Как защитить информацию в организации

Технологии защиты информации в компании

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Источник

Защита данных компании

Контроль потока данных
с помощью DLP-системы

В информационной базе любой компании хранятся данные, касающиеся результатов ее бизнес-деятельности, а также планов на будущее. Разглашение такой информации может привести к потере преимуществ перед конкурентами, снижению доходов, возникновению производственных конфликтов. Важно обеспечить защиту данных, используя подходящие технические средства и организационные приемы. Необходимо выявлять как внешние, так и внутренние угрозы безопасности, пресекая попытки несанкционированного доступа в информационные системы предприятий.

Требования к информационной защите

Похищая данные компаний, злоумышленники используют их для перепродажи заинтересованным лицам, компрометации и шантажа руководства, физического разорения предприятия. Наиболее ценными для них являются:

Для успешной защиты подобных материалов создаются службы информационной безопасности, которые занимаются поиском каналов утечки данных, разработкой организационно-технических методик их обработки и хранения.

Информационная защита должна отвечать требованиям государственного законодательства и общей политики безопасности предприятия.

Комплексное решение задач информационной безопасности обеспечивает DLP-система. «СёрчИнформ КИБ» контролирует максимальное число каналов передачи данных и предоставляет ИБ-службе компании большой набор инструментов для внутренних расследований.

Виды и причины возникновения угроз информационной безопасности

Угрозы информационной безопасности подразделяют на внутренние (инсайдерские) и внешние.

Основными рисками безопасности являются:

Угрозу информационной безопасности компании представляет использование нелицензионного программного обеспечения. Причиной является отсутствие возможности обновления программ, невозможность проверки подлинности приложений, отсутствие технической помощи со стороны разработчиков ПО.

Иногда причиной разглашения конфиденциальной информации становятся действия органов правопорядка. При проведении проверок деятельности предприятий или расследовании уголовных преступлений изымается важная документация и компьютерные носители с ценными коммерческими данными, которые могут стать доступными для злоумышленников. Меры защиты от подобной угрозы законодательством не предусмотрены.

Причинами возникновения угроз могут быть действия посторонних лиц, а также нарушения требований безопасности со стороны легальных пользователей (сотрудников или совладельцев бизнеса).

Причины появления внутренних угроз безопасности

Инсайдерские угрозы чаще всего возникают из-за небрежности персонала, оставляющего без присмотра важные документы, электронные устройства.

Причиной утечки данных может быть некомпетентность сотрудников в вопросах обеспечения информационной безопасности или пренебрежение правилами работы на служебных компьютерах. Опасность потери сведений, важных для компании, может возникать при посещении пользователями посторонних сайтов, запуске случайных приложений, использовании служебной почты и каналов связи для передачи личной информации. Возникает риск ее нежелательного распространения, случайного копирования, открытия фишинговых ссылок или вирусного заражения компьютера.

Большую угрозу представляет умышленное рассекречивание конфиденциальных сведений пользователями информационных баз предприятий.

К категории пользователей-злоумышленников относятся:

1. Сотрудники, имеющие доступ к ценным материалам, сознательно передающие данные заинтересованным лицам с целью получения денег;

2. Работники, пониженные в должности или кандидаты на увольнение. Они могут намеренно похитить информацию, чтобы передать ее третьим лицам, желая отомстить руководству предприятия;

3. Шпионы – люди, специально устраивающиеся на работу, чтобы получить доступ к секретной информации. Обычно это профессионалы, знакомые со спецификой производства, компьютерными технологиями и особенностями программно-аппаратной защиты информации.

Меры информационной защиты

Осуществлением и разработкой мер организационно-технической и программно-аппаратной защиты коммерческих данных занимаются службы информационной безопасности.

Организационные мероприятия

К организационным мерам относятся:

Технические меры

Для предупреждения непредвиденных ситуаций, создающих риск утечки важной информации, монтируются системы резервного электропитания, принимаются меры пожаробезопасности и защиты от стихийных бедствий.

Монтируются устройства сигнализации, видеонаблюдения, предотвращения доступа посторонних на территорию предприятия. Оборудуются системы допуска с идентификацией по отпечаткам пальцев или специальным картам.

Приобретаются программно-технические устройства для резервного копирования важной информации, обеспечения ее сохранности, своевременного уничтожения в случае необходимости.

Меры программно-аппаратной защиты

Программные средства обеспечения безопасности информации

К специализированным средствам программной защиты относятся:

1. Антивирусные программы. Они позволяют обнаружить вирусы, трояны и черви, проникающие в компьютерную систему через почту, зараженные сайты, ПО и электронные носители. Антивирусы блокируют вредоносные программы, восстанавливают поврежденные файлы. Используются специальные антивирусы для защиты облачных хранилищ, такие как Immunet, Panda Cloud Antivirus;

2. DLP-системы – программы для предотвращения внутренних угроз. Система анализирует информацию, разделяя ее по степени конфиденциальности. Проводит мониторинг событий в информационной системе и блокирует подозрительные действия пользователей;

3. Анти-DDoS – защита от ложных запросов, с помощью которых злоумышленники блокируют информационные ресурсы. Мошенники намеренно перегружают компьютерные системы массой бесполезных данных, замедляя их работу или делая серверы недоступными. К такому приему прибегают, чтобы помешать работе конкурентов или отвлечь системных администраторов от других действий (например, кражи денег со счетов клиентов банка);

4. UEBA – системы отслеживания поведения пользователей в сети и обнаружение их подозрительной активности;

5. SIEM – программные средства защиты для мониторинга в реальном времени, обнаружения угроз, исходящих от сетевых приложений и устройств, и своевременного реагирования на инциденты. Система оповещает о подозрительных событиях и предоставляет отчеты;

6. Программы криптографической защиты (системы шифрования DES, AES, протоколы WPA/WPA2);

7. Межсетевые экраны контроля доступности сети, фильтрации и блокировки подозрительного трафика. Они устанавливаются в виде встроенных программ или отдельных программно-аппаратных устройств;

8. Прокси-серверы – посредники между пользователями и интернет-сетями. Информация передается через промежуточный сервер, фиксирующий IP-адрес, с которого поступает запрос. При этом предотвращается доступ пользователей к подозрительным сайтам, исключается возможность анонимной отправки сообщений;

9. VPN – системы защиты, с помощью которых можно передавать зашифрованную информацию через общедоступную сеть по частным каналам. Такая связь позволяет организовать безопасный обмен информацией между компанией и ее филиалами, не раскрывая их местоположения;

10. Ловушки DDP – комплекс программ, имитирующих структуру реальной информационной системы. Вместо настоящей ИС злоумышленник атакует вымышленную систему, которая способна блокировать вредоносное воздействие;

11. NFT – средства обнаружения сетевых атак для юридического и документального подтверждения злонамеренных событий.

Использование подобных средств и принятие должных организационных мер позволяет обеспечить защиту конфиденциальной информации от угроз, исходящих извне, или создаваемых инсайдерами.

Для надежной защиты коммерческой информации необходимо устанавливать на компьютеры официальное программное обеспечение и своевременно его обновлять. Это позволит предупредить вирусные атаки злоумышленников, использующих все более совершенные технологии для похищения и уничтожения ценной информации.

Чтобы обеспечить надлежащую защиту коммерческих данных, необходимо проводить постоянный мониторинг событий, происходящих в информационных системах.

Важно обеспечить техническую защиту документации и электронных носителей, ограничить доступ посторонних к источникам информации.

Источник

Информационная безопасность предприятий

Защита данных
на базе системы

З адача выстраивания системы информационной безопасности предприятий носит комплексный характер. Руководство должно оценить уровень предполагаемых рисков и выработать модель угроз. Она будет различной для каждого вида бизнеса. Общим будет то, что для причинения ущерба компании используются информационные технологии. Для обеспечения информационной безопасности нужно проведение аудита, по результатам которого вырабатывается комплекс необходимых организационных и программно-технических мер.

Угрозы информационной безопасности

Хакерские атаки рассматриваются на международном уровне как часть единой глобальной угрозы, связанной с цифровизацией общества. От внешних нападений не избавлены даже небольшие компании, особенно если они являются поставщиками или подрядчиками крупных корпораций и оперируют в своей деятельности данными, способными заинтересовать злоумышленников. Но и интернет магазины или небольшие поставщики интернет-услуг не избавлены от DDoS-атак, способных полностью заблокировать каналы связи и сделать сервис недоступным для клиентов.

Среди актуальных внешних угроз информационной безопасности:

Общий список угроз остается неизменным, а технические средства их реализации совершенствуются постоянно. Уязвимости в штатных компонентах информационных систем (ОС, протоколах связи) не всегда ликвидируются быстро. Так, проблемы Windows XP были устранены путем выпуска обновлений только через два года после их фиксации. Хакеры не теряют времени, оперативно реагируя на все обновления, постоянно тестируя степень безопасности информационных систем предприятия при помощи средств мониторинга. Особенностью современной ситуации на рынке компьютерной безопасности стало то, что машинные технологии усовершенствовались до того уровня, что пользование ими стало доступным даже школьнику. Заплатив небольшую сумму, иногда не превышающую 10 долларов, за подписку на сервис тестирования уязвимости, можно организовать DDoS-атаку на любой сайт, размещенный на небольшом сервере с не очень производительным каналом связи, и в считанные минуты лишить клиентов доступа к нему. В качестве ботнетов все чаще используются объекты Интернета вещей: холодильники, кофеварки и IP-камеры. Они активно включаются в информационные атаки, так как производители управляющего ими программного обеспечения в целях экономии средств не встроили в них механизм защиты от перехвата управления.

Но не менее опасны и угрозы информационной безопасности, исходящие от сотрудников компании, заинтересованных не в краже, а в манипуляции информацией. Отдельным риском становится такое нарушение целостности информации в базах данных, которое облегчает хищение материальных ресурсов организации. Примером может служить изменение температуры хранения топлива в сторону повышения, при котором его объем в цистернах увеличивается и небольшую откачку датчики безопасности не заметят. Для такого изменения нужно иметь несанкционированный доступ к каналам связи с устройствами, управляющими выставлением температуры на складе.

Обеспечение информационной безопасности предприятий

Задача обеспечения информационной безопасности предприятий решается своими силами или с привлечением внешних экспертов. Необходимо провести аудит и внедрить систему организационных и технических мер общего и специального характера, которые позволят эффективно обеспечить высокое качество информационной безопасности предприятия. Начинать создание системы надо с аудита. Система защиты будет основываться на его результатах.

Аудит

Объем аудита зависит от размеров компании и ценности обрабатываемой информации. Для предприятий малого и среднего бизнеса аудит может проводиться своими силами, для распределенной сложной системы, включающей несколько контуров управления, в которой обрабатываются конфиденциальные данные высокой важности, необходимо привлекать для проведения аудита профессиональные организации, специализирующиеся на аутсорсинге информационных услуг.

На базовом уровне аудита необходимо выяснить:

Для небольшой компании ответы на эти вопросы помогут выявить наиболее очевидные уязвимости системы информационной безопасности предприятия и направить усилия на их устранение.

Существуют ситуации, когда угрозы оказываются более существенными, чем действия инсайдеров или случайные и непредсказуемые хакерские атаки, например, когда компания:

В этих случаях простой аудит доступа и специфики программного обеспечения окажется средством, не решающим проблему. ИС нужно исследовать на более глубоком уровне, выявив:

Если компания является оператором персональных данных, в ходе аудита дополнительно надо выявить:

Ответ на вопросы аудита даст почву для разработки системы информационной безопасности предприятия с учетом релевантных угроз.

Этапы внедрения системы безопасности

Понимание текущего состояния информационной системы и категории информационных ресурсов дает почву для разработки стратегии ее модернизации и приближения к современным требованиям безопасности.

Работу необходимо проводить по следующему алгоритму:

Большинство этапов работы может быть выполнено силами собственного персонала, на особо сложные участки работы привлекаются консультанты. Весь процесс должен идти под руководством менеджера высшего звена, заинтересованного в успешной реализации проекта внедрения стратегии обеспечения информационной безопасности предприятия.

Организационные меры

Применяемые для обеспечения информационной безопасности предприятия организационные меры делятся на три группы:

В каждой категории они делятся на две группы – документы и действия, и в каждом секторе защиты необходимы обе группы мер.

Организационные меры общего характера

Информационная безопасность предприятия начинается с принятия единой политики или методики обеспечения защиты данных. Политика должна содержать следующие разделы:

Документ принимается на уровне высшего руководства и сопровождается политиками и методиками, определяющими более узкие задачи информационной безопасности на предприятии.

Режим коммерческой тайны

Гражданское законодательство РФ вводит понятие коммерческой тайны как информационного актива, охраняемого государством. Ее преднамеренное или непреднамеренное разглашение, причинившее ущерб компании, является основанием для предъявления гражданского иска о возмещении ущерба. Если ущерб действительно серьезен, дело может дойти до уголовного преследования. Но чтобы привлечь виновного сотрудника к ответственности, придется совершить несколько шагов, относящихся к организационной части системы информационной безопасности на предприятии:

Выполнение этих действий поможет в должной мере защитить конфиденциальность данных.

Технические меры

Внедрение программно-технических средств защиты информации неизбежно, многие организации пользуются ими, не подозревая об этом. Для того чтобы выбрать наиболее эффективные для конкретной организации типы защиты, необходимо ответить на следующие вопросы:

Далее начинается этап выбора программного обеспечения, которое призвано создать систему информационной безопасности предприятия на эффективном уровне:

Одним из основных рисков для информационной безопасности предприятия становится отказ от своевременного обновления программного обеспечения. Причин может быть несколько:

Но несвоевременное обновление программ создает лазейки для хакеров, которые могут привести к утечкам информации. Если существуют такие риски, рекомендуется применять сканер безопасности Microsoft Security Analyzer, чтобы определить, какие патчи или обновления не установлены для Windows и какие изменения в конфигурации надо выполнить для обеспечения безопасности.

При проверке подключения устройств необходимо использовать следующие методы:

Выполнение простых рекомендаций позволит создать информационную безопасность предприятия на уровне, обеспечивающем гарантированную систему защиты и отсутствие инцидентов.

Источник

Проблемы информационной безопасности: алгоритм построения системы ИБ с нуля

Представим ситуацию, когда в компании создается подразделение информационной безопасности. Перед руководителем ИБ-отдела очерчен круг задач, выделен бюджет и дана отмашка на старт. Предлагаем рассмотреть алгоритм, который поможет в текучке неотложных дел сфокусироваться на главном.

1. Заручиться поддержкой руководства.

Если отдел информационной безопасности создан по инициативе руководства компании, то проблема решена. Однако в реальности часто ИБ-отдел создается стихийно, при этом существует служба безопасности, которая не очень понимает, что такое технические меры защиты, есть также ИТ-служба, которая воспринимает ИБ-отдел как помеху и т д.

Организация защиты информации на практике ведется одним из способов: «снизу вверх» либо «сверху вниз».

Подход «снизу вверх» наиболее распространен. В данном случае инициатива по всем ИБ-мероприятиям исходит от рядовых специалистов или линейных руководителей. Подход включает в себя написание служебных записок, доведение до руководства информации об инцидентах и прочее. Такой подход малоэффективен, так как высшее руководство компании не до конца понимает целесообразность и необходимость проведения большинства работ по информационной безопасности. В итоге информационной безопасности уделяется малое внимание, ей занимаются по остаточному принципу, работы зачастую носят несистемный характер.

Подход «сверху вниз» предполагает вовлеченность топ-менеджмента и владельцев бизнеса в проблематику информационной безопасности. Данный подход считается более эффективным, поскольку руководство смотрит на информационную безопасность с позиции бизнеса, ведется оценка рисков. Подход позволяет получать требуемые ресурсы и принимать необходимые меры, так как комплексная защита информации на предприятии — инициатива руководства.

На первом этапе следует заручиться поддержкой руководства, а в организации работ придерживаться подхода «сверху вниз».

2. Определить состав рабочей группы.

Важно определить, какие специалисты будут принимать активное участие в работах по информационной безопасности.

Есть мнение, что можно отдать работы по ИБ на аутсорсинг и полностью сосредоточиться на текущих задачах. Это верно лишь отчасти, поскольку никакие внешние эксперты не смогут оценить реальную важность и ценность информационных ресурсов компании, они могут лишь привнести объективный взгляд со стороны. Поэтому в рабочей группе обязательно должен быть представитель владельца информационных ресурсов.

3. Определить риски.

После того как сформирована рабочая группа и получена поддержка действий от руководства, переходим к этапу управления рисками. На этом этапе необходимо:

После проведения этапа должен быть составлен список определенных угроз и оценен ущерб, который может быть потенциально нанесен компании при реализации этих угроз. При расчете ущерба следует учитывать вероятность наступления тех или иных угроз.

После оценки возможного ущерба необходимо проработать риски по каждой актуальной угрозе.

4. Принять организационные меры.

На данном этапе разрабатываются политики, стандарты, руководства и инструкции, направленные на поддержание системы ИБ. Фиксируется ответственность сотрудников за нарушение требований ИБ, разглашение и нарушение конфиденциальности информации. Важно понимать, что эффективная система ИБ не может существовать без регламентов, инструкций, документов, направленных на ее поддержание.

5. Выбрать и внедрить меры и средства защиты информации.

На этом этапе осуществляется выбор средств защиты информации и оценка их эффективности. Оценка эффективности нужна для понимания, окупятся ли затраты, потраченные на СЗИ. Прибыль здесь косвенная — минимизация рисков, которые были определены ранее.

При выборе мер и средств защиты необходимо руководствоваться правилом: затраты на приобретение, внедрение, настройку, обучение специалистов, сопровождение средств защиты не должны превышать ущерба от реализации угрозы, на защиту от которой эти средства направлены.

6. Довести информацию до заинтересованных лиц.

Важно донести до пользователей необходимую информацию по ИБ доступными для них способами. Сотрудникам лучше всего показать на практике, как безопасно работать и взаимодействовать, провести презентацию или обучение. Руководству полезно будет показать убытки, которые может получить компания в случае невыполнения мер по информационной безопасности. Специалистам нужно показать, какими средствами можно пользоваться, а какими нет и почему, а также озвучить ответственность за нарушения этих мер.

7. Провести мониторинг и оценку.

После проведения всех этапов необходимо провести мониторинг и оценку результатов работ. Важно понять, насколько изменилось состояние ИБ.

Например, хорошим показателем будет появление инцидентов или вопросов по ИБ после проведения обучения сотрудников. Если до обучения обращений по инцидентам не возникало, а после обучения стали появляться инциденты, значит, оно прошло не зря.

Но на этом работа не заканчивается. Цикличность работ по ИБ связана с тем, что информационная среда очень изменчива. Происходят изменения внутри самих информационных активов, изменения в информационных технологиях, в способах обработки информации, а значит, нужно снова возвращаться к анализу рисков и актуализации системы ИБ.

Станислав Шиляев, руководитель проектов по информационной безопасности компании «СКБ Контур»

Не пропустите новые публикации

Подпишитесь на рассылку, и мы поможем вам разобраться в требованиях законодательства, подскажем, что делать в спорных ситуациях, и научим больше зарабатывать.

Источник