| Автор: Ирина ОСТРОУХОВА, директор по работе с партнерами в России и СНГ RecFaces | |
Защищай и властвуй: почему современным компаниям пора переходить на биометрическую идентификацию | |
 В эпоху цифровизации для большинства компаний на первый план выходит проблема обеспечения информационной безопасности. Уровень киберпреступности в мире постоянно растет. С каждым годом злоумышленники изобретают все более изощренные способы мошенничества. По прогнозам Cybersecurity Ventures к 2025 году глобальный ущерб от киберпреступлений достигнет ,5 трлн. В поисках надежного инструмента защиты корпоративных ресурсов бизнес все чаще обращается к биометрическим технологиям. Какие пробелы в безопасности компании способна закрыть биометрия, и какие риски несет отказ от перехода на биометрические методы идентификации и аутентификации? ПРЕДПОСЫЛКИ ДЛЯ ВНЕДРЕНИЯ БИОМЕТРИИ В СИСТЕМЫ ИНФОРМАЦИОННОЙ И ФИЗИЧЕСКОЙ БЕЗОПАСНОСТИ КОМПАНИЙ Повсеместная цифровизация Пандемия коронавируса дала мощный стимул для повсеместного перехода к цифровым данным. Сегодня любая компания производит и потребляет беспрецедентно огромные объемы цифровой информации. Активно расширяется и сфера обращения электронной документации. В том числе, с применением современного программного обеспечения, такого как биометрическое решение Id-Logon от компании RecFaces. Программный продукт предназначен для обеспечения беспарольной проверки прав
доступа сотрудников на основе биометрической идентификации и аутентификации.
Веб-камера на стационарном компьютере или мобильном устройстве детектирует лицо
человека, а затем проверяет его на соответствие с биометрическими шаблонами из базы
профилей сотрудников. При успешной аутентификации человек получает право доступа
к корпоративной системе. При попытке авторизации за компьютером «постороннего
лица» доступ не предоставляется.
Информационная безопасность не существует сама по себе, она всегда работает в связке
с физической безопасностью компании. Защита физического периметра и обеспечение
контроля доступа также важны. Несанкционированное проникновение на территорию
офиса или предприятия несет риски кражи важной информации.
Злоумышленники не только усиливают свою активность, но и смещают ее
вектор в сторону атак на системы идентификации пользователей и управления
доступом к корпоративным ресурсам (Identity & Access Management, IAM).
Несовершенство популярных идентификаторов (паролей, ПИН-кодов, электронных токенов) делает этот элемент системы информационной безопасности
наиболее привлекательным для хакеров.
По мере цифровизации растет и количество информационных систем, используемых сотрудниками компаний. Разнообразные корпоративные ресурсы, рабочие программы, электронная почта, корпоративные чаты – чем больше их в рабочей рутине пользователя, тем больше паролей требуется запоминать. В результате сотрудники часто игнорируют базовые требования к информационной безопасности и используют один пароль для доступа к разным ресурсам. Пароли хранят прямо рядом с рабочими компьютерами и легко делятся ими с
коллегами. Таким образом, завладев одним паролем, злоумышленники могут
получить доступ сразу к нескольким системам. Применение биометрической
аутентификации дает комплексное решение проблемы. Сотрудникам больше
не нужно придумывать и запоминать огромное количество паролей, а руководству — беспокоиться о рисках, которые несет для компании несоблюдение
персоналом требований информационной безопасности.
Чем более разветвленной и сложной становится система IAM, тем больше
ресурсов требуется для поддержки ее работы. Так, по оценкам Gartner Group
смена паролей и разблокировка рабочих аккаунтов ежегодно оценивается в
0 на человека.
Человек – самое уязвимое место в любой стратегии. Человеческий фактор может свести на нет даже самую строгую политику безопасности. Особенно если в компании практикуют формат удаленной или гибридной работы. По данным компании Iron Mountain Incorporated 36% сотрудников при работе из дома меньше заботятся о соблюдении правил информационной безопасности. Об этом свидетельствуют данные социологического опроса среди 11 тысяч сотрудников компаний в 10 странах Европы. В офисе придерживаться установленных стандартов тоже стараются далеко не все. Так, 34% респондентов признались, что используют один и тот же пароль для разных сайтов и систем. 27% игнорируют требование блокировки компьютера или ноутбука, когда покидают свое рабочее место. 14% и вовсе хранят пароли записанными на бумажке на рабочем столе. При этом 25% респондентов становились жертвами фишинга или кибермошенничества. Беспечность сотрудников ставит под вопрос надежность системы паролей в качестве основного инструмента информационной безопасности. Проблема особенно актуальна для финансового сектора, энергетического комплекса, ритейла, IT и индустрии телекоммуникаций. Эксперты отмечают, что сегодня хакерские атаки на корпоративные сети все чаще нацелены на приложения и сервисы внешнего периметра. Начало этой тенденции положила пандемия. Еще в 2020 году от ненадежных паролей в основном страдали приложения, находящиеся в границах внутреннего периметра. Однако после перехода на удаленный формат работы сотрудники получили право удаленного доступа к корпоративным сетям. В результате самым уязвимым звеном защиты оказались сервисы на домашних компьютерах сотрудников: электронная почта, корпоративные порталы, личные кабинеты. Кроме того, для атак на внешний периметр злоумышленники используют корпоративные системы обучения и управления проектами, рекламные кабинеты и даже рабочие чаты. Не меньшую угрозу для безопасности компании представляют так называемые
инсайдеры — сотрудники предприятия, которые пользуются правом прямого доступа к системе для различных мошеннических действий
или передают ключи доступа третьим лицам.
Глобальный ущерб от кибератак ежегодно исчисляется миллиардами долларов. Рассмотрим наиболее популярные виды
интернет-мошенничества и их опасность для бизнеса.
По данным консалтинговой компании Accenture на программы-вымогатели в 2021 году пришлось 35% от всех кибератак
в мире. По сравнению с предыдущим годом этот показатель
вырос на 107%. Такие атаки опасны полной потерей доступа к
корпоративной сети, блокировкой операций, компрометацией
данных, внушительными финансовыми и репутационными потерями. Чаще всего хакеры используют электронные письма
с вредоносными ссылками или вложениями, которые рассылают сотрудникам компании.
Логистические цепочки постоянно усложняются, при этом
контролировать связанные с ними потоки данных становится
все труднее. Этот сегмент может выступать мишенью, как
для целенаправленных, так и для опосредованных атак. Например, с целью промышленного шпионажа, заражения ПО
или криптоджекинга – нелегального использования чужих
устройств для скрытого майнинга. По последним данным сбои
в функционировании цепочек поставок в среднем обходятся
крупным компаниям в 4 млн в год.
Концепция безопасности Zero Trust строится на принципе «нулевого уровня доверия» к сотрудникам. Это касается и сотрудников службы безопасности, как действующих, так и, например, бывших. Никогда нельзя исключать риски преступного сговора или других злоупотреблений со стороны службы безопасности. Эффективным инструментом контроля над действиями сотрудников этой категории также может выступать биометрия – как в информационных системах, так и в системах видеонаблюдения и СКУД. | |
Кража корпоративной информации и сливы баз данных 2022 год уже успел отметиться небывало высоким числом краж корпоративной информации. Вместе с тем в даркнете набирает популярность торговля
украденными данными. За сравнительно невысокую цену хакеры могут
приобрести все необходимое для проникновения в корпоративную систему:
пароли, логины, файлы cookies и другую информацию. Кроме того, здесь
мы снова сталкиваемся с проблемой инсайдеров, действия которых несут
угрозу безопасности компании. Инсайдерские угрозы — это пользователи,
имеющие законный доступ к активам компании, которые используют этот
доступ, злонамеренно или непреднамеренно, чтобы нанести вред бизнесу.
Инсайдерские угрозы могут исходить не только от нынешних, но и бывших
сотрудников, подрядчиков или партнеров, которые имеют доступ к системам
организации или конфиденциальной информации. Так, по данным портала
Security Intelligence 40% инсайдерских инцидентов связаны с сотрудниками,
имеющими привилегированный доступ к активам компании, а глобальный
отчет 2022 Cost of Insider Threats Global Report показывает, что за последние
два года количество инцидентов с инсайдерскими угрозами выросло на 44%,
а затраты на один инцидент выросли более чем на треть и составили 15,38
миллиона долларов.
В поисках решения проблемы информационной безопасности многие компании прибегают к модели облачных вычислений (Cloud Computing). С одной
стороны, она считается более надежной, но с другой – инфраструктура публичных облаков сама подвергается кибератакам. В том числе ее используют
для криптоджекинга. Кроме того, по мнению экспертов до 99% облачных
ресурсов предоставляют пользователям чрезмерные разрешения, что также
несет значительную угрозу для компрометации данных. Поэтому при работе
с ними необходимо уделять внимание настройкам систем управления идентификацией и доступом.
Принято считать, что главная задача биометрии – обеспечение физической
безопасности. Однако в мире, где данные часто становятся главной ценностью,
биометрические системы становятся эффективным инструментом поддержания информационной безопасности. Уже сегодня рынок предлагает программные решения, которые дают компании возможность внедрить беспарольную
проверку прав доступа сотрудников на основе биометрической идентификации
и аутентификации. Веб-камера на стационарном компьютере или мобильном
устройстве детектирует лицо человека, а затем проверяет его на соответствие
с биометрическими шаблонами из базы профилей сотрудников. При успешной
аутентификации человек получает право доступа к корпоративной системе.
При попытке авторизации за компьютером «постороннего лица» доступ не
предоставляется.
В отличие от пароля, кода или токена, биометрию невозможно похитить, подобрать, записать на бумажке или забыть у рабочего компьютера. Биометрические данные неотчуждаемы – они всегда находятся при самом человеке. Таким образом, переход на биометрическую аутентификацию полностью
решает проблему компрометации паролей. Такой метод исключает и возможность удаленного взлома системы. Даже зная пароль, хакер не сможет
проникнуть в корпоративную систему, если на устройствах настроена двухфакторная аутентификация «пароль + биометрия».
Внедрение биометрической аутентификации позволяет организовать работу по модели единого доступа (Single Sign-On, SSO). В зависимости от настроек политики безопасности
сотрудник может использовать свои биометрические данные
не только для получения доступа к общей корпоративной сети,
но и для других рабочих ресурсов и программ.
Биометрическая аутентификация удобна и для самих
сотрудников. Вход в систему «по лицу» избавляет их от необходимости постоянно запоминать новые сложные пароли
или держать при себе токен. Проверка не занимает много
времени – на распознавание человека у системы уходит меньше 1,5 секунды.
Программные решения для биометрической аутентификации дают широкие возможности для гибких настроек в зависимости от требований политики информационной безопасности компании. Например, с их помощью можно активировать функцию фоновой проверки наличия сотрудника на рабочем месте. Если в какой-то момент система не обнаружит человека за компьютером, она автоматически увеличит частоту проверок, а затем и вовсе заблокирует устройство. Фоновые проверки также позволяют исключить доступ к устройству третьих лиц. Зафиксировав у монитора «чужака», система сразу же уведомит о нарушении сотрудников отдела информационной безопасности. При необходимости в этот сценарий работы программы можно включить и блокировку доступа ко всем корпоративным информационным ресурсам. Программное решение предусматривает гибкие настройки
сценариев использования устройства. Например, можно дать
право доступа к одному и тому же компьютеру нескольким
сотрудникам или, наоборот, внедрить функцию блокировки
устройства при нахождении у монитора двух и более человек. Наконец, система позволяет внедрить дополнительное подтверждение личности сотрудника перед совершением
важных операций, например, банковских переводов. Факты
таких аутентификаций сохраняются в специальном архиве
подтверждений. Благодаря этому руководство может проверить, кто из сотрудников и когда выполнил ту или иную операцию.
При переходе на модель биометрической идентификации
необязательно отказываться от традиционных методов
проверки. Для доступа к особо важным ресурсам или проведения значимых операций можно настроить многофакторную
аутентификацию пользователей: «лицо + пароль», «лицо +ПИН-код» и т. д.
Современные биометрические программы надежно защищены от несанкционированного доступа с помощью фото или
видео человека из базы данных сотрудников. Для борьбы с
компрометацией в системах применяют алгоритмы Liveness, позволяющие удостовериться, что аутентификацию проходит
реальный человек с правом доступа.
Биометрическую идентификацию можно настроить не только
на служебных или домашних стационарных компьютерах
сотрудников, но и на мобильных устройствах. Это особенно
удобно для компаний с удаленным или гибридным режимом
работы.
Аутентификацию «по лицу» в информационных системах
можно использовать в связке с другими биометрическими
продуктами: для СКУД, видеонаблюдения, систем бесконтактной оплаты и т. д. Такая модель позволяет реализовать
концепцию единого «умного» пространства, что делает ее
интересной для офисов компаний и современных бизнес-центров, уделяющих внимание комплексному развитию
IT-инфраструктуры.
Обеспечение информационной безопасности является одной из первостепенных задач для современных компаний вне зависимости от того, какую отрасль они представляют. Количество кибератак на корпоративные ресурсы с каждым годом увеличивается в десятки раз, а суммы ущерба от действий злоумышленников исчисляются шестизначными цифрами. При реализации стратегии информационной безопасности особое внимание следует уделить минимизации негативных последствий влияния ее самого слабого звена – человеческого фактора. Пока сотрудники случайно или намеренно продолжают компрометировать пароли, информационные системы компании никогда не будут достаточно защищены. Разорвать этот порочный круг поможет изменение самого подхода к аутентификации. Наравне с обеспечением кибербезопасности критическое значение имеет и физическая безопасность. В том числе, это важно для своевременного выявления попыток компрометации системы со стороны сотрудников. Биометрическая идентификация сегодня является наиболее надежной альтернативой системе паролей. Биометрию человека невозможно забыть или похитить, а значит, вероятность атаки на корпоративную сеть с помощью раскрытых паролей от учетных записей сотрудников сводится к нулю. Программные биометрические решения дают дополнительные возможности для настроек аутентификации и реализации различных сценариев использования. Для действий, требующих особого уровня защиты, биометрию можно комбинировать с другими факторами идентификации: паролями, кодами и т. д. Наибольшей эффективности можно добиться с помощью комплексного подхода к внедрению биометрических технологий: не только для обеспечения информационной безопасности, но и для решения других задач компании. | |
Внимание! Копирование материалов, размещенных на данном сайте допускается только со ссылкой на ресурс http://www.tzmagazine.ru |
