Глобальное незнание правил информационной безопасности
Компания Cisco обнародовала отчет по результатам глобального исследования утечек данных, в котором оценивается эффективность корпоративных правил информационной безопасности и называются причины, по которым сотрудники игнорируют эти правила. Как показало исследование, правила (политики) безопасности разработаны в большинстве компаний (77%).
Вместе с тем в каждой четвертой компании таких правил нет. Для этих компаний внедрение мобильности и методов совместной и распределенной работы чревато гораздо более серьезными негативными последствиями, чем для организаций, где вопросам о том, как и кому предоставлять доступ к корпоративным данным, приложениям и сетям, уделяется должное внимание. Отсутствие правил информационной безопасности особенно часто встречается в Японии (39% опрошенных) и Великобритании (29%).
Впрочем, даже если в компании соответствующие правила существуют, это вовсе не означает, что все сотрудники скрупулезно их выполняют. Более половины опрошенных признались, что не всегда придерживаются корпоративных правил безопасности. Больше всего таких сотрудников во Франции: там 84% респондентов указали, что иногда, а то и на регулярной основе, игнорируют принятые правила защиты данных. В Индии же лишь каждый десятый сотрудник (11%) никогда или почти никогда не нарушает этих правил.
Исследование, организованное компанией Cisco, дает основание для вывода о том, что соблюдение или, наоборот, нарушение корпоративных правил информационной безопасности зависят от следующих факторов:
- Степень осведомленности. В зависимости от страны, число ИТ- специалистов, знающих правила безопасности, на 20-30% превышает количество обычных сотрудников, знакомых с этими правилами. Наибольшой разрыв (31%) зафиксирован в США, Бразилии и Италии. Эти результаты лишний раз свидетельствуют о важности эффективного взаимодействия между ИТ-отделами и остальными подразделеними компаний.
- Коммуникация. 11% опрошенных сотрудников заявили, что ИТ-отдел никогда не сообщает им о правилах безопасности и не проводит соответствующего обучения. Особенно часто подобные заявления делались в Великобритании (25% респондентов) и Франции (20%). Там же, где ИТ-специалисты оповещают сотрудников о правилах защиты информации, они зачастую делают это в неофициальной форме: устно, по электронной почте, с помощью всплывающих подсказок во время загрузки систем, через голосовую почту.
- Обновления. Трое из каждых четырех ИТ-специалистов (77%) считают, что правила безопасности нужно обновлять чаще, чем это делается ныне. Это мнение разделяет почти половина (47%) сотрудников других отделов. Особенно часто это требование высказывалось в Китае (91% респондентов) и Индии (89%). Если сравнить эти показатели с данными предыдущих исследований, то обнаружится, что необходимость строгих корпоративных правил информационной безопасности особенно остро ощущается в странах с быстроразвивающейся экономикой, где полно молодых специалистов, впервые подключающихся к Интернету и другим сетям.
- Чрезмерные строгости. Большинство опрошенных сотрудников считает, что действующие в их компаниях правила носят чересчур запретительный характер. Это мнение доминирует в восьми из десяти стран, где проводилось исследование, и только в Германии и США пользователи придерживаются другого мнения. Так или иначе, в современном мире, где широко распространяются средства совместной работы, интерактивные приложения Web 2.0, видеотехнологии и мобильные устройства, компании должны защищать своих сотрудников и в то же время предоставлять им возможность пользоваться новыми технологиями, не раздражая специалистов слишком строгими запретами.
Эта задача требует от информационно-технологических отделов не только технических знаний, но и немалого дипломатического искусства.
- Несоблюдение правил. Еще один важный результат исследования - различия во взглядах обычных сотрудников и информационно-технологических специалистов на причины несоблюдения правил информационной безопасности.
По мнению ИТ-специалистов, сотрудники не соблюдают эти правила по самым разным причинам - от неспособности понять тяжесть последствий до общей апатии и безразличия. По мнению же самих сотрудников, главная причина несоблюдения правил кроется в том, что эти правила нереалистичны и мешают выполнять повседневные должностные обязанности. Такого мнения придерживаются двое из каждых пяти опрошенных сотрудников (42%).
Примечательно, что в Германии, где большинство сотрудников считает корпоративные правила безопасности справедливыми, 55 процентов респондентов заявили о своей готовности их нарушить, если правила станут помехой для работы. Исследование показало, что нарушения правил безопасности наносят вред не только самим компаниям: в каждом пятом случае утечки информации по вине того или иного сотрудника в руки злоумышленников попадали данные клиентов.
Cisco
Вместе с тем в каждой четвертой компании таких правил нет. Для этих компаний внедрение мобильности и методов совместной и распределенной работы чревато гораздо более серьезными негативными последствиями, чем для организаций, где вопросам о том, как и кому предоставлять доступ к корпоративным данным, приложениям и сетям, уделяется должное внимание. Отсутствие правил информационной безопасности особенно часто встречается в Японии (39% опрошенных) и Великобритании (29%).
Впрочем, даже если в компании соответствующие правила существуют, это вовсе не означает, что все сотрудники скрупулезно их выполняют. Более половины опрошенных признались, что не всегда придерживаются корпоративных правил безопасности. Больше всего таких сотрудников во Франции: там 84% респондентов указали, что иногда, а то и на регулярной основе, игнорируют принятые правила защиты данных. В Индии же лишь каждый десятый сотрудник (11%) никогда или почти никогда не нарушает этих правил.
Исследование, организованное компанией Cisco, дает основание для вывода о том, что соблюдение или, наоборот, нарушение корпоративных правил информационной безопасности зависят от следующих факторов:
- Степень осведомленности. В зависимости от страны, число ИТ- специалистов, знающих правила безопасности, на 20-30% превышает количество обычных сотрудников, знакомых с этими правилами. Наибольшой разрыв (31%) зафиксирован в США, Бразилии и Италии. Эти результаты лишний раз свидетельствуют о важности эффективного взаимодействия между ИТ-отделами и остальными подразделеними компаний.
- Коммуникация. 11% опрошенных сотрудников заявили, что ИТ-отдел никогда не сообщает им о правилах безопасности и не проводит соответствующего обучения. Особенно часто подобные заявления делались в Великобритании (25% респондентов) и Франции (20%). Там же, где ИТ-специалисты оповещают сотрудников о правилах защиты информации, они зачастую делают это в неофициальной форме: устно, по электронной почте, с помощью всплывающих подсказок во время загрузки систем, через голосовую почту.
- Обновления. Трое из каждых четырех ИТ-специалистов (77%) считают, что правила безопасности нужно обновлять чаще, чем это делается ныне. Это мнение разделяет почти половина (47%) сотрудников других отделов. Особенно часто это требование высказывалось в Китае (91% респондентов) и Индии (89%). Если сравнить эти показатели с данными предыдущих исследований, то обнаружится, что необходимость строгих корпоративных правил информационной безопасности особенно остро ощущается в странах с быстроразвивающейся экономикой, где полно молодых специалистов, впервые подключающихся к Интернету и другим сетям.
- Чрезмерные строгости. Большинство опрошенных сотрудников считает, что действующие в их компаниях правила носят чересчур запретительный характер. Это мнение доминирует в восьми из десяти стран, где проводилось исследование, и только в Германии и США пользователи придерживаются другого мнения. Так или иначе, в современном мире, где широко распространяются средства совместной работы, интерактивные приложения Web 2.0, видеотехнологии и мобильные устройства, компании должны защищать своих сотрудников и в то же время предоставлять им возможность пользоваться новыми технологиями, не раздражая специалистов слишком строгими запретами.
Эта задача требует от информационно-технологических отделов не только технических знаний, но и немалого дипломатического искусства.
- Несоблюдение правил. Еще один важный результат исследования - различия во взглядах обычных сотрудников и информационно-технологических специалистов на причины несоблюдения правил информационной безопасности.
По мнению ИТ-специалистов, сотрудники не соблюдают эти правила по самым разным причинам - от неспособности понять тяжесть последствий до общей апатии и безразличия. По мнению же самих сотрудников, главная причина несоблюдения правил кроется в том, что эти правила нереалистичны и мешают выполнять повседневные должностные обязанности. Такого мнения придерживаются двое из каждых пяти опрошенных сотрудников (42%).
Примечательно, что в Германии, где большинство сотрудников считает корпоративные правила безопасности справедливыми, 55 процентов респондентов заявили о своей готовности их нарушить, если правила станут помехой для работы. Исследование показало, что нарушения правил безопасности наносят вред не только самим компаниям: в каждом пятом случае утечки информации по вине того или иного сотрудника в руки злоумышленников попадали данные клиентов.
Cisco
