Предприятия гостиничной индустрии обрабатывают данные банковских карт и другую конфиденциальную информацию своих клиентов, поэтому данный вид бизнеса является одним из самых уязвимых к угрозам утечки данных и троянским атакам. О возможных угрозах информационной безопасности, актуальных для гостиничного бизнеса, рассказал в интервью «Express Hospitality» г-н Говинд Раммурти, генеральный директор компании eScan MicroWorld:
Г-н Раммурти, расскажите, пожалуйста, каким угрозам информационной безопасности подвержен гостиничный бизнес?
В информационных системах гостиничного бизнеса обрабатываются конфиденциальные данные клиентов и сотрудников, включая почтовые адреса, номера контактных телефонов, адреса электронной почты, данные кредитных и дебетовых карт. По этой причине гостиничный сектор, как и многие другие виды бизнеса, остается одной из самых желанных мишеней киберпреступников: на него приходится 15% от общего числа случаев утечки данных.
Существует целый ряд разновидностей мошенничества, которым подвержена гостиничная индустрия. Как правило, эти мошенничества совершаются через Интернет или электронную почту. Мошенничество с кредитными картами — один из наиболее распространенных видов преступлений, с которым сталкиваются предприятия, обрабатывающие финансовые данные клиентов.
Чтобы украсть конфиденциальную информацию, хакеры осуществляют атаки класса «человек посередине» (man-in-the-middle), позволяющие перехватить трафик между клиентскими машинами и серверами. Для получения несанкционированного доступа к конфиденциальным данным злоумышленники также используют технику фишинга — нацеленную рассылку фальшивых писем от имени легитимных организаций. Фишинговые атаки приводят к невольному раскрытию конфиденциальной информации сотрудниками и заражению компьютеров троянскими программами.
Другая часто используемая технология атак — это внедрение SQL-кода, когда база данных организации взламывается через корпоративный сайт. При этом эксплуатируются уязвимости программного обеспечения веб-сайта, позволяющие злоумышленнику с помощью специального запроса, вводимого через веб-форму, изменить или прочитать информацию, содержащуюся в базе (например, пароли или данные кредитных карт).
Какие существуют наиболее распространенные методы атак?
Одна из часто используемых хакерских техник — это атаки через Интернет на приложение, к которому имеется удаленный доступ. Гостиничный сектор является излюбленной мишенью для киберпреступников, поскольку организации этой отрасли используют многочисленные внутренние или внешние каналы связи с сотрудниками и ИТ-специалистами. Такие системы часто реализованы без парольной защиты или с легко угадываемыми паролями и, значит, плохо защищены от внешних атак.
Киберпреступники с помощью ботнетов заражают компьютеры, а затем дистанционно управляют инфицированными машинами в целях совершения преступной деятельности. Используя такие компьютеры, киберпреступники могут проводить DoS-атаки, делая веб-сайты туристических компаний и отелей недоступными для легитимных пользователей.
Также хакеры компрометируют веб-серверы и размещают на них вредоносный контент, что позволяет заражать компьютеры клиентов, посещающих туристические веб-сайты для выполнения онлайн-бронирования и других задач. Это ведет к потере репутации туристической организации.
По данным аналитической компании Forrester Research, примерно в 85% случаев утечка информации происходят из-за действий сотрудников пострадавшей организации (инсайдеров). Инсайдерский инцидент может быть результатом небрежности сотрудника, его несанкционированного доступа к конфиденциальной информации, кражи ноутбука, слабого управления идентификационными данными и т.д. В результате успешной инсайдерской атаки возможны резкое снижение доходов компании, юридические последствия, а также ухудшение имиджа бренда.
Какие эффективные решения требуются отелям для предотвращения подобных атак?
Необходимо правильно выбрать решение информационной безопасности, удовлетворяющее всем потребностям организации. Оно должно обеспечивать многоуровневую продуманную защиту в режиме реального времени от любых возможных угроз. Решение должно иметь эффективный сканер, определяющий даже уязвимости нулевого дня в приложениях, сети и операционной системе. Необходимо, чтобы такое решение включало брандмауэр, который эффективно фильтрует входящий и исходящий трафик сети. Также нужна функция контроля доступа к сети для предотвращения подключения неавторизованных устройств. Кроме того, выбранное решение должно производить мониторинг сети в режиме реального времени, идентифицировать вредоносные программы и уведомлять администратора об их появлении, предотвращать распространение вредоносного программного обеспечения по сети.
Действительно ли в большинстве гостиничных компаний осознают необходимость обеспечения ИТ-безопасности?
Большинство руководителей предприятий гостиничного сектора понимают важность поддержания высокого уровня информационной безопасности, с ростом киберпреступности степень этой осведомленности растёт, и руководители гостиничных компаний стали с большей ответственностью подходить к обеспечению информационной безопасности, как одной из главных задач.
Насколько уязвим ресторанный бизнес (как отдельные заведения, так и ресторанные сети)?
Как правило, розничные ресторанные заведения имеют небольшое количество компьютерных ресурсов, которые ограничены в доступе к системам управления предприятием и обслуживают всего несколько пользователей. Риск нарушений информационной безопасности таких ресурсов возрастает в тех случаях, когда к сети подключаются внешние устройства или осуществляется бесконтрольная навигация в Интернете. Если речь идет о ресторанной сети, то её компьютерная инфраструктура принимает форму самой сети заведений, укрупняясь и усложняясь. Часто в ресторанных сетях правила, регулирующие ИТ-безопасность, выбираются из «справочников хакеров», то есть совершенно неадекватны существующим угрозам. Такие сети чувствительны к инсайдерской угрозе, утечкам данных, троянским программам и т.п.
Как, по-Вашему мнению, можно минимизировать риски информационной безопасности гостиничного сектора?
Не существует надежного способа устранения рисков, универсального для всех предприятий. Однако есть ряд основных мер, которые должны быть предприняты, чтобы предупредить финансовые и репутационные потери компании:
- Использование закрытых сетей (без доступа к внешним сетям за исключением интрасети и внутренней почты). Особое внимание следует уделить обеспечению закрытости внутренних Wi-Fi-сетей отеля;
- Ограничение использования сотрудниками внешних устройств, таких как флеш-карты и USB-модемы;
- Соблюдение норм и стандартов информационной безопасности, например, стандарта безопасности данных в индустрии платежных карт PCI-DSS;
- Централизованное управление ИТ-инфраструктурой и ИТ-безопасностью, соблюдение политик информационной безопасности, в том числе своевременная установка исправлений и патчей, регулярное обновление антивирусных баз, ограничение доступа к ресурсам и контроль приложений.