На далеком сервере: как мы придумали защищать данные пользователей

Кто владеет информацией, тот владеет миром. Эту фразу приписывают основателю династии Ротшильдов. Спустя двести лет смысл ее не только не изменился, но приобрел еще большую глубину. Это вам не просто биржу обрушить на ложных данных о победе Наполеона. Кража секретной информации о компании или частном лице теперь означает обретение реальной власти над фирмой или гражданином.

Хакерские группы, DDoS-атаки, информационный шпионаж, репутационный шантаж, хищение личных данных миллионов пользователей соцсетей, нечистоплотные ревизоры, готовые передать информацию конкурентам или использовать против клиентов, всевозможные мошенники… Все это реальность современного мира.

Мы фиксируем рост интереса к облачным платформам

Развитие технологий в последние годы происходило очень быстро. Пользователи не успевали изучить один продукт, как на его смену приходил другой, гораздо более совершенный. Чаще всего задача IT-разработчиков – предоставить эффективный софт. А о том, как защищать их информацию, пользователям приходится думать самостоятельно.

Предположим, в компании с вирусами более-менее научились справляться, но им на смену пришли фишинговые программы и трояны. Против них нашли методы, потом появились хакеры, «вручную» взламывающие коды. Обезопасили себя и против взломщиков, затем грянул «пакет Яровой», по которому любая информация должна предоставляться властям по первому требованию. А потом – бац – финансовая проверка, после которой внезапно выясняется, что все секретные данные оказались у конкурентов.

Сбои начались даже в банкоматах и кассовых аппаратах в магазинах. «Полетели» сайты компаний, интернет-банкинг, почтовые сервисы и мессенджеры. Граждане бросились настраивать VPN. Но бесплатные завалены спамом, дешевые платные не гарантируют сохранности проходящей через них информации. Часть из них вовсе заблокированы, потому что анонимайзеры тоже под запретом.

Убытки фирм от блокировок пока еще никто не посчитал, но наша компания, одной из услуг которой является предоставление доступа к облачной платформе, зафиксировала взрывообразный рост интереса к услуге. Буквально за неделю блокировок количество заявок выросло в 4 раза.

Случаи из жизни

Клиенты, которые обращались к нам, рассказывали свои истории. Вот несколько из них.

• Довольно известная на рынке аудиторская фирма принимала у себя ревизоров из налоговой. Пришли сотрудники, предъявили постановление о проверке. Все по закону. Они изъяли сервер, и вели проверку до 6 месяцев. Ничего подозрительного не нашли, документы и оборудование вернули, акт составили. Но вскоре клиенты аудиторской фирмы стали сообщать, что подобные проверки начались и у них. Причем по характеру работы сотрудников налоговой стало понятно – информацию о проверяемых они получили с ранее изъятого в аудиторской фирме сервера.
• Нехорошая история произошла и в одной клинике пластической хирургии. Незащищенная база данных с полной информацией о клиентах и их фотографиями до и после операций была взломана хакерами. Снимки клиентов в обнаженном виде попали в интернет.
• В одну строительную компанию в Санкт-Петербурге пришли люди с требованием поделиться прибылью и пригрозили направить в фирму проверяющих. Компания работала в правовом поле, проверок не боялась, идти на сделки подобного рода отказалась. Спустя время проверка действительно началась. Изъяли документы и компьютеры. Надо ли говорить, что нарушений обнаружено не было, но чтобы в этом убедиться, проверяющим потребовалось три месяца. Строительная фирма была практически парализована, деятельность заморожена. Маркетинговый отдел вел статистику потерянных клиентов, бухгалтерия считала убытки.

«Облако» в горах

С момента, когда Ротшильд впервые высказал мысль о том, что обладание информацией – это власть над миром, принципиально ничего в подходах не изменилось. Все ценное нужно спрятать в труднодоступном месте, а путь туда максимально запутать и обезопасить.

В век IT и нанотехнологий слегка поменялся инструментарий. Информация размещается на сервере в стране, где законы не позволяют предоставить ее третьим лицам. Доступ к информации осуществляется на базе облачной платформы. Канал доступа зашифрован. От проникновения вирусов защищает группа специалистов Data-центра, отслеживающих любые попытки внедрить вирус или взломать код.

На примере нашей компании это работает так:

• Существует Data-центр в далекой стране, в которой любая личная или коммерческая информация является неприкосновенной. В нашем случае это Швейцария. Открыть доступ можно только по решению суда.
• Работа пользователя осуществляется на базе облачной платформы. Неважно откуда идет соединение – из России или с острова в Средиземном море, клиент заходит на свой виртуальный рабочий стол, интерфейс которого выглядит так же, как если бы это был его собственный ноутбук. Тот же Windows, тот же Office, те же программы и приложения. Но на далеком сервере.
• Доступ к серверам в Data-центре идет по зашифрованным каналам. И тут, как в истории с Telegram, передать информацию физически невозможно. Ни один сисадмин Data-центра не имеет к ней доступа и не знает о действиях клиента.
• Ключ к каналу есть только у пользователя. И у него же – «тревожная кнопка». Если вдруг возникает подозрение, что информацию со стороны клиента кто-то пытается получить, простого смс достаточно, чтобы закрыть доступ. Разблокировать его можно по заранее оговоренной схеме.
• Чтобы не допустить взлом, если украден личный пароль, в систему можно интегрировать устройство одноразовых паролей RSA SecurID. Для полной и окончательной безопасности. Устройство генерирует одноразовый код, который надо ввести при подключении.
• А вдруг пожар в серверной? Или лавина в Альпах? На этот случай весь информационный поток дублируется на сервере другого Data-центра.
• Что же касается соблюдения «пакета Яровой», по которому все данные должны храниться в России, на этот счет придумали простое решение: информация дублируется на жесткий диск, а он хранится в надежном месте. Если власти ее запросят – она всегда под рукой. Но злоумышленники украсть ее не смогут.

Пример. Предположим, что офис находится в Москве. Пользователь под своим паролем заходит в «облако» и соединяется со швейцарским сервером. Дальше он совершает операции в интернет-банкинге, отправляет и принимает письма, работает с документами, пополняет базы данных. Но этого никто – даже специалисты Data-центра – не видит.

И тут конкуренты украли компьютер, или пришла внеплановая проверка. При помощи «тревожной кнопки» доступ к информации блокируется, а на компьютерах ее просто нет. Чтобы ее получить, придется запросить израильскую компанию о предоставлении доступа, но потом обнаружится, что все находится в Швейцарии, а там 13 статья местной Конституции, которая провозглашает право граждан на защиту от злоупотребления его личными данными. Если через суды эти препоны будут преодолены, информация может быть уже неактуальной. Для налоговой и других властей есть жесткий диск.

То же касается заражения рабочего компьютера вирусом или обнаружения на нем фишинговой программы. Специалисты в Data-центре получают сигнал, что вредоносный код пытается внедрится в софт сервера. Доступ к информации блокируют, вирус уничтожают.

Как это сработало: кейсы

• В большую консалтинговую фирму пришла проверка. Все как всегда: документы, компьютеры, серверы изъяты. Но жена одного из сотрудников успела воспользоваться «тревожной кнопкой» и отправила в Data-центр сообщение о срочной блокировке. На следующий день всем сотрудникам в офисе привезли арендованное оборудование, работа с информацией продолжилась без потерь для фирмы. А проверка благополучно завершилась через 3 месяца.
• В компании на 55 сотрудников приходилось два IT-специалиста, которые посменно поддерживали работу сервера, помогали найти кнопку «anykey» и ловили вирусы. О высокой степени информационной безопасности речи не шло. После перехода на облачную платформу затраты на IT в компании сократились почти в два раза. Хватает одного сисадмина на полставки, который регулярно меняет в бухгалтерии картриджи в принтерах.

Материалы по теме:

Как защитить свой бизнес от хакеров, которые используют уязвимости в приложениях

Как бизнесу выгоднее хранить свои данные?

Личные данные 346 тысяч людей два дня висели на стене музея

11 советов о том, как защитить свои данные в интернете

Как защитить свои аккаунты в соцсетях на случай смерти