Создание системы информационной безопасности офиса не представляет сложностей для опытного сотрудника ИТ-подразделения, но определенные проблемы могут возникнуть и в этом случае. Их решение чаще лежит в сфере использования современных программных средств, ограничивающих несанкционированный доступ к информации.

Объекты защиты и угрозы

Под понятием «офис» в практике российского бизнеса подразумеваются подразделения, занятые обработкой информации, сотрудники которых в течение рабочего дня используют компьютер. В практике деятельности российских компаний существует два типа офисов:

• фронт-офис, или подразделение, нацеленное на непосредственную работу с клиентами, например, отделы маркетинга, продаж;
• бэк-офис, или обеспечивающие подразделения, это бухгалтерия, юридический отдел, аналитические подразделения, подразделения внутреннего контроля.

В деятельности сотрудников обоих типов офисов создается операционная информация, которая может быть интересна потенциальным злоумышленникам. Если в фронт-офисе к объектам охраняемой информации относятся сведения о клиентах, объемы и планы продаж, персональные данные, то информация, концентрирующаяся в бэк-офисе, касается общих вопросов деятельности организации. В первом случае сведения будут интересны широкому кругу лиц, например, посредникам на черном рынке персональных данных, во втором случае они востребованы только у конкурентов или организаций, желающих поглотить компанию.

Несмотря на разные модели угроз, обеспечивать защиту офиса нужно в обоих случаях, но допустимо создать два отдельных кластера, для каждого из которых использовать свой комплекс программно-аппаратных средств защиты. Организационные меры идентичны в обоих случаях, так как они разрабатываются и утверждаются на уровне руководства и их действие распространяется на всю компанию.

Основные правила разработки системы защиты данных офиса

При планировании системы безопасности офиса необходимо решить следующие практические задачи:

• определить модель угроз, описав все возможные каналы утечки информации, внутренние и внешние;
• определить модель физической защиты помещения и контроля доступа сотрудников в офис и к компьютерам, выбирая между постом охраны и СКУД;
• определить организационные и аппаратно-программные средства, которые планируется использовать во избежание несанкционированного доступа к компьютерам и базам данных;
• разработать комплекс организационных мер, регламентирующих работу с информацией;
• разработать и внедрить комплекс аппаратно-программных мер, обеспечивающих информационную безопасность офиса.

Ответы на эти вопросы должны лечь в основу стратегии защиты данных, описывающей временные, человеческие и финансовые ресурсы, используемые для ограничения несанкционированного доступа. При реализации стратегии необходимо придерживаться основных правил организации системы ИБ:

1. Информирование и обучение сотрудников. Рядовые сотрудники и руководители среднего звена виновны в большинстве преднамеренных и непреднамеренных утечек информации, возникновении таких инцидентов, как заражение компьютеров вредоносными программами. Если руководители хорошо знакомы с бизнес-процессами компании и похищают действительно ценные сведения, сотрудники офисов часто за небольшие деньги передают информацию операторам на черном рынке или непреднамеренно нарушают целостность файлов и данных. Кроме того, они посещают зараженные вирусами сайты, скачивают и устанавливают программы, не предусмотренные политикой компании по управлению сетью. Обучение основам информационной безопасности должно решить эту проблему. Сотрудники должны использовать сложные пароли, не хранить в облаке служебную информацию, рабочую и личную почту направлять с разных почтовых ящиков, уметь, распознавать фишинговые письма и быть знакомыми с другими технологиями социальной инженерии.

2. Ограничение доступа. Помимо физического ограничения доступа в офис необходимо реализовать систему ограничения и разграничения допуска к базам данных и файлам, содержащим важную информацию. Права пользователей и администраторов на операции с файлами и компонентами  ИС должны быть урезаны по принципу минимальной необходимости в целях соблюдения информационной безопасности. Если программные решения позволяют, надо реализовать модель многоуровневого дифференцированного доступа, в котором разным пользователям и информационным объектам присваиваются разные права и уровни значимости.

3. Комплексный подход. Невозможно решать только задачу защиты от утечек информации из-за действий инсайдеров или в результате хакерских атак, которые крайне редко нацеливаются на компьютеры офисных сотрудников. Задача защиты офиса от несанкционированного доступа к данным должна решаться комплексно, начиная с подбора и обучения сотрудников и заканчивая организацией мониторинга работоспособности системы.

Ответственным за организацию ИБ в офисе должно быть назначено лицо, имеющее достаточный административный вес, чтобы пресекать случайные или намеренные нарушения режима охраны данных.

Какие программно-аппаратные решения использовать

Для полного решения задачи обеспечения защиты офиса от НСД необходимо комбинировать программные и аппаратные средства. Поскольку основная угроза для данных исходит от инсайдеров, при разработке архитектуры системы защиты надо ориентироваться на программные продукты, усложняющие пользователям возможности нарушить уровень конфиденциальности информации или негативно воздействовать на работоспособность системы:

• DLP-системы. Они контролируют весь периметр защиты и своевременно блокируют любую попытку организовать утечку – от отправки файлов по электронной почте до их копирования на съемное устройство;
• антивирусные программы. Большинство операционных систем имеют встроенные антивирусы, но иногда их мощности недостаточно. Требуется дублировать их современными программными продуктами, в случае обработки персональных данных – сертифицированными ФСТЭК РФ;
• программы фильтрации электронной почты, которые защитят компанию от спама и фишинга. Фильтры должны настраиваться сотрудниками службы информационной безопасности, простые пользователи с этой задачей не справятся;
• программы аудита действий пользователей, записывающие в журналы учета все операции, совершаемые с файлами, содержащими конфиденциальную информацию.

Если часть офисных сотрудников работает на удаленном доступе, из дома, необходимо позаботиться о создании защищенного канала связи. В компаниях с повышенным уровнем ИБ необходимо исключить перенос данных в облако. Они должны храниться на сервере компании, а подключение к ним должно осуществляться по защищенным VPN-протоколам. В каждом конкретном случае могут использоваться и другие программные решения, например, межсетевые экраны, средства обнаружения вторжений, средства криптографической защиты. При обработке персональных данных требования к программным решениям будут определяться ФСТЭК РФ.

СКУД

Система контроля и управления доступом (СКУД)– решение, снимающее большинство рисков, связанных с несанкционированным доступом к данным. Под этим термином (Physical Access Control System, PACS) понимается комплекс программно-аппаратных технических средств контроля и управления, имеющих целью ограничение и регистрацию входа-выхода объектов (людей, транспорта) на определенной территории (офис, производство) через точки прохода, а также ограничение доступа пользователей и посетителей к компьютерам, где хранится конфиденциальная информация.

Установка СКУД решает следующие задачи:

• безопасность офиса, сотрудников, информации;
• бизнес-аналитика. Система сохраняет данные, которые могут применяться для анализа использования рабочего времени;
• сокращение расходов на охрану;
• учет рабочего времени сотрудников.

В систему СКУД входят следующие элементы:

• идентификаторы, обычные (смарт-карта) или биометрические (отпечаток пальца или рисунок сетчатки глаза). При использовании биометрических идентификаторов не надо забывать о том, что они относятся к биометрическим персональным данным и возникает необходимость получения согласия на их обработку;
• считыватели. Это могут быть RFID-считыватели, считыватели пин-кода и штрих-кода, биометрические считыватели;
• контроллеры СКУД, управляющие считывающими устройствами;
• устройства центрального управления – программное обеспечение и компьютеры;
• преграждающие устройства – электромагнитные замки, приводы дверей, шлагбаумы, турникеты.

Достаточно простое и экономичное техническое решение, СКУД, обеспечит высокий уровень защиты офиса и поможет проконтролировать трудовую дисциплину.

Комбинация программных и аппаратных средств и обучение пользователей правилам ИБ поможет организовать систему информационной безопасности офиса и конфиденциальных данных на высоком уровне.

30.01.2020