Цифровое досье на каждого гражданина

Если вы — житель столицы, то чтобы нарисовать ваш цифровой портрет, надо знать лишь ваши имя и фамилию. Все остальные сведения можно почерпнуть из официально несуществующих открытых источников. Например, в базе налоговой инспекции содержится информация о ваших доходах за последние несколько лет, в базе ГИБДД — марка и номер вашего автомобиля, в базе паспортной службы — ваш адрес и данные паспорта. Помимо этих сведений, можно узнать, есть ли у вас акции, какие сделки с недвижимостью вы совершали и многое другое. Вся эта информация сегодня доступна в свободной продаже. Правда, полное цифровое досье можно составить лишь на москвичей, частичное — на петербуржцев, но уже через несколько лет каждый гражданин страны будет как на ладони.

Именно такую безрадостную картину рисует целая череда утечек баз данных из крупных государственных ведомств и коммерческих организаций. За один лишь 2005 год произошли четыре громких инцидента, которые просто шокировали деловую общественность и всех граждан. Однако эти утечки — вершина айсберга, в то время как «под водой» скрыта гораздо более масштабная проблема: базы данных большинства государственных организаций представлены на черном рынке уже много лет. При этом они постоянно обновляются и ни на секунду не теряют своей актуальности.

Цифровая анархия, а иначе сложившееся положение дел не назовешь, лишь усугубляется по мере реализации новой концепции Правительства РФ, Системы персонального учета населения (СПУН). В рамках этой идеи все существующие сегодня государственные базы данных будут логически объединены. Другими словами, чиновники смогут получить централизованный доступ к приватным данным, которые хранятся в базах различных министерств и ведомств и, по сути, описывают все стороны частной жизни граждан. Несмотря на это, архитектура создаваемой «глобальной базы» не предусматривает механизмов защиты ни от утечек, ни от нецелевого использования, ни от других правонарушений. Между тем, уже сейчас идет тестирование некоторых основных компонентов СПУН, а завершить построение системы планируется к 2007 году.

Прежде чем перейти к подробному рассмотрению угрозы, которую влечет за собой создание единой государственной базы, расскажем о самых громких российских утечках, первые из которых восходят еще к началу 1990-х годов.

Хронология российских утечек

Первые государственные и коммерческие базы данных появились в свободной продаже в начале и середине 1990-х годов (например, всем известные базы городских телефонных сетей), однако наиболее показательны последние 10 утечек, зарегистрированные с 2002 года. О них собрано достаточно детальной информации, чтобы сделать вывод, насколько защищены в крупных организациях приватные данные граждан.

В октябре 2002 года в свободной продаже появилась база Госкомстата, содержащая результаты всероссийской переписи населения. Она занимала несколько компакт-дисков и была доступна на нескольких рынках столицы. Любопытна реакция государственного ведомства, допустившего утечку: Госкомстат не признал факт утечки, поэтому расследование инцидента не проводилось. Впоследствии такая реакция станет типичной для органов власти.

В ноябре 2002 года, а потом и в январе 2003 года на прилавки попали базы оператора сотовой связи МТС. Товар пользовался таким высоким спросом, что первый тираж, изданный в конце 2002 года, разошелся почти мгновенно. Однако уже в начале 2003 года продавцы контрафактных баз выбросили на рынок столько копий, что хватило абсолютно всем желающим. Такой удар по своей репутации компания МТС не могла оставить без внимания. В отличие от государственных организаций, она не только признала факт утечки, но и самостоятельно провела внутреннее расследование. Результаты были сформулированы кратко и лаконично — канал утечки перекрыт. Действительно, база постепенно утратила актуальность, перестала пользоваться спросом, а потом и вовсе исчезла с прилавков.

В мае 2003 года на рынке контрафактных баз данных отметились все крупные телефонные компании северной столицы. Всего за полторы тысячи рублей любой мог приобрести набор дисков с информацией об абонентах телекоммуникационных фирм. Представители пострадавших предприятий открыто обвинили правоохранительные органы в том, что они допустили утечку доступной им информации. В пользу этой же версии говорил и централизованный характер кражи данных, ведь базы сразу нескольких компаний утекли одновременно. Правда, проверить версию не удалось, так как расследование, если и проводилось, то оказалось безрезультатным.

В июне 2004 года, когда об утечке еще никто не знал, сознательность и активность проявили сотрудники компании «ВымпелКом» (торговая марка «Билайн»). Служащие оператора самостоятельно отыскали в Интернете сайт www.sherlok.ru, предлагавший частные детективные услуги (слежка, сбор информации, видеонаблюдение, подтверждение алиби и т. п.). Все выглядело вполне законно, но в сбор информации о «заказанной» персоне входило предоставление сведений о входящих и исходящих вызовах (речь идет о мобильной связи). Однако эти данные были приватными, и получить законным путем без соответствующего запроса провайдеру телекоммуникационных услуг частное агентство не могло. Стоит добавить, что сыщики добывали соответствующую информацию вне зависимости от того, услугами какого оператора сотовой связи пользовался объект («Мегафон», МТС или «Билайн»). Таким образом, появилась версия о преступной группе, в которую входила сеть инсайдеров из основных мобильных компаний. Эта версия подтвердилась после того, как все улики были переданы в управление «К» МВД. Через 5 месяцев правоохранительные органы арестовали шесть человек, трое из которых оказались сотрудниками компании «ВымпелКом». Подсудимым были предъявлены обвинения по части 2 статьи 138 (нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений) и части 2 статьи 272 УК РФ (неправомерный доступ к компьютерной информации). Максимальное наказание за данные преступления — до 5 лет лишения свободы. Решение суда в отношении этих лиц неизвестно, однако данный инцидент продемонстрировал активность коммерческих организаций, которые дорожат своей репутацией и борются с утечками наиболее жестко.

В ноябре 2004 года москвичей ужаснула утечка базы данных из Министерства по налогам и сборам. В нее входило 36 млн записей о доходах жителей Москвы и Подмосковья за 1999—2002 годы, а также паспортные данные и домашний адрес получателя дохода, юридический адрес и телефон компании-работодателя. Начальная цена в размере 9 тыс. руб. довольно быстро упала в начале до 3 тыс., а потом и до 1 тыс. руб. Таким образом, база приобрела очень широкую популярность. Ее мог позволить себе почти каждый интересующийся.

В феврале и мае 2005 года произошли две крупные утечки из Центробанка. Зимой была похищена информация о платежах, проведенных банками через расчетно-кассовые центры ЦБ с апреля 2003 года по сентябрь 2004-го, а весенняя утечка содержала аналогичные сведения за четвертый квартал 2004 года. Февральская база вызвала глубокий общественный резонанс: депутаты обратились в Генпрокуратуру с просьбой разобраться в обстоятельствах утечки, с заявлениями о расследованиях выступили правоохранительные органы. Однако результаты всех следственных мероприятий налицо: новая утечка, огласившая на всю страну подробности продажи с аукциона основного добывающего предприятия ЮКОСа «Юганскнефтегаза», не заставила себя ждать. Заметим, что обе базы были доступны абсолютно всем желающим. Они размещались на нескольких DVD-дисках, сначала предлагались за $2 тыс., но затем цена все же снизилась до вполне приемлемых 3 тыс. руб.

В октябре 2005 года в Интернете, на сайте www.zahvat.ru, предложили купить базу самого крупного российского регистратора — компании «НИКойл». Эта фирма ведет реестры акционеров нескольких сотен крупнейших российских корпораций. Среди них ЛУКОЙЛ, МТС, «Скай Линк» и многие другие. Согласно нашему законодательству, база регистратора является абсолютно закрытой информацией, а ее частичное разглашение возможно лишь в случаях, строго предусмотренных законом. Такой высокий уровень секретности вполне оправдан, поскольку в России все акции существуют не в бумажном виде, а в виде записей на счетах в реестре. Располагая же персональными данными акционера, можно списать его акции по поддельной доверенности, что весьма распространено в российской «предпринимательской практике». Пострадать от таких действий может не только акционер, но и эмитент, который должен будет возместить своему совладельцу ущерб. Что касается акций небольших компаний, раскрытие персональных данных их акционеров может стать хорошим подспорьем для недружественного поглощения. Другими словами, в Интернете появился действительно очень ценный продукт, за который продавец запросил всего лишь $12 тыс. Между тем рыночная стоимость такой базы составляет около $100 тыс. Очевидно, что по этой цене товар уже продали «нужным» людям, а в Интернете просто попытались заработать на вторичной перепродаже.

В ноябре 2005 года, ровно год спустя после предыдущей утечки, снова отметилось Министерство по налогам и сборам. На этот раз на рынке появилась база данных с доходами москвичей в 2004 году. Все данные уместились на одном DVD-диске, за который в ларьках просили около 1,5 тыс. руб. «Налоговая инспекция — 2004», а именно так продукт окрестили рыночные продавцы, содержала более 9,9 млн справок о доходах с помесячной разбивкой, сведениями о месте работы, реквизитами и адресами налогоплательщиков. Организация, допустившая утечку, как обычно заявила, что ничего об этом не знает, к инциденту не имеет никакого отношения, и вообще, утечка произошла из другого ведомства. Правда, не остались равнодушными к налоговой базе сотрудники ФСБ, которые провели серию обысков в тех местах, где диски с базой тиражировались. В результате были изъяты десятки тысяч подготовленных к продаже дисков, оборудование для их тиражирования, а также арестованы лица, занимавшиеся распространением контрафактной базы. Оценить эффективность этой спецоперации сложно. С одной стороны, после того, как крупная партия дисков с базой была изъята, продавцы не только не свернули свою деятельность, но даже не остановились ни на секунду, чтобы пополнить свои запасы. С другой стороны, после обысков и арестов в прессе появилась информация о том, что база налоговой инспекции была куплена у неких чиновников за $2,5 млн. Однако самих чиновников еще никто не задержал.

Особенности национальных утечек

Рассматривая обстоятельства всех этих утечек, можно сделать два очень интересных вывода. Во-первых, государственным организациям свойственно игнорировать проблему: отрицать факт утечки, не проводить расследований инцидентов, а также по нескольку раз наступать на одни и те же грабли. Контрастное отношение демонстрируют коммерческие компании, которые разбираются с каждым инцидентом в отдельности, доводят до общественности хотя бы минимальные результаты расследований и оперативно реагируют на зафиксированные утечки.

Во-вторых, утечки в подавляющем большинстве случаев происходят по вине инсайдеров, то есть тех сотрудников соответствующих ведомств, министерств или фирм, которые в силу своих должностных обязанностей имеют доступ к конфиденциальной информации. Причем, если обычно, рассматривая проблему инсайдеров, принято говорить о неосторожных действиях служащих, то утечка базы данных объемом в несколько гигабайт вряд ли может произойти случайно. Отметим, что следы инсайдеров четко прослеживаются в последнем инциденте с налоговой базой (некие чиновники, обогатившиеся на $2,5 млн), а также в случае с торговлей информацией о входящих и исходящих вызовах (три члена преступной банды оказались сотрудниками оператора сотовой связи). И хотя это лишь те случаи, которые, так или иначе, стали достоянием гласности, можно с высокой долей уверенности утверждать, что во всех остальных утечках инсайдеры сыграли главную роль.

Такая уверенность обусловлена последними статистическими выкладками известных аналитических агентств. Например, организация CERT («2005 E-Crime Watch Survey»), опросившая более 800 американских компаний, установила, что каждая вторая компания хотя бы раз в течение года пострадала от утечки чувствительных сведений. Вдобавок, по сведениям PricewaterhouseCoopers и CXO Media («Global State of Information Security 2005»), опросивших более 13 тыс. компаний в 63 странах мира (в том числе и России), более половины (60%) всех инцидентов IТ-безопасности за прошедший год были вызваны именно инсайдерами. Аналитики подсчитали, что 33% и 20% инцидентов вызваны нынешними и бывшими сотрудниками соответственно, 11% приходятся на долю клиентов компании, 8% происходят по вине партнеров и, наконец, 7% вызваны временными служащими (контрактниками, консультантами и т. д.). Даже если не учитывать клиентов и партнеров, то за 60% всех инцидентов несут ответственность нынешние, бывшие и временные сотрудники компании, что недвусмысленно свидетельствует о масштабности инсайдерских инцидентов.

«Исследование Global State of Information Security 2005 действительно выявило, что, по крайней мере, 60% всех инцидентов в сфере IТ-безопасности происходят по вине инсайдеров. Нельзя сказать, что такой результат стал для нас чем-то неожиданным, напротив, тенденция увеличения числа внутренних инцидентов и роста наносимого ими ущерба отчетливо прослеживается уже несколько лет. Вероятно, это происходит потому, что организации фокусируются на защите от внешних угроз IТ-безопасности, забывая о том, что сами служащие могут случайно или преднамеренно совершить противоправное действие и нанести своему работодателю серьезный ущерб. Особенно опасной угрозой в данном контексте является утечка конфиденциальной информации, что часто приводит к прямым финансовым убыткам, долгосрочному снижению делового имиджа компании, сокращению числа клиентов, неблагоприятному отношению со стороны прессы, а в некоторых странах — к штрафам и судебным преследованиям», — считает Григорий Кацман, менеджер PricewaterhouseCoopers, эксперт в области информационной безопасности. «Полагаю, что сегодня подавляющее число утечек конфиденциальных данных происходит именно по вине инсайдеров. Таким образом, каждая более или менее крупная организация, дорожащая своими информационными активами, должна позаботиться о том, как эти активы защитить. Другими словами, необходим контроль над всеми операциями, которые служащие совершают с «закрытой» информацией. Пренебрегать внутренней IТ-безопасностью не стоит, так как это может очень дорого обойтись компании в случае возникновения инцидента», — добавляет он.

Информационный Армагеддон

Несмотря на всю пессимистичность описанной выше картины, это были лишь цветочки, а ягодки Правительство России готовит нам к 2007 году. Речь идет об уже упоминавшейся Системе персонального учета населения, основным компонентом которой является Единый государственный регистр населения (ЕГРН). Он содержит идентификаторы персональных данных и первичные идентификационные данные обо всем населении страны. Всего в него входят шесть параметров: фамилия, имя, отчество, дата и место рождения, пол. Сегодня ЕГРН уже проходит тестирование в 9 регионах России (Москве, Московской области, Петербурге и т. д.).

Таким образом, СПУН будет представлять собой надстройку над уже существующими распределенными базами данных различных органов власти, а в основе системы будет лежать ЕГРН. Как только система будет введена в эксплуатацию, у чиновников появится возможность в одно мгновение составить цифровое досье на любого гражданина страны, дополнив базовые сведения из единого регистра информацией из других баз данных. Иными словами, хотя все приватные записи не будут объединены физически, централизованный доступ ко всем ним будет обеспечен для каждого пользователя СПУН. Самое время поговорить о безопасности этой глобальной системы. Формально забота об этом аспекте лежит на двух положениях Концепции создания СПУН, согласно которым в системе должны быть обеспечены: «учет и регистрация всех действий с персональными данными, производимых пользователями системы персонального учета», а также «защита персональных данных в соответствии с законодательством РФ и требованиями по обеспечению информационной безопасности».

Отрадно видеть, что законодатели позаботились о таких мелочах, как ведение журнала учета и регистрации. Однако ссылка на требования по обеспечению IТ-безопасности — это ссылка в никуда, а апелляцию к соответствующим законам вряд ли стоит воспринимать как гарантию безопасности, поскольку базы данных, как Министерства по налогам и сборам, так и Центробанка тоже должны быть защищены в соответствии с законодательством. Можно сделать вывод, что ключевые компоненты СПУН уже находятся на стадии тестирования, а механизмы разграничения полномочий, защита от нецелевого использования приватных данных и средства предотвращения утечки даже не входят в техническое задание строящейся системы. Такой подход чреват информационным Армагеддоном: либо в ларьках и на лоточках по всей стране будут продаваться жесткие диски с приватными данными всего населения, либо этой информацией будут торговать по заказу (оплата за каждого человека в отдельности). На фоне продающихся сегодня баз данных отдельных ведомств и министерств такая перспектива выглядит более чем реально.

Очевидно, что для обеспечения безопасности СПУН государству необходимо предпринять ряд мер. Прежде чем рассмотреть, каких именно, обратимся к зарубежному опыту решения схожих проблем.

Мы не одиноки в своих проблемах

Другие страны тоже сталкиваются с похожими трудностями. В США, например, постоянно происходят утечки приватной информации из коммерческих компаний. Однако за последние годы не было зафиксировано ни одной более или менее существенной утечки из государственных организаций (военный шпионаж с привлечением иностранных разведок не в счет), а каждая кража данных в частном секторе сопровождалась штрафами, общественным порицанием и снижением прибылей провинившихся компаний.

Следует отметить, что последствия утечек намного опаснее в США и Европе, чем России. Это связано с тем, что в нашей стране довольно сложно совершить кражу личности и поживиться таким способом за чужой счет. Однако в западных странах наличия чужих имени, фамилии и всего одного особо чувствительного идентификатора (например номера социального страхования или водительского удостоверения) достаточно, чтобы получить кредитную карточку на другого человека. Этим можно объяснить строжайший контроль над оборотом приватных данных в Европе и Северной Америке.

Сегодня наиболее близка к России по характеру решаемых проблем Великобритания: проект создания Mother Of All Databases (так в народе называют будущую глобальную базу, аналогичную нашей СПУН) вызывает горячие споры среди законодателей, правозащитных организаций и адвокатов приватности. Самое главное отличие британской единой базы от российской в том, что первая является частью более крупной инициативы, предполагающей введение общенациональных идентификационных карт. Другими словами, точно так же, как единый государственный регистр и базы данных ведомств и министерств формируют общую систему учета населения, Mother Of All Databases и биометрическая аутентификация по отпечаткам пальцев держат на себе концепцию всеобщих ID-карт. Правда, после создания своей системы учета России будет уже рукой подать и до собственных идентификационных карт.

Вопрос о защите глобальной британской базы является последним камнем преткновения в спорах между сторонниками и противниками этой концепции. Общество настолько высоко оценивает свои приватные данные, что согласно отказаться от национального проекта вообще, если безопасность чувствительных сведений не будет обеспечена на должном уровне. Поэтому соответствующие механизмы защиты и отдельная статья их финансирования рассматриваются законодателями уже сейчас, на этапе проектирования Mother Of All Databases.

Предполагается, что электронный архив с приватными данными всего населения страны должен быть защищен не только от глобальной кражи, но и от нецелевого использования отдельных записей, которые нерадивые чиновники могут продавать мошенникам. При этом упор делается на разработку соответствующих нормативных документов, которые должны четко описывать, какой уровень безопасности базы должен быть обеспечен и как достичь его.

Безопасность СПУН

Логично предположить, что Министерству информационных технологий и связи, ответственному за реализацию СПУН, следует позаботиться хотя бы о нормативных документах, которые подробно опишут требуемый уровень безопасности системы и сделают соответствующие ссылки на «стандарты информационной безопасности» адресными.

«Для защиты приватных данных населения вполне подходят те же подходы, методики и технологии, что и для защиты корпоративных информационных активов. Это, прежде всего, комплекс организационных и нормативных мероприятий, в ходе которого создается политика IТ-безопасности. Применительно к СПУН этот документ должен описывать все разрешенные действия с чувствительными для населения сведениями, а все остальные — запрещать. На следующем этапе необходимо внедрить технологии, которые закрепляют нормативные положения. Здесь, конечно же, стоит отметить учет и регистрацию всех действий с информацией, упомянутые в Концепции создания СПУН, а также активный мониторинг с блокировкой утечки в режиме реального времени. Отсутствие такого комплексного подхода к детектированию и предотвращению утечек во многих государственных и крупных коммерческих организациях приводит к тому, что кражи данных происходят постоянно, а юридическое лицо, на попечении которого информация находится, просто отрицает факты утечки. При этом правоохранительные органы оказываются бессильны, ведь необходимой инфраструктуры для детектирования утечек просто нет, — считает Денис Зенкин, директор по маркетингу компании InfoWatch. — Наиболее подходящий момент для проектирования механизмов безопасности и внедрения их в СПУН уже упущен, но еще не поздно инициировать этот процесс. Время будет оставаться до тех пор, пока система учета не будет запущена в эксплуатацию». Действительно, построение СПУН уже идет полным ходом, а о защите чувствительных данных необходимо было позаботиться с самого начала, еще на этапе проектирования. Таким образом, безопасность системы учета, которая должна быть поставлена в главу угла, оказалась на обочине. Остается надеяться, что чиновники одумаются и не допустят того, чтобы СПУН была введена в эксплуатацию вообще без средств безопасности. В противном случае вы уже знаете, что нас ждет, — информационный Армагеддон…

Мнения

Сергей Пильцов, генеральный директор LETA IT-company Сегодня очень много говорится об утечках государственных баз данных, однако очень мало внимания уделяется вопросу защиты от точно таких же угроз на уровне коммерческих структур. А ведь каждая крупная организация хранит в электронном виде приватные сведения о своих сотрудниках, а также располагает ценными информационными ресурсами. Очевидно, что защищать все эти данные просто необходимо, но это легче сказать, чем сделать. Хотя предусмотреть весь диапазон внутренних угроз действительно очень сложно, решения в этой области есть и их не мало. На мой взгляд, самый эффективный подход состоит в распределенной защите всех уязвимых точек и каналов утечки. Во-первых, специальные сетевые мониторы позволяют контролировать электронную почту и Интернет и, таким образом, блокировать пересылку конфиденциальных сведений по этим каналам. Во-вторых, агенты на рабочих станциях способны в режиме реального времени отследить действия с классифицированными данными в Microsoft Office или Adobe Acrobat, пресечь утечку закрытой информации через портативные устройства, порты и беспроводные коммуникации. Наконец, я бы хотел остановиться на проблеме расследования инцидентов. Уже давно следует прекратить порочную практику, когда сотрудника сгоняют с рабочей станции, арестовывают жесткий диск, а потом скрупулезно исследуют письма в Outlook. Ведь если служащий невиновен, то здоровый рабочий климат в коллективе будет уничтожен навсегда. Чтобы не допустить этого, достаточно лишь централизованно архивировать и хранить корпоративную корреспонденцию, а при необходимости делать аналитические выборки из архива. Практика показывает, что непрофессиональных инсайдеров удается вычислить таким способом в 90% случаев. Сергей Земков, директор по корпоративным продажам «Лаборатории Касперского» в России, странах СНГ и Балтии Технические детали того, как будет организован доступ к приватным записям в распределенных межведомственных базах, еще не известны. Однако, очевидно, что реализация концепции создания СПУН приведет к новым рискам ИТ-безопасности, вызванным такими угрозами, как несанкционированный доступ к электронным архивам, утечка большого объема персональных сведений и торговля личными данными на заказ. Противопоставить всем этим рискам можно лишь комплексную систему ИТ-безопасности, основанную на анализе информационной инфраструктуры СПУН и трезвой оценке рисков. Эти мероприятия должны вылиться в принятие стандарта ИТ-безопасности, адресованного либо всем государственным организациям, либо только тем ведомствам, на попечении которых находятся персональные данные населения. При этом просто необходим процесс сертификации на соответствие этому стандарту или независимые проверки специальной комиссии. Собственно эта практика распространена во всем цивилизованном мире и позволяет действительно контролировать обращение приватных сведений населения. Например, в Северной Америке и Европе существуют специальные отраслевые нормативы, которые требуют от бизнеса защищать медицинские, финансовые и другие сведения, а также регулярные проверки ИТ-безопасности правительственных агентств. В России пока что нет ни такого регулирования, ни требований к ИТ-безопасности государственных структур. Боюсь, что пока не будет принята соответствующая нормативная база, оборот приватных сведений и дальше будет напоминать информационную анархию.

Автор: Алексей Доля

Источник: «Экспресс-электроника», 16.03.2006