Читаем Omert@. Руководство по компьютерной безопасности и защите информации для Больших Боссов онлайн бесплатно

Ну да, ну да, я в курсе, что ты — Большой Босс. Что ты не делаешь сам те вещи, которые другие могут сделать за тебя, получив за это деньги. Поэтому ты не моешь свою машину, не ходишь сам по магазинам (за исключением бутиков и ювелирных салонов), не моешь пол и не протираешь пыль на рабочем столе. Однако даже ты знаешь, что есть вещи, которые за тебя не сделает никто.

Ты же не будешь платить деньги другим людям за то, чтобы они занимались любовью с твоей женой, правильно? Да, я знаю, что это дело интимное, а такое не доверишь посторонним. Но почему ты думаешь, что защита твоей собственной информации — любой, деловой или личной — это менее интимное дело?

Увы, друг мой, защита твоей информации — или хотя бы чёткое понимание того, что это такое и как подобная защита должна строиться — это ТВОЁ ЛИЧНОЕ ДЕЛО! Не Cosa Nоstra (хотя твои проблемы могут стать и Нашим Делом тоже), а Cosa Tua — Твоё Дело!

Разумеется, тебе не хочется вникать во все эти тонкости. Ты считаешь, что такой Большой Парень как ты для того и зарабатывает деньги, чтобы позволить себе заниматься только Большими Проблемами. В этом, конечно, есть определённая лоrика, однако безопасность твоей информации — это и есть Большая Проблема, уверяю тебя.

Как известно, дон Вито Корлеоне никогда в жизни не разговаривал по телефону. Он боялся, что его голос запишут и потом используют для создания различных фальсификаций, которые могут свидетельствовать против него. Подход для тех времён, в общем, вполне правильный, не спорю, однако в нынешнем высокотехнологичном мире старичок бы не выжил. И ты сам прекрасно понимаешь, что невозможно отказаться от мобильных телефонов, электронной почты, компьютеров-мапьютеров и прочей электронщины. Мы живём уже не в том мире, в котором жил старина Вито. Его заповеди нам уже не подходят.

Как говорил суровый мужчина Ницше — всё, что не убивает нас, делает нас сильнее. В случае со всей этой чёртовой современной техникой ситуация складывается несколько иным образом: она сначала делает нас сильнее, а затем убивает. Ну или создает нам такие неслыханные проблемы, что лучше бы уж сразу убили...

Ситуацию, в которой находится современный Большой Парень, можно охарактеризовать следующим образом: он садится в суперскоростную, но вовсе не бронированную машину (для наглядности можно представить болид «Формулы 1»), после чего начинает движение на бешеной скорости по самой обычной автомобильной трассе. Насколько быстро ему на пути встретится крутой поворот, на котором он вылетит с трассы и влепится в столб или в корову, задумчиво стоящую на обочине, — вопрос чистого везения, ничего более. Потому что по обычным трассам нельзя ездить на болидах «Формулы 1».

У тебя два варианта: или пересесть на какую-нибудь малолитражку, которая из поворота не вылетит при всем твоем желании, или всё-таки ездить на скоростной тачке, однако позаботиться о мерах безопасности.

О них, этих мерах безопасности, данная книга.

Меня зовут Карл Абрахам Шкафиц. Я — эксперт-консультант по информа­ционной безопасности. Тебя не должно волновать, где я родился и где в настоящий момент проживаю, потому что где я родился — там меня уже нет, а живу я в совершенно различных уголках этой планеты, так как мои услуги требуются в очень многих странах.

Зачем и для кого я написал эту книгу? Для таких парней, как ты — менеджеров среднего и высшего звена, а также для Больших Боссов (ты именно такой, не так ли?). Ведь для так называемых специалистов по безопасности есть масса всевозможных книг, учебников и пособий. Тебе эти пособия читать совершенно бессмысленно, потому что понятным там будет один термин из десяти, если не из ста. Но это не страшно. Ведь они написаны вовсе не для тебя, и ты их понимать не должен.

Страшно другое. Страшно то, что подавляющее большинство этих «специалистов», читая пособия по безопасности, сами понимают дай бог три слова из двадцати. Но они приходят к тебе на работу и ты доверяешь им самое ценное, что у тебя есть — защиту информации. И этот shit тeбe обеспечивает «зashitу». Ненадолго. До первого поворота в твоей судьбе, когда твоим компьютером, электронной почтой, наладонником и SMS заинтересуются вовсе не из праздного интереса.

Уверяю тебя, мне по роду деятельности приходилось и приходится довольно много сталкиваться с различными фирмами, конторами, концернами и предприятиями. А точнее, с тем, как там все организовано. Я теперь редко занимаюсь непосредственно организацией информационной безопасности — уже вышел из этого возраста. Меня приглашают в качестве эксперта — оценить ситуацию и обрисовать её боссам.

И знаешь, что самое интересное? В девяти случаях из десяти складывалось впечатление, что эти ребята платили мне сумасшедшие деньги только для того, чтобы услышать нечто вроде: «Да ты что, старичок, у тебя на фирме всё в порядке! Всё классно, старичок, спи спокойно!» И когда я им начинал по пунктам перечислять, какой ужас с безопасностью творится у них в конторе, они делали кислую мину и говорили: «Карл, старина, ты, конечно, эксперт и все такое, но нам кажется, что ты преувеличиваешь»... Я преувеличиваю! А за что, мать вашу, я получаю такие деньги? За то чтобы говорить комплименты о том, как у них всё классно?

Ты и к пластическому хирургу придёшь на дорогостоящую консультацию только для того, чтобы услышать: «Да ты что, старичок, ты и так прекрасно выглядишь...»? И пойдёшь от него в туманную даль, надуваясь от счастья, сохранив при себе всё своё, родное: огромное пузо, набрякшие мешки под глазами, отвисшую задницу и бёдра, размером с подушку-думку...

Конечно, безопасность информации — так же, как и внешний вид — это твоё личное дело. Но тогда какого чёрта ты платишь деньги экспертам? Какого чёрта ты платишь эти деньги мне? Собаки-ищейки едят свой сахар вовсе не для того, чтобы восторженно прогавкать хозяину: «Шеф, гав-гав, всё в порядке, гав-гав, искать нечего, гав-гав, злоумышленника в природе не существует, хвала собачьему богу!» Нет, они просто идут по следу, опустив нос до самой земли, не обращая внимания на то, что там валяется, чтобы в конце концов найти ублюдка, схватить его острыми клыками за задницу и доставить хозяину.

Я — та же ищейка. Я не говорю комплименты, не обращаю внимания на то, в какое дерьмо мне приходится влезать во время работы, но свой солидный кусок сахара я ем не зря. Однако мои выводы и мои рекомендации направлены именно ТЕБЕ, менеджеру, боссу или чёрт знает какой крутотени. Потому что если я нашел это всё — значит, ты совершенно напрасно платишь деньги своим «спецам пo безопасности». Значит, они и термин «безопасность» - совершенно несовместимы друг с другом.

В конце концов, мне стало надоедать всё время повторять одно и то же. Каждый раз, когда я прихожу в некую фирму и вылавливаю там вопиющие прорехи в безопасности информации, приходится заниматься одним и тем же: сажать перед собой руководящий состав и читать им маленькую лекцию. В доверительной, хотя и несколько жёсткой форме. Из серии, что «если, ребята, вы этим не займётесь, вашу жопу очень быстро пришпилят к небоскрёбу».

Хирург, если видит симптомы неприятной и опасной болезни, выражения не выбирает. Я их тоже не выбираю. Мне главное — чтобы ты понял существование проблемок, проблем и проблемищ. Видишь дырку в безопасности? Не видишь?

А она есть!

Разумеется, в этом чёртовом мире вовсе не я один — эксперт-специалист по безопасности информационных систем. Более того, я не наберусь наглости утверждать, что я — в первой десятке лучших (хотя в глубине души иногда так считаю, но только сам с собой с глазу на глаз). Ну и кроме того, я с уверенностью скажу, что этих специалистов — море-разливанное!

Остается только ответить на один мa-а-а-а-аленький вопрос: почему у тебя не работает ни один из этих специалистов? Ты не можешь ответить на этот вопрос? не можешь. А я могу.

Потому что ты не считаешь это серьёзной проблемой. Даже, уж прости, трехдневный триппер для тебя — более серьёзная проблема, чем безопасность твоей информации. Поэтому ты не тратишь денег на специалистов, ты не даёшь себе труда хоть чуть-чуть разобраться в том, какие опасности тебя подстерегают и каким образом этого всего можно попытаться избежать.

Заметь, я не пишу — «полностью избежать», потому что это нереально. Но увеличить защиту на несколько порядков — вполне возможно. Но при этом ты должен понимать, что и как.

Так вот, эта книга как раз и написана для того, чтобы ты понимал, что к чему в вопросе защиты твоей личной информации. Чтобы ты не вверял самое ценное, самое интимное и бесконечно дорогое — тому самому студенту-компьютерщику, которого ты нанял за 200-400 баксов, чтобы он менял картриджи в принтере, объяснял бухгалтерии, где на клавиатуре кнопка «Any key», щипал за задницу секретарш (подобные действия не входят в его прямые обязанности, но он это будет делать, не сомневайся), требовал деньги на модернизацию техники (подразумевая под этим модернизацию своего собственного домашнего компьютера), а также — занимался информационной безопасностью. Как бы между прочим.

Ведь ты именно таким образом ему ставил задачу, правильно? «Заниматься всеми компьютерными вопросами, ну и заодно — защитой информации.»... Я много раз слышал эту фразу: «Ну и заодно — защитой информации». Почему бы в таком случае не возложить этот тяжкий труд на уборщицу? Ручаюсь, эффект будет примерно такой же. Может быть, даже лучший.

Так имей в виду, друг мой, что прочитав эту книгу, ты не сможешь жить так, как раньше. У тебя начнётся паранойя. Тебе начнут мерещиться призраки, хакеры, шмакеры и кардеры. Ты вдруг поймёшь, на каких тонких ниточках зачастую висит твоя судьба.

Но у меня нет задачи сделать тебя параноиком. Наоборот, я хочу сделать тебя творцом твоего собственного счастья. Чтобы эти ниточки ты сам мог превратить в канаты. И чтобы ты всегда понимал, что, чёрт возьми, происходит.

Прежде чем мы приступим к нелёгкому процессу переворота в твоём сознании, поговорим о том, какие милые сердцу, хотя и слегка ужасающие разум картины открываются передо мной, когда я появляюсь в очередном офисе, состояние безопасности информации которого я должен оценить как эксперт-­консультант или, если угодно, как собака-ищейка...

Итак, некий Большой Парень вызывает меня в свой офис для проведения оценки и получения экспертного заключения. он слышал обо мне от своих друзей и от Наших друзей. Ему меня рекомендовали. Что интересно, он вовсе не озабочен (пока!) вопросами безопасности информации, но он знает, что многие его крутые знакомые вызывали специального эксперта — некоего Карла, который, как мистер Вульф, решает проблемы, — и он тоже хочет вызывать специального эксперта. Сейчас это модно — вызывать экспертов. Возможно, думает Большой Парень, этот эксперт найдёт какую-нибудь небольшую дырочку в моих делах, и тогда я при нём вызову этих кретинов, своих младших, чтобы задать им шикарную головомойку. А возможно, продолжает думать Большой Парень, эта ищейка Карл напрасно будет совать свой длинный ищеистый нос во все пыльные закоулки компьютеров моего офиса, после чего будет вынужден признать, что он не разнюхал НИ ЧЕРТА — ни запаха палёных бланков, ни тонкого аромата поддельных печатей, ни валящего с ног амбре жутких прорех в компьютерных папках, сквозь которые видны внутренности чрезвычайно секретных документов.

Да-да, как я уже говорил, этот Большой Парень меня именно для того и вызывает — чтобы за свои же деньги получить от эксперта признание в безукоризненности ситуации с защитой информации в его офисе. Ни одна ищейка ничего не разнюхает, ни один комар не подточит нос, ни один подлый кукушонок не найдет лазейку в его родное гнездо — так думает этот столп семейного бизнеса. он пока ещё не понимает, что стоит даже не на глиняных, а на соломенных ногах. Что любая мелкая крыса, которую он даже не заметит с высоты своего трона, в течение нескольких минут может обрушить этот столп так, что он разлетится на тысячи мелких кусочков...

Впрочем, хватит беллетристики. Давай перейдём к конкретике.

Так как этот текст готовится специально для русского издания, я буду говорить в основном о тех наблюдениях, которые сделал в офисах российских бизнесменов. Но должен успокоить российских читателей: подобный дом для женщин лёгкого поведения, то есть бардак творится везде — в Европе, Штатах, Австралии и Буркина-Фасо. Конечно, везде есть своя специфика, но она, как правило, не выходит из границ среднестатистических отклонений. Во всём остальном — раздолбайство в отношении информационной безопасности практически везде носит милые и весьма узнаваемые черты...

Конечно, охрана при входе — это не совсем моё дело, ведь я специализируюсь на безопасности информации, а охрана — это поле деятельности совсем других людей. Тем не менее хотелось бы отметить некоторые специфические черты этих Серьёзных Мужчин, Сидящих При Входе, которые бросились в глаза именно в России...

К сожалению, насколько я мог судить, этим ребятам неведомо понятие «профессионализм». Такое ощущение, что их выращивают в одном и том же инкубаторе, а потом оптом распихивают по российским фирмам. Чем отличается этот парень от фигурки деревянного индейца, стоящего возле американской табачной лавки — я так и не понял.

Почти все они представляют собой или побитого жизнью мужчину, находящегося в самом конце периода «средних лет», или молодого человека с потрясающе тупым взглядом, который воспользовался известной аксиомой: «Ничего не умеешь делать — иди в охрану». Никто из них не знает, что охрана — это довольно серьёзная профессия, требующая и знаний, и умений.