сегодня в 12:00

Инсайдеры со слишком широкими правами доступа часто становятся виновниками утечки данных, согласно результатам опроса более 2000 служащих, проведенного под эгидой Varonis.

НЬЮ-ЙОРК – (Marketwired) – 12.09.2014 – Несмотря на растущее количество утечек данных, получающих широкую огласку, 71 процент опрошенных служащих, заявили, что они могут получить доступ к данным, которые они не должны видеть, и более половины сказали, что такой доступ они получают часто или очень часто.

Сегодня, когда все больше внимания обращается не только на защиту от высокотехнологичных внешних атак, но и на ту роль, которую часто играет внутренняя уязвимость и халатность, новый опрос, проведенный по инициативе Varonis Systems, Inc. институтом Ponemon Institute показывает, что большинству организаций нелегко найти нужный баланс между необходимостью защиты информации и требованиями продуктивности сотрудников. Сотрудники с необоснованным доступом к излишним для них данным представляют собой постоянно растущий риск для организаций в смысле опасности как случайной, так и намеренной огласки конфиденциальных и важных данных.

Отчет по опросу, «Корпоративные данные: защищенные активы или бомба с часовым механизмом?» составлен на основе проведенных в октябре 2014 года опросов 2276 сотрудников компаний в США, Великобритании, Франции и Германии. В число респондентов входили 1166 специалистов по ИТ и 1110 конечных пользователей из организаций, насчитывающих от нескольких десятков до нескольких тысяч сотрудников и действующих в разных отраслях экономики, включая финансовый и государственный сектор, медицину и фармацевтическую промышленность, оптовые продажи, производство, технологии и компьютерные разработки.

Доктор Ларри Понемон (Larry Ponemon), глава и основатель Ponemon Institute, ведущего научного центра по изучению охраны личной информации, защиты данных и политики информационной безопасности, прокомментировал: «Утечки данных становятся все более угрожающими и частыми. Быстрый рост как количества цифровой информации, так и нашей зависимости от нее ставит под угрозу старания компаний защитить свои конфиденциальные данные. Это исследование выявляет весьма важный фактор, который часто обходят вниманием: сотрудники компаний имеют слишком широкий доступ к данным, даже если они и не нужны им для работы, и когда этот доступ не отслеживается и не контролируется, атака с целью доступа к учетным записям сотрудников может иметь катастрофические последствия.»

Недостаток контроля и рост объема данных тормозят производительность

И специалисты по ИТ, и конечные пользователи свидетельствуют об отсутствии контроля за доступом сотрудников к использованию данных компании, и обе группы в целом сходятся в том, что их организациям стоит пересмотреть свое отношение к рискам, связанным с безопасностью, пока они не оказали влияния на производственный процесс. Только 22 процента опрошенных сотрудников считают, что их организации в целом отдают наивысший приоритет защите данных компании, и менее половины сотрудников полагают, что их организации проводят эффективную политику защиты информации, относящуюся к доступу и использованию корпоративных данных. Более того, резкий рост объемов деловой информации уже негативно сказывается на производительности – он затрудняет для сотрудников поиск тех данных, которые им действительно необходимы и к которым они должны иметь доступ, а также предоставление необходимой информации клиентам, продавцам и партнерам по бизнесу.

Другие полученные важные сведения о контроле и надзоре за использованием данных включают в себя следующее:

● 71 процент конечных пользователей говорят, что они имеют доступ к корпоративным данным, знать которые им не положено. 

● 54 процента тех конечных пользователей, кто имеет излишний доступ, характеризуют его использование как частое или очень частое. 

● 4 из 5 специалистов по ИТ (80 процентов) утверждают, что их организация не проводит жесткую политику по ограничению права доступа к данным (или предоставлению такого доступа только тем, кому он необходим). 

● Только 22 процента сотрудников говорят, что их организация способна ответить, что случилось с потерянными данными, файлами или электронными письмами. 

● 48 процентов специалистов по ИТ утверждают, что либо они разрешают использование конечными пользователями синхронизированных сервисов с общедоступными файлами, либо такого разрешения у них не спрашивают. 

● 73 процента конечных пользователей считают, что рост количества электронной почты, презентаций, файлов мультимедиа и других типов корпоративных данных сильно или очень сильно ограничивает их способность найти и получить нужные данные. 

● 43 процента конечных пользователей говорят, что для получения доступа к данным, необходимым им по работе, иногда требуются недели, месяцы, а то и больше, и только 22 процента отмечают, что получение такого доступа обычно занимает минуты или часы. 

● 60 процентов специалистов по ИТ говорят, что сотрудникам трудно или очень трудно искать и находить корпоративные данные или файлы, которые создали они сами или их коллеги, так как они не хранятся на их компьютерах. 

● 68 процентов конечных пользователей утверждают, что им трудно или очень трудно делиться необходимой информацией или файлами с бизнес-партнерами, такими как клиенты или продавцы. 

Результаты опроса также показывают, что и специалисты по ИТ, и конечные пользователи согласны в том, что угрозы учетным записям сотрудников, которые могут привести к утечке данных, чаще всего вызваны тем, что инсайдеры имеют слишком широкий доступ к данным и при этом часто не осведомлены о сопутствующих рисках. 50 процентов конечных пользователей и 74 процента специалистов по ИТ считают, что утечки корпоративных данных часто вызваны ошибками, халатностью или злым умыслом инсайдеров. И только 47 процентов специалистов по ИТ говорят, что сотрудники их организаций предпринимают правильные шаги для защиты корпоративных данных, к которым у них есть доступ. Когда в компании не налажены управление разрешениями и средства контроля, излишний доступ сотрудников к данным и их халатность в отношении информационной безопасности подвергает корпоративные данные все большему риску.

Другие полученные важные сведения об основных причинах утечки данных включают в себя следующее:

● 76 процентов конечных пользователей утверждают, что для их работы требуется доступ и использование служебной информации, такой как данные клиентов, записи сотрудников, финансовые отчеты и конфиденциальные документы. 

● 38 процентов конечных пользователей говорят, что они и их коллеги могут получить «множество данных», к которым, по их мнению, они не должны иметь доступа. 

● Только 47 процентов специалистов по ИТ говорят, что конечные пользователи в их организациях предпринимают правильные шаги для защиты доступных им корпоративных данных. 

● 76 процентов конечных пользователей считают, что в некоторых случаях допустимо переносить рабочие документы на их персональные устройства, с чем согласны всего лишь 13 процентов специалистов по ИТ. 

● 49 процентов специалистов по ИТ утверждают, что маловероятно или невероятно, чтобы, в случае потери документов, файлов или почтовых сообщений, их организация смогла бы выяснить, куда они делись. 

● 67 процентов специалистов по ИТ говорят, что в течение последних двух лет в их организации случались потери или кражи корпоративных данных, но среди конечных пользователей только 44 процента знают о таких случаях. 

Яки Фейтельсон (Yaki Faitelson), сооснователь и генеральный директор компании Varonis, заявил: «Такие результаты должны прозвучать набатом для любой организации, которая хранит информацию о своих клиентах, сотрудниках и бизнес-партнерах, то есть практически для любого бизнеса или организации в современном мире. Столь много внимания и денег было уделено для защиты внешнего периметра, но самые фундаментальные принципы информационной безопасности, призванные защитить данные внутри организации – контроль за доступом и надзор – часто оставались в небрежении. Излишний доступ в сочетании с отсутствием средств контроля в сумме дают неизбежность катастрофы. Теперь мы видим, что отсутствие контроля и надзора столь же снижает продуктивность сотрудников, сколь и необходимость бороться за получение доступа к данным и за возможность легкого и безопасного сообщения их бизнес-партнерам. Компания Varonis помогает тысячам организаций по всему миру справиться с подобными проблемами такими способами, которые резко снижают риски, в то же время благотворно влияя на продуктивность и эффективность работы».

Об институте Ponemon Institute

Деятельность Ponemon Institute направлена на улучшение ответственности при использовании информации и внедрение практик защиты информации в бизнесе и правительственных учреждениях. Для достижения этих целей институт проводит независимые исследования, проводит семинары с лидерами как частных, так и государственных организаций, и тестирует практики защиты информации и данных в различных компаниях из разных отраслей экономики. 

О компании Varonis

Varonis Systems была основана в 2005 году специалистами в области сетевых технологий и хранения данных Я.Файтельсоном и О.Коркусом. На основе многолетнего опыта разработки и внедрения крупномасштабных сетевых инфраструктур и систем хранения, контроля и управления данными основатели Varonis пришли к следующему выводу: несмотря на существенные, капиталовложения, существующие процессы управления корпоративными данными и правами доступа к ним не эффективны. В большинстве случаев эти процессы производятся «вручную», требуют больших трудозатрат и редко обеспечивают объективно необходимые на основе бизнес процесса права доступа к данным.
На сегодняшний день компания Varonis является ведущим разработчиком и производителем инновационных решений в области управления неструктурированными и частично структурированными данными. Решения Varonis установлены по всему миру, более чем в 3000 компаний, работающих в сфере финансов и здравоохранения, технологии и СМИ, энергетики и производства, в государственных и образовательных учреждениях. Базирующиеся на патентованной технологии, продукты компании Varonis обеспечивают наглядность и и прозрачность управления правами к корпоративными данным автоматизированный контроль их использования и защиту.