Неправомерный доступ к информации

Чужой пароль, избыточные права сотрудника или вредоносная программа могут привести к одному и тому же последствию: корпоративные данные оказываются в распоряжении тех, кому они не предназначены. Неправомерный доступ к информации может затрагивать персональные данные, коммерческую тайну, рабочие документы и внутреннюю переписку. Разбираем, где проходит граница между штатными действиями сотрудников и нарушением, как возникают внутренние и внешние угрозы и по каким признакам их можно выявить.

Что такое неправомерный доступ

В российском законодательстве доступ к информации понимается как возможность ее получения и использования. Сам по себе он не является нарушением: сотрудники ежедневно работают с файлами, базами и корпоративными системами в пределах своих обязанностей. Проблема возникает, когда человек получает или использует сведения без согласия обладателя, необходимых полномочий либо в обход установленного порядка.

В этом случае речь идет про неправомерный доступ к информации. При этом наличие доступа к системе еще не означает, что сотрудник вправе работать со всеми открытыми ему данными. У него может быть действующая учетная запись, но не быть служебной необходимости просматривать конкретные документы или выгружать клиентскую базу.

Иными словами, формальный доступ к информации еще не означает право использовать ее любым способом. Поэтому виды защиты информации выбирают с учетом не только способов входа в систему, но и полномочий пользователя, контекста его действий и дальнейшей работы с данными.

Виды и способы неправомерного доступа

Получить защищенные сведения можно разными способами, поэтому виды неправомерного доступа к компьютерной информации обычно различают по тому, как именно нарушитель получает доступ к ним.

К основным видам относятся:

• Физический. Нарушитель получает непосредственный доступ к компьютеру, серверу, накопителю или другому оборудованию, на котором хранится или обрабатывается информация.
• Удаленный. Проникновение происходит через программную среду, например после компрометации учетной записи, обхода механизмов аутентификации или эксплуатации уязвимости.
• Злоупотребление предоставленными правами. Пользователь уже имеет учетную запись и техническую возможность работать с ресурсом, но обращается к сведениям за пределами своих полномочий или использует их не по назначению.

На практике каждый из этих вариантов может реализовываться разными способами. При этом средства неправомерного доступа к информации не обязательно являются вредоносными сами по себе: нарушитель может использовать обычное программное обеспечение или штатную учетную запись.

К распространенным способам относятся:

• Компрометация. Получение чужих логинов, паролей и токенов, позволяющих пройти аутентификацию от имени другого пользователя.
• Фишинг и социальная инженерия. Обман пользователя с целью получить учетные сведения или убедить его выполнить действие в интересах злоумышленника.
• Эксплуатация уязвимостей. Использование ошибок в программном обеспечении или его настройках для обхода механизмов защиты.
• Применение вредоносного ПО. Использование программ, позволяющих получить контроль над устройством, похитить сведения или закрепиться в инфраструктуре.
• Использование избыточных прав. Обращение к файлам, базам и другим ресурсам, которые технически доступны пользователю, но не нужны ему для выполнения рабочих обязанностей.

Для организаций, которые работают с ПДн, важно заранее выстроить защиту с учетом требований законодательства и возможных последствий утечки. Понимание рисков, ответственности и необходимых мер помогает снизить вероятность нарушения и быстрее сориентироваться, если инцидент все же произойдет.

Снизьте риски утечки персональных данных. Получите презентацию о требованиях к защите ПДн, ответственности и внутреннем расследовании. Материал поможет понять, какие меры предусмотреть до инцидента и как действовать, если утечка все же произошла.

Скачать презентацию

Внутренние угрозы: сотрудники и инсайдеры

Внутренний нарушитель уже находится в корпоративной среде и имеет доступ к части ресурсов. Он знаком с рабочими процессами, знает, где находятся важные документы, и понимает, какие сведения могут представлять ценность. Поэтому неправомерный доступ к информации в таком сценарии не обязательно связан со взломом — сотрудник может выйти за пределы своих полномочий или использовать доступные ему данные не по назначению.

Причиной таких действий могут стать личная выгода, конфликт с работодателем, давление со стороны третьих лиц или подготовка к увольнению. Например, инсайдер может просматривать клиентские записи, которые не нужны ему для работы, заранее собирать документы, выгружать базы или передавать материалы за пределы компании. Если среди них есть сведения о физических лицах, последствием может стать утечка личных данных.

К признакам, которые могут потребовать дополнительной проверки, относятся:

• Обращение к документам и базам, не связанным с обязанностями сотрудника.
• Резкий рост объема выгружаемых данных.
• Работа с чувствительной информацией перед увольнением или сменой должности.
• Передача файлов новым внешним адресатам или перенос в личные хранилища.
• Попытки обойти установленные ограничения или использовать нехарактерные каналы передачи данных.

Внешние угрозы: хакерские атаки

Внешний злоумышленник изначально не имеет законных прав на использование корпоративных ресурсов, поэтому ему сначала необходимо проникнуть в инфраструктуру. Для этого могут использоваться похищенные учетные данные, фишинг, эксплуатация уязвимостей или вредоносное ПО. После успешного проникновения атакующий стремится закрепиться в системе, найти ценные сведения и при необходимости расширить свои возможности.

При этом неправомерный доступ к компьютерной информации не всегда выглядит как очевидная атака. Если злоумышленник использует действующую учетную запись сотрудника, его активность поначалу может напоминать обычную работу: вход в корпоративные сервисы, просмотр папок и обращение к внутренним ресурсам. Насторожить должна уже совокупность признаков: нетипичное время работы, обращение к незнакомым для пользователя системам, необычно интенсивный просмотр или копирование данных.

После проникновения атакующий может последовательно расширять свои возможности внутри инфраструктуры. В зависимости от сценария он может:

• Искать ценные корпоративные сведения и нужные ему ресурсы.
• Переходить между системами и получать дополнительные права.
• Собирать и подготавливать информацию к дальнейшей передаче.

Одним из последствий такой активности становится утечка персональных данных, коммерческой тайны или другой конфиденциальной информации. При этом между первоначальным проникновением и выводом сведений может пройти некоторое время, что усложняет выявление инцидента.

Внутренние и внешние угрозы развиваются по-разному, но после получения доступа действия нарушителей могут выглядеть похоже. В обоих случаях важно установить, кто фактически работал с данными, соответствовали ли действия полномочиям и что происходило с информацией дальше. Поэтому при анализе инцидента необходимо рассматривать не отдельный вход или обращение к файлу, а последовательность связанных событий.

Ответственность за неправомерный доступ и смежные нарушения

Статья 272 УК РФ предусматривает ответственность за неправомерный доступ к компьютерной информации, если он привел к уничтожению, блокированию, изменению или копированию охраняемых сведений. По части первой возможен штраф до 200 000 рублей или лишение свободы на срок до двух лет.

Для незаконных действий с компьютерной информацией, содержащей персональные данные, действует отдельная ст. 272.1 УК РФ. В зависимости от обстоятельств также могут применяться ст. 183 о коммерческой, налоговой и банковской тайне, ст. 273 о вредоносных программах, ст. 274 о нарушении правил эксплуатации информационных систем и сетей.

Последствия для бизнеса и репутации

Для компании неправомерный доступ к информации означает прежде всего потерю контроля над тем, кто работает с корпоративными сведениями. Даже если данные еще не вышли за пределы инфраструктуры, нарушитель может просматривать и копировать документы, изменять их или использовать в своих интересах. Чем позже обнаруживается такая активность, тем сложнее восстановить последовательность событий и определить реальный масштаб инцидента.

Если информация покидает корпоративный контур, последствия становятся серьезнее. Утечка данных может затронуть сведения о клиентах, партнерах или сотрудниках и потребовать внутреннего расследования, локализации инцидента и устранения его причин. В зависимости от характера скомпрометированной информации компании также приходится учитывать требования законодательства и возможную ответственность.

Не менее серьезными могут быть репутационные последствия. Компрометация корпоративных или клиентских данных подрывает доверие к компании и может осложнить отношения с заказчиками, партнерами и потенциальными контрагентами. В чувствительных отраслях такой инцидент способен повлиять на продление договоров, заключение новых сделок и готовность клиентов передавать организации сведения о себе.

Разрешенный вход не означает свободу действий

Наличие прав на вход в систему еще не означает, что любые действия пользователя допустимы. Полномочия должны соответствовать рабочим задачам, а операции с чувствительной информацией — оставаться контролируемыми. Это помогает замечать отклонения до того, как они перерастут в утечку или более серьезный инцидент.

Эксперты Solar Dozor

Как выявить и предотвратить неправомерный доступ

Службе безопасности важно сопоставлять входы в системы, обращения к файлам, действия на рабочих станциях и дальнейшее перемещение сведений. Только общий контекст позволяет отличить обычную рабочую активность от нарушения установленных правил.

Поводом для проверки могут стать изменения привычного поведения: обращение к новым ресурсам, работа с чувствительными сведениями в нетипичное время, отправка файлов новым внешним адресатам или попытки обойти ограничения. При большом числе пользователей и каналов передачи вручную сопоставлять такую активность становится трудоемко, а важные связи можно упустить.

Автоматизировать такой контроль и использовать его для предотвращения утечек информации в бизнесе помогают DLP-системы. В рамках такой защиты используются:

• Контроль каналов передачи. Отслеживаются корпоративные коммуникации и действия с информацией на рабочих станциях.
• Контентный и контекстный анализ. Учитываются содержимое сведений и обстоятельства их передачи.
• Контроль рабочих станций и хранилищ. Отслеживаются действия пользователей, а в хранилищах выявляются конфиденциальные сведения и нарушения правил их хранения.
• Реагирование. При нарушении заданных политик могут применяться предусмотренные системой меры.

Таким образом, защита доступа продолжается и после авторизации пользователя. Solar DozorDLP-система корпоративного класса для предотвращения утечек данных, корпоративного мошенничества, профилактики и расследования инцидентов. контролирует коммуникации и действия сотрудников, применяет контентный и контекстный анализ, работает с информацией в хранилищах и реагирует на нарушения политик. Накопленный контекст также помогает переходить от обнаружения подозрительной активности к расследованию инцидента.

Возьмите действия с корпоративными данными под контроль

Используйте Solar Dozor для контроля действий с корпоративными данными, предотвращения утечек, выявления подозрительной активности и расследования инцидентов.

Запросить консультацию

Роль DLP в защите и расследовании инцидентов

В Solar Dozor задачи контроля и анализа распределены между несколькими взаимосвязанными компонентами. Они помогают отслеживать действия пользователей, выявлять нетипичную активность, анализировать контекст событий и при необходимости переходить к полноценному расследованию.

Как Solar Dozor выявляет подозрительные действия

На рабочих станциях Endpoint Agent отслеживает действия сотрудников и при необходимости блокирует нежелательные операции, а также доступ к отдельным приложениям и устройствам. DCAPКласс решений для аудита прав доступа и контроля неструктурированных и полуструктурированных данных. предназначен для контроля информации в состоянии покоя и аудита прав доступа к ней. Модуль помогает определить, где хранится критическая или конфиденциальная информация, кто имеет к ней доступ, а также контролировать изменения структуры прав.

Отдельную роль играет поведенческий анализ. UBAТехнология анализа поведения пользователей для выявления нетипичных и подозрительных действий. анализирует коммуникации и рабочее поведение пользователей, формирует индивидуальные профили и выявляет нетипичные или подозрительные действия. В системе предусмотрено 20 поведенческих паттернов, среди которых, например, «Работа ночью» и «Признаки увольнения». Это позволяет обращать внимание не только на отдельное событие, но и на изменение привычной активности сотрудника.

Для более глубокого анализа используется Dozor Dossier. В нем специалист может получить информацию о сотруднике, включая:

• Сообщения, события и связанные с ним инциденты.
• Граф связей с другими пользователями.
• Сведения о подключаемых устройствах.
• Информацию о рабочем времени.

Универсальный плеер 4D дополняет этот контекст и отображает активность пользователя на таймлайне. Это помогает восстановить последовательность действий и понять, что происходило до, во время и после подозрительного события.

Расследование инцидентов с помощью DLP

Если признаки нарушения требуют дальнейшего разбора, расследование можно продолжить в Dozor Detective. Модуль позволяет создавать дела и расследовать инциденты, произошедшие как внутри, так и вне DLP-системы. Для дел предусмотрены защищенное хранилище с разграничением доступа, автоматическое создание отчетов и журналирование действий участников расследования.

Для ретроспективного анализа используется Long-Term Archive, предназначенный для долговременного хранения корпоративных коммуникаций. Благодаря этому неправомерный доступ к информации можно проверять не только по текущему срабатыванию, но и с учетом более ранних событий. Такой подход помогает восстановить последовательность действий пользователя и собрать связанные материалы в рамках одного расследования.

DLP помогает пройти путь от обнаружения подозрительной активности до подробного разбора инцидента. Система не определяет юридическую виновность человека, но дает службе безопасности сведения и инструменты, необходимые для проверки обстоятельств, анализа поведения пользователя и фиксации результатов расследования.

Защита информации требует постоянного контроля

В зависимости от ситуации нарушитель может использовать разные пути для получения или использования защищаемых сведений. К основным относятся:

• Использование похищенной или скомпрометированной учетной записи.
• Эксплуатация уязвимости в программном обеспечении или конфигурации.
• Использование избыточных полномочий.
• Действия сотрудника за пределами его рабочих обязанностей.

При этом одного контроля входа в корпоративные системы недостаточно. Не менее важно понимать, кто и как работает с защищаемыми сведениями, какие действия отличаются от обычных и что происходит с информацией дальше.

Поэтому защита должна охватывать не только предоставление прав, но и последующую работу пользователей с корпоративными ресурсами. Контроль каналов передачи, анализ содержимого и контекста, выявление нетипичного поведения и возможность восстановить цепочку событий позволяют быстрее разобраться в подозрительной ситуации и оценить ее последствия.

Solar Dozor объединяет эти задачи в единой DLP-системе: контролирует коммуникации пользователей, помогает предотвращать утечки, выявлять признаки внутренних угроз и проводить расследования. Благодаря сочетанию мониторинга, поведенческой аналитики и специализированных инструментов расследования служба безопасности получает возможность контролировать работу с корпоративной информацией на разных этапах — от обнаружения подозрительного действия до разбора уже произошедшего инцидента.

Часто задаваемые вопросы