Место информационной безопасности в структуре современного предприятия Что такое информационная безопасность? Информационная безопасность компании, общественной организации или производственного предприятия – это комплекс мероприятий, направленных на предотвращение несанкционированного доступа к внутренней ITинфраструктуре, незаконного завладения конфиденциальной информацией и внесения изменений в базы данных. Википедия включает в это понятие любые формы данных, независимо от их материального представления. То есть, в информационную безопасность входит защита от злоумышленников данных в электронной форме и на физических носителях. Учитывая важность информации в современном мире, защите от утечек конфиденциальной информации в адрес конкурентов необходимо уделять повышенное внимание. Возможный ущерб может быть намного большим, чем стоимость всех материальных активов предприятия Ущерб, причиняемый утечкой информации, невозможно спрогнозировать заранее. Он может выражаться в незначительной сумме, но в некоторых случаях приводит к полной неспособности компании заниматься хозяйственной деятельностью. Проблема сохранности конфиденциальной информации и коммерческой тайны существовала и ранее. Но по мере развития электронных средств обработки и хранения данных повышается вероятность их утечки и незаконного копирования. Если ранее для кражи чертежей нового продукта нужно было физически вынести их с завода, сейчас достаточно получить доступ к серверу через электронные каналы связи или записать их на миниатюрную карту памяти. В большинстве случаев краже подлежат следующие данные: Информация о реальном финансовом состоянии компании; Инновационные разработки научно-технических отделов; Регистрационные данные для доступа к защищенным серверам; Персональные данные работников. Дополнительной сложностью является то, что кража информации может негативно отразиться на компании не сразу после ее совершения, а по прошествии определенного времени. Неважные на первый взгляд данные при их обнародовании могут нанести репутационный вред компании и уменьшить ее рыночную стоимость. Поэтому при разработке мер по обеспечению информационной безопасности нельзя делить данные на виды. Все, что размещено в ITинфраструктуре компании и храниться в архивах, не должно выходить за ее пределы. Принципы формирования системы информационной безопасности Для максимально эффективной защиты важных для бизнеса данных информационная безопасность компании должна строиться на 5 важных принципах: Комплексность. При разработке мероприятий по защите необходимо предусматривать все возможные пути проникновения и нанесения ущерба, в том числе удаленные и внутренние каналы. Выбор средств защиты должен соответствовать потенциальным угрозам, все они должны работать комплексно, частично перекрывая задачи друг друга. В этом случае злоумышленнику будет сложнее совершить кражу. Многоступенчатость. Информационная безопасность должна представлять собой несколько ступеней защиты, каждый из которых срабатывает последовательно. При этом наиболее надежной ступенью является то, что расположена глубже всего и защищает самую важную информацию. Надежность. Все ступени защиты информации должны быть одинаково надежными и соотносится с возможной угрозой со стороны третьих лиц. Разумность. При внедрении в работу компании стандартов защиты информации необходимо, чтобы они предотвращали возможные угрозы, но не мешали деятельности компании и доступу к данным легальным пользователям. Кроме того, стоимость мероприятий по защите должна быть такой, чтобы работа компании оставалась рентабельной. Постоянство. Средства защиты данных от неправомерного доступа должны работать постоянно независимо от режима работы компании и других факторов. Cредства и методы защиты конфиденциальных данных от кражи и изменения Разработчики программных и аппаратных средств защиты от несанкционированного доступа к данным оперативно реагируют на вновь возникающие угрозы и предлагают пользователям эффективные решения, которые уже сейчас могут использоваться в практической работе. Основными группами инструментов для информационной безопасности являются: Физическая защита данных. Для этого на предприятии устанавливаются ограничения на доступ определенных лиц к местам хранения данных или на территорию. Используются дистанционно управляемые СКУД, права доступа определяются радиометками или с помощью других средств идентификации. Например, зайти в помещение с серверами могут только те лица, у которых это право прописано в карточке. Общие средства защиты информации. К ним относятся приложения и утилиты, которые должен использовать каждый пользователь при работе в сети. Например, антивирусные программы, фильтры сообщений электронной почты. К базовым средствам относятся также системы логинов и паролей для доступа во внутреннюю сеть, которые должны периодически меняться во избежание утечки. Противодействие DDoS-атакам. Самостоятельно компания – владелец сервера не может обезопасить свои ресурсы от атак этого типа. Поэтому необходимо использовать внешние утилиты. Они срабатывают, когда система обнаруживает подозрительный трафик или резкое увеличение запросов на доступ. В этом случае активируется специальная программа, которая блокирует посторонний трафик и сохраняет доступ для легальных пользователей. Работа ресурса таким образом не нарушается. Резервирование информации. Это средство защиты направлено не на противодействие незаконному завладению данными, а на ликвидацию последствий постороннего вмешательства. Резервирование предусматривает копирование информации на удаленные хранилища или в «облако». Учитывая низкую стоимость носителей и услуг «облачных» провайдеров, позволить себе многократное резервирование данных может любая компания, для которой важна IT-инфраструктура. План восстановления работы после вмешательства. Это один из последних эшелонов защиты информационной инфраструктуры компании. Каждый владелец корпоративной сети и серверов должен иметь заранее продуманный план действий, направленный на быструю ликвидацию последствий вмешательства и восстановление работы компьютеров с серверами. План вводится в действие в случае, если сеть не может функционировать в стандартном режиме или обнаружено постороннее вмешательство. Передача зашифрованных данных. Обмен конфиденциальной информацией между удаленными пользователями по электронным каналам связи должен проводиться только с использованием утилит, которые поддерживают конечное шифрование у пользователя. Это дает возможность удостовериться в подлинности передаваемых данных и исключить расшифровку третьими лицами, перехватившими сообщение. Сотрудники компании как угроза информационной безопасности Источником утечки данных с компьютеров компании могут быть легальные пользователи. Они имеют доступ к информации и используют ее не так, как это предусмотрено протоколами безопасности. Всех легальных пользователей можно разделить на несколько групп: 1. Мелкие нарушители. В этой категории находятся работники среднего звена и руководители подразделений, которые позволяют себе отступления от требований информационной безопасности. Они могут запускать сторонние приложения на компьютерах, посещать не связанные с работой сайты, обмениваться личной информацией по каналам связи. Часто такие действия приводят к проникновению вирусов и вредоносных программ, хотя прямого умысла у пользователей на эти действия нет. 2. Рецидивисты. В эту категорию входят руководители среднего и высшего звена, которые имеют доступ к важной коммерческой информации. Они злоупотребляют своими правами доступа и могут умышленно отсылать засекреченные данные другим адресатам за вознаграждение или по другим причинам. 3. Шпионы. Это сотрудники, которые специально нанимаются на работу в компанию с целью кражи информации за плату со стороны конкурента. Чаще всего в роли шпионов выступают опытные компьютерные специалисты, способные преодолеть некоторые ступени защиты данных. Кроме того, они могут ликвидировать следы несанкционированного доступа, что затрудняет раскрытие подобных утечек. 4. Обиженные. В эту категорию относят работников, которые были уволены по инициативе работодателя и при уходе с работы успели унести важную и/или конфиденциальную информацию. Позже они распространяют ее за плату или безвозмездно в отместку за нанесенную обиду. Виды угроз информационной безопасности предприятия Существует несколько причин, по которым становится возможным незаконный доступ до конфиденциальной информации злоумышленниками. Среди них особенно опасными являются следующие: Халатное отношение сотрудников компании к защите цифровых данных. Виновными могут оказаться не преступники, которые хотят украсть информацию, а рядовые сотрудники. Они совершают эти действия из-за недостатка зданий или невнимательности. Использование нелицензионных программ Коммерческие компании часто экономят средства на приобретении ПО и позволяют сотрудникам пользоваться пиратскими версиями офисных приложений и профессиональных программ. Однако при этом возникает опасность внедрения в сеть вирусов и других вредоносных программ. Умышленные DDoS атаки на сервера компаний Distributed-Denial-of-Service подразумевает отправку очень большого количества сетевых запросов от пользователей в сети, зараженных специальной программой. Из-за этого ресурс, на который направлена атака, блокируется по причине перегрузки канала связи. Длительная неработоспособность сервера негативно отражается на лояльности пользователей. Работа вредоносных программ Компьютерные вирусы – распространенная угроза безопасности IT-инфраструктуры компании. Ущерб, нанесенный вредоносными программами, исчисляется миллионами долларов. В последние 3-5 лет наблюдается увеличения числа вредоносных программ и атак с их стороны, а также сумм понесенных компаниями потерь. Действия правоохранительных органов В ходе расследования уголовных дел и при проведении некоторых видов проверок представители контролирующих и правоохранительных органов могут изымать компьютерную технику и документы, в том числе с конфиденциальной информацией. Программные средства защиты информационной безопасности Программное обеспечение также можно разделить на множество подтипов защиты: Антивирусные программы; Облачные антивирусы; DLP-системы (Data Loss Prevention); Криптографические системы; Межсетевые экраны; Виртуальные частные сети; Прокси-серверы; Системы мониторинга и управления (SIEM). Вывод Меры по обеспечению информационной безопасности на предприятии должны разрабатываться и реализовываться постоянно, независимо от роли IT-инфраструктуры в производственных процессах. К решению этого вопроса необходимо подходить комплексно и с привлечением сторонних специалистов. Только такой подход позволит предотвратить утечку данных, а не бороться с ее последствиями.
