IT-безопасность: стоит ли рисковать корпорацией? - Линда Маккарти

Даже если сотрудники компании проигнорировали ее политики и подключили незащищенные веб-серверы к Интернету, компания все равно остается ответственной за эти системы, которые могут быть использованы для запуска атак против других компаний. Атаки из систем таких беспечных владельцев происходят каждый день. Хакеры используют сотни и тысячи скомпрометированных систем для запуска атак против других систем и сетей. Не так давно при помощи атак по типу «отказа от обслуживания» были обрушены несколько высокопрофессиональных сайтов, таких, как сайты Yahoo, Inc. и EBay, Inc. В этих атаках серверы или сети «наводняются» бесполезным трафиком, и законные пользователи больше не могут получать доступа к их ресурсам. Подобные атаки все еще представляют значительную угрозу безопасности. Такие атаки демонстрируют, как хакеры могут использовать ваши машины для нападения на другие системы и сети.

Два года назад тинейджером, проживающим в Модесто, штат Калифорния, была предпринята атака, которая не получила широкой огласки. Он получил доступ к системам регулирования слива воды одной из канадских плотин. Правоохранительные органы успели его поймать до того, как он успел что-либо наделать, но что было бы, если им не удалось его схватить?

Представьте себе, что этот тинейджер, взломавший незащищенный веб-сервер, принадлежавший компании Fortune 500, и получивший доступ к системе слива канадской плотины, открыл бы ее и затопил населенные пункты ниже плотины, вызвав ущерб в миллионы долларов и гибель 300 жителей. Позвольте теперь сказать, что хотя правоохранительные органы и не всегда могут определить след, ведущий к такому тинейджеру, они все же способны выйти на след компании Fortune 500, которой принадлежит этот веб-сервер, использовавшийся для запуска атаки. При этом можно было бы задать такие вопросы:

1. Почему системы компании Fortune 500 оставались незащищенными и бесконтрольными, вследствие чего их можно было бы использовать для атаки против канадской плотины?

2. Почему канадская плотина была подключена к Интернету так, что взломщик мог бы, в конце концов, получить неавторизованный доступ к ее системе управления сливом?

3. Кто должен был бы понести ответственность за возможные последствия?

4. Являетесь ли вы членом правления или руководителем высшего уровня компании Fortune 500?

5. Понимает ли ваша команда юристов, что такое безопасность?

Сегодня незащищенные системы повсюду используются для атак на любые цели. Вашей обязанностью как руководителя является не допустить, чтобы эти системы оказались вашими. Также нельзя допускать атак, исходящих из сети партнера, которые могут быть приписаны вам. Убедитесь, что у вас имеются все надлежащие средства безопасности для обнаружения атаки и защиты сети. Директоры и должностные лица по закону должны охранять информационные фонды корпораций. В случае, если нарушение безопасности сети причиняет вред, владеющая ей организация и ее руководители могут подвергнуться судебному преследованию. Сегодня уже имеются реальные судебные дела.

В следующем разделе главы Дэн Дж. Лэнджин, юрист из Канзаса, обсуждает реальные правовые действия, связанные с ответственностью руководителей и нарушениями в обеспечении безопасности сетей.

Юридические обязанности по защите информации и сетей

Хотя гипотетическая ситуация с канадской плотиной покажется вам довольно необычной, возможность поиска виновных может оказаться не столь притянутой за уши. Когда вред личности причинен неустановленными третьими лицами (или неподсудными, например, неплатежеспособными лицами), то суд распространяет ответственность на другого, более платежеспособного, ответчика, чьи действия или бездействие сделали возможным причинение вреда потерпевшему этими третьими лицами с использованием имущества, принадлежащего ответчику. Первыми подобными случаями в судебной практике являются дела в отношении владельцев помещений. В этих случаях жертвы ограблений, хулиганства и других преступлений, совершенных в мотелях, квартирах или универмагах, подали иски на владельцев и менеджеров этих помещений за то, что они не обеспечили должную безопасность или не предупредили потерпевших о рисках, которым они подвергались, входя в эти помещения. В этих судебных процессах истцы преследуют представителей делового мира, чьи карманы значительно глубже и которых легче найти, чем преступника, совершившего преступление в отношении истцов. Общим аргументом на таких процессах для подтверждения судебной ответственности предпринимателей являлось то, что они были обязаны предотвратить причинение истцу вреда, так как присутствие преступников (и возможного вреда для потерпевшего) было предсказуемым.

Приведенные ниже примеры (процессы Exigent и С. I. Host) показывают, что истцы уже возбуждали иски против третьих сторон, чьи сети, после того как были скомпрометированы, были использованы для запуска атак против потерпевших. К сожалению, в сложившейся после 11 сентября ситуации вопрос «предсказуемости» приобрел новый смысл. В статье в New York Law Journal приводится большой перечень юридических лиц, против которых потерпевшие могут возбуждать иски, связанные с атаками террористов 11 сентября, при условии, если они отказались от своих прав на возмещение ущерба из Фонда компенсации жертвам 11 сентября 2001 года (September 11th Victim Compensation Fund of 2001):[57]

«Возможными ответчиками являются American Airlines и United Airlines и различные компании и организации, которые участвовали в обеспечении безопасности угнанных самолетов, компании Argenbright, Globe Aviation Services, Huntleigh USA Corp., Massport, администрация портов New York и New Jersey (которые приказали некоторым из сотрудников башен-близнецов вернуться за свои рабочие столы), администрация аэропортов New Jersey и Metropolitan Washington и правительство США за действия службы управления воздушным движением)».

Как замечает автор данной статьи, даже в создаваемых законом о фонде компенсации условиях неопределенности исхода процесса для истца при преследовании этих ответчиков, на время написания статьи был уже возбужден, по меньшей мере, один процесс против United Airlines.[58]

С позиции предсказуемости атаки хакеров (количество которых увеличивается с каждым годом) «дыры» в информационной безопасности могут вызывать для корпораций серьезные правовые проблемы, касающиеся претензий к третьей стороне, в результате действия или бездействия которой к ответственности могут быть привлечены директор или другое должностное лицо. Иски к третьей стороне могут подаваться на основании нарушений условий контрактов, нарушений законодательных актов, предписывающих принятие мер по защите информации, или на основании правовых понятий, таких, как халатность. Взыскание в полном объеме убытков по таким искам с третьей стороны (или прямых убытков имуществу компаний, если иски к третьей стороне не будут удовлетворены) может приводить к искам против должностных лиц и директоров компаний за невыполнение своих обязанностей, доверенных им корпорацией или акционерами.

Процессы, возбуждаемые из-за нарушений условий контракта, вероятнее всего, будут опираться на пункты контрактов, предусматривающие соблюдение конфиденциальности и обеспечение безопасности информации, которую компания получает от другой стороны, то есть клиента, поставщика или партнера по бизнесу. В действительности, все соглашения по оказанию услуг, поставок программного обеспечения, экономическому объединению, совместным предприятиям и по неразглашению информации содержат пункты, касающиеся соблюдения конфиденциальности. Эти пункты требуют от каждой стороны защищать совместно используемую информацию и оговаривают, что в случае несоблюдения этого условия одной из сторон другая сторона освобождается от ответственности за убытки, причиненные таким нарушением договора. Если неразборчивая в средствах третья сторона получит доступ к конфиденциальной информации другой стороны, переданной стороне-получателю, то сторона-получатель, хранящая информацию в электронном виде и не обеспечившая ее должную защиту, несет за это ответственность. Например, если компания А передает секретную формулу или проект компании В по соглашению о совместном предприятии, в котором содержится пункт о конфиденциальности, то компания В несет ответственность перед компанией А в случае, если третья сторона взломает сеть компании В и обнаружит (или украдет) секретную формулу или проект компании А.

Хотя такие пункты контрактов были изобретены еще в дни, когда конфиденциальная информация передавалась в бумажном виде и хранилась в запертых шкафах, они важны и для наших дней, когда все больше конфиденциальной информации предается и хранится в электронном виде. В условиях, когда электронный «взлом» может быть сделан более скрытно и требовать меньше усилий, чем взлом физический, сегодня записи с конфиденциальной информацией подвергаются большему риску, чем в прошлом.