Защищай и властвуй: почему современным компаниям пора переходить на биометрическую идентификацию

С каждым годом злоумышленники изобретают все более изощренные способы мошенничества. По прогнозам Cybersecurity Ventures, к 2025 году глобальный ущерб от киберпреступлений достигнет $10,5 трлн. В поисках надежного инструмента защиты корпоративных ресурсов бизнес все чаще обращается к биометрическим технологиям. Какие пробелы в безопасности компании способна закрыть биометрия, и какие риски несет отказ от перехода на биометрические методы идентификации и аутентификации? Разбираемся с командой РекФэйсис.

Содержание

Предпосылки для внедрения биометрии в системы информационной и физической безопасности компаний

Повсеместная цифровизация

Укрепление связи между физической и информационной безопасностью

Рост числа атак на системы идентификации

Больше информационных систем — меньше паролей

Рост расходов на обслуживание систем аутентификации

Человек как главная уязвимость

Основные угрозы

Программы-вымогатели

Атаки на логистические цепочки

Злоупотребления со стороны сотрудников

Кража корпоративной информации и сливы баз данных

Атаки на облачные сервисы

Биометрическая аутентификация — современный инструмент обеспечения информационной безопасности

Преимущества биометрической аутентификации

Неотчуждаемость биометрических данных

Возможность реализации технологии единого доступа

Удобство для сотрудников

Гибкие настройки для большей безопасности

Двухфакторная аутентификация

Защита от незаконного проникновения в систему

Установка на разные типы мобильных устройств

Возможность применения в связке с другими биометрическими продуктами

Вместо резюме:

Предпосылки для внедрения биометрии в системы информационной и физической безопасности компаний

Повсеместная цифровизация

Пандемия коронавируса дала мощный стимул для повсеместного перехода к цифровым данным. Сегодня любая компания производит и потребляет беспрецедентно огромные объемы цифровой информации. Активно расширяется и сфера обращения электронной документации. В том числе с применением современного программного обеспечения, такого как биометрического решение Id-Logon от компании РекФэйсис. Программный продукт предназначен для обеспечения беспарольной проверки прав доступа сотрудников на основе биометрической идентификации и аутентификации. Веб-камера на стационарном компьютере или мобильном устройстве детектирует лицо человека, а затем проверяет его на соответствие с биометрическими шаблонами из базы профилей сотрудников. При успешной аутентификации человек получает право доступа к корпоративной системе. При попытке авторизации за компьютером «постороннего лица» доступ не предоставляется.

Укрепление связи между физической и информационной безопасностью

Информационная безопасность не существует сама по себе, она всегда работает в связке с физической безопасностью компании. Защита физического периметра и обеспечение контроля доступа также важны. Несанкционированное проникновение на территорию офиса или предприятия несет риски кражи важной информации.

Рост числа атак на системы идентификации

Злоумышленники не только усиливают свою активность, но и смещают ее вектор в сторону атак на системы идентификации пользователей и управления доступом к корпоративным ресурсам (Identity & Access Management, IAM). Несовершенство популярных идентификаторов (паролей, ПИН-кодов, электронных токенов) делает этот элемент системы информационной безопасности наиболее привлекательным для хакеров.

Больше информационных систем — меньше паролей

По мере цифровизации растет и количество информационных систем, используемых сотрудниками компании. Разнообразные корпоративные ресурсы, рабочие программы, электронная почта, корпоративные чаты — чем больше их в рабочей рутине пользователя, тем больше паролей требуется запоминать. В результате сотрудники часто игнорируют базовые требования информационной безопасности и используют один пароль для доступа к разным ресурсам. Пароли хранят прямо рядом с рабочими компьютерами и легко делятся ими с коллегами. Таким образом, завладев одним паролем, злоумышленники могут получить доступ сразу к нескольким системам. Применение биометрической аутентификации дает комплексное решение проблемы. Сотрудникам больше не нужно придумывать и запоминать огромное количество паролей, а руководству — беспокоиться о рисках, которые несет для компании несоблюдение персоналом требований информационной безопасности.

Рост расходов на обслуживание систем аутентификации

Чем более разветвленной и сложной становится система IAM, тем больше ресурсов требуется для поддержки ее работы. Так, по оценкам Gartner Group, смена паролей и разблокировка рабочих аккаунтов ежегодно оценивается в $150 на человека.

Человек как главная уязвимость

Человек — самое уязвимое место в любой стратегии. Человеческий фактор может свести на нет даже самую строгую политику безопасности. Особенно если в компании практикуют формат удаленной или гибридной работы. По данным компании Iron Mountain Incorporated, 36% сотрудников при работе из дома меньше заботятся о соблюдении правил информационной безопасности. Об этом свидетельствуют данные социологического опроса среди 11 тыс. сотрудников компаний в 10 странах Европы. В офисе придерживаться установленных стандартов тоже стараются далеко не все сотрудники. Так, 34% респондентов признались, что используют один и тот же пароль для разных сайтов и систем. 27% игнорируют требование блокировки компьютера или ноутбука, когда покидают свое рабочее место. 14% и вовсе хранят пароли записанными на бумажке на рабочем столе. При этом 25% респондентов становились жертвами фишинга или кибермошенничества.

Беспечность сотрудников ставит под вопрос надежность системы паролей в качестве основного инструмента информационной безопасности. Проблема особенно актуальна для финансового сектора, энергетического комплекса, ритейла, IT и индустрии телекоммуникаций. Эксперты отмечают, что сегодня хакерские атаки на корпоративные сети все чаще нацелены на приложения и сервисы внешнего периметра. Начало этой тенденции положила пандемия. Еще в 2020 году от ненадежных паролей в основном страдали приложения, находящиеся в границах внутреннего периметра. Однако после перехода на удаленный формат работы, сотрудники получили право удаленного доступа к корпоративным сетям. В результате самым уязвимым звеном защиты оказались сервисы на домашних компьютерах сотрудников: электронная почта, корпоративные порталы, личные кабинеты. Кроме того, для атак на внешний периметр злоумышленники используют корпоративные системы обучения и управления проектами, рекламные кабинеты и даже рабочие чаты.

Не меньшую угрозу для безопасности компании представляют так называемые инсайдеры — сотрудники предприятия, которые пользуются правом прямого доступа к системе для различных мошеннических действий или передают ключи доступа третьим лицам.

Основные угрозы

Глобальный ущерб от кибератак ежегодно исчисляется миллиардами долларов. Рассмотрим наиболее популярные виды интернет-мошенничества и их опасность для бизнеса.

Программы-вымогатели

По данным консалтинговой компании Accenture, на программы-вымогатели в 2021 году пришлось 35% от всех кибератак в мире. По сравнению с предыдущим годом этот показатель вырос на 107%. Такие атаки опасны полной потерей доступа к корпоративной сети, блокировкой операций, компрометацией данных, внушительными финансовыми и репутационными потерями. Чаще всего хакеры используют электронные письма с вредоносными ссылками или вложениями, которые рассылают сотрудникам компании.

Атаки на логистические цепочки

Логистические цепочки постоянно усложняются, при этом контролировать связанные с ними потоки данных становится все труднее. Этот сегмент может выступать мишенью как для целенаправленных, так и для опосредованных атак. Например, с целью промышленного шпионажа, заражения ПО или криптоджекинга — нелегального использования чужих устройств для скрытого майнинга. По последним данным, сбои в функционировании цепочек поставок в среднем обходятся крупным компаниям в $184 млн в год.

Злоупотребления со стороны сотрудников

Концепция безопасности Zero Trust, о которой ранее мы уже рассказывали в нашем блоге, строится на принципе “нулевого уровня доверия” к сотрудникам. В том числе это касается и сотрудников службы безопасности: как действующих, так и, например, бывших. Никогда нельзя исключать риски преступного сговора или других злоупотреблений со стороны службы безопасности. Эффективным инструментом контроля над действиями этой категории сотрудников также может выступать биометрия: как в информационных системах, так и в системах видеонаблюдения и СКУД.

Кража корпоративной информации и сливы баз данных

2022 год уже успел отметиться небывало высоким числом краж корпоративной информации. Вместе с тем в даркнете набирает популярность торговля украденными данными. За сравнительно невысокую цену хакеры могут приобрести все необходимое для проникновения в корпоративную систему: пароли, логины, файлы cookies и другую информацию. Кроме того, здесь мы снова сталкиваемся с проблемой инсайдеров, действия которых несут угрозу безопасности компании. Инсайдерские угрозы — это пользователи, имеющие законный доступ к активам компании, которые используют этот доступ, злонамеренно или непреднамеренно, чтобы нанести вред бизнесу. Инсайдерские угрозы не обязательно исходят от нынешних сотрудников. Они также могут быть бывшими сотрудниками, подрядчиками или партнерами, которые имеют доступ к системам организации или конфиденциальной информации. Так, по данным портала Security Intelligence, 40% инсайдерских инцидентов связаны с сотрудником, имеющим привилегированный доступ к активам компании, а глобальный отчет 2022 Cost of Insider Threats: Global Report показывает, что за последние два года количество инцидентов с инсайдерскими угрозами выросло на 44%, а затраты на один инцидент выросли более чем на треть и составили 15,38 миллиона долларов.

Атаки на облачные сервисы

В поисках решения проблемы информационной безопасности многие компании прибегают к модели облачных вычислений (Cloud Computing). С одной стороны, она считается более надежной, но с другой — инфраструктура публичных облаков сама подвергается кибератакам. В том числе ее используют для криптоджекинга. Кроме того, по мнению экспертов, до 99% облачных ресурсов предоставляют пользователям чрезмерные разрешения, что также несет значительную угрозу для компрометации данных. Поэтому при работе с ними необходимо уделять внимание настройкам систем управления идентификацией и доступом.

Биометрическая аутентификация — современный инструмент обеспечения информационной безопасности

Принято считать, что главная задача биометрии — это обеспечение физической безопасности. Однако в мире, где данные часто становятся главной ценностью, биометрические системы становятся эффективным инструментом поддержания информационной безопасности. Так, программное решение Id-Logon от РекФэйсис дает компании возможность внедрить беспарольную проверку прав доступа сотрудников на основе биометрической идентификации и аутентификации. Веб-камера на стационарном компьютере или мобильном устройстве детектирует лицо человека, а затем проверяет его на соответствие с биометрическими шаблонами из базы профилей сотрудников. При успешной аутентификации человек получает право доступа к корпоративной системе. При попытке авторизации за компьютером «постороннего лица» доступ не предоставляется.

Преимущества биометрической аутентификации

Неотчуждаемость биометрических данных

В отличие от пароля, кода или токена, биометрию невозможно похитить, подобрать, записать на бумажке или забыть у рабочего компьютера. Биометрические данные неотчуждаемы — они всегда находятся при самом человеке. Таким образом, переход на биометрическую аутентификацию полностью решает проблему компрометации паролей. Такой метод исключает и возможность удаленного взлома системы. Даже зная пароль, хакер не сможет проникнуть в корпоративную систему, если на устройствах настроена двухфакторная аутентификация «пароль + биометрия».

Возможность реализации технологии единого доступа

Внедрение биометрической аутентификации позволяет организовать работу по модели единого доступа (Single Sign-On, SSO). В зависимости от настроек политики безопасности сотрудник может использовать свои биометрические данные не только для получения доступа к общей корпоративной сети, но и для других рабочих ресурсов и программ.

Удобство для сотрудников

Биометрическая аутентификация удобна и для самих сотрудников. Вход в систему «по лицу» избавляет их от необходимости постоянно запоминать новые сложные пароли или держать при себе токен. Проверка не занимает много времени — на распознавание человека у системы уходит меньше 1,5 секунды.

Гибкие настройки для большей безопасности

Программные решения для биометрической аутентификации дают широкие возможности для гибких настроек в зависимости от требований политики информационной безопасности компании. Так, с помощью Id-Logon можно активировать функцию фоновой проверки наличия сотрудника на рабочем месте. Если в какой-то момент система не обнаружит человека за компьютером, она автоматически увеличит частоту проверок, а затем и вовсе заблокирует устройство. Фоновые проверки также позволяют исключить доступ к устройству третьих лиц. Зафиксировав у монитора «чужака», система сразу же уведомит о нарушении сотрудников отдела информационной безопасности. При необходимости в этот сценарий работы программы можно включить и блокировку доступа ко всем корпоративным информационным ресурсам.
Программное решение предусматривает гибкие настройки сценариев использования устройства. Например, можно дать право доступа к одному и тому же компьютеру нескольким сотрудникам или, наоборот, внедрить функцию блокировки устройства при нахождении у монитора двух и более человек. Наконец, система позволяет внедрить дополнительное подтверждение личности сотрудника перед совершением важных операций, например, банковских переводов. Факты таких аутентификаций сохраняются в специальном архиве подтверждений. Благодаря этому руководство может проверить, кто из сотрудников и когда выполнил ту или иную операцию.

Двухфакторная аутентификация

При переходе на модель биометрической идентификации необязательно отказываться от традиционных методов проверки. Для доступа к особо важным ресурсам или проведения значимых операций можно настроить многофакторную аутентификацию пользователей: «лицо + пароль», «лицо + ПИН-код» и т. д.

Защита от незаконного проникновения в систему

Современные биометрические программы надежно защищены от несанкционированного доступа с помощью фото или видео человека из базы данных сотрудников. Для борьбы с компрометацией в системах применяют алгоритмы Liveness, позволяющие удостовериться, что аутентификацию проходит реальный человек с правом доступа.

Установка на разные типы мобильных устройств

Биометрическую идентификацию можно настроить не только на служебных или домашних стационарных компьютерах сотрудников, но и на мобильных устройствах. Это особенно удобно для компаний с удаленным или гибридным режимом работы.

Возможность применения в связке с другими биометрическими продуктами

Аутентификацию «по лицу» в информационных системах можно использовать в связке с другими биометрическими продуктами: для СКУД, видеонаблюдения, систем бесконтактной оплаты и т. д. Такая модель позволяет реализовать концепцию единого «умного» пространства, что делает ее интересной для офисов компаний и современных бизнес-центров, уделяющих внимание комплексному развитию IT-инфраструктуры.

Вместо резюме:

• Обеспечение информационной безопасности является одной из первостепенных задач для современных компаний вне зависимости от того, какую отрасль они представляют. Количество кибератак на корпоративные ресурсы с каждым годом увеличивается в десятки раз, а суммы ущерба от действий злоумышленников исчисляются шестизначными цифрами.
• При реализации стратегии информационной безопасности особое внимание следует уделить минимизации негативных последствий влияния ее самого слабого звена — человеческого фактора. Пока сотрудники случайно или намеренно продолжают компрометировать пароли, информационные системы компании никогда не будут достаточно защищены. Разорвать этот порочный круг поможет изменение самого подхода к аутентификации.
• Наравне с обеспечением кибербезопасности критическое значение имеет и физическая безопасность. В том числе, это важно для своевременного выявления попыток компрометации системы со стороны сотрудников.
• Биометрическая идентификация сегодня является наиболее надежной альтернативой системе паролей. Биометрию человека невозможно забыть или похитить, а значит, вероятность атаки на корпоративную сеть с помощью раскрытых паролей от учетных записей сотрудников сводится к нулю.
• Программные биометрические решения дают дополнительные возможности для настроек аутентификации и реализации различных сценариев использования. Для действий, требующих особого уровня защиты, биометрию можно комбинировать с другими факторами идентификации: паролями, кодами и т. д.
• Наибольшей эффективности можно добиться с помощью комплексного подхода к внедрению биометрических технологий: не только для обеспечения информационной безопасности, но и для решения других задач компании.
• Внедрение передовых биометрических технологий требует особых навыков и компетенций, которые можно получить, пройдя бесплатную серию вебинаров от РекФэйсис. Вендор проводит обучение на регулярной основе, а по итогам слушателям выдается именной сертификат, подтверждающий приобретенные компетенции.