Программные продукты, предназначенные для защиты конфиденциальных данных от утечек, выделяются на фоне многообразия ИТ-продуктов для корпоративного использования. Одна из «выдающихся» особенностей – высокая стоимость систем. Почему компании продолжают платить за системы защиты от утечек информации? В статье для издания «Директор по безопасности» основатель и генеральный директор компании GlobalTrust Александр Астахов говорит о риск-ориентированном подходе для оценки экономической целесообразности и эффективности применения средств защиты информации. И в качестве примера использует систему защиты от утечек информации (систему защиты от утечек информации (система защиты от утечек информации (DLP))) «СёрчИнформ КИБ».

Введение

В наше время системы получают все более широкое распространение, несмотря на их дороговизну с одной стороны и отсутствие четких представлений об их экономической эффективности с другой. О внутренних угрозах и губительных последствиях утечек информации нам уже почти все рассказали маркетинговые службы разработчиков этих систем. Пора поговорить об экономике вопроса.

Система защиты от утечек – мощный инструмент защиты информации, применение которого сопряжено, однако, с рядом «побочных эффектов», таких как ухудшение морального климата в коллективе, а также непростые отношения с законодательством, защищающим право граждан на личную жизнь. Вложение средств в информационную безопасность должны быть экономически оправданы. Отбойный молоток – тоже очень эффективный инструмент, но им не забивают гвозди. Являются ли системы экономически оправданными? При каких условиях? Для каких организаций? Как оценить их экономическую эффективность? Какой возврат инвестиций они способны обеспечить?

Современные методики анализа рисков, базирующиеся на международных стандартах, предоставляют достаточно возможностей для нахождения ответов на эти вопросы. Рассмотрим, как это может применяться на практике.

Статистика утечек информации

Продвижение систем осуществляется их разработчиками при помощи отчетов об инцидентах. Цель этих отчетов заключается, конечно, не в предоставлении наиболее полных и достоверных данных для оценки окупаемости систем, а демонстрация того, что проблема утечек информации существует, носит достаточно общий характер и имеет тенденцию к увеличению.

Достоверных данных об утечках, особенно по России не существует. Информация берется в основном из открытых источников. Поэтому в данную статистику попадают только резонансные дела, просочившиеся в прессу. Компании статистику своих инцидентов либо вообще не ведут, либо не предоставляют. Многие инциденты умышленно не афишируются.

Тем не менее, нам надо на что-то опираться. К тому же отчеты об утечках не настолько недостоверны, как может показаться. Ведь все утечки по своим последствиям можно разделить на три группы:

1. Утечки, наносящие ущерб репутации (все они попадают в СМИ и в официальные отчеты, иначе какой тогда может быть ущерб репутации).
2. Утечки, наносящие прямой финансовый ущерб (как правило, не очень большой и достаточно просто оцениваемый).
3. Утечки, приводящие к утрате конкурентных преимуществ, например, утечки коммерческой тайны (такие утечки разбираются в судах и должна быть судебная статистика по таким делам).

Другими словами, утечки, по которым нет официальной статистики, не столь существенны для нашего анализа.

Общемировая статистика утечек за 2015 год (по данным Zecurion Analytics) выглядит следующим образом:

• Общий зарегистрированный ущерб – 29 млрд долларов (868 утечек).
• Средняя стоимость утечки – ~33 млн долларов.
• Россия на 4-м месте (после США, Великобритании и Канады) – 49 публичных инцидентов (~1 617 млн долларов).
• Финансовые данные физлиц – один из самых востребованных киберпреступниками типов информации — 19% инцидентов.
• Чаще всего утекает информация из госучреждений, предприятий розничной торговли и банков.

Наиболее «громкие» утечки 2015 года из российских компаний включали:

• Mail.ru и Яндекс в один день анонсировали запуск двухфакторной аутентификации для доступа к аккаунтам, что дает все основания предполагать утечку информации к конкурентам.
• Яндекс. Инсайдеру удалось успешно скопировать на флешку и вынести исходники и алгоритмы работы поисковика.
• Ижевский автозавод. Инсайдеры сделали «секретные» снимки нового серийного автомобиля «Лада Веста» и продали их интернет-блогеру.
• Банк «Санкт-Петербург». По данным представителей банка в руки злоумышленников попали имена, номера счетов, номера карт и ИНН нескольких тысяч клиентов. Перевыпуск карт и репутационный ущерб. Банк заявил об отсутствии ущерба.
• Topface. На одном из форумов для киберпреступников обнаружили базу пользователей российского сервиса знакомств Topface (только адреса и никнеймы).
• На портале госзакупок обнаружили паспортные данные членов Совета Федерации.

Более подробную информацию о данных утечках можно найти в СМИ, а также в упомянутом выше отчете Zecurion Analytics. Там есть случаи, которые могли привести к утрате конкурентных преимуществ в результате нарушения коммерческой тайны и случаи, которые могли привести к прямому финансовому ущербу (судебные издержки и компенсации), а также к репутационному ущербу. Могли привести, но не привели. По мнению аналитиков, готовивших отчет, во всех этих случаях «ущерб не очевиден».

Несмотря на «неочевидность» ущерба, рассмотренные данные, как правило, и служат обоснованием для приобретения системы. Они показывают заказчикам то, что должны показывать:

• Проблема существует по всему миру, и Россия на одном из первых мест.
• Проблема выражается кругленькой суммой в 30 млрд долларов (и это только вершина айсберга).
• Проблема касается каждого и растет из года в год.

Видимо этих соображений для многих руководителей оказывается вполне достаточно, чтобы обосновать целесообразность приобретения системы защиты от утечек. Однако остаются еще вопросы:

1. Какую из существующих систем защиты от утечек выбрать, в какой комплектации и сколько можно на нее потратить?
2. Какой процент утечек данная система позволит предотвратить?

Для ответа на эти вопросы необходимо представлять себе архитектуру системы, процессы ее функционирования и существующие ограничения.

В 2018 году аналитики «СёрчИнформ» опросили руководителей и ИБ-специалистов российских и зарубежных компаний. Итоги исследования о количестве инцидентов безопасности с раскладкой по отраслям можно скачать здесь.   

Архитектура системы защиты от утечек информации

Чтобы понять, какие угрозы реально способна предотвращать система, а какие нет, рассмотрим ее архитектуру на примере «СёрчИнформ КИБ» в несколько упрощенном виде.

Архитектура системы многомодульная. Она осуществляет перехват и анализ информации на двух уровнях: на сетевом и на хостовом. Сетевые модули располагаются на сетевом шлюзе и отвечают за сетевой перехват. Хостовые модули устанавливаются на рабочих станциях пользователей и осуществляют перехват информации в «конечных точках». Помимо модулей, отвечающих за перехват информации, в состав системы защиты от утечек входят серверные компоненты, обеспечивающие централизованное управление информацией и всеми компонентами системы. Без этих компонентов система не может функционировать:

• Центр администрирования (Центр администрирования (Центр администрирования (DataCenter))) – центр управления. Контролирует работоспособность модулей, а также управляет всеми созданными индексами и базами данных.
• Сервер обработки данных (Сервер обработки данных (SearchServer)) – модуль, отвечающий за индексацию перехваченной информации.
• Центр обнаружения инцидентов (Центр обнаружения инцидентов (AlertCenter)) – «мозговой центр» всей системы. Опрашивает все модули и, при наличии в перехваченной информации заданных ключевых слов, фраз или фрагментов текста, атрибутов документов, немедленно оповещает об этом офицеров безопасности.
• Центр управления отчетностью (ReportCenter) – инструмент отчётности. Позволяет собирать статистику по активности пользователей и инцидентам, связанным с нарушениями политики безопасности, и представлять ее в виде отчетов.

Ограничения систем защиты от утечек информации

Рассмотренная архитектура системы заключает в себе следующие возможности по противодействию утечкам:

• Выявлять, блокировать, расследовать утечки информации из корпоративной сети, осуществляемые сотрудниками организации при помощи штатных средств по тем каналам, для которых имеются соответствующие снифферы и которые охвачены правилами политики безопасности системы.
• Осуществлять мониторинг действий пользователей корпоративной сети и контролировать производительность труда.

Система защиты от утечек не позволяет противодействовать утечкам информации, происходящим в результате кражи или утраты оборудования и носителей информации, внешних взломов сетей и прочих действий, не охваченных политикой безопасности. Такие утечки составляют значительный процент в статистических отчетах.

Таким образом, применение системы позволит бороться лишь с некоторой частью угроз, связанных с утечками информации. Да и в отношении этих угроз она сможет эффективно функционировать только в сочетании с прочими организационными, юридическими и техническими мерами защиты, обеспечивающими аутентификацию и управление паролями, защиту периметра сети и конечных точек, контроль использования и хранения носителей информации, управление инцидентами и т. д. и т. п. Без всего этого, эффективность системы может быть сведена к нулю, даже для тех угроз, которые находятся в границах ее политики безопасности. Все эти факторы нам надо будет учесть при дальнейшем анализе, если нас интересует реальная экономическая эффективность и окупаемость системы.

Эффект от использования системы защиты от утечек усиливают системы управления инцидентами ИБ (системы управления инцидентами ИБ (SIEM)). «СёрчИнформ Мониторинг безопасности» (СёрчИнформ SIEM) отслеживает события в программных и аппаратных источниках, определяет ИБ-инциденты и помогает вести расследования. 

Коэффициент возврата инвестиций

Конечной целью нашего анализа является оценка возврата инвестиций для системы защиты от утечек. Коэффициент возврата инвестиций (ROI) – основной экономический показать эффективности ИБ. Он определяется как отношение величины сокращения ожидаемых среднегодовых потерь (величины уменьшения риска) к стоимости реализации контрмер:

[Коэффициент возврата инвестиций (ROI)] = ([Уменьшение среднегодовых потерь (ALE)] – [Стоимость защитных мер (TCO)]) / [Стоимость защитных мер (TCO)]

ROI показывает во сколько раз величина потенциального ущерба превышает расходы на его предотвращение. Возможные значения ROI:

• ROI = 0, сколько вложили, столько и сэкономили (ничего не выиграли и не потеряли);
• ROI < 0, стоимость система защиты от утечек информации (DLP) превышает потенциальный ущерб (зря потратили деньги и время);
• 0 < ROI < 1, с учетом большой неопределенности измерений, какая либо польза не очевидна;
• ROI = 1, мы получаем 100% экономию на вложенные средства;
• ROI > 10, ожидаемое сокращение потерь на порядок превышает затраты.

Основная экономическая целью ИБ – обеспечения оптимального уровня возврата инвестиций в безопасность, т.е. максимизация ROI, как это показано на графике. Для этого надо не только оценивать риски, но также регистрировать, анализировать и считать прямые и косвенные потери в результате инцидентов.

На схеме закрашены проблемные области с отрицательным возвратом инвестиций: область недофинансирования и область избыточного финансирования. В первом случае деньги на безопасность не выделяются, либо выделяются по остаточному принципу. Для этого случае характерны проблемы с вирусами, отсутствие планов непрерывности бизнеса и легкомысленное отношение персонала к вопросам безопасности. Во втором случае, осуществляется избыточное финансирование безопасности, но большая часть средств расходуется впустую. Для этого случая характерно процветание бюрократии, избыточная формализация, приобретение дорогостоящего оборудования без принятия необходимых организационных мер.

Простая формула ROI = ALE / TCO может дать ответы на все экономические вопросы ИБ. ROI > 10 – хорошо, ROI < 10 – плохо, ROI < 0 – отвратительно. В этой формуле стоимость владения (TCO) достаточно легко и точно считается, в то время как риск (ALE) является функцией нескольких нелинейных величин, носящих неопределенный характер, таких как частота инцидентов, величина уязвимости и ценность актива.

Стоимость владения

Будем двигаться от простого к сложному, поэтому начнем с оценки стоимости владения (TCO). Она для системы защиты от утечек оценивается по следующей формуле:

Инвестиции в систему защиты от утечек = Единовременные затраты (обследование, проектирование, закупка ПО и оборудования, внедрение, обучение, консалтинг, разработка ОРД, приемочные испытания) + Постоянные затраты (техническая поддержка, продление подписок, администрирование и эксплуатация)

В техподдержку будет входить:

• обновление софта (выпуск новых версий, расширение функционала, оптимизация работы, исправление багов и т.д.);
• обслуживание по инженерной части (к примеру, если клиент по какой-то причине не может или не знает, как разбить индексы, настроить автоматический запуск компонент, прописать альтернативные адреса серверов и т.д.);
• первичное обучение по части аналитики (создание и настройка политик, составление отчётов и т.д.) и дальнейшая поддержка со стороны отдела внедрения разработчика.

Работы по внедрению системы защиты от утечек обычно включают:

• заполнение анкеты (для определения состава оборудования, ПО и планирования работ);
• подготовка к тестовому внедрению;
• тестовое внедрение (может включать сравнительные испытания, нагрузочное тестирование и т.п.);
• развертывание (установка) системы;
• первичное обучение;
• настройка политик безопасности;
• анализ перехваченной информации и формирование отчётов.

Стоимость этих работ, в данном случае, включена в указанную выше стоимость лицензии. В общем случае для систем защиты от утечек она может в среднем составлять порядка 10-20% от стоимости продукта.

Помимо всего прочего, функционирование системы должно поддерживаться комплексом организационных и юридических мер, документирование которых осуществляется в ходе разработки комплекта организационно-распорядительных документов.

Формула риска

Теперь переходим к оценке риска утечки информации, который количественно определяется величиной вероятного среднегодового ущерба (ALE) и рассчитывается по формуле:

Величина риска = Вероятность угрозы х Величина Уязвимости х Размер ущерба

В этой формуле:

• Вероятность угрозы – среднее количество инцидентов ИБ в год;
• Величина уязвимости - % успешных инцидентов от общего количества инцидентов;
• Размер ущерба – совокупная стоимость скомпрометированных информационных активов, выражающаяся соответствующими потерями организации от успешных инцидентов.

В нашем случае будут рассматриваться только те угрозы, связанные с утечкой информации, защита от которых обеспечивается системой, а в качестве информационных активов – информация, критичная с точки зрения конфиденциальности. К такой информации могут относится: персональные данные, финансовая информация и различные виды тайн, определяемые законодательством.

Методика управления рисками BSI/ISO/GTS

Для оценки перечисленных выше факторов риска необходимо будет пройти все этапы, предусмотренные методикой оценки рисков ИБ, которая изначально описана в 3-й части британского стандарта BS 7799-3, заложена в основу международных стандартов серии ISO 27000, и адаптирована GlobalTrust для практического применения.

Основной документ, который формируется по результатам применения данной методики, – профиль рисков ИБ, который описывает все факторы риска для конкретного объекта защиты и определяет все необходимые числовые показатели для количественной оценки рисков и возврата инвестиций в ИБ.

Оценка риска начинается с инвентаризации активов и оценки их ценности для бизнеса. Ценность актива выражается размером потенциального ущерба, который может быть нанесен в результате его компрометации. Оценка ущерба осуществляется в ходе анализа последствий инцидентов.

Для инцидентов, связанных с утечкой информации, возможны три вида последствий:

1. Утрата конкурентных преимуществ, недополученная прибыль (например, в результате утечки ноу-хау или клиентской базы).
2. Ущерб репутации (например, в результате утечки персональных данных клиентов, банковской тайны или внутренней финансовой отчетности).
3. Прямой финансовый ущерб: судебные издержки, штрафы со стороны регуляторов, компенсации пострадавшим, затраты на ликвидацию последствий инцидента (например, в результате утечки данных третьих лиц, клиентов, партнеров или контрагентов).

Соответствующие сценарии возможных последствий утечек рассматриваются для каждой группы критичных информационных активов организации, при этом оценивается наихудший и наиболее вероятный сценарии развития событий. Полученные результаты сопоставляются с усредненными оценками, полученными различными исследователями.

Оценка последствий утечек информации

Среднестатистическая стоимость утечек может варьироваться от 1,5 (согласно Forrester Research) до 4,8 млн долларов (согласно Ponemon Institute) или быть сопоставимой со среднемесячным оборотом организации.

В качестве примера воспользуемся расчетами Forrester Research. Для того, чтобы оценить последствия компрометации базы данных (например, ИСПДн), надо дать оценку прямых затрат организации в расчете на одну запись базы данных. Рассматриваются четыре статьи затрат:

1. Организационные затраты на выявление, реагирование, расследование и оповещение об инциденте.
2. Потеря производительности работников организации в результате инцидента.
3. Компнсационные выплаты пострадавшим клиентам.
4. Потеря конкурентоспособности.

Оценки данных расходов сведены в таблицу.

ПРЯМЫЕ ЗАТРАТЫ ОТ УТЕЧКИ НА ОДНУ ЗАПИСЬ

Так, например, если произошла утечка клиентской базы, насчитывающей 100 000 записей, то, согласно этим расчетам, прямой ущерб составит 21,8 млн долларов.

Далее оцениваются последствия репутационного ущерба для компании с годовым оборотом в 1 млрд долларов. Он может выражаться в потере 10% существующей клиентской базы и 20% новых клиентов, что суммарно составляет 120 млн долларов, 12% выручки или более 60% валовой прибыли.

ОЦЕНОЧНОЕ ВЛИЯНИЕ УТЕЧКИ НА ВЫРУЧКУ

Влияние репутационного ущерба на прибыль организации показано в следующей таблице. Прямые затраты и репутационные потери суммируются. Получаем цифры по недополученной прибыли на 5-летнем периоде.

ОЦЕНОЧНОЕ ВЛИЯНИЕ УТЕЧКИ НА ВЫРУЧКУ НА ПЕРИОДЕ 5 ЛЕТ (в долларах)

На следующей диаграмме для наглядности изображена прогнозируемая прибыль организации до и после инцидента.

Оценочное влияние на рентабельность

Сравнение рентабельности

• Годовая чистая прибыль (предполагается 20% маржи);
• Годовая чистая прибыль (с учетом потерь от утечки).

Теперь потенциальный ущерб от утечки можно сравнить со стоимостью системы защиты от утечек. Если рассматривать соотношение стоимости подписки на Websense Data Protect (одного из лидеров мирового рынка систем) на 100 000 пользователей и суммарных потерь от утечек, то в среднем оно составляет 0,15%. Эта цифра соответствует размерам страховой премии, в случае, если мы рассматриваем расходы на ИБ как страхование от соответствующих рисков.

Оценка вероятности утечек информации

Таким образом, мы получили оценку потенциального ущерба от инцидентов ИБ и оценку стоимости владения для системы защиты от утечек на пятилетнем периоде. Для определения величины риска (ALE) и соответствующего значения коэффициента возврата инвестиций (ROI) осталось оценить вероятность инцидентов (угроз). Эта вероятность, помимо всего прочего, будет зависеть от настроек политик безопасности системы защиты от утечек информации (система защиты от утечек информации (DLP)), определяющих модель угроз, от которых она обеспечивает защиту.

МОДЕЛЬ УГРОЗ ДЛЯ СИСТЕМЫ ЗАЩИТЫ ОТ УТЕЧЕК (политики Центра обнаружения инцидентов (Центр обнаружения инцидентов (AlertCenter))

Для приблизительной оценки частоты реализации этих угроз может использоваться анализ журнала событий системы, в котором фиксируются все подозрительные события, потенциально нарушающие политику безопасности.

ЧАСТОТА РЕАЛИЗАЦИИ УГРОЗ (события ИБ Центра обнаружения инцидентов (Центр обнаружения инцидентов (AlertCenter))

Однако, решение выявляет не инциденты, связанные с утечками, а события ИБ (десятки и сотни тысяч в месяц), которые могут потенциально быть инцидентами. Нет возможности заблокировать все обнаруженные события, а значит нет возможности и предотвратить возможные утечки. Поэтому нужна еще и статистика: сколько было реальных инцидентов и сколько из них было предотвращено. Сопоставляя это с общей и отраслевой статистикой, можно было бы достаточно точно оценивать вероятность (частоту реализации) инцидентов (угроз) безопасности.

Для иллюстрации воспользуемся одним из отчетов об утечках информации, согласно которому в 2012 году, например, в банках был зарегистрирован 21 инцидент.

РАСПРЕДЕЛЕНИЕ УТЕЧЕК ПО ИСТОЧНИКАМ ЗА 2012 ГОД (263 инцидента по данным СёрчИнформ)

Это подтверждается и картиной распределения утечек по типам информации, согласно которой примерно 20 инцидентов были связаны с утечкой банковской тайны.

РАСПРЕДЕЛЕНИЕ УТЕЧЕК ПО ТИПАМ ИНФОРМАЦИИ 

Если эту цифру разделить на 1000 банков (по которым собиралась статистика), то получится 0,02 или 2% – вероятность инцидента в течение года. Т. е. прогнозируемая частота реализации угрозы – 1 раз в 50 лет.

Если посмотреть на распределение утечек по способам получения информации, то мы видим, что далеко не все утечки предотвращаются система защиты от утечек информации (DLP) системой, а только приблизительно 70% инцидентов (левая половина графика). Это надо учитывать в модели угроз. Банковских инцидентов, которые можно предотвратить при помощи системы защиты от утечек, будет не 21, а примерно 15.

РАСПРЕДЕЛЕНИЕ УТЕЧЕК ПО СПОСОБАМ ПОЛУЧЕНИЯ ИНФОРМАЦИИ ЗА 2012 ГОД 

Оценка среднегодовых потерь от утечек информации

Теперь по формуле риска можно рассчитать прогнозируемую величину среднегодовых потерь от утечки информации:

Среднегодовые потери (ALE) = [Частота реализации угрозы] х [Величина уязвимости] х [Размер ущерба]

Рассчитаем ALE до и после внедрения системы. В качестве среднего размера ущерба возьмем «среднее по больнице» согласно доступной нам статистике инцидентов за 2015 год – 33 млн долларов.

Величина уязвимости показывает эффективность системы защиты от утечек. Для иллюстрации предположим, что сам факт использования системы на порядок уменьшает количество инцидентов. А их тех, которые происходят, на порядок снижается количество успешных. Поэтому после частота угрозы и величина уязвимости у нас соответствующим образом уменьшаются.

Исходя из этих предположений посчитаем эффект от внедрения системы (уменьшение среднегодовых потерь).

В этой таблице:

• Частота реализации угрозы = количество инцидентов в год / количество организаций.
• Размер ущерба (ценность всех защищаемых системой защиты от утечек информации (система защиты от утечек информации (DLP)) активов) = среднестатистическая стоимость аналогичной утечки.