Угрозы безопасности при работе службы поддержки – исследование RSA
Компания RSA, подразделение безопасности корпорации EMC, обнародовала результаты нового опроса SANS Institute, посвященного угрозам нарушения конфиденциальности данных, к которым может привести работа служб поддержки. В опросе «Безопасность и конфиденциальность при работе служб поддержки» за 2013 г. приняло участие более 900 ИТ-специалистов со всего мира, работающих в самых разных сферах (включая правительственный сектор, финансы, образование, здравоохранение, ИТ и коммуникации). По итогам отчета выявлены наиболее распространенные уязвимости в работе служб поддержки и предложены рекомендации, которые помогут организациям устранить эти проблемы. Результаты опроса касаются регламентации рабочих процессов служб поддержки в организациях, а также процедур и действий персонала служб поддержки, которые потенциально могут повлиять на безопасность предприятия.
Чаще всего обращения в службы поддержки связаны с распространенными ИТ-проблемами (например, сброса пароля). Часто эффективность работы специалистов службы поддержки определяется тем, насколько быстро они могут ответить пользователям и устранить проблему. Во многих случаях соблюдение безопасности не играет существенной роли в этом процессе, и поэтому службы поддержки непроизвольно становятся точкой входа для хакеров и злоумышленников-инсайдеров.
Большинство респондентов (69%) самой серьезной угрозой безопасности при работе служб поддержки назвали социальную инженерию. Однако в большинстве организаций для идентификации пользователей, обращающихся в службу поддержки, по-прежнему используются базовые личные данные (имя/подразделение и идентификационный номер сотрудника) — информация, которую злоумышленник может найти без особенных сложностей. Кроме того, многие сотрудники служб поддержки обходят проверки безопасности в стремлении оказать помощь пользователям быстро и эффективно.
Помимо человеческого фактора, важную роль в недостаточном обеспечении общей безопасности играют недостаток обучения, отсутствие инструментов и технологий. Более 50% респондентов заявили, что используют умеренный подход к обеспечению безопасности при организации работы служб поддержки в рамках общего корпоративного контроля безопасности, но не уделяют должного внимания обучению персонала или использованию всех необходимых технологий в повседневной работе. В большинстве случаев бюджеты определяются количеством обслуживаемых пользователей, а не стоимостью в расчете на вызов или даже стоимостью потенциальных угроз безопасности, и поэтому расчет окупаемости для новых рабочих процессов, дополнительного обучения и инструментов для повседневных операций по оказанию поддержки может оказаться исключительно сложной задачей.
Среди результатов исследования можно также отметить следующие: 44% респондентов считают, что верификация пользователей при обращении в службу поддержки представляет существенно большую угрозу, чем верификация пользователей, находящихся на самообслуживании (11% респондентов). Только 10% респондентов оценили процедуры безопасности в своей организации как надежные. И почти 43% респондентов не учитывают стоимость инцидентов, подвергающих угрозе безопасность данных, при утверждении бюджета службы поддержки, который чаще определяется в зависимости от количества пользователей.
Обращение в службу поддержки для сотрудников остается предпочтительным способом разрешения базовых проблем, связанных с ИТ. Специалисты службы поддержки могут обладать расширенными правами в ИТ-системе, что делает их привлекательной мишенью для социальных инженеров и технических хакеров, пытающихся получить доступ к корпоративным сетям. Чтобы устранить уязвимости в организации работы служб поддержки, организациям необходимо пересмотреть свой подход к обеспечению удобства пользователей и большее внимание уделять защите от угроз. Рекомендуемые практики таковы.
Использование вариантов автоматизации и самообслуживания для устранения распространенных проблем пользователей (включая сброс паролей), чтобы уменьшить число ошибок и уязвимостей, приводящих к взломам систем безопасности и хищению данных.
Качественное и непрерывное обучение специалистов служб поддержки, чтобы научить их распознавать потенциальные атаки с использованием социальной инженерии и реагировать на них.
Современные инструменты, которые используют динамические источники данных и новые способы аутентификации для повышения достоверности идентификации пользователей и их местоположения.