Карл Шкафиц - Руководство по компьютерной безопасности и защите информации для Больших Боссов

[email protected] Руководство по компьютерной безопасности и защите информации для Больших Боссов

ВВЕДЕНИЕ

Ну да, ну да, я в курсе, что ты — Большой Босс. Что ты не делаешь сам те вещи, которые другие могут сделать за тебя, получив за это деньги. Поэтому ты не моешь свою машину, не ходишь сам по магазинам (за исключением бутиков и ювелирных салонов), не моешь пол и не протираешь пыль на рабочем столе. Однако даже ты знаешь, что есть вещи, которые за тебя не сделает никто.

Ты же не будешь платить деньги другим людям за то, чтобы они занимались любовью с твоей женой, правильно? Да, я знаю, что это дело интимное, а такое не доверишь посторонним. Но почему ты думаешь, что защита твоей собственной информации — любой, деловой или личной — это менее интимное дело?

Увы, друг мой, защита твоей информации — или хотя бы чёткое понимание того, что это такое и как подобная защита должна строиться — это ТВОЁ ЛИЧНОЕ ДЕЛО! Не Cosa Nоstra (хотя твои проблемы могут стать и Нашим Делом тоже), а Cosa Tua — Твоё Дело!

Разумеется, тебе не хочется вникать во все эти тонкости. Ты считаешь, что такой Большой Парень как ты для того и зарабатывает деньги, чтобы позволить себе заниматься только Большими Проблемами. В этом, конечно, есть определённая лоrика, однако безопасность твоей информации — это и есть Большая Проблема, уверяю тебя.

Как известно, дон Вито Корлеоне никогда в жизни не разговаривал по телефону. Он боялся, что его голос запишут и потом используют для создания различных фальсификаций, которые могут свидетельствовать против него. Подход для тех времён, в общем, вполне правильный, не спорю, однако в нынешнем высокотехнологичном мире старичок бы не выжил. И ты сам прекрасно понимаешь, что невозможно отказаться от мобильных телефонов, электронной почты, компьютеров-мапьютеров и прочей электронщины. Мы живём уже не в том мире, в котором жил старина Вито. Его заповеди нам уже не подходят.

Как говорил суровый мужчина Ницше — всё, что не убивает нас, делает нас сильнее. В случае со всей этой чёртовой современной техникой ситуация складывается несколько иным образом: она сначала делает нас сильнее, а затем убивает. Ну или создает нам такие неслыханные проблемы, что лучше бы уж сразу убили...

Ситуацию, в которой находится современный Большой Парень, можно охарактеризовать следующим образом: он садится в суперскоростную, но вовсе не бронированную машину (для наглядности можно представить болид «Формулы 1»), после чего начинает движение на бешеной скорости по самой обычной автомобильной трассе. Насколько быстро ему на пути встретится крутой поворот, на котором он вылетит с трассы и влепится в столб или в корову, задумчиво стоящую на обочине, — вопрос чистого везения, ничего более. Потому что по обычным трассам нельзя ездить на болидах «Формулы 1».

У тебя два варианта: или пересесть на какую-нибудь малолитражку, которая из поворота не вылетит при всем твоем желании, или всё-таки ездить на скоростной тачке, однако позаботиться о мерах безопасности.

О них, этих мерах безопасности, данная книга.

КТО АВТОР ЭТОЙ КНИГИ

Меня зовут Карл Абрахам Шкафиц. Я — эксперт-консультант по информа­ционной безопасности. Тебя не должно волновать, где я родился и где в настоящий момент проживаю, потому что где я родился — там меня уже нет, а живу я в совершенно различных уголках этой планеты, так как мои услуги требуются в очень многих странах.

Зачем и для кого я написал эту книгу? Для таких парней, как ты — менеджеров среднего и высшего звена, а также для Больших Боссов (ты именно такой, не так ли?). Ведь для так называемых специалистов по безопасности есть масса всевозможных книг, учебников и пособий. Тебе эти пособия читать совершенно бессмысленно, потому что понятным там будет один термин из десяти, если не из ста. Но это не страшно. Ведь они написаны вовсе не для тебя, и ты их понимать не должен.

Страшно другое. Страшно то, что подавляющее большинство этих «специалистов», читая пособия по безопасности, сами понимают дай бог три слова из двадцати. Но они приходят к тебе на работу и ты доверяешь им самое ценное, что у тебя есть — защиту информации. И этот shit тeбe обеспечивает «зashitу». Ненадолго. До первого поворота в твоей судьбе, когда твоим компьютером, электронной почтой, наладонником и SMS заинтересуются вовсе не из праздного интереса.

Уверяю тебя, мне по роду деятельности приходилось и приходится довольно много сталкиваться с различными фирмами, конторами, концернами и предприятиями. А точнее, с тем, как там все организовано. Я теперь редко занимаюсь непосредственно организацией информационной безопасности — уже вышел из этого возраста. Меня приглашают в качестве эксперта — оценить ситуацию и обрисовать её боссам.

И знаешь, что самое интересное? В девяти случаях из десяти складывалось впечатление, что эти ребята платили мне сумасшедшие деньги только для того, чтобы услышать нечто вроде: «Да ты что, старичок, у тебя на фирме всё в порядке! Всё классно, старичок, спи спокойно!» И когда я им начинал по пунктам перечислять, какой ужас с безопасностью творится у них в конторе, они делали кислую мину и говорили: «Карл, старина, ты, конечно, эксперт и все такое, но нам кажется, что ты преувеличиваешь»... Я преувеличиваю! А за что, мать вашу, я получаю такие деньги? За то чтобы говорить комплименты о том, как у них всё классно?

Ты и к пластическому хирургу придёшь на дорогостоящую консультацию только для того, чтобы услышать: «Да ты что, старичок, ты и так прекрасно выглядишь...»? И пойдёшь от него в туманную даль, надуваясь от счастья, сохранив при себе всё своё, родное: огромное пузо, набрякшие мешки под глазами, отвисшую задницу и бёдра, размером с подушку-думку...

Конечно, безопасность информации — так же, как и внешний вид — это твоё личное дело. Но тогда какого чёрта ты платишь деньги экспертам? Какого чёрта ты платишь эти деньги мне? Собаки-ищейки едят свой сахар вовсе не для того, чтобы восторженно прогавкать хозяину: «Шеф, гав-гав, всё в порядке, гав-гав, искать нечего, гав-гав, злоумышленника в природе не существует, хвала собачьему богу!» Нет, они просто идут по следу, опустив нос до самой земли, не обращая внимания на то, что там валяется, чтобы в конце концов найти ублюдка, схватить его острыми клыками за задницу и доставить хозяину.

Я — та же ищейка. Я не говорю комплименты, не обращаю внимания на то, в какое дерьмо мне приходится влезать во время работы, но свой солидный кусок сахара я ем не зря. Однако мои выводы и мои рекомендации направлены именно ТЕБЕ, менеджеру, боссу или чёрт знает какой крутотени. Потому что если я нашел это всё — значит, ты совершенно напрасно платишь деньги своим «спецам пo безопасности». Значит, они и термин «безопасность» - совершенно несовместимы друг с другом.

ЗАЧЕМ НАПИСАНА ЭТА КНИГА

В конце концов, мне стало надоедать всё время повторять одно и то же. Каждый раз, когда я прихожу в некую фирму и вылавливаю там вопиющие прорехи в безопасности информации, приходится заниматься одним и тем же: сажать перед собой руководящий состав и читать им маленькую лекцию. В доверительной, хотя и несколько жёсткой форме. Из серии, что «если, ребята, вы этим не займётесь, вашу жопу очень быстро пришпилят к небоскрёбу».

Хирург, если видит симптомы неприятной и опасной болезни, выражения не выбирает. Я их тоже не выбираю. Мне главное — чтобы ты понял существование проблемок, проблем и проблемищ. Видишь дырку в безопасности? Не видишь?

А она есть!

Разумеется, в этом чёртовом мире вовсе не я один — эксперт-специалист по безопасности информационных систем. Более того, я не наберусь наглости утверждать, что я — в первой десятке лучших (хотя в глубине души иногда так считаю, но только сам с собой с глазу на глаз). Ну и кроме того, я с уверенностью скажу, что этих специалистов — море-разливанное!

Остается только ответить на один мa-а-а-а-аленький вопрос: почему у тебя не работает ни один из этих специалистов? Ты не можешь ответить на этот вопрос? не можешь. А я могу.

Потому что ты не считаешь это серьёзной проблемой. Даже, уж прости, трехдневный триппер для тебя — более серьёзная проблема, чем безопасность твоей информации. Поэтому ты не тратишь денег на специалистов, ты не даёшь себе труда хоть чуть-чуть разобраться в том, какие опасности тебя подстерегают и каким образом этого всего можно попытаться избежать.

Заметь, я не пишу — «полностью избежать», потому что это нереально. Но увеличить защиту на несколько порядков — вполне возможно. Но при этом ты должен понимать, что и как.

Так вот, эта книга как раз и написана для того, чтобы ты понимал, что к чему в вопросе защиты твоей личной информации. Чтобы ты не вверял самое ценное, самое интимное и бесконечно дорогое — тому самому студенту-компьютерщику, которого ты нанял за 200-400 баксов, чтобы он менял картриджи в принтере, объяснял бухгалтерии, где на клавиатуре кнопка «Any key», щипал за задницу секретарш (подобные действия не входят в его прямые обязанности, но он это будет делать, не сомневайся), требовал деньги на модернизацию техники (подразумевая под этим модернизацию своего собственного домашнего компьютера), а также — занимался информационной безопасностью. Как бы между прочим.