Безопасность поисковых систем в корпоративной среде

Информационные технологии (ИТ) все глубже входят в бизнес практически каждой организации. Это сопровождается почти экспоненциальным ростом объемов корпоративной информации, аккумулируемой в локальных сетях компании. В результате на первый план выходит проблема быстрого и удобного доступа к документам, распределенным по многочисленным серверам и рабочим станциями интрасети. От эффективного решения этой задачи может зависеть эффективность всего бизнеса, так как время, затрачиваемое сотрудниками на поиск нужного документа, отрицательно влияет на производительность труда и означает выброшенные на ветер деньги компании. Сегодня на рынке существует целый ряд инструментов, которые предназначены для облегчения доступа к документам, распределенным в корпоративной сети. Эти продукты позволяют быстро найти практически любую информацию, используемую в современном бизнесе: текстовые документы, электронные сообщения, кэш браузера, графические файлы и т.д. Наиболее известными поставщиками корпоративных поисковых систем на российском рынке являются Google, Yahoo и Яндекс. Между тем, из сообщений в прессе может возникнуть ощущение, что использовать эти инструменты в корпоративной среде опасно. Дело в том, что время от времени организации страдают от серьезных утечек конфиденциальной или приватной информации. Причем это является следствием использования (возможно, некорректного) корпоративных поисковых систем. Таким образом, представители бизнеса сталкиваются с угрозами информационной безопасности (ИБ), которые возникают в результате применения инструментов поиска. Вот лишь несколько примеров из практики:

* В конце 2004 года, сразу же после того, как публике был представлен Google Desktop, появились сообщения о том, что этот локальный поисковик индексирует абсолютно все почтовые сообщения на персональном компьютере и, тем самым, позволяет обходить пароли на почтовых ящиках, устанавливаемые в почтовых клиентах. В результате специализирующиеся на системах безопасности компании поспешили объявить Google Desktop потенциально опасной программой.
* Сразу же стало ясно, что поисковые системы практически всех поставщиков индексируют абсолютно все данные (формат которых они поддерживают), находящиеся на рабочих станциях. Порой использование этих инструментов позволяет получить доступ даже к тем документам, которые находятся на жестком диске в зашифрованном виде, причем в открытом виде. Хотя это, очевидно, является уязвимостью криптографических средств, не удаливших оригинальные файлы после шифрования. Тем не менее, разработчики криптографических продуктов поспешили обвинить поисковые системы.
* В ноябре 2005 года в корпоративной поисковой системе Google Mini была обнаружена уязвимость, для устранения которой компания в срочном порядке выпустила заплатку. Использование бреши могло привести к произвольному исполнению сценариев или html-кода на удаленном компьютере.
* В декабре 2005 года была обнаружена уязвимость в Internet Explorer, позволяющая получить доступ к информации пользователя через Google Desktop 2. Компания Microsoft пообещала выпустить заплатку в самое ближайшее время, а представители Google заявили, что найденная брешь - есть уязвимость браузера, так что поисковая система здесь ни причем.
* В феврале 2006 года фирма Gartner выпустила отчет, в котором отмечалась опасность новой функциональности Google Desktop 3, позволяющей пользователям искать информацию на нескольких своих компьютерах. Суть проблемы в том, что копия всех данных сохраняется на серверах Google в течение 30 дней. Аналитики Gartner подчеркнули, что простой перенос информации за пределы предприятий представляет собой неприемлемый риск для многих компаний. Помимо того, что перенос информации на внешние серверы немедленно поднимает вопрос о том, кто еще получит к ним информацию. В ответ компания Google признала, что новая функция может представлять большую опасность для предприятий, но заметила, что ответственность за безопасность лежит на самих пользователях, а сама эта функция вполне может быть отключена.
Настоящее исследование является первым российским проектом, нацеленным на изучение проблемы безопасного использования поисковых систем в корпоративной среде. Исследование ставит своей целью выявить опасения корпоративных пользователей относительно применения инструментов поиска, а также изучить те риски, которые сопутствуют использованию поисковых систем в компаниях.

Общие выводы

* Самой опасной угрозой, возникающей при использовании поисковых систем в корпоративной среде, является утечка конфиденциальной информации (48,9%). Индекс опасности этой угрозы значительно опережает все остальные. Эксперты InfoWatch считают, что опасения респондентов вполне справедливы.
* Лишь малая часть респондентов (19,3%) считает, что поисковые системы полностью безопасны. Это лучше всего демонстрирует ту напряженность, которая сложилась среди представителей бизнеса, которые уже используют корпоративные средства поиска или только собираются их внедрять.
* Почти половина (45,3%) респондентов убеждена, что угрозы, сопутствующие использованию корпоративных поисковых систем, возникают из-за человеческого фактора. По мнению аналитиков InfoWatch, применение поисковых систем действительно подчеркивает проблему инсайдеров.
* Чуть больше половины (54,2%) респондентов считают, что повышенные риски ИБ являются препятствием на пути внедрения корпоративных поисковых систем. Противоположной точки зрения придерживаются 45,8%. Хотя 70,6% респондентов из обеих групп не уверены в своем ответе окончательно.

Методология исследования
Исследование проводилось в период 6.06.-6.07.2006. В процессе сбора первичных статистических данных приняло участие 1537 респондентов, заполнивших online-анкеты на сайте SecurityLab.ru. Вопросы для анкетирования и результаты исследования были подготовлены аналитическим центром компании InfoWatch. Приведенные ниже данные являются округленными до десятых процента. В некоторых случаях сумма долей ответов превосходит 100% из-за использования многовариантных вопросов.

Портрет респондента
На рис. 1 представлен портрет респондентов по роду занятий. Наибольшая часть опрошенных сотрудников работают системными администраторами (37,7%). Далее следуют пользователи (27,9%) и программисты (20,8%). Наконец, самая малочисленная группа респондентов представляет специалистов по ИБ (13,6%). Таким образом, в исследовании приняли участие довольно компетентные в сфере ИТ служащие, подавляющее большинство которых (72,1%) обладает высокопрофессиональными знаниями в этой области.

Предпочтения респондентов

На рис. 2 указаны самые известные поставщики корпоративных поисковых систем на российском рынке и их распределение по базе респондентов. Наиболее популярным инструментом поиска оказались продукты компании Google (Google Desktop, Google Desktop for Enterprises, Google Mini, Google Server Appliance и т.д.). Этими решениями пользуется почти половина опрошенных служащих (46%). Менее распространена поисковая система Яндекса (Персональный поиск Яндекса и т.д.). На этот продукт указали 38,4% респондентов. Наконец, на третьем месте оказались инструменты поиска от компании Yahoo (Yahoo Desktop Search и т.д.), на которых остановили свой выбор 1,6% опрошенных служащих. Также отметим, что определенная часть респондентов (14%) использует другие поисковые системы.

Безопасность поисковых систем

Самой важной частью исследования стала группа вопросов об угрозах ИБ, которые сопутствуют использованию поисковых систем в корпоративной среде. Прежде всего, респондентам было предложено поделиться своими опасениями и указать на те новые риски, которые возникают в организации в связи с применением специализированных поисковых продуктов (см. рис. 3). Как оказалось, наибольшее беспокойство служащих вызывает угроза утечки конфиденциальной информации (48,9%). Другими словами, практически половина респондентов уверена, что использование инструментов поиска приведет к тому, что классифицированная коммерческая информация окажется за пределами интрасети компании.

Примерно четыре респондента из десяти (39,8%) считают, что применение корпоративных поисковых систем чревато проникновением вредоносных программ в ИТ-инфраструктуру организации. Немного меньше опрошенных специалистов уверено, что еще одним сопутствующим риском является угроза несанкционированного доступа (35,3%). Наконец, практически каждый четвертый (24,6%) респондент опасается потери данных вследствие внедрения поисковых продуктов в компании, а почти каждый пятый (19,3%) уверен в безопасности этих систем. Также отметим, что небольшая группа (15%) анкетированных служащих полагает, что средства поиска таят в себе и другие угрозы помимо тех, что перечислены выше. По мнению аналитического центра InfoWatch, обеспокоенность респондентов риском утечки конфиденциальной информации вполне оправдана. Дело в том, что поисковые системы значительно облегчают доступ к коммерческим данным со стороны персонала. В подавляющем большинстве случаев этот доступ является полностью авторизованным и санкционированным. Таким образом, если инсайдер пытается "слить" торговые или технологические секреты работодателя на сторону, то ему не нужно выведывать, где хранится вся эта информация. Ведь в распоряжении инсайдера есть мощный инструмент поиска, который позволяет отыскать нужный документ за считанные секунды. Кроме того, по мнению экспертов InfoWatch, использование поисковых систем повышает риски случайной (непреднамеренной) утечки чувствительных данных. Возросший уровень этой угрозы объясняется тем, что теперь добропорядочному служащему намного проще ошибиться, перепутав конфиденциальный и публичный файлы. Такая ситуация может возникнуть в том случае, когда сотрудник делает поиск по какому-то ключевому слову, которое встречается, как в закрытом, так и в открытом документе, а также тогда, когда служащий допускает утечку документа, о конфиденциальном характере которого он просто не осведомлен. Между тем, у группы экспертов SecurityLab.ru вызывало некоторое удивление, что на втором месте среди ответов респондентов оказалась угроза проникновения вредоносных кодов. Дело в том, что беспокойство специалистов по поводу других рисков (утечка конфиденциальной информации, несанкционированный доступ, потеря данных) вполне понятно и объяснимо. Ведь все они навеяны уже произошедшими инцидентами. Например, уязвимость в браузере потенциально позволяла хакеру осуществить несанкционированный доступ к информации, украсть или уничтожить ее. Однако еще не было создано даже концепта тех червей, который могли бы проникнуть на компьютер вследствие бреши в поисковой системе. Кроме того, ничто не указывает на то, что такие концепты появятся в ближайшее время, так как для этого необходимо, чтобы поисковые системы какого-то одного поставщики пользовались чрезвычайно широкой популярностью среди пользователей. А этого, как видно из данного исследования, не происходит. Тем не менее, аналитики SecurityLab.ru находят объяснение опасениям респондентов. Вредоносные коды являются одной из самых опасных угроз ИБ, наряду с утечкой конфиденциальной информации. Так что служащие, находящиеся все время под давлением СМИ и поставщиков антивирусных решений, могли включить данную угрозу на "всякий случай".

Следующим вопросом аналитики InfoWatch предложили указать источники угроз ИБ, возникающих при использовании корпоративных поисковых систем (см. рис. 4). Этот вопрос не менее важен, чем предыдущий, так как повышение рисков ИБ в связи с появлением нового продукта в корпоративной сети не обязательно является следствием уязвимости внедренного информационного продукта. Собственно так и оказалось - почти половина (45,3%) респондентов уверена, что новые угрозы возникают как результат человеческого фактора. Действительно, довольно часто служащие просто не умеют использовать поисковые системы в соответствии со строгими требованиями безопасности. Следующим по популярности ответом стали уязвимости в программном окружении поисковой системы. В пользу этого варианта отдали свои голоса 26,1% респондентов. С таким мнением тоже сложно не согласиться, так как приведенные во введении примеры указывают, что инциденты ИБ возникают, в том числе, из-за брешей в браузере, криптографических средствах, почтовых клиентах и т.д. Наконец, замыкает тройку источников рисков ИБ - уязвимости в самих поисковых системах. Однако на долю этого ответа пришлось лишь 9,3% респондентов. Другими словами, опрошенные служащие прекрасно понимают, что поисковые системы, как и любое другое программное обеспечение, могут содержать ошибки и бреши, но на практике человеческий фактор и уязвимости в программном окружении гораздо чаще приводят к инцидентам ИБ. Также отметим, что 19,3% респондентов указали на отсутствие угроз, возникающих вследствие использования корпоративных поисковых систем. Это та же группа, которая выбрала аналогичный вариант при ответе на предыдущий вопрос.

Оборотни в белых воротничках
"Мы должны ясно отдавать себе отчет в том, что если конфиденциальные документы попадают в общий индекс поисковой системы, то единственное, что может предотвратить утечку, так это система активного мониторинга всех коммуникационных каналов. Если же организация не контролирует электронную почту, Интернет, USB-флэшки, принтеры и другие каналы, то коммерческие секреты утекут из такой компании быстрее, чем начальник успеет глазом моргнуть. Более того, чтобы утечка состоялась достаточно не контролировать хотя бы один из указанных выше каналов. Я также должен сказать, что поисковые системы здесь абсолютно не причем. Они лишь облегчают доступ к закрытым данным - инсайдер сможет намного быстрее найти именно тот конфиденциальный документ, который ему нужен. Однако и без корпоративной поисковой системы инсайдер все равно справится. Просто это займет чуть больше времени. Таким образом, если система защиты от утечек и инсайдеров в организации внедрена, то можно смело внедрять инструменты поиска и не опасаться за человеческий фактор или оборотней в белых воротничках. Если же системы защиты нет, средства поиска лишь ускорят утечку торговых секретов компании", - комментирует Денис Зенкин, директор по маркетингу компании InfoWatch.

Ставка на Яндекс
Появление персональных поисковых систем поставило многие коммерческие организации перед нелегким выбором: с одной стороны весов ощутимая экономическая выгода от колоссальной экономии рабочего времени при поиске нужных файлов - ведь за год каждый офисный сотрудник компании ищет на своем компьютере и во внутренней сети организации тысячи разных документов - старых писем, бланков, типовых отчетов, тратит на подобный поиск многие сотни рабочих часов. С другой стороны жестко стоит вопрос обеспечения безопасности - ведь проиндексированный "концентрат" информации компании в любом случае является крайне лакомым куском для потенциального злоумышленника. А уж идея передавать "наружу" эти конфиденциальные данные, в числе которых по неосторожности одного из пользователей могут попасть и совершенно секретные сведе- ния, и хранить на иностранных серверах компании Google, не скрывающей своих тесных связей с американскими спецслужбами, полностью отсекает возможность использования персональных поисковых систем Google для многих компаний. В качестве неплохого компромисса можно указать решение от компании Яндекс, в котором индексные файлы хранятся на выбранном вами компьютере и не покидают пределы организации. Однако в любом случае, беречь эти индексные файлы придется не менее тщательно, чем список паролей.
- Александр Антипов, руководитель Securitylab.ru.

Суммируя все ответы респондентов, можно резюмировать, что представители бизнеса могут спокойно использовать корпоративные поисковые системы, если политика ИБ, принятая в компании, предполагает защиту конфиденциальной информации, предотвращение утечек и мониторинг инсайдерской активности. Отметим, что столь эффективная политика ИБ должна быть в каждой крупной организации, так как риски утечки торговых секретов высоки везде, где эти секреты есть, и никак не связаны инструментами поиска. Если на предприятии нет адекватной политики ИБ, и не используются соответствующие средства защиты от утечек и инсайдеров, то средства корпоративного поиска только усугубят ситуацию, предоставив оборотням в белых воротничках удобный способ быстрого доступа к нужной информации.

Фактор безопасности поисковых систем
Последним вопросом исследования аналитики InfoWatch предложили респондентам показать, насколько большое значение они придают фактору безопасности корпоративных поисковых систем (рис. 5). Как оказалось, немного меньше половины (45,8%) опрошенных служащих считают, что угрозы ИБ, сопутствующие использованию средств поиска в ИТ-инфраструктуре, являются препятствием на пути внедрения этих продуктов. Однако более половины респондентов (54,2%) придерживаются прямо противоположного мнения.

Также следует отметить большую группу респондентов, которая не уверена в своем ответе. Так, вариант "Скорее да, чем нет" выбрали 32,3% отвечавших. Ответ "Скорее нет, чем да" дали 38,3% респондентов. Другими словами, эти 70,6% анкетированных служащих не могут точно сказать, как именно фактор безопасности сказывается при принятии решения о внедрении корпоративных поисковых систем.

Заключение
Итак, самой опасной угрозой, возникающей при использовании поисковых систем в корпоративной среде, является утечка конфиденциальной информации (48,9%). Как указывают эксперты InfoWatch, опасения респондентов имеют вполне рациональную почту, ведь сами поисковые системы значительно облегчают доступ к корпоративным секретам, а, следовательно, повышают риски утечки. Следующей по опасности угрозой респонденты назвали риск проникновения вредоносных программ (39,8%). Данный ответ вряд ли можно считать объективно обоснованным. По мнению экспертов SecurityLab.ru, выбор этого варианта продиктован постоянным давлением СМИ и антивирусных поставщиков на аудиторию. В результате респонденты выбрали вирусную угрозу "на всякий случай". При этом лишь малая часть респондентов (19,3%) считает, что поисковые системы полностью безопасны. Другими словами, представителей бизнеса действительно обуревают сомнения в том, насколько защищенной можно считать ИТ-инфраструктуру после внедрения в нее корпоративной поисковой системы. Почти половина (45,3%) респондентов убеждена, что угрозы, сопутствующие использованию корпоративных поисковых систем, возникают из-за человеческого фактора. Еще одним популярным ответом стали бреши в программном окружении (26,1%), например, операционной системе, криптографических утилитах и т.д. По мнению аналитиков InfoWatch, применение поисковых систем действительно подчеркивает проблему инсайдеров. Однако если в компании уже внедрена система защиты от утечек и инсайдеров, то ей нечего опасаться - средства поиска не приведут к утечке ни в результате случайных действий персонала, ни вследствие злонамеренной активности. Чуть больше половины (54,2%) респондентов считают, что повышенные риски ИБ являются препятствием на пути внедрения корпоративных поисковых систем. Противоположной точки зрения придерживаются 45,8%. Таким образом, фактор безопасности оказывает достаточно серьезное влияние на принятие решения о внедрении поисковой системы в ИТ-инфраструктуру компании.