28.08.2020

Утечки данных: кто виноват и как защититься? Мнения экспертов

Интернет-портал Bloomchain.ru, август, 2020
<p>Экспертный комментарий Дениса Суховея, руководителя департамента развития технологий компании "Аладдин Р.Д."</p>

Специалисты прокомментировали возможности защиты данных пользователей.

Вчера в сети появилась информация об очередной утечке сведений о 55 тыс. клиентов банков. В рамках одного из исследований, аналитики компании КРОК пришли к выводу о том, что в первом полугодии 2020 года число инцидентов, в ходе которых мошенники получили доступ к базам данных, выросло на 47%. По их мнению, одна из причин роста статистики – повышение мотивации сотрудников организаций к получению дополнительного дохода. Редакция BloomChain решила узнать мнения экспертов о том, как обстоят дела в сфере обеспечения безопасности данных клиентов компаний.

Одним из первых своим видением ситуации с нами поделился директор департамента развития технологий компании "Аладдин Р.Д.", Денис Суховей. По его мнению, обилие новостей о резонансных утечках больших массивов персональных данных, данных платежных карт или другой конфиденциальной информации стало неотъемлемой частью информационного окружения современного человека.

Специалист отметил, что, в первую очередь всех интересует вопрос последствий подобных утечек. Коммерциализация утечек, как он считает, выходит на совершенно новый уровень своего развития.

"Если на заре эпохи информатизации похищенные выгрузки из СУБД (система управления базами данных) тиражировались на компакт-дисках и продавались в переходах крупных городов России (например, базы государственных номеров авто или базы паспортных данных), то далее процесс криминализации утечек существенно ускорился, а ещё сравнительно недавно интернет наводнили электронные сервисы платного доступа к похищенным данным. Таким образом, преступные сообщества вышли на принципиально иной и хорошо масштабируемый уровень "бизнеса"", - так эксперт пояснил свою точку зрения.

По мнению Дениса Суховея, ничего не стоит на месте, и индустрия хищения и использования персональных данных продолжила своё развитие. В настоящий момент, как отметил специалист, масштабные утечки совершаются не для продажи в "розницу", но для перепродажи "оптом". Вследствие экономической сегментации отдельные группы занимаются только скупкой похищенных массивов СУБД и обогащением своих супер-ресурсов.

"Обогащение баз ПДн, как важнейший процесс теневых Big data-ресурсов, позволил предложить совершенно легально участникам рынка очень ценную информацию. Своеобразным примером похожей схемы использования персональных данных является инцидент с Facebook, в котором компания даже не скрывала факты коммерческой передачи данных своих пользователей аналитическим и рекламным агентствам. Собирала и обогащала свою базу BigData компания Facebook, естественно, без ведома пользователей", - пояснил специалист.

Таким образом, по мнению Дениса Суховея, данные, которые похищаются из СУБД различных компаний и сервисов проделывают большой путь и могут быть использованы злоумышленниками не единожды, проходя по звеньям этой цепочки.

"На но всём этом фоне наблюдается интересное явление. Всем интересны последствия, однако крайне мало задаются вопросом "А почему же масштабная утечка стала возможной?". По этому поводу есть сразу несколько полезных наблюдений", - отметил эксперт.

Организации, по его мнению, плохо защищают свои базы данных по ряду причин, среди которых можно отметить следующие:

  • Сложности - СУБД и информационные модели в базах данных очень сложные и зачастую являются "чёрным ящиком" для самой организации.
  • Загруженности - самые ценные СУБД обычно очень сильно загружены по причине того, что наиболее ценные данные наиболее активно используются бизнесом (именно их обычно и похищают).

Специалистов СУБД, как отметил эксперт, на рынке очень мало, а тех, кто ещё в дополнение имеет компетенцию по защите информации, - вообще единицы. В этих условиях, по его мнению, у организации крайне мало шансов найти грамотного защитника СУБД.

Помимо всего прочего, как считает Денис Суховей, существует определённый дефицит решений по защите информации в СУБД, особенно на отечественном рынке.

"Таким образом, сочетание перманентного технического и экономического прогресса преступных групп и безответственное поведение владельцев крупных баз данных ПДн складывается в картину регулярных резонансных утечек, последствием которых являются списания денежных средств с карточных счетов, вездесущая реклама в смартфонах, проникновение на домашние и корпоративные компьютеры пользователей", - подытожил эксперт.