ECM-аспекты. S01E01. Безопасность. P01. Ксероксы-шпионы

Начинаю новый сериал – «ECM-аспекты». На этот раз без отдельного поста-анонса – сразу с первого эпизода, «Безопасность». Хотя, внимательные читатели, разбирающиеся в тематике ECM, могут заметить, что, на самом деле, про различные аспекты главной темы моего блога – Enterprise Content Management – я написал уже достаточно много. Ведь уже было и про стандарты, и про E-Discovery, и про «войну форматов». Да, все так. Но все названные темы достаточно «сериабельны» сами по себе, т.е., каждая из них вполне «тянет» на самостоятельный сериал. А в «ECM-аспектах» я планирую писать более «узко», что ли. Т.е. буду рассматривать темы, достаточно объемные сами по себе, но сознательно сужая обзор только до ECM-применимости каждой из них.

Вот тема «Безопасность», с которой я начинаю сериал - лучший пример для объяснения моего подхода. Сама тема (имеется в виду, конечно, ИТ-безопасность) широка и практически неохватываема в рамках одного блога. Но я буду смотреть не на ИТ-безопасность вообще, а только на те ее проявления, которые связаны с электронной информацией и документами – как нужно правильно хранить документы и работать с ними, как управлять доступом к документам, какие риски в плане безопасности порождает электронная форма документов и т.п. Ну, собственно, на этом с вступлением-анонсом заканчиваю, и приступаю к сюжету.

А сюжет, надо сказать, прекрасный. И главное – не оторванный от реалий нашей здешней, «не-забугорной», жизни, а вполне себе близкий и понятный каждому офисному работнику. Итак…

Вот это видео я нашел на сайте CBS News. Для тех, кто не слишком силен в английском (или кому просто лениво смотреть все от начала до конца), ниже я коротко пересказываю суть.

В этом году исполняется 50 лет старому доброму копировальному аппарату, который в наших офисах, независимо от конкретного производителя, зовется ксероксом. И кто бы мог подумать, что этот, хорошо знакомый всем вид офисного оборудования, может в наши дни представлять серьезную угрозу информационной безопасности, быть источником утечки конфиденциальных документов и персональных данных? И все это – без злого умысла инсайдеров или внешних злоумышленников. Просто – из-за незнакомства персонала с некоторыми конструктивными особенностями современных копиров.

Дело в том, что начиная с 2002 года, практически все модели цифровых копиров и мультифункциональных устройств (МФУ) оборудуются жесткими дисками, на которые записываются (в специальном, но легко раскрываемом с помощью специального же софта, формате) образы всех скопированных, отправленных/принятых по факсу или электронной почте и распечатанных страниц документов.

Корреспонденты CBS News провели небольшой журналистский эксперимент. Вместе с экспертом компании Digital Copier Security они отправились на склад в Нью-Джерси, где хранится более 6 тысяч списанных, но исправных копиров, которые можно приобрести за весьма умеренную цену (один из 25-ти подобных складов, разбросанных по всей территории США). Эксперт отобрал для покупки и дальнейшего эксперимента 4 копира, ориентируясь исключительно на цену аппаратов и показания счетчика обработанных страниц. Каждый из копиров обошелся примерно в 300 долларов.

Для того, чтобы получить доступ к конфиденциальной информации, один из копиров не понадобилось даже включать – на рабочем стекле аппарата так и остались лежать документы, копировавшиеся во время последнего рабочего сеанса. Это были материалы полицейского подразделения, занимающегося преступлениями в сексуальной сфере, из Буффало, шт. Нью-Йорк (Buffalo, N.Y., Police Sex Crimes Division).

В течение 30-ти минут жесткие диски со всех 4-х копиров были демонтированы. Еще 12 часов ушло на то, чтобы с помощью специальной следственной (forensic) программы, свободно доступной в интернете (так утверждается в сюжете CBS News – А.Б.), начать получать с дисков десятки тысяч страниц документов. Результаты были ошеломляющие:

¨        На аппарате, отработавшем в «сексуальном» подразделении полиции Буффало, обнаружились многочисленные заявления о домашнем насилии, а также списки разыскиваемых насильников и сексуальных маньяков.

¨        На другом аппарате, также из полиции Буффало, но из другого подразделения - по борьбе с наркотиками, был обнаружен список подозреваемых, планируемых к задержанию в ходе крупного антинаркотического рейда.

¨        На третьем аппарате, ранее эксплуатировавшемся в одной из строительных компаний Нью-Йорка, были найдены планы зданий, которое должно было быть построено вблизи печально известного «Ground Zero» на Манхэттене, 95 страниц зарплатных ведомостей, содержавших имена, адреса и номера социальной защиты работников, а также копии чеков на сумму в 40 тысяч долларов.

¨        Наиболее шокирующие материалы были получены с четвертого аппарата, поступившего из офиса Affinity Health Plan, нью-йоркской страховой компании, - 300 страниц индивидуальных медицинских записей. Они включали все – от содержимого выписанных рецептов до результатов анализов крови и онкологических диагнозов.

Полицейский департамент Буффало и нью-йоркская строительная компания отказались дать журналистам CBS News какие-либо комментарии в связи с результатами эксперимента. Что касается страховой компании Affinity Health Plan, то она выпустила специальное заявление, в котором говорилось: «Мы предпринимаем все необходимые шаги, чтобы быть уверенными, что никакая персональная информация наших клиентов не осталась на других ранее использованных копировальных аппаратах и что никакая персональная информация не будет непреднамеренно раскрыта в будущем».

В день, когда журналисты и эксперт посетили склад в Нью-Джерси, два грузовых контейнера, полностью упакованные отслужившими свое копировальными аппаратами, были отправлены с этого склада в порт – для дальнейшей доставки неизвестным покупателям где-нибудь в Аргентине или Сингапуре…