Цифровой мир, окружающий человека последние десятилетия, во многом облегчает ему жизнь, способствует развитию экономики, помогает решать множество бытовых и профессиональных задач. Но вместе с тем увеличению уровня удобств сопутствует и возрастание количества угроз, направленных на личные интересы и права гражданина, на нормальное функционирование бизнеса. Соблюдение даже простых требований информационной безопасности способно защитить средства на картах и персональные данные физического лица. Компаниям, особенно работающим на конкурентных рынках, необходимо относиться к вопросам компьютерной безопасности более ответственно.
Эксперты, разрабатывающие для компаний концепции компьютерной безопасности, начинают работу с подготовки модели угроз. Этот документ помогает определить архитектуру информационных систем и необходимые организационные и технические средства защиты.
На уровне государства модель системных угроз формулируется в Доктрине информационной безопасности, и борьба с ними происходит в основном в правовом поле, путем принятия законов и установления стандартов и методик, определяющих основы информационной безопасности. Для компании же основные угрозы будут зависеть от того, на каких рынках она работает и какие категории информации обрабатывает.
Среди тех угроз, которые чаще всего оказываются в моделях, можно назвать следующие:
Основным принципом выстраивания системы защиты будет то, что абсолютной безопасности информации быть не может. Всегда необходимо соизмерять способы и средства защиты и их стоимость с действительной ценой информации.
Бороться с внутренними угрозами проще, чем с внешними. Информирование сотрудников о базовых правилах работы с компьютером, установление режима коммерческой тайны, разграничение уровней допуска и информирование о случаях привлечения к ответственности за нарушение правил компьютерной безопасности способны снизить инсайдерские риски до минимума. Практически до нуля они уменьшаются в случае установки на рабочих компьютерах современной DLP-системы, но не все компании, работающие в секторе малого и среднего бизнеса, могут себе это позволить.
Чаще всего IT-специалисты ограничиваются несколькими типичными решениями:
Этого не всегда бывает достаточно. Если информация имеет ценность для третьих лиц, для ее защиты нужно применять комплекс организационных и технических мер, а также, при выявлении правонарушений в сфере безопасности информации, обращаться к правовым средствам.
Все они должны быть направлены на обеспечение трех основных свойств безопасности информации:
Государство устанавливает нормы, призванные обеспечить безопасность информации, находящейся на компьютерах и серверах компании. На долю организаций остается или соблюдение правил и стандартов в случаях, предусмотренных законом, или обращение к государственным органам за привлечением к ответственности лиц, совершивших компьютерные преступления.
Стандарты и правила обеспечения информационной безопасности устанавливаются относительно определенных информационных объектов. Так, для защиты персональных данных или объектов критической информационной инфраструктуры приказами ФСТЭК РФ установлены программные средства, использование которых необходимо для защиты от утечек или перехвата управления.
В случае совершения инсайдером или третьим лицом компьютерного преступления гражданин или организация могут обратиться к правоохранительным органам с заявлением о возбуждении уголовного дела по статьям Уголовного кодекса о преступлениях в сфере компьютерной безопасности. Это:
Правовые механизмы защиты начинают действовать только тогда, когда есть желание привлечь инсайдера к ответственности, не боясь того, что пострадают деловая репутация и стабильная работа компании.
В любой организации существуют правила и регламенты, разрабатываемые в целях структурирования работы компании. Создание такого свода правил для работы за компьютером способно устранить многие риски или не допустить их возникновения. В ряде случаев разработка внутренних политик станет обязательной.
Например, оператору персональных данных, исходя из норм закона о персональных данных и постановлений правительства, нужно будет подготовить:
Со всеми документами сотрудники знакомятся под роспись, только это позволит впоследствии привлечь их к ответственности за нарушение правил компьютерной безопасности.
Дополнительно нормы о соблюдении регламентов и сохранении коммерческой тайны включаются в трудовые контракты с сотрудниками и договоры с поставщиками и подрядчиками. Часто наиболее критичные утечки информации происходят в момент ее передачи организации, оказывающей услуги, или в системы облачного хранения.
При работе на компьютере обычный пользователь сталкивается с единственным техническим средством защиты информации, а именно с антивирусной защитой. IT-подразделения корпорации имеют дело с существенно большим набором технических средств, призванных обеспечить защиту информации. Это:
Дополнительно решается задача использования аппаратных средств. Производится установка такой архитектуры информационной системы, которая минимизирует риски утечки информации в процессе ее передачи, установка двухфакторной системы защиты компьютера паролями. Второй пароль ставится на уровне BIOS. Но пароли не всегда решают задачу. Некоторые производители зарубежных системных плат устанавливают функцию введения единого пароля для входа в систему. Обязательным действием станет резервное копирование данных, которые могут быть утрачены в случае технического сбоя, ошибки пользователя или хакерской атаки.
Вся совокупность средств защиты информации призвана обеспечить компьютерную безопасность на высоком уровне, даже без необходимости тратить на решение этой задачи существенные ресурсы.
Подпишитесь на нашу рассылку и получите
свод правил информационной безопасности
для сотрудников в шуточных