Вместо предисловия. Зачем нужна эта книга и почему она вообще была написана?
«Ах, если бы мы могли видеть жизнь, а не ситуации!»
Станислав Ежи Лец
—
Долгое время я верой и правдой защищал интересы своих нанимателей, выстраивая защиту информационных систем. Как в Средние Века верный средневековый меченосец оберегал интересы своего сюзерена. Казалось бы, вот она, романтика, но на деле всё обстоит совсем иначе.
Работа в сфере ИТ-безопасности в реальной жизни очень сильно отличается от того, что обыватели представляют себе по художественным произведениям. Книжные и телевизионные хакеры легко взламывают любые сети несколькими нажатиями клавиш, их оппоненты – специалисты по безопасности из куска программного кода могут восстановить не только компьютерный адрес, с которого осуществлялся вход в систему, но и полное досье нарушителя.
Но в реальной жизни – это просто обычная рабочая рутина. Среди компьютерных профессий работа «безопасником» является едва ли не самой скучной из всех. Вместо погони за хакерами – приходится тратить время на чтение множества юридических документов, изучение спецификаций оборудования и программ для защиты, дотошную сверку файлов конфигураций. От некоторых статей в специализированных журналах порой так хочется зевать, что сводит скулы.
Настраивая ту или иную систему для защиты от внешней атаки, дорогую, многофункциональную, меня всё время преследовала одна мысль. О том, что, столкнувшись с желанием перепродать информацию или просто уничтожить бизнес, пользователи это могут сделать, что называется, «за понюшку табаку». Разумеется, разработаны различные системы противодействия вредительству такого рода, специальные решения вроде тонких клиентов, средства слежения за пользователями… Но что, например, делать в ситуации, когда сотрудник специально вводит неверные данные, парализующие работу всего бизнеса. А через некоторое время откатывает свои действия назад, извиняясь за непреднамеренную ошибку. Даже такого кратковременного сбоя может быть вполне достаточно, чтобы расстроить крупную сделку или проиграть тендер. Или, обходя все средства слежения, просто запоминает в голове содержимое нескольких важных документов, а при встрече со сторонним нанимателем пересказывает по памяти. Сопоставив отчёты двух-трёх таких «шептунов», можно получить достоверную информацию о любой засекреченной области.
Есть у специалистов по безопасности одна сфера, благодаря которой волей-неволей становишься не столько антихакером, сколько психологом. Имя её – «социальная инженерия». Своего рода методология, как использовать слабости человека себе на пользу. Если дело касается информационной безопасности, проще предотвратить утечку, чем ликвидировать её последствия. Но люди – не компьютеры. Компьютерам ведь не свойственно что-то делать «на зло». Поэтому крайне важно убрать благоприятную среду, в которой злоумышленник будет чувствовать себя максимально комфортно.
Есть такая замечательная русская сказка про репку. Наверное, нет смысла её здесь пересказывать. Так вот сие немудрёное произведение является отличным описанием принципов командной работы. Для того, чтобы вытащить репку, пригодились абсолютно все персонажи и даже маленькая мышка. При этом без любого из них результат не достижим. И все участники имеют общую цель, уверены в своих силах и добросовестно делают одно хорошее дело.
Если перенести историю про репку в современную компанию, то этот маленький трудоспособный коллектив будет дополнительно нагружен малополезным балластом вроде отдела персонала, начальниками все рангов и мастей, охранниками, кучей проверяющих органов, и, если очень повезёт, параноидальной Службой Безопасности, стремящейся контролировать все и вся.
В итоге на одного результативного работника в лучшем случае будет приходиться один менеджер. Но это ещё не всё. Хорошо если каждый из этих «дополнительных» будет тихо поедать свой кусок репки и не особо вмешиваться в общий процесс. Гораздо хуже, когда очередной «эффективный менеджер» попытается внести свою лепту. Например, расставит участников данного процесса вокруг репки и прикажет тянуть каждому в свою сторону, объявив это «соревнованием на результат». Легко предположить, что в такой ситуации у большинства персонажей появляется желание «психануть, все бросить и уйти».
Достаточно деморализовать хотя-бы маленькую мышку и вот итог – репка гниёт в огороде, а «эффективные менеджеры» срочно собирают совещание с целью «выработать очередные методы повышения мотивации и нацеленности на результат».
Долгое время я специализировался на защите данных от утечки, а также на противодействии вредоносныму программам, в том числе компьютерным вирусам. Но для защиты от таких замечательных проявлений человеческой натуры, как жадность, глупость, высокомерие, эгоизм и просто непредсказуемая злоба – нельзя применить технические средства. Особенно если они съедают компанию изнутри. Нужно просто учиться не создавать питательной среды для всего этого.
