:::::: ЧОУ ДПО «Центр предпринимательских рисков» :::::

Угрозы для корпоративных сетей из сетей социальных

Роман Карась
управляющий продажами
в ритейле компании
G Data Software в
России и СНГ

В XXI веке социальные сети стремительно ворвались в нашу жизнь и практически перевернули всеобщее отношение к приватной информации. То, что 20–30 лет назад было демонстрировать просто неприлично, сегодня ежедневно выставляется напоказ – номера мобильных телефонов, место работы, личные фотографии и любимые песни теперь доступны любому пользователю.

Иметь профайл и проводить время в соцсетях – это разные вещи

Аналитики ComScore WorldMetrics утверждают, что россияне в среднем проводят по 9,8 часа в месяц в различных социальных сетях. Этот показатель является самым высоким по миру и превышает общемировой в два раза! За Россией следуют Израиль (9,2) и Турция (7,6). Посмотрев на такие результаты, возникает вопрос, откуда у россиян столько свободного времени для путешествия по социальным просторам? Ответ прост – можно проверять новости и фотографии друзей по социальным сетям прямо на работе, чем иногда злоупотребляют сотрудники различных по объему и профилю компаний. Вместо перекуров и чаев в отделе кадров сотрудники сидят за компьютерами и отслеживают обновления друзей или закачивают свои фотографии из отпуска. Все бы ничего, но о таких привычках знают и киберпреступники, которые так и норовят проникнуть в корпоративную сеть.

С точки зрения преступников, подобные социальные порталы хорошо подходят для распространения вредоносных программ – это самый быстрый путь через ПК в корпоративную сеть. Популярным способом является целевое размещение ссылок на "стене" жертвы. Под видом интересных видео или милых фотографий котят для обеденного перерыва преступник закладывает мину мгновенного действия. Но в конечном счете вместо котят пользователь открывает странные сайты, на которых его ожидают вирусы попутной загрузки (они загружаются на компьютер во время перехода на другой сайт), которые ориентированы на кражу определенной информации.

А чтобы вы сразу не увидели сайт со "смешными" видео, преступники активно используют сервисы для сокращения ссылок. Риск от загрузки довольно высок. Как показывает наше исследование по безопасности, в России каждый четвертый пользователь социальных сетей открывает ссылки, независимо от того, были они получены от знакомого или незнакомого пользователя. А это уже серьезно.

Также мошенники активно применяют уловки социальной инженерии для шпионажа и сбора информации о сотрудниках компании. Например, преступники нередко прибегают к созданию фейковых (поддельных) профилей, с помощью которых они связываются с заранее выбранной жертвой и пытаются добыть конфиденциальную информацию. И не всегда таинственных "друзей" интересует только цвет глаз пользователя, иногда они задают вопросы о его месте работы, о корпоративной культуре, о руководстве, что также может стать причиной серьезной утечки для компании. Например, обновление статуса с такой информацией: "У нас опять все висит. Когда уже найдут системного администратора?" или текст в личном сообщении: "А что значит "С сегодняшнего дня на ваш компьютер не будут загружаться антивирусные обновления"?" также может свидетельствовать о бреши в IТ-инфраструктуре компании, через которую можно атаковать сеть.

Помимо социальной инженерии, мошенники нередко прибегают к фишингу. Например, пользователь на рабочем месте получает сообщение от Facebook или LinkedIn, которое графически весьма похоже на реальное сообщение (а по сути является качественно выполненной подделкой) и которое просит подтвердить личные данные. Ни о чем не подозревающий пользователь вводит логин и пароль, которые уже отправляются к мошеннику. А потом по старой отработанной схеме – в корпоративную сеть.

Сегодня социальные сети являются неотъемлемой частью личной жизни многих людей, о чем свидетельствуют цифры статистики: только знаменитый интернет-гигант Facebook насчитывает более 5 млн пользователей в России и 700 млн профайлов по всему миру (статистика от Socialbakers). Цифры компании TN указывают, что 27 млн россиян пользуются социальными сетями хотя бы раз в месяц, а ежедневная аудитория самой популярной у россиян социальной сети "ВКонтакте" насчитывает 12 млн человек; "Одноклассники" – 7,2 млн; 5,3 млн – сеть "Мой мир". Самой немногочисленной социальной площадкой среди лидеров является Facebook с 1,2 млн посетителями из России в день, но она также отмечена экспертами, как самая быстро растущая. Еще более интересные цифры показывает ComScore (2010 г.) – пять из шести пользователей Интернета имеют профайлы в социальных сетях, что является довольно высоким показателем по Европе.

Причем не надо думать, что лишь неграмотные пользователи мелких российских компаний допускают преступников к желаемой информации. На такие уловки попадаются и лучшие из нас. Отличный пример – хакерская атака на компанию RSA, которая хотя и не по вине социальных сетей, но все равно дорого платит за любопытство своего сотрудника.

Но ни в коем случае нельзя однозначно заявлять, что использование социальных сетей на работе нужно исключить, заблокировать все знаменитые социальные хостинги и повесить на компьютер огромный замок в обеденный перерыв. Такие санкции влияют на мотивацию и работоспособность персонала. Почему сотрудник должен самоотверженно отдаваться работе, если начальство ему не доверяет и считает, что все рабочее время он проводит, развлекаясь в социальных сетях? Более того, проводя свободное время перед компьютером, например в Facebook, а не на чаепитии в бухгалтерии, он сможет более оперативно отреагировать на e-mail по рабочим вопросам. Представьте, что компания получила запрос на информацию о срочном крупном заказе и сидящий в соцсети менеджер по продажам видит параллельно свою почту и отвечает на него за 4 минуты, а менеджер конкурента, отправившийся в послеобеденную "самоволку", – через 1,5 часа. Догадайтесь, какой компании достанется срочный заказ при всех остальных равных условиях?

И поверьте, если сотруднику очень надо в социальную сеть, он найдет способ туда проникнуть. В сети полно бесплатных программ-анонимайзеров, пропускающих трафик по шифрованному каналу через прокси-сервер. И система блокировки не может заблокировать соцсеть, так как адрес Web-сайта до прокси-сервера и обратно зашифрован. Запретительные меры вызывают как минимум недовольство, а то и активное противодействие. Более того, в случае отказа перехода на страницу социальной сети на компьютере сотрудник может для этих целей использовать смартфон или планшетный компьютер. С одной стороны, его смартфон, пусть что хочет, то и делает. Но с другой – к социальной сети он будет подключаться через вашу сеть. И работодатель не может быть уверен, использует его сотрудник на этих девайсах защитное ПО или нет. Если нет, то именно через него в корпоративную сеть может проникнуть вредоносный код.

Вместо обдумывания способов, как заставить ваших сотрудников работать более эффективно с помощью блокировки социальных сетей, лучше позаботьтесь о безопасности своей сети, а также об установлении политик для контроля социальных сетей. Кроме того, никогда не помешает общение со своими сотрудниками относительно рисков и угроз в социальных сетях. Им самим будет полезно. Также я больше склонен к целесообразности положительной мотивации сотрудников в целях повышения дисциплины, тим-билдингу – тогда сотрудники сами будут отвечать за свои результаты. Тем более в том случае, если в команде хорошие отношения, все стараются не подводить друг друга. А зная правила поведения в соцсетях, сотрудники сознательно будут им следовать. Сотрудник – это тот, с кем приятно совместно трудиться, а не неприятно бороться.

Дмитрий Костров директор по проектам корпоративного центра “МТС"

– Дмитрий, как вы считаете, нужно ли на рабочих местах исключить/заблокировать использование социальных сетей и почему?
– В настоящее время информация – это самый важный ресурс для компаний. Сейчас социальные сети (не говорю об узкоспециализированных) являются источником информации, что очень важно в условиях высокой конкуренции на рынке. Чем быстрее ты получил/передал информацию, тем быстрее увеличивается обмен (поток).
На базе социальных сетей создаются группы по интересам (например, по информационной безопасности), и общаясь с заинтересованными коллегами, сотрудник может извлекать выгоду не только лично для себя, но и для компании.

Обмен по социальным сетям – уже не просто прихоть работника, а требование самой компании. Необходимо отметить, что работа с социальными сетями с рабочих мест несет определенный риск: это и возможность утечки чувствительной информации, заражение, фишинг и т.п. Для предотвращения подобных рисков нужно проводить с сотрудниками тренинги, рассказывая о рисках и угрозах.

Конечно, оценивая возможность предоставления доступа к подобным сетям, руководство компании должно подходить избирательно. Огульно давать всем полный доступ к сетям не рекомендуется, так как это может повлечь за собой такие потери для организации, которые уже нельзя будет сравнить с выгодой от высокоскоростного обмена информацией.