідного рівня безпеки.
Насамперед це стосується USB флеш-накопичувачів. Останні моделі оснащуються вбудованим сканером відбитків пальців. Такі пристрої дозволяють зберігати в пам’яті накопичувача декілька відсканованих відбитків, що є дуже зручною функціональною особливістю, оскільки дає можливість здійснювати доступ до інформації не одному, а декільком користувачам. Безперечним плюсом є те, що для проведення ідентифікаційної поцедури не потрібне ніяке додаткове програмне забезпечення: пристрої самостійно ідентифікують особу користувача, про що сигналять світлодіодом у разі позитивного результату.
Ряд компаній (наприклад, американська компанія «Lexar») розширили функціональні можливості звичайного флеш-драйва, перетворивши його за допомогою спеціального софта та біометрії у свого роду електронний сейф для персональних даних. Це дозволяє зберігати будь-які паролі, логіни, дані адресної книги, закладки веб-браузера та багато іншого, щоб при роботі у мережі користувач не замислювався над тим, де у нього зберігається необхідна інформація. Зручна і досить проста у використанні біометрична система визначення автентичності власника (досить провести пальцем по сенсору сканера, обладнаного для надійності гнучкою гумовою стрічкою-кришкою) дозволяє легко отримати доступ до своїх персональних даних. При бажанні можна додатково
зашифровувати дані, що зберігаються у накопичувачі, використовуючи для цього
256-бітове кодування.
На ринку масово з’явилися і продовжують з’являтися пристрої з біометричним захистом і все більш місткою пам’яттю. Зовнішні USB жорсткі диски з біометричною системою визначення ймовірності власника ємністю біля 40 Гб і більше дозволяють надійно зберігати необхідну документацію й інші відомості в електронному форматі. Але захищають не тільки окремо взяті накопичувачі, але і комп’ютери у цілому. Ряд компаній (наприклад, компанія «Veridt») пропонують за допомогою флеш-картки, обладнаної сенсором для зчитування відбитків пальців, повністю запобігати небажаному допуску до користування «долоневими» комп’ютерами. Функціональні можливості ряду пристроїв дозволяють застосовувати «ручну» аутентифікацію для доступу до веб-ресурсів, які містять конфіденційну інформацію. Біометрична система ідентифікації використовується і в стільникових телефонах для організації доступу тільки ідентифікованого користувача до сервісних функцій.
Цілком обґрунтовано можна зробити висновок, що на електронних пристроях розповсюдження біометричних контролерів навряд чи закінчиться: з подальшим зменшенням розмірів мікрочипів подібні охоронні системи можуть бути вмонтовані й в інші речі, що оточують нас. Приклади тому – оснащення біометричною системою ідентифікації звичайних дамських сумочок, кейсів або дверних замків*.
Таким чином, біометричні технології – це принципово новий рівень безпеки об’єктів і конфіденційності інформації і, до того ж, безсумнівна зручність для користувачів. Практика доводить, що системи безпеки, що побудовані на основі біометричного методу ідентифікації, мають істотні переваги перед іншими засобами контролю доступу. В зв’язку з посиленням інтеграції України до глобальних економічних процесів, розвиток ринку систем безпеки і біометричних технологій у світі робить свій вплив і на ситуацію в нашій країні.
У технологічно розвинених країнах, особливо в США і Великобританії, посиленими темпами йде вдосконалення та впровадження нових розробок у сфері біометричних технологій. Безумовно, серйозний вплив робить зростання ймовірності загроз скоєння терористичних актів, а отже, зростання вимог до рівня безпеки об’єктів.
Лідерство серед біометричних ідентифікаційних пристроїв поки достатньо міцно утримують пристрої ідентифікації за відбитками пальців, про що йшлося вище. Лідируючі позиції цього способу ідентифікації обумовлені такими особливостями:
– це один з найдоступніших і дешевих методів (поки найкраще співвідношення за таким параметром, як вартість/досяжний результат якості);
– простота та зручність використання;
– даний метод ідентифікації не викликає особливих негативних емоцій і, як наслідок, не формує ніяких психологічних бар’єрів*.
Незважаючи на те, що біометричні системи самі по собі вже забезпечують достатньо високий рівень безпеки, їх часто використовують разом з іншими технологіями. Біометрична інформація може зберігатися на смарт-картці, використовуючи електронний шаблон параметра для зменшення обсягу використовуваної пам’яті. Наприклад, повне зображення відбитка пальця займає від 50 до 100 Кб (в залежності від розрішення використовуваної апаратури), а стандартна шаблонна версія займає лише біля 2 Кб. Вартість, надійність і гнучкість такої системи є головною причиною їх використання у симбіозі зі смарт-картками.
Біометричні смарт-картки «ідеально» дають можливість полегшити апаратну реалізацію систем безпеки, які засновані на біометричних технологіях. Такі смарт-картки можуть забезпечувати водночас і безпеку та секретність.
Наприклад, на смарт-картці можливо зберігати певний обсяг інформації, що дозволяє віднести їх до міні-комп’ютерів. Як наслідок, вони можуть працювати у тандемі з іншими пристроями. Такий підхід дозволяє значно покращити захист персональних даних власника картки, ніж у тому випадку, коли б вона зберігалася у загальній базі даних, де існує більша ймовірність витоку інформації. У випадку, коли на смарт-картці зберігається біометрична інформація, користувач у буквальному розумінні «тримає» контроль над нею і знає, де і в яких випадках його біометричні дані «можуть стати надбанням громадськості».
Біометричні смарт-картки гарантують безпеку і в багатьох інших сферах людської діяльності. Під час процесу реєстрації так званих «шаблонних» даних власника картки цифровим методом записується біометрична інформація, яка після цього «блокується» на картці. Вважається, що тільки у заводських умовах виробник може змінити інформацію, що зберігається у пам’яті мікрочипу. Таким чином, практично біометричні дані змінити або переписати неможливо, тому ніхто, крім виробника, не має доступу до технології щодо внесення змін такого характеру. Смарт-картки виготовлені таким чином, що практично записані на ній дані не можуть бути перенесені або скопійовані на інші пристрої. В залежності від рівня безпеки, під час зчитування інформації система контролю може припинити проведення процедури ідентифікації або аутентифікації, якщо існує ймовірність дій хакера з перехоплення інформації, або навіть видалити записану інформацію для того, щоб вона не потрапила до «поганих рук». Зараз, коли про випадки крадіжок персональних даних постійно повідомляють у пресі, особливе значення набуває їх захист від несанкціонованого доступу та копіювання**.
У XXI столітті розвиток біометрії не міг бути таким успішним, якби на її базі не забезпечувався належний рівень безпеки. В наш час практично жодна сучасна розробка систем і пристроїв безпеки не обходиться без застосування біометричних технологій. Особливо це стосується сучасного захисту інформаційних баз даних, персоналізації доступу до різних як приватних локально-корпоративних, так і державно-відомчих інформаційних мереж, доступу до інформації, що зберігається на різних електронних носіях, а також контрольованого доступу на територію об’єктів, що охороняються.
Як показують дані статистичних досліджень, останнім часом найбільшу загрозу корпоративним секретам становлять інсайдерські загрози.
Під інсайдерами, як правило, вважаються штатні працівники підприємств або організацій, які навмисно, випадково або помилково перевищують свої повноваження при роботі з інформацією, наслідком чого є порушення її цілісності, конфіденційності та доступності, тобто це в основному ті співробітники, які крадуть і «зливають» конфіденційні відомості, несанкціоновано модифікують і знищують інформацію, блокують доступ до неї, запускають в мережу різні «троянські» та «черв’ячні» програми, виконують ряд інших аналогічних дій, що часом мають катастрофічні наслідки для власника інформаційної мережі або банку даних.
В останні роки протидія інсайдерству, тобто внутрішнім інформаційним загрозам установ або організацій, що виходить від її власних працівників, напевно, одна з найчастіше і активно обговорюваних тем у засобах масової інформації СНД. Особливо вона обговорюється на різного роду заходах для фахівців:конференціях, семінарах тощо. За популярністю вона навіть перевершила проблему захисту від зовнішніх загроз, і деякою мірою навіть хакери вже не здаються такими вже страшними у порівнянні з персоналом власного підприємства або відомства, який дійсно здатний нанести досить відчутної шкоди в локальній інформаційній мережі, причому не зламуючи систему захисту, а лише використовуючи свої наявні права та можливості.
Ця проблема існує вже давно, практично існувала завжди – змінюються лише можливості інформаційних технологій, а проблема захисту від інсайдерства залишається. Засобами периметрового захисту: міжмережевими екранами, системами виявлення та попередження несанкціонованого доступу, противірусними і протиспамовими продуктами тощо ринок насичений, більшість організацій і підприємств, які мають можливість їх придбати, вже впровадили такі системи. А ось засоби захисту від інсайдерів – відповідна апаратура й технології, які забезпечують контроль за роботою пристроїв вводу-виводу, аналіз контенту, керування процесом ідентифікації та наданням права доступу – в цілому для ринку СНД, у тому числі й українського, відносно нові та поширені у значно меншому обсязі.
Цілком можна погодитися з авторами книги «Безпечний аутсорсинг» Майклом Пауером і Роландом Тропом, які дійшли до висновку, що: «В міру зростання цінності даних, які накопичені організаціями і установами, у сторонніх осіб зростає інтерес до їх отримання, привласнення та неналежного використання». Зі справедливістю даного висновку неможливо сперечатися, можно лише зауважити, що джерелом інформації для «сторонніх осіб» найчастіше є не канали зв’язку і не пристрої несанкціонованого з’йому інформації, а працівники установи, в якій планується організація викрадення інформації, що становить певну цінність.
Повідомлення, що періодично з’являються в пресі, про чергову масштабну крадіжку баз даних з метою подальшого перепродажу цих відомостей на чорному ринку, безумовно, є наслідком не зламу мереж хакерами та несанкціонованого копіювання через Інтернет гігабайтів даних, а наслідком несанкціонованих дій адміністраторів баз даних або мережевих систем доступу до них, які скопіювали та продали інформацію ради власної вигоди. І це тільки одне з можливих проявів інсайдерської діяльності.
Можна виділити наступні дії персоналу, які можуть призвести до небожа-
них наслідків:
– отримання доступу до інформації, яка не потрібна для безпосереднього виконання своїх службових обов’язків;
– подолання існуючої системи захисту;
– неправомірне поводження з довіреною інформацією;
– невміння або небажання виконувати свої службові обов’язки професійно і у відповідності до посадових інструкцій;
Помилкові дії*.
В опублікованому російською компанією «Perimetrix» дослідженні «Інсайдерські загрози 2008» зазначено, що в рейтингу інформаційно-телекомунікаційних (ІТ) загроз внутрішні чинники значно випереджають зовнішні, причому найбільшого побоювання фахівців викликають загрози витоку даних (76%), зокрема через можливу халатність співробітників (67%)**.
Статистика свідчить, що 71 відсоток порушень безпеки в компаніях відбувається за участю її власних співробітників, причому 80 відсотків з них мають шкідливу і вкрай небезпечну звичку обмінюватися паролями***.
На думку фахівців «SANS Institute» – однієї з провідних організацій у сфері навчання та аналітичних досліджень у питаннях ІТ-безпеки, – прогнозується подальше зростання так званих інсайдерських крадіжок даних, коли інформацію викрадають власні співробітники, яким у компанії цілком довіряють. Один з чинників зростання загроз з боку інсайдерів пов’язаний з тим, що вони можуть здійснювати атаку як «зсередини», знаходячись у локальній мережі організації, так і ззовні, використовуючи при цьому відомі зловмисникові вразливі місця та паролі.
Традиційні рівні захисту стають все більш розмитими в зв’язку з розширен-ням застосування різних мобільних пристроїв, за допомогою яких співробітники
можуть підключатися до корпоративної мережі, у тому числі й за межами свого робочого місця. На думку експертів з «SANS», за останні декілька років з’явилася значна кількість нових способів винесення інформації з організації та можливостей
її продажу з метою наживи****.
Кращим захистом від існуючих загроз інформаційній безпеці є превентивні заходи, а в даному випадку – запобігання неправомірному доступу до інформаційних ресурсів. Оскільки завжди залишається ймовірність обходу навіть найвитонченіших превентивних заходів, тому у будь-якій корпоративній мережі повинні бути передбачені незалежні багаторівневі засоби моніторингу доступу, які дозволяють оперативно виявляти факти інсайдерської активності. Крім того, для мінімізації наслідків виявленого інциденту необхідні спеціальні заходи, які б давали можливість швидкого відновлення пошкоджених баз даних і інформаційних систем до фіксації юридично значущої доказової бази для кримінального переслідування зловмисників*.
За інформацією аналітиків російської компанії «InfoWatch» у 2007 році абсолютними лідерами серед об’єктів інформаційних крадіжок стали персональні дані, частка яких досягла 93% проти 81% у 2006 році (до відома: у 2007 році частка викрадених комерційних таємниць та ноу-хау становила 6%, а всі інші види крадіжок – усього 1%). Основна причина підвищеного інтересу злочинців до персональної інформації – поступовий перехід сучасного суспільства на безготівковий розрахунок. Тому рік від року цінність особистих відомостей зростає. З «віртуалізацією» економіки, розвитком «електронного» бізнесу виникає все більше можливостей для шахрайських дій з використанням чужих персональних даних (identity theft). Отже, повсякчас зростає попит на такі відомості. Цим і викликано збільшення випадків витоку інформації. Цінність же іншої конфіденційної та секретної інформації (державних таємниць, ноу-хау, комерційних таємниць) якщо в середньому і зростає, проте не такими темпами, як у випадку з особистими даними.
Для розробки технічних і організаційно-технічних засобів захисту від витоків надзвичайно важливо проведення аналізу їх причин. За даними аналітиків «InfoWatch», у 2007 році умисні інциденти («злочинний намір») склали 29%, а ненавмисні (нехтування правилами інформаційної безпеки та недбалість) – 71%. Отже, цілком зрозуміло, що навіть ігноруючи боротьбу з внутрішніми зловмисниками, а тільки шляхом запобігання інцидентам, які обумовлені випадковістю або недбалістю персоналу, можно практично на 3/4 знизити кількість інцидентів витоку інформації, а відтак й відповідні втрати. Для багатьох установ, організацій і фірм тільки виключення можливості ненавмисних витоків практично компенсує всі витрати на запровадження відповідних засобів систем безпеки.
Необхідно також особливо підкреслити, що існує значна латентність щодо кількості зафіксованих випадків крадіжок або витоку інформації. Більшість випадків, які стали відомими громадськості, належать до витоку при передачі даних і перевезенні або пересилці носіїв з персональною інформацією. Тобто, широкому загалу факт витоку персональних даних стає відомим лише тоді, коли два або більше суб’єктів починають публічно перекладати відповідальність за інцидент один на одного або ж коли факти щодо витоку інформації стали відомі стороннім. Але дуже мало встановлено випадків витоку даних «всередині» установ, організацій та фірм. Тобто практично існує практика приховування більшої частини фактів витоку конфіденційної інформації та нерепрезентативності статистики стосовно кількості таких випадків.
І хоча на думку експертів компанії «InfoWatch» суто технічні засоби захисту без спеціальних організаційних захисних заходів недостатньо ефективні, впровадження біометричних пристроїв захисту інформації, не кажучи вже про спеціальні захистні системи, дозволяє значно зменшити можливість витоку конфіденційної інформації**.
Проведене опитування російських фахівців з захисту інформації показало, що антивірусне програмне забезпечення та міжмережеві екрани тією чи іншою мірою використовують практично 100% установ і організацій, проте лише у 24% компаній запроваджені заходи від можливого несанкціонованого витоку інформації, тому у 2006–2007 роках конфіденційна інформація у Росії «йшла на сторону» із загрозливою регулярністю. Це ж саме можна сказати й про Україну. Причому, як вже наголошувалося, найчастіше з компаній крадуть персональні дані, відомості щодо конкретних угод і фінансові звіти. Експерти пояснюють такий стан справ тим, що лише небагато організацій використовують спеціалізовані системи захисту. До того ж більшість з них реалізовані на застарілих технологіях, а тому малоефективні. Практично в установах і організаціях Росії і України дуже мало застосовуються такі технології, як шифрування та процедура класифікації даних, хоча комбінація шифрування, класифікації та постійного моніторингу операцій з конфіденційною інформацією здатна забезпечити відповідний захист*.
У 2006 році в нашій країні Службою Безпеки було порушено 28 кримінальних справ за фактами несанкціонованих дій з конфіденційними базами даних державних органів, де в більшості випадків фігурували персональні дані громадян України**.
Наявність доступу до інформації у співробітників, яким вона не є необхідною за родом службової діяльності, є наслідком відсутності в організації або установі ефективної системи розмежування доступу і управління правами користувачів, коли значна частина персоналу дістає можливість користуватися всіма можливостями корпоративної інформаційної системи і базою даних незалежно від виробничої потреби. Практично це означає, що в установі не вироблено чіткої концепції інформаційної безпеки або, у більшості випадків, до персоналу не доведені існуючі вимоги цієї концепції або співробітники просто ігнорують їх***.
Останнім часом для технічного вирішення питань інформаційної безпеки все
ширше використовуються апаратно-програмні засоби на основі біометричних технологій. Особливо слід зазначити реалізацію комплексних рішень на базі сучасних систем ідентифікації і аутентифікації. На думку експертів, на сьогодні використання систем безпеки на основі біометричних технологій та пристроїв – один з найдієвіших способів боротьби з інсайдерством, хоча не можна вважати цей захід абсолютною панацеєю. Біометричний спосіб авторизації – один з найперспективніших на поточний момент.
Біометричне розпізнавання людського індивідуума полягає у порівнянні фізіологічних або психофізіологічних параметрів цього індивідуума з його характеристиками, які зберігаються в спеціальному архіві (база даних /БД/ системи). Головна мета біометричної ідентифікації полягає у створенні такої системи реєстрації, яка б дуже рідко відмовляла у праві доступу легітимним користувачам і в той же час повністю виключала можливість несанкціонованого підключення до БД. У порівнянні з паролями та іншими варіантами доступу без використання біометричних технологій така система забезпечує набагато надійніший захист, адже власні біометричні параметри користувач не може ані забути, ані загубити, ані передати іншому.