В начале февраля 2008 года Управление «К» МВД РФ задержало менеджера компании «Вымпелком» (торговая марка «Билайн»). В его отношении было возбуждено уголовное дело за попытку передачи конфиденциальных сведений заинтересованному лицу. Задержанный менеджер имел доступ к детализированным отчетам о входящих и исходящих вызовах абонентов. Пользуясь своим служебным положением, он скопировал информацию о переговорах одного из абонентов и попытался передать ее вовне. Интересно, что менеджер не успел передать конфиденциальную информацию — его задержали при попытке сделать это.

Описанный случай является классическим примером спланированного инсайда в операторах связи. Огромные массивы конфиденциальной информации, которые обрабатываются операторами, являются лакомым кусочком для инсайдеров, мошенников и прочих преступных элементов. К сожалению, российские операторы не слишком часто предают подобные инциденты огласке, хотя последние тенденции свидетельствуют о том, что именно внутренние проблемы безопасности становятся для операторов основными.

Чтобы понять, почему так получается, рассмотрим бизнес крупного оператора связи. У такого оператора есть несколько основных ресурсов. Во-первых, это огромная сеть передачи данных, во-вторых, имеющиеся лицензии, и, в-третьих, клиентская база. На сегодняшний день ключевым является третий ресурс, поскольку сети давно были построены, а лицензии, соответственно, выданы. Другими словами, ключевая задача крупного оператора состоит в привлечении и удержании максимального количества клиентов.

Существует несколько способов решения этой задачи. Первый из них — маркетинговый — требует серьезных финансовых затрат и не связан с темой настоящей публикации. Остановимся на остальных способах — а именно, на внедрении новых услуг и повышении качества обслуживания.

Внедрение новых услуг: защита интеллектуальной собственности

Рассмотрим некоего оператора, ориентированного на предоставление максимально инновационных сервисов. На практике это весьма трудная задача, поскольку дополнительные услуги уже давно не могут оправдать возлагавшихся на них надежд. Практически каждую неделю в мире появляются новые услуги, однако только единицы из них становятся действительно популярными.

В таких условиях чрезвычайно важно защитить идею услуги от копирования со стороны конкурентов. Предположим, что оператор «А» придумал действительно инновационный сервис, разработал под него бизнес-модель и уже собрался запускать соответствующий проект. Однако за день до начала проекта в Сети появляется пресс-релиз оператора «В», сообщающий о запуске аналогичного сервиса с идентичным функционалом. Можно ожидать, что планируемая отдача оператора «А» от сервиса может резко сократиться или вообще упасть до нуля.

В российской телекоммуникационной отрасли пока не зафиксировано ни одного официального случая кражи сервисов. Однако можно не сомневаться, что такие случаи имели место. Легко убедиться, что, например, все российские сотовые операторы предлагают практически одни и те же услуги, но под разными названиями. Таким образом, система информационной безопасности оператора должна обезопасить проектную документацию от попадания за пределы корпоративной сети в целом, и в руки конкурентов, в частности.

Каким образом может произойти утечка? Теоретически, конечно можно рассматривать варианты с хакерским взломом, социальной инженерией или заражением вирусами. Однако на практике такие способы не особенно то и работают. Связисты всегда были ориентированы на ИТ, и защитить себя от такого рода угроз они вполне в состоянии. Что же делать операторам связи? Конечно, они могут обучать своих сотрудников, пытаясь объяснить им, что «сливать» информацию конкурентам нехорошо. Но на поверку же, обучение может привести и к росту количества утечек, поскольку о возможности инсайда узнают те люди, которые раньше о ней ничего не подозревали.

Единственный способ обеспечить хоть какую-ту защиту интеллектуальной собственности связан с внедрением систем технического контроля. В идеале каждый конфиденциальный документ оператора должен храниться только в специальном хранилище (а не на компьютере пользователя). Все попытки доступа к нему должны фиксироваться и протоколироваться.

Современные системы информационной безопасности могут обеспечить подобный функционал, но только при желании со стороны заказчика и грамотном подходе к внедрению. Добавим, что технический контроль не должен граничить с паранойей — «правильные» системы ИБ не мешают людям спокойно работать (или, по крайней мере, мешают им не слишком сильно).

Рост качества обслуживания: защита персональных данных

Как известно, значительная часть живущих на нашей планете людей являются консерваторами. Консерваторы, в частности, считают, что первичной задачей любого оператора является хорошая и качественная связь, а все остальные сервисы лишь дополняют эту идиллическую картину. Такая позиция имеет право на жизнь, и операторы действительно стремятся повысить качество обслуживания клиентов.

Качество обслуживания — это комплексное понятие, которое включает в себя множество различных факторов. Сюда, в частности, входит и качество предоставляемых услуг связи, и время дозвона до контакт-центра, и даже степень отказоустойчивости всей сети. У терминов «качество обслуживания» и «информационная безопасность» также имеются несколько точек соприкосновения. Однако наибольшую важность приобретает, пожалуй, самая неизвестная из них.

Рассмотрим в качестве примера небольшого провайдера, предоставляющего доступ в интернет в одном из московских спальных районов. Если сервер этого провайдера взломает хакер — это, безусловно, негативно отразится на его репутации и качестве обслуживания, поскольку клиенты останутся без доступа к сети в течение нескольких часов. То же самое произойдет в том случае, если сервер будет поражен каким-нибудь неизвестным вирусом. Таким образом, определенные потери, конечно же, будут, однако они не слишком существенны.

Теперь представим, что этот провайдер ввел новую услугу — оплату за услуги с помощью обычных банковских карт. Казалось бы, отличный сервис! Абоненты будут довольны и счастливы, поскольку для пополнения счета им не придется выходить из квартиры. Однако на практике подобная услуга может обернуться огромными проблемами.

Действительно, оплата за интернет с помощью платежной системы предполагает, что клиент передаст номер своей банковской карты провайдеру. А номер карты, как известно, является строго приватной информацией, которая не должна быть известна никому, кроме самого держателя карты. Таким образом, передавая номер своей кредитки провайдеру, клиент отдает ему на откуп заботу о собственной безопасности, поскольку если номер попадет в руки злоумышленников, потери могут быть колоссальными.

А теперь подумаем, что вызовет большее недовольство клиента — полдня, проведенные без интернета, или потеря всех денег, лежавших на банковской карте? Конечно же, более  неприятным будет второй вариант. И подобных примеров можно привести сколько угодно.

Итак, современные клиенты обеспокоены не только непосредственным качеством предоставляемых услуг, но и степенью их защищенности. Если кто-то сидит в интернете — ему не хочется, чтобы история его страниц была доступна сотруднику оператора. А если кто-то звонит по сотовому телефону — ему не хочется, чтобы разговоры могли быть прослушаны кем-то.

Отметим, что важность защиты персональных данных о собственных клиентах начинают понимать и сами операторы. Если несколько лет назад в любом московском переходе можно было приобрести базу данных абонентов сотовых компаний, то теперь сделать это затруднительно (скорее всего, предложенная база просто окажется поддельной или устаревшей). Еще одним немаловажным фактором является появление регулирующих нормативов. Закон «О персональных данных» и стандарт «Базовый уровень информационной безопасности операторов связи» явно указывают, что защищать персональные сведения клиентов просто необходимо.

Современный профиль угроз

Какой бы путь развития не выбрал оператор, защита конфиденциальной информации (будь-то интеллектуальная собственность или персональные данные клиентов) всегда должна оставаться одним из его основных приоритетов. Последний тезис подтверждают и исследования, призванные оценить профиль угроз по информационной безопасности в современной телекоммуникационной отрасли.

Основные угрозы ИБ в российском телекоме

Источник: Perimetrix, 2008

По данным компании Perimetrix, именно утечка информации является основной проблемой на сегодняшний день. Эту угрозу отметили 85% респондентов недавнего исследования в области информационной безопасности. Однако восприятие утечки данных как основной проблемы не дает четкого понимания того, что именно необходимо защищать.

В Perimetrix отмечают, что злоумышленников примерно одинаково интересуют детали сделок юридических лиц и персональные данные физических. Тройку лидеров замыкают финансовые отчеты (наверное, как тех, так и других).

Какую информацию чаще всего воруют у провайдеров

Источник: Perimetrix, 2008

Полученный расклад наглядно показывает, что большинство проблем операторов в области ИБ сосредоточены внутри них самих. Российский телеком боится инсайдеров значительно больше, чем другие сегменты экономики. Этому есть вполне логичное объяснение — в условиях жесткой конкурентной борьбы и однообразия предоставляемых сервисов именно интеллектуальная собственность становится ключевым операторским активом.

Телекоммуникационные компании давно пытаются защититься от внутренних угроз, однако пока это получается не слишком хорошо. Вполне возможно, что причина заключалась в молодости общемирового рынка и слабом проникновении «внутренних» решений на территорию России. Однако ситуация меняется, и современное предложение в этом секторе растет буквально на глазах. Судя по всему, многочисленные разговоры о важности инсайдерской проблемы и необходимости защиты от нее, наконец-то перейдут из виртуальной плоскости в реальное измерение. Причем в телекоммуникационном секторе это событие произойдет уже в ближайшее время.