В наше время понимание важности защиты информации, а также необходимости четкого фиксирования соответствующих процедур защиты во внутренних правилах или положениях компаний зачастую приходит слишком поздно. Ниже пойдет речь как раз о такой ситуации.
Что известно о крупных кражах с банковских счетов через Интернет? В памяти всплывают картинки из фильмов с хакерами, гениальными ворами и сложными системами защиты. Но порой все бывает достаточно банально. Именно таким образом была похищена сумма в несколько миллионов долларов со счета одной из региональных компаний. Деньги, вырученные от крупной поставки продукции, пропали со счета сразу после того, как были туда зачислены.
Расследование и анализ происшедшего показали следующую последовательность событий.
У злоумышленников, организовавших схему, был доступ, через одного из сотрудников компании, к компьютеру, с которого обычно осуществлялись операции в системе клиент-банк. Проведав об ожидаемой оплате по сделке, они зарегистрировали в другом городе фирму на подставное лицо, открыли в банке на эту фирму счет и заказали в нем сумму денег, аналогичную по размеру той, которая ожидалась в результате сделки.
Сразу после зачисления денег на счет пострадавшей компании, ее система клиент-банк на короткое время «подвисла» и перестала работать, а когда проблема исчезла то оказалось что вместе с ней пропала и вся сумма, зачисленная ранее – она перетекла на счет подставной фирмы по липовому контракту, доверенное лицо которой тут же сняло заранее заказанную наличность в банке, после чего злоумышленники скрылись.
Пострадавшая компания обратилась в милицию и в настоящий момент находится в состоянии подготовки судебного процесса с банком, но перспективы нахождения преступников и возврата похищенных средств не самые радужные. Самым сложным в данном случае является сбор доказательной базы, поскольку пока еще не многие следователи, ведущие подобные дела, могут качественно оценить нужные улики, а суд в результате дать оценки таким доказательствам.
В действительности подобные истории не редки и, возможно, кто-то из читателей слышал о подобных ограблениях.
Что же стало причиной упомянутого случая, и, какие можно дать рекомендации, чтобы минимизировать риски его повторения?
Главной причиной стал человеческий фактор и халатность – ключевая информация для доступа к системе клиент-банк находилась не в сейфе, а в памяти компьютера, с которого обычно бухгалтер и другие доверенные лица осуществляли расчетные операции. А сам компьютер был подключен к корпоративной сети и кроме антивируса не был ничем защищен. На компьютер установили программу шпион, которая отследила комбинацию нажатых клавиш, при введении пароля, после чего все остальные шаги были делом техники.
Чтобы минимизировать риски повторения аналогичной ситуации целесообразно принять к вниманию вышесказанное и выполнять нехитрые рекомендации:
Кроме этого целесообразно формализовать приведенные выше рекомендации в отдельном внутреннем положении, с которым под подпись должны ознакомиться все сотрудники, потенциально имеющие доступ к системе платежей. Таким образом риск утечки информации, а также сопутствующих финансовых потерь, порой довольно серьезных, может быть минимизирован.
P.S. Возможно кому-то может показаться странным, что тема информационной безопасности поднимается юристом, который при этом еще и берется давать рекомендации по минимизации возможных рисков. Ведь есть же пословица «каждый сверчок должен знать свой шесток».
На это могу возразить, что как показывает практика, сфера информационной безопасности порой весьма тесно пересекается с юридической практикой. К примеру, помощь юриста может быть весьма полезна для грамотной фиксации правил хранения информации во внутренних положениях компании и других обязательных для сотрудников нормативных документах. Также, как и в решении проблем, в том числе судебных, связанных с утечками информации и соответствующими финансовыми потерями.