3. Формування ефективного механізму керування інформаційними ресурсами

Стрімкий ріст ризику витоку інформації викликаний серією корпоративних скандалів у зв’язку з розголошенням конфіденційних даних. Більшість таких інцидентів показало, що прогалини у фізичній безпеці бізнесу не є результатом зловмисної активності. Зокрема, частіше за все загрозу становлять працівники компанії. Таке може статися коли працівник відправляє електронне повідомлення з вкладеними документами конфіденційного характеру, про які працівник міг і не знати. В іншому випадку працівник відправляє важливі дані через загальнодоступний поштовий веб-сервер чи копіює їх на мобільний пристрій – таким чином, дані потрапляють у незахищене середовище. Є й інша категорія працівників, які умисно, з власної вигоди, не приязного ставлення до керівництва тощо передають конфіденційну інформацію конкурентам.

За даними дослідження:

75% витоку конфіденційної інформації відбувається через співробітників компанії;

25% через використання технічних каналів;

25% працівників компанії заявили, що є чесаними працівниками і за жодних умов не продадуть комерційну таємницю;

25% готові завжди продавати інформацію;

50% залежно від обставин.

Чому співробітники розголошують комерційну таємницю? На дане питання дамо відповідь цифрами.

• балакучість співробітників, особливо пов'язана із вживанням алкоголю й спілкуванням у дружніх компаніях - 32%;

• прагнення співробітників заробити гроші будь-яким способом, за принципом «гроші не пахнуть» - 24%;

• відсутність служби безпеки фірми - 14%;

• «радянська» звичка персоналу ділитися досвідом, давати поради, повчати - 12%;

• безконтрольне використання інформаційних і копіювальних засобів на фірмі - 10%;

• психологічні конфлікти між співробітниками, між співробітниками й керівництвом - 8% [1].

Нижче наводимо приклади найбільш гучних справ, пов’язаних з витоком конфіденційної інформації.

• У 1993р. за шахрайство щодо фірми Вrіtіsh Реtrоlеuм (ВР) було затримано й оштрафовано двох злочинці. Керівництво ВР було впевнене в тому, що їм вдалося створити надійну систему забезпечення інформаційної безпеки. Однак більшість процедур залишилися не захищеними від нелояльних співробітників, які мали безперешкодний доступ до конфіденційної інформації. Один із фігурантів справи скуповував інформацію у співробітників ВР, а інший, як брокер, продавав її на “біржі” конкурентам. Тільки після спеціальної операції зазначених осіб фірма Sеrіоus Frud Оffісе викрила їхню діяльність. В результаті діяльності цих “брокерів” ВР було завдано шкоди на декілька мільйонів фунтів стерлінгів.

• Черговою жертвою вічної війни між Кока-колою та Пепсі стала секретарка штаб квартири Кока-коли, розміщеної в Атланті (США). Хойя Уільямс висунуто обвинувачення у крадіжці проб продукції та конфіденційних документів та спроби їх продати конкурентам.  Склянку з зразком нового напою Кока-коли і документацію з зразком його рецепту Уільямс викрала зі свого офісу літом минулого року. Двоє її співучасників вийшли на представників Пепсі з пропозицією купити в них викидані зразки за 1.5 млн. дол. Але Пепсі ув’язуватись у кримінальні історію не захотіла – і звернулася в поліцію. За заявою Associated Press, якщо суд присяжних визнає Вільямс винною, їй загрожує 10 років тюремного ув’язнення та штраф у розмірі 250 тис. дол.   

• у 2000 році фінська фірма „Кеміра” під видом створення на базі ТОВ „Фосфорит” (Росія) спільного підприємства з випуску складних мінеральних добрив, отримала повну інформацію про основні фонди, технологію і номенклатуру виробничої продукції. Пізніше від планів створення СП відказалася. Через деякий час ця ж фірма вийшла на європейський ринок добрив з новим продуктом, за хімічним складом цілком тотожним з тим, що випускає російська компанія. Як наслідок ряд європейських замовників відмовились від продукції ТОВ „Фосфорит” на користь дешевшої фірма „Кеміра”.

•        У жовтні 2002 року фірма Merrill Lynch відправила електронний лист у компанію Standard&Poor’s, у якому просила оцінити активи банку   Commerzbank. Зміст листа, таким чином, було розкрито, що у кінцевому результаті змусило банк виступити із заявою про своє фінансове становище.

• У жовтні 2002 року внутрішній документ компанії Dell Computer з інформацією про плани виходу фірми на ринок кишенькових комп’ютерів був викрадений та опублікований на одному з французьких веб-сайтів.

• У лютому 2004 року відбувся витік вихідних кодів Windows 2000 та Windows NT 4 з вини одного з партнерів Microsoft із розробки коду.

• У вересні 2004 року колишній працівник служби технічної підтримки фірми Teledata Communication був визнаний винним у справі про викрадення та продажі 30 000 довідок про кредитні операції клієнтів компанії.

• У жовтні 2004 року у компанії ChoicePoint, яка надає послуги з ідентифікації особи, відбувся витік конфіденційної інформації про 145 тисяч громадян США. У зв’язку з цим інцидентом компанія виплатила 11.4 млн. дол. компенсації.

• У грудні 2004 року компанія Apple подала у суд на трьох членів мережі Apple Developer Connection, звинувативши їх у розголошенні версії операційної системи Mac OS X під кодовою назвою Tiger до її офіційного виходу. Підозрюють, що відповідачі використали для цієї мети P2P-мережу BitTorrent.

• У березні 2995 року компанія LG подала в суд на своїх працівників, які підозрювались у крадіжці секретних технологій з метою продажу їх конкуруючій компанії  Pantech.

• У червні 2005 року номера 40 млн. кредитних карток всіх провідних компаній світу були викрадені у компанії CardSystems, яка займається обробкою транзакцій по кредитним карткам.

• У червні 2005 року стало відомо про розслідування лондонською поліцією по справі про співробітника індійського центру телефонного обслуговування, підозрюваного у викраденні конфіденційної інформації про тисячу рахунків у британському банку.

• У травні 2005 року набула розголосу резонансна справа за якою PRIVATEв Ізраїлі 18 керівників великих компаній були затримані за промислове шпигунство. Серед 18 затриманих — чиновники вищого ешелону таких компаній, як кабельний телеканал «Йєс», провайдери мобільного зв’язку «Пелефон» і «Селлком» і фірми «Майєрс», яка має ексклюзивні права на постачання в Ізраїль автомобілів «Вольво», «Хонда», «Ягуар», «Міцубісі» і «Рено». Їх звинувачують у тому, що найняли служби приватного розшуку для одержання секретної інформації про діяльність конкурентів. Керівники детективних бюро також затримані для допитів. За даними слідства, приватні детективи впровадили за допомогою інтернет технологій в комп’ютерні мережі вказаних їм компаній вірус «Троянський кінь», з допомогою якого майже півтора року мали доступ до будь-якої інформації, яка міститься в пам’яті комп’ютерів, і навіть могли маніпулювати деякими операціями. Глава департаменту ізраїльської поліції з боротьби з шахрайствами Роні Хінді назвав «справу про Троянського коня» «одним із найбільших скандалів у галузі промислового шпигунства в історії Ізраїлю». Розробником «Троянського коня» був ізраїльський громадянин Михайло Хаефраті, заарештований у травні 2005 року в Англії на прохання правоохоронних органів Ізраїлю. Встановлено, що програміст продав свій вірус ізраїльським детективним агентствам, модифікувавши його для спостереження за комп’ютерною інформацією конкретних компаній

• Вище перераховані випадки демонструють, що навіть при виконані нормативних вимог по захисту інформації, витік важливих даних може мати значний вплив на бізнес. Ці приклади також підтверджують, що для попередження подібних інцидентів необхідні спеціальні рішення, направлені на захист як від умисних, так і від не умисних порушень корпоративних правил та норм.