Семинары

Семинар 4. Кейс-стади: рекрутинговый гигант против хакеров

Цель занятия

• Ознакомиться с разделом "Описание ситуации"
• Предложить свои варианты поведения компании, которые позволили бы ей вернуть репутацию и не отпугнуть новых / удержать существующих клиентов:
  • С сайтов компании в США, который подверглись атаке;
  • С сайтов компании в других регионах.
• Поэтапно разобрать поведение компании в описанной ситуации, описанное в разделе "Предпринятые меры" и оценить правильность каждого из шагов
• Прокомментировать текст обращения к пользователям сайтов, оценить его стиль, адекватность ситуации и степень достижения поставленной цели

Описание ситуации

Shock.com представляет собой один из наиболее популярных Интернет-ресурсов для работодателей и соискателей. Компания Shock Worldwide была основана в 1994 году и стала первым Интернет сайтом для поиска работы и персонала и 454-м по счету коммерческим сайтом в мире. Помощь по поиску работы и найму сервис Shock предлагает в двадцати странах, в том числе и в России. Работодатели, которые пользуются сайтом Shock Россия, имеют возможность не только размещать объявления о вакансиях в реальном времени, но производить поиск кандидатов по базе данных резюме, а также осуществлять их предварительный отбор, по мере появления откликов. Сайтом Shock Россия пользуется множество различных организаций - от маленьких фирм до больших корпораций. Тысячи людей посещают сайт Shock Россия ежедневно, а список доступных вакансий постоянно обновляется. Соискатели приходят на сайт за советами по составлению резюме, поиску работы, прохождению собеседования и множеством другой полезной информации по развитию карьеры. Они могут разместить на сайте несколько версий своих резюме, добавить к ним фотографию, создавать сопроводительные письма, автоматизировать поиск вакансий и мгновенно откликаться на них.

18 и 19 августа 2007 г. была зафиксирована попытка взлома системы безопасности американского сайта Shock.com. Накануне сообщалось о вредоносной программе, называемой Infostealer, которую использовали для сбора данных учетных записей легальных клиентов Shock. Также поступала информация о том, что эти данные задействовали для доступа к базе данных Shock c целью просмотра опубликованных резюме. В результате атаки на сайт крупнейшего в мире онлайн-рекрутера не было выявлено ни одного случая утечки в открытый доступ персональной информации о пользователях Shock. На российском сайте компании ShockRussia.ru и ее базе данных атака хакеров никак не отразилась.

Предпринятые меры

• Было опубликовано открытое заявление вице-президента Shock Emerging Markets: "В прессе появилась информация о том, что речь идет об утечке персональной информации о соискателях. Мы не зафиксировали ни одного случая подобного воровства. Информация, взятая с сайта Shock, не отличается от той, что представлена в любой телефонной книге США - то есть общедоступные контактные данные… Я могу с уверенностью сказать, что будут приняты и уже принимаются все возможные меры, которые позволят исключить утечки частной информации с серверов Shock в США".
• По заявлению вице-президента, в целях минимизировать последствия атаки была приостановлена работа учетных записей, используемых в сомнительных целях
• На сайтах компании, в т.ч. российском, было опубликовано "Уведомление о безопасности" за подписью президента и председателя правления Shock Worldwide, где описывалась история атаки, предпринятые меры и инициативы компании, направленные на предотвращение возникновения подобной ситуации в дальнейшем. (см. текст обращения в Приложении)
• На сайтах компании, в т.ч. российском, появился большой раздел, направленный на то, чтобы позволить пользователям узнать больше о безопасном использовании Интернета. В новом разделе быларазмещена информация о различных схемах мошенничества в сети и мерах противодействия им.
• Компания проинформировала тех соискателей, чья контактная информация была незаконно загружена, а, кроме того, заблокировала сервер мошенника, укравшего эти данные.
• Регулярно команда Shock проводит встречи за круглым столом со специалистами по ИТ-безопасности из государственного и частного сектора, на которых участники обмениваются опытом сопротивления хакерам и вырабатывают единую стратегию реагирования на подобные атаки. Подобное взаимодействия государства и бизнеса, в том числе и электронного, позволяет совместно решать актуальные проблемы информационной безопасности, хранения и использования информации в глобальной сети

Краткие итоги

Участники семинара систематизировали знания о мерах по обеспечению информационной безопасности, а именно:

• На конкретном примере оценили риски и угрозы, связанные с человеческим фактором в информационной безопасности;
• Овладели навыками оценки соотношения ценности информации к ценности системы защиты, определение целесообразной и рациональной системы защиты информации в конкретных условиях;
• Развили навыки поиска решений проблем информационной безопасности, сопряженных с человеческим фактором ;
• Приобрели опыт профилактической и предупреждающей деятельности по отношению к информационным угрозам

Приложение. Уведомление о безопасности

Уважаемые пользователи сайта Shock,

Защита соискателей, которые пользуются нашим сайтом, является приоритетом нашей компании, и мы ценим ваше доверие к Shock. К сожалению, преступники все чаще используют Интернет в незаконных целях, и как и многие другие компании, поддерживающие огромные базы данных, сайты Shock время от времени подвергаются попыткам незаконного извлечения информации из наших баз.

Вам может быть известно, что недавно сайт Shock стал мишенью деятельности преступников, направленной на незаконное извлечение из нее такой информации как имен и адресов пользователей, их телефонов и адресов электронной почты. Компания Shock немедленно отреагировала на этот инцидент, проведя всестороннюю проверку внутренних процессов и процедур, проинформировав тех соискателей, чья контактная информация была незаконно загружена, а, кроме того, заблокировав сервер мошенника, укравшего эти данные. При этом у нас нет оснований полагать, что опасности были подвергнуты такие критические данные как номера кредитных карт.

К сожалению, эта попытка не является единичным инцидентом, поэтому мы считаем необходимым предупредить всех пользователей нашего сайта об этой проблеме. Помните, что незаконно загруженные контактные данные могут использоваться в рассылке мошеннических электронных писем, цель которых - "выудить" финансовую информацию или втянуть пользователей в мошеннические сделки, что уже неоднократно случалось с пользователями других сайтов.

Мы также хотели бы сообщить вам о мерах, которые вы можете предпринять, чтобы защитить себя от действий Интернет мошенников. Так как ни одна компания не может полностью предотвратить нелегальный доступ к данным своих пользователей, мы полагаем, что, обращаясь к вам напрямую, мы поможем вам защититься от злоумышленников, которые организовали атаки на сайт Shock и другие базы данных.

Мы намерены поддерживать дальнейший диалог со всеми нашими пользователями о безопасности в Интернете, и о том, какие меры компания Shock предпринимает, чтобы защитить их. На нашем сайте мы разместили информацию о различных схемах мошенничества в сети и мерах противодействия им. Вы найдете ее на странице http://help.shock.com/besafe/.

Помимо этого, компания Shock запустила целый ряд инициатив, которые направлены на защиту сохранности предоставляемых вами сведений. Некоторые из этих мер уже осуществляются, а другие будут реализованы уже в ближайшее время.

Мы полагаем, что эти действия являются важным шагом по направлению к вашему доверию. Также, чтобы обеспечить безопасный и эффективный поиск работы онлайн, мы работаем с сотнями тысяч наших клиентов работодателей. В дальнейшем, мы продолжим информировать вас о всех изменениях на нашем сайте, которые направлены на то, чтобы оставаться надежным партнером в деле развития вашей карьеры. Мы предлагаем вам узнать больше о безопасном использовании Интернета.

С уважением,

Президент и председатель правления Shock Worldwide