Главная Блокировка счета Что такое информационная безопасность бизнеса. Понятие и виды угроз информационной безопасности бизнеса

Что такое информационная безопасность бизнеса. Понятие и виды угроз информационной безопасности бизнеса

Информационная безопасность предприятия
Информационная защита бизнеса

* Из Википедии

Информационная безопасность - это состояние защищённости информационной среды. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

Информационная безопасность предприятия: внутренняя угроза

Целый ряд серьёзных специалистов по информационной безопасности организации называет внутреннюю угрозу важнейшей, отдавая ей до 80% от общего числа потенциальных рисков. Действительно, если рассмотреть средний ущерб от хакерских атак, то он будет близиться к нулю, ввиду большого числа попыток взлома и весьма низкой их результативности. Единичный же случай ошибки персонала или успешного злодеяния инсайдера может стоить компании многомиллионных убытков (прямых и косвенных), судебных разбирательств и дурной славы в глазах клиентов. По факту, под угрозой может оказаться само существование фирмы и это, увы, реальность. Как обеспечить ? Как защититься от утечек информации? Как вовремя распознать и предотвратить внутреннюю угрозу? Какие методы борьбы с ней наиболее эффективны сегодня?

Враг внутри

Внутренним злоумышленником, или инсайдером, может стать практически любой сотрудник, имеющий доступ к конфиденциальной информации компании. Мотивация действий инсайдера не всегда очевидна, что влечёт за собой значительные трудности в его идентификации. Недавно уволенный сотрудник, затаивший обиду на работодателя; нечистый на руку работник, желающий подзаработать на продаже данных; современный Герострат; специально внедрённый агент конкурента или преступной группы – вот лишь несколько архетипов инсайдера.

Корень всех бед, которые могут принести злоумышленные действия инсайдеров, кроется в недооценке важности этой угрозы. Согласно исследованию проведённому компанией Perimetrix, утечка более 20% конфиденциальной информации фирмы в большинстве случаев ведёт за собой её крах и банкротство. Особенно частой, но до сих пор наиболее уязвимой жертвой инсайдеров становятся финансовые учреждения, причём любого размера – со штатом от сотни до нескольких тысяч работников. Несмотря на то, что в большинстве случаев компании стараются скрыть или существенно занизить реальные цифры ущерба от действий инсайдеров, даже официально оглашаемые суммы убытков поистине впечатляют. Гораздо больнее финансовых потерь по компании бьёт ущерб репутации фирмы и резкое снижение доверия клиентов. Зачастую, непрямые потери могут многократно превышать фактический прямой ущерб. Так, широко известен случай с лихтенштейнским банком LGT, когда в 2008 году сотрудник банка передал базу данных по вкладчикам спецслужбам Германии, США, Великобритании и других стран. Как оказалось, огромное количество иностранных клиентов банка использовали особый статус LGT для проведения транзакций в обход действующих в их странах налоговых законов. По миру прокатилась волна финансовых расследований и связанных с ними судебных разбирательств, а банк LGT растерял всех своих значимых клиентов, понёс критические потери и вверг весь Лихтенштейн в тяжелый экономический и дипломатический кризис. За совсем свежими примерами тоже не нужно ходить далеко – в начале 2011 года факт утечки персональных данных клиентов признал такой финансовый гигант, как Bank of America. В результате мошеннических действий, из банка утекла информация с именами, адресами, номерами социального страхования и телефонов, номерами банковских счетов и водительских прав, адресами электронной почты, PIN-кодами и прочими личными данными вкладчиков. Едва ли удастся точно определить реальный масштаб потерь банка, если только официально было заявлено о сумме «более 10 миллионов долларов». Причина утечки данных – действия инсайдера, который передавал информацию организованной преступной группе. Впрочем, под угрозой инсайдерских атак не только банки и фонды, достаточно будет вспомнить целый ряд громких скандалов, связанных с публикаций конфиденциальных данных на ресурсе WikiLeaks – по оценке специалистов, изрядная доля информации была получена именно через инсайдеров.

Проза жизни

Непредумышленное причинение вреда конфиденциальным данным компании, их утечка или потеря – вещь куда более частая и прозаическая, чем вред, наносимый инсайдерами. Безалаберность персонала и отсутствие должного технического обеспечения информационной безопасности может стать причиной прямой утечки корпоративных секретов. Такая халатность несёт не только серьёзные убытки бюджету и репутации компании, но и может вызывать широкий общественный диссонанс. Вырвавшись на волю, секретная информация становится достоянием не узкого круга злоумышленников, а всего информационного пространства – утечку обсуждают в интернете, на телевидении, в прессе. Вспомним громкий скандал с публикацией SMS-сообщений крупнейшего российского оператора сотовой связи «Мегафон». Из-за невнимательности технического персонала, смс-сообщения были проиндексированы интернет-поисковиками, в сеть попала переписка абонентов, содержащая информацию как личного, так и делового характера. Совсем недавний случай: публикация личных данных клиентов Пенсионного фонда России. Ошибка представителей одного из региональных представительств фонда привела к индексации персональной информации 600 человек – имена, регистрационные номера, подробные суммы накоплений клиентов ПФР мог прочитать любой пользователь интернета.

Очень частая причина утечек конфиденциальных данных по неосторожности связана с ежедневной ротацией документов внутри компании. Так, например, сотрудник может скопировать файл, содержащий секретные данные, на портативный компьютер, USB-носитель или КПК для работы с данными вне офиса. Также, информация может попасть на файлообменник или личную почту работника. При подобных ситуациях, данные оказываются полностью беззащитными для злоумышленников, которые могут воспользоваться непреднамеренной утечкой.

Золотые доспехи или бронежилет?

Для защиты от утечки данных в индустрии информационной безопасности создаются разнообразные системы защиты информации от утечки, традиционно обозначаемых аббревиатурой DLP от англ. Data Leakage Prevention («предотвращение утечки данных»). Как правило, это сложнейшие программные комплексы, имеющие широкий функционал по предотвращению злоумышленной или случайной утечки секретной информации. Особенностью таких систем является то, что для корректной их работы требуется строго отлаженная структура внутреннего оборота информации и документов, поскольку анализ безопасности всех действий с информацией строится на работе с базами данных. Этим объясняется высокая стоимость установки профессиональных DLP-решений: ещё перед непосредственным внедрением, компании-клиенту приходится приобретать систему управления базами данных (как правило, Oracle или SQL), заказывать дорогостоящий анализ и аудит структуры оборота информации, вырабатывать новую политику безопасности. Обычной является ситуация, когда в компании неструктурированно более 80% информации, что даёт зрительное представление о масштабе подготовительных мероприятий. Разумеется, сама DLP-система тоже стоит немалых денег. Неудивительно, что профессиональную DLP-систему могут себе позволить только крупные компании, готовые тратить миллионы на информационную безопасность организации .

Но что же делать предприятиям среднего и малого бизнеса, которым требуется обеспечить информационную безопасность бизнеса , но средств и возможностей на внедрение профессиональной DLP-системы нет? Самое важное для руководителя компании или офицера службы безопасности определить, какую информацию защищать и какие стороны информационной деятельности сотрудников подвергать контролю. В российском бизнесе до сих пор преобладает мнение, что защищать нужно абсолютно все, без классификации информации и расчета эффективности средств защиты. При таком подходе совершенно очевидно, что узнав суммы расходов на информационную безопасность предприятия , руководитель среднего и малого бизнеса машет рукой и надеется на «авось».

Существуют альтернативные способы защиты, которые не затрагивают базы данных и сложившийся жизненный цикл информации, но дают надёжную защиту от действий злоумышленников и халатности сотрудников. Это гибкие модульные комплексы, которые без проблем работают с другими средствами безопасности, как аппаратными, так и программными (например, с антивирусами). Грамотно составленная система безопасности даёт очень надёжную защиту как от внешних, так и от внутренних угроз, предоставляя идеальный баланс цены и функционала. По мнению специалистов российской компании-разработчика систем информационной безопасности SafenSoft , оптимальным является сочетание элементов защиты от внешних угроз (например, HIPS для предотвращения вторжений, плюс антивирусный сканер) со средствами мониторинга и контроля доступа пользователей и приложений к отдельным секторам информации. При таком подходе вся сетевая структура организации полностью защищена от возможного взлома или инфицирования вирусами, а средства контроля и наблюдения за действиями персонала при работе с информацией позволяют эффективно препятствовать утечкам данных. При наличии всего необходимого арсенала защитных средств, стоимость модульных систем в десятки раз меньше комплексных DLP-решений и не требует никаких затрат на предварительный анализ и адаптацию информационной структуры компании.

Итак, подведём итоги. Угрозы информационной безопасности предприятия совершенно реальны, их нельзя недооценивать. Кроме противодействия внешним угрозам особое внимание следует уделить угрозам внутренним. Важно помнить, что утечки корпоративных секретов случаются не только по злому умыслу – как правило, их причина в элементарной халатности и невнимательности работника. При выборе средств защиты не нужно пытаться охватить все мыслимые и немыслимые угрозы, на это просто не хватит денег и сил. Постройте надёжную модульную систему безопасности, закрытую от рисков вторжения извне и позволяющую осуществлять контроль и мониторинг за потоком информации внутри компании.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Хованскова В.С., Румянцев К.Е., Ховансков С.А. Метод повышения защиты работоспособности распределенных вычислений в компьютерных сетях // Известия ЮФУ. Технические науки. - 2012. - № 4 (129). - С. 102-107.

2. Ховансков С.А., Норкин О.Р. Алгоритм повышения производительности распределенных сетевых вычислений // Информатизация и связь. - 2011. - № 3. - С. 96-98.

3. Литвиненко В.А., Ховансков С.А. Решения задач путем организации распределенных вычислений в сети // Известия ЮФУ. Технические науки. - 2008. - № 3 (80). - С. 16-21.

4. Ховансков С.А., Норкин О.Р. Алгоритмическая оптимизация конфигурации системы децентрализованных вычислений // Телекоммуникации. - 2012. - № 11. - С. 2-5.

5. Ховансков С.А. Организация распределенных вычислений с иерархической структурой связей // Информационное противодействие угрозам терроризма. - 2007. - № 9. - С. 170-178.

6. Литвиненко В.А., Ховансков С.А. Алгоритм оптимизации параметров компьютерной сети для уменьшения времени решения задачи на основе мультиагентной системы // Известия ЮФУ. Технические науки. - 2007. - № 2 (77). - С. 186-190.

7. Ховансков С.А., Литвиненко В.А., Норкин О.Р. Организация распределенных вычислений для решения задач трассировки // Известия ЮФУ. Технические науки. - 2010.

- № 12 (113). - С. 48-55.

8. Калашников В.А., Трунов И.Л., Ховансков С.А. Параллельный алгоритм размещения на многопроцессорной вычислительной системе // Известия ЮФУ. Технические науки.

1997. - № 3 (6). - С. 181-184.

Румянцев Константин Евгеньевич - Федеральное государственное автономное образовательное учреждение высшего профессионального образования «Южный федеральный университет»; e-mail: [email protected]; 347900, г. Таганрог, ул. Чехова, 2; тел.: 88634328725; кафедра ИБТКС; зав. кафедрой; д.т.н.; профессор,

Ховансков Сергей Андреевич - e-mail: [email protected]; тел.: 88634642530; кафедра ИБТКС; к.т.н.; доцент.

Хованскова Вера Сергеевна - e-mail: [email protected]; тел.: 88634676616; студентка.

Rumyantsev Constantine Evgen’evich - Federal State-Owned Autonomy Educational Establishment of Higher Vocational Education “Southern Federal University”; e-mail: [email protected]; 2, Chekhov street, Taganrog, 347900, Russia; phone: +78634328725; the department of IBTKS; head the department; dr. of eng. sc.; professor.

Khovanskov Sergey Andreevich - e-mail: [email protected]; phone: 88634642530; the department of ISTCN; cand. of eng. sc.; associate professor.

Khovanskovа Vera Sergeevna - e-mail: [email protected]; phone: +78634676616; student.

Е.Н. Ефимов, Г.М. Лапицкая

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И БИЗНЕС-ПРОЦЕССЫ

КОМПАНИИ

Цель исследования показать, что информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компании. При этом бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

При разработке стратегии управления информационной безопасностью предложена комплексная диагностика состояния компании с помощью SWOT-анализа с условной количественной оценкой результатов, полученной с помощью метода анализа иерархий.

Идентификация рисков необходима для оценки значимости угроз и построения системы безопасности. Анализ показал, что риски бизнес-процессов компании группируются в следующие категории: риски при проектировании, риски при реинжиниринге и риски в процессе использования бизнес-процессов.

Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которые сегодня рассматриваются как один из эффективных способов управления информационными технологиями и информационной безопасностью. Систему GRC при этом целесообразно комплексировать с системами класса Business Process Management, предназначенных для управления бизнес-процессами компании.

Бизнес-цели; информационная безопасность; бизнес-процессы.

E.N. Efimov, G.M. Lapitskaya

INFORMATION SECURITY AND BUSINESS PROCESSES OF THE COMPANY

The Purpose of the study to show that information safety must be created and exist within the framework of achievement business-integer to companies. At business-processes are a firsthand given for organization of information safety to companies.

At development of the strategies of management information safety is offered complex diagnostics of the condition to companies by means of SWOT-analysis with conditional quantitative estimation result, got by means of method of the analysis hierarchy.

The Identification risk required for estimation of value of the threats and buildings of the system to safety. The Analysis has shown that risks business-processes to companies are grouped in the following categories: risks when designing, risks under reengineering and risks in process of the use business-processes.

Automate the processes to safety to companies reasonable by means of systems of the class GRC (Governance, Risk management and Compliance), which are today considered as one of the efficient ways of management information technology and information safety. The Systems GRC herewith necessary complex with system of the class Business Process Management, intended for governing business-process to companies.

Business-purposes; information safety; business-processes.

Постановка проблемы. Информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компаний. Эффективное ведение бизнеса невозможно без использования современных информационных технологий (ИТ), которые используются для поддержки практически всех бизнес-процессов современной компании. Однако сегодня очевидна тенденция: информационная безопасность из защиты конкретных сетей, серверов, информационных ресурсов, превращается в безопасность бизнес-процессов компаний, поддерживаемых ИТ. Это предполагает наличие двух взаимозависимых направлений обеспечения безопасности компании: с одной стороны - эффективная работа бизнеса в части функционирования бизнес-процессов; с другой - нормальное функционирование поддерживающей ИТ-инфраструктуры. В настоящее время не сложилось единого подхода к информационной безопасности именно в данном контексте.

Для понимания основных проблем безопасности компании целесообразно выполнить тщательный анализ внешней и внутренней среды бизнеса, выделить те компоненты, которые действительно имеют значение, провести сбор и отслеживание информации по каждому компоненту и на основе оценки реального положения выяснить состояние компании и причины этого положения. Точная, комплексная, своевременная диагностика состояния компании - первый этап в разработке стратегии управления безопасной деятельностью.

Самый распространенный способ оценки стратегического положения компании - SWOT-анализ1. Матрица SWOT-анализа может быть представлена в виде следующей совокупности:

SWOT = ,

где St (Strengths) - множество сильных сторон организации, St = (St1, St2, ..., Stmt); W (Weaknesses) - множество слабых сторон организации, W = (W1, W2, ..., Wnw); Op (Opportunities) - множество возможностей организации, Op = (Op1, Op2, ., Opnop); Th (Threats) - множество угроз организации, Th = (Th1, Th2, ..., Thnth).

При этом важно понимать, что сильные St = (St1, St2, ..., Stnst) и слабые W = (W1, W2, ..., Wnw) стороны - это те составные части деятельности компании, которые она может контролировать, а возможности Op = (Op1, Op2, ., Opnop) и угрозы Th = (Th1, Th2, ..., Thnth) - это те факторы, которые находятся вне контроля компании и могут повлиять на процесс ее развития .

Результаты SWOT-анализа позволяют сформулировать стратегию безопасности компании на данном этапе развития. Эта задача вряд ли может быть формализована, однако на основе этих данных может быть разработано множество стратегий организации S = (S1, S2, ., Sn).

Для условной количественной оценки SWOT-матрицы возможно использовать, например, метод анализа иерархий (МАИ). Данный метод обеспечивает реализацию наиболее эффективного способа оценки количественно неизмеримых, но вместе с тем важных, факторов для принятия обоснованных решений. Кроме того, метод работает с несогласованными суждениями и не требует, чтобы предпочтения потребителей или лица принимающего решение (ЛПР) соответствовали аксиомам полезности. МАИ позволяет сводить исследования сложных проблем к простой процедуре проведения последовательно парных сравнений .

В качестве примера рассматривались результаты SWOT-анализа действующего предприятия телекоммуникационной отрасли (ОАО «Телеком»), предоставляющего полный спектр услуг связи (проводная и беспроводная телефония, доступ в сеть Интернет, услуги радиосвязи, информационные услуги) на территории города и области (в статье не приводится). Вариант последующей оценки SWOT-матрицы с помощью МАИ представлен в табл. 1.

Таблица 1

Оценка SWOT-матрицы

St W Op Th Вектор приоритетов Нормализованный вектор

St 1 1 0,33 0,33 0,58 0,10

W 1 1 0,2 0,14 0,41 0,07

Op 3 5 1 0,2 1,32 0,24

Th 3 7 5 1 3,20 0,58

Индекс согласованности ИС = 0,14 и отношение согласованности ОС = 15,58 < 20 % показывают удовлетворительную согласованность оценок ЛПР.

Значения нормализованного вектора лежат в пределах , поэтому результаты экспертных расчетов могут трактоваться следующим образом: “угрозы” организации значительны (П = 0,58), “возможности” организации для решения проблем удовлетворительны (Op = 0,24), “силы” организации для преодоления проблем посредственны ^ = 0,1), “слабости” организации незначительны ^ = 0,07).

1 SWOT - это аббревиатура, включающая начальные буквы четырёх английских слов: strength («сила»), weakness («слабость»), opportunities («возможности»), и threats («угрозы»)

Такой взгляд на проблему безопасности компании позволяет конкретизировать ее цель и задачи, объекты и угрозы, выработать план мероприятий по снижению рисков бизнес-процессов и произвести оценку эффективности проведенных мероприятий.

В связи с определенной спецификой исследования информационной безопасности с точки зрения безопасности бизнес-процессов компании необходимо вначале выполнить идентификацию рисков бизнес-процессов. Целью идентификации рисков является оценка подверженности компании угрозам, которые могут нанести существенный ущерб. Для сбора информации о рисках производится анализ бизнес-процессов компании и опрос экспертов предметной области. Результатом данного процесса является классифицированный перечень всех потенциальных рисков.

Идентификация рисков бизнес-процессов. Бизнес-процесс можно представить как преобразование:

Р (X, Я, Я, I О) ^ У, где Р - процесс, имеющий вид множества действий Р = {Бх, Б2, ..., Бр};X = {Хх, Х2,..., Х} - входные потоки бизнес-процесса и их поставщики; У = { Ух, У2,..., У} -выходные потоки бизнес-процесса и их потребители; Я = {Ях, Я2,..., Я/} - множество ресурсов, используемых для выполнения бизнес-процесса (технические, материальные, информационные); Я = {Я1, Я2,..., Яп} - множество функций, реализуемых в бизнес-процессе; I = { 2Ь 12,..., 1т} - множество участников и исполнителей бизнес-процесса; О = {Ох, О2,..., О} - границы и интерфейсы процесса.

Из данного определения видно, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

Вначале необходимо определить объекты защиты, т.е. что и от каких угроз следует защищать. К объектам защиты, безусловно, относятся информация, бизнес-процессы и материальные ресурсы компании.

Очевидным началом работ по информационной безопасности сегодня признается классификации данных компании. Классификация - процесс сложный, требующий немало времени и средств. Для того, чтобы классификация была эффективной, ее необходимо постоянно поддерживать и актуализировать. Целесообразность классификации заключается в том, что она позволяет определить все места хранения информации и выявить ту информацию, которую следует защищать. Это позволяет минимизировать количество конфиденциальной информации. При проведении классификации выявляются документы, бывшие когда-то секретными, но теперь уже потерявшие свою актуальность. Их можно отправить в архив или безвозвратно удалить.

Информационные активы (ИА) как объекты защиты требуют поддержания целостности, доступности и, если требуется, конфиденциальности информации в бизнес-системах. Проведенный анализ возможных угроз показал, что информационная инфраструктура должна обладать свойством защищенности информации, используемой в бизнес-процессах, т.е. обеспечивать защиту от несанкционированного (преднамеренного или случайного) получения, изменения, уничтожения или использования коммерческой, служебной или технологической информации. С учетом наличия компонентов бизнес-процесса, а также их взаимосвязей, к потенциально опасным ситуациям относятся: несанкционированный доступ нарушителей (не владельцев и участников процессов) к информации, хранящейся и обрабатываемой в средствах автоматизации, с целью ознакомления, искажения или уничтожения. При этом, точками входа могут быть интерфейсы и границы процесса, а также информация, необходимая для реализации функций (операций, процедур) процесса; перехват информации при ее приеме (передаче) по каналам связи

(сети) функциями процесса, а также за счет хищения носителей информации; уничтожение (изменение, искажение) информации за счет случайных помех, сбоев технических (программных) средств при передаче, хранении и обработке информации; несанкционированное влияние на бизнес-процесс нарушителей из числа владельцев и (или) участников процесса .

Анализ предметной области показал, что целесообразно идентифицировать риски бизнес-процессов компании на всех основных стадиях их жизненного цикла: на этапах проектирования, реинжиниринга и в процессе использования бизнес-процессов.

Идентификация рисков при проектировании и реинжиниринге бизнес-процессов. Даже первоначальное описание основных бизнес-процессов компании приносит как ощутимые результаты повышения эффективности работы, так и возможные потери (риски). Это, прежде всего, риски из-за ошибок при проектировании процессов: ошибки незавершенности (наличие пробелов в описании процесса); ошибки несоответствия (неадекватного использования информационных ресурсов в различных частях процесса, что приводит к искаженному восприятию информации или к неясности указаний); ошибки иерархической или «наследственной» несовместимости (наличие конфликта между основными и последующими процессами). Очевидно, следует допустить и наличие иных видов ошибок.

Следующий ряд рисков возникает из-за ошибок в методологии описания процессов (или парадигмы «.методология - модель - нотация - средства»): при отображении функций системы; процессов, обеспечивающих выполнение функций; данных и организационных структур, обеспечивающих выполнение функций; материальных и информационных потоков в ходе выполнения функций.

Далее следует отметить риски, возникающие из-за несоответствия топологии процесса, не позволяющие добиться максимально понятного течения процесса, отражающего при этом либо реальное положение вещей, либо оптимальное с учетом загрузки исполнителей, доступности ресурсов или других обстоятельств. Анализ ошибок топологии процесса может проводиться в несколько итераций. В результате анализируемый процесс может кардинально измениться. Например, функции, которые раньше выполнялись последовательно друг за другом, будут выполняться параллельно. Безусловно, что при этом не должна исказиться логика процесса и получаемый результат.

Идентификация рисков при использовании бизнес-процессов. Операционный риск можно определить как риск прямых или косвенных убытков в результате неверного исполнения бизнес-процессов, неэффективности процедур внутреннего контроля, технологических сбоев, несанкционированных действий персонала или внешнего воздействия. Операционный риск критичен для процессов, характеризующихся значимостью для деятельности организации в целом, большим числом транзакций в единицу времени, сложной системой технической поддержки. Выделяемые обычно риск-факторы аналогичны показателям состояния внутренней операционной среды и бизнес-процессов - объем операций, оборот, процент ошибочных действий. Управление операционными рисками осуществляется построением прозрачных и управляемых бизнес-процессов, правильной организационной структурой с опорой на экспертное знание .

Для решения задач устранения операционных рисков бизнес-процессов может быть использована система lean production (бережливое производство) - концепция менеджмента, созданная на основе производственной системы Toyota. Цель lean - идентифицировать, проанализировать и устранить потери в производственных процессах . В соответствии с концепцией lean в бизнес-процессах возникает восемь видов потерь: неиспользование потенциала сотрудников; потери

от перепроизводства; потери на транспортировку; потери от брака, излишних отходов и переделок; потери на обслуживание запасов; потери на перемещениях и движениях персонала; потери от простоев; потери из-за чрезмерной обработки. Потери в этом случае рассматриваются как операции, на которые затрачиваются временные и материальные ресурсы, без добавления ценности товару или услуге для конечного потребителя.

Так, к примеру, необходима защита от противоправных действий персонала, выполняющего бизнес-процессы, несанкционированного воздействия на поставщиков, объемы и сроки поставки ресурсов; регламент выполнения бизнес-процессов, в т.ч. регламент внутренних и внешних интерфейсов; технологию выполнения бизнес-процессов и прочее.

Описание бизнес-процессов, их моделирование, последующий контроль и анализ выполнения - постоянная и последовательная деятельность по устранению операционных рисков, а следовательно и потерь.

Автоматизировать процессы информационной безопасности компании можно с помощью систем класса GRC (Governance, Risk management and Compliance), которые рассматриваются сегодня как один из эффективных способов управления информационными технологиями и информационной безопасностью.

GRC это взгляд на управление чем-либо с трёх точек зрения: высшего руководства (Governance), управления рисками (Risk management) и соответствия требованиям (Compliance). Результатом обработки информации о деятельности всех подразделений компании становятся наглядные отчеты, сформулированные в терминах бизнеса.2

Например, модуль Enterprise Management продукта RSA Archer eGRC позволяет выполнить инвентаризацию и классификацию активов компании, создать единый реестр взаимоувязанных между собой активов, включая информационные и технологические активы, бизнес-процессы, товары и услуги, подразделения и отдельные бизнес-единицы, производственные помещения и оборудование, контакты с ответственными работниками компании, партнерами и поставщиками. Для каждого актива определяется его владелец и ценность для компании. Результаты данной работы могут использоваться при дальнейшем проведении процедуры оценки рисков информационной безопасности. Интеграция с системами управления уязвимостями SIEM или DLP позволяет установить приоритет устранения уязвимостей и нейтрализации инцидентов в отношении каждого конкретного актива.3

Однако реализовать все функции GRC в контексте безопасности бизнес-процессов с помощью одного, пусть даже хорошего, ИТ-решения практически невозможно. Система, которая может помочь в решении задач этой концепции, должна быть такая же комплексная, как и сами задачи GRC.4 Для комплексирова-ния с GRC-системой целесообразно использовать системы класса Business Process Management (ВРМ), Business" Performance Management и Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами. Диаграмма взаимосвязи бизнес-процессов и основных субъектов информационной безопасности компании в нотации UML приведена на рис. 1.

2 Евгений Безгодов Что такое ОЯС и чем это может быть полезно для информационной безопасности? [Электронный ресурс] http://ru.deiteriy.com/what_is_grc_and_its_ ^аЬИ-ityJnJnformation_security/.

3 ОЯС - путь к оптимизации процессов управления ИБ //Банковское обозрение №9 (176) Сентябрь 2013 [электронный ресурс] http://www.bosfera.ru/bo/put-k-optimizatsii-protsessov

4 Концепция ОЯС стала очередным этапом развития рынка ИБ [Электронный ресурс] http://www.cnews.ru/reviews/free/security2008/articles/grc.shtml.

Рис. 1. Взаимосвязь бизнес-процессов и основных субъектов информационной

безопасности компании

Взаимодействие бизнес-процессов компании и среды, создающей угрозы, прежде всего для бизнес-процессов, в рамках системы информационной безопасности приведено на диаграмме ниже (рис. 2).

Рис. 2. Взаимодействие бизнес-процессов и среды, создающей угрозы

Основные выводы.

Комплексная диагностика состояния компании - первый этап в разработке стратегии управления информационной безопасностью, которую лучше всего выполнить с помощью SWOT-анализа с предлагаемой условной количественной оценкой.

Анализ показал, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

Обеспечение информационной безопасности бизнес-процессов следует начинать с разработки классификации данных, которая позволяет выявить информацию для защиты, минимизировать количество конфиденциальной информации, определить все места хранения информации, что может быть использовано для оптимизации бизнес-процессов в компании.

Анализ возможных рисков бизнес-процессов позволил установить следующие группы: риски при проектировании, реинжиниринге и в процессе использования бизнес-процессов.

Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которая должна комплексироваться с системами класса Business Process Management, Business Performance Management или Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Каменнова М.С., Громов А.И., Ферапонтов М.М., Шматалюк А.Е. Моделирование бизнеса. Методология ARIS. - М.: Весть-МетаТехнология, 2001.

2. Саати Т. Принятие решений. Метод анализа иерархий. - М.: Радио и связь, 1993.

3. Стельмашонок Е.В. Организация информационной защиты-бизнес-процессов // Прикладная информатика. - 2006. - № 2. - C. 42-57.

4. Тимохин А. Как найти все потери: практика применения методологии lean в НПО «ЭЛСИБ» // "БОСС" № 9, 2012.

5. Ханова А.А. Структурно-функциональная модель сбалансированной системы показателей при принятии управленческих решений // Вестник АГТУ Сер.: Управление, вычислительная техника и информатика. - 2012. - № 1. - C. 200-208.

Ефимов Евгений Николаевич - Ростовский государственный экономический университет (РИНХ); e-mail: [email protected]; 344002, г. Ростов-на-Дону, Б. Садовая, 69, комн. 306 а; тел.: 89525721917; кафедра информационных технологий и защиты информации; д.э.н.; профессор.

Лапицкая Галина Мелконовна - e-mail: [email protected]; тел.: 89286050143; кафедра информационных технологий и защиты информации; к.э.н.; профессор.

Efimov Evgeniy Nikolayevich - Rostov State Economic University; e-mail: [email protected]; 69, B. Sadovaya street, room 306 a, Rostov-on-Don, 344002, Russia; phone: +79525721917; the department information technologies and information security; dr.ec. sc.; professor.

Lapickaya Galina Melkovna - e-mail: [email protected]; phone: +79286050143; the department information technologies and information security; cand.ec. sc.; professor.

Ничто не дается бизнесу столь дешево и не обходится столь дорого, как ошибки в системе защиты корпоративной информации. Лучше учиться на чужих ошибках безопасности.

Кибератаки и DLP -системы

В 2010 году сотрудник HSBC- банка, входящего в полусотню самых надежных банков мира при увольнении прихватил с собой реквизиты 15 тыс. клиентов (преимущественно из Швейцарии и Франции). Этот обошлось банку в $94 млн, потраченных на замену неэффективной системы безопасности.

Куда больший ущерб нанесли добропорядочным гражданам киберпреступники, взломавшие Twitter -аккаунт Associated Press . Взломщики кратко «прощебетали»: «Два взрыва в Белом доме, Барак Обама ранен». Индекс Dow Jones упал на 150 пунктов, а голубые фишки сократили свою суммарную капитализацию на $200 млрд. Правда, после того как появилось опровержение, паника прекратилась, и индекс вернулся к прежнему значению. Но те, кто поспешили сбросить акции по ползущим вниз ценам, изрядно прогорели. Ответственность за взлом взяла на себя некая «Сирийская электронная армия». Однако утверждать наверняка, что это была не чисто экономическая диверсия, нельзя. Уж слишком точно было выбрано время: сразу же после теракта на Бостонском марафоне.

На Всемирном экономическом форуме в числе глобальных рисков для мировой экономики, таких как коррупция, демографический кризис, истощение природных ресурсов, были впервые в истории названы и кибератаки. Угрозы, подстерегающие и компании, и государственные структуры, могут быть как внешними, так и внутренними. Собственно кибератаки - это внешняя угроза. Внутренние угрозы - необязательно результат злого умысла. Вполне лояльные, но некомпетентные в области IT сотрудники могут случайно запустить вложенную в электронное письмо вредоносную программу, по ошибке стереть нужную папку, забрести на сайт, нашпигованый троянами. В результате важная для компании информация может либо бесследно исчезнуть, либо попасть в руки конкурентов или каких-нибудь «борцов за справедливость», одержимых идеями спасения человечества от глобализма и прочих язв капитализма, тоталитаризма etc. Статистика показывает, что наибольший вред компании терпят от своего же персонала.

Проблема компьютерной безопасности возникла сразу, как только американская компания Eckert-Mauchly Computer Corporation в 1951 году выпустила первый серийный компьютер UNIVAC I . Долгое время эта проблема носила скорее теоретический характер. Все изменилось после изобретения Интернета и лавинообразного разрастания Всемирной паутины.

Для противодействия киберпреступности понадобилась целая новая индустрия. Каждый год российские и иностранные компании выпускают все новые и новые антивирусы, криптографические программы, продукты, предотвращающие фишинг и ddos-атаки и т. п. Программы постоянно совершенствуются, возникают новые их разновидности. В частности, сравнительно недавно на рынок средств информационной безопасности вышли DLP -системы (Data Leak Prevention ), предотвращающие утечку информации из корпоративных сетей.

Полноценная и полнофункциональная DLP-система обладает следующими функциями:

тотальный и постоянный контроль всех каналов потенциальной утечки информации;
анализ всего трафика, выходящего за пределы корпоративной сети на предмет наличия конфиденциальной информации;
блокирование передачи конфиденциальной информации, под которой понимаются не только корпоративные секретные данные, но и оскорбительные высказывания, непристойные видеоролики, а также почтовые рассылки, по той или иной причине негативно влияющие на корпоративный имидж;
блокирование приема нежелательной и вредоносной информации;
архивирование перехваченного несанкционированного трафика с целью расследования возникших инцидентов.

Необходимо отметить, что DLP-системы не отменяют актуальность прежних категорий продуктов, таких как антивирусы, криптографические программы, электронные замки с повышенной степенью идентификации пользователей и прочее. Однако весь этот инструментарий за последние 2-3 года стал более уязвимым. Причиной тому два глобальных IT-тренда: экспансия мобильных устройств и облачные вычисления.

Новые уязвимости

В настоящий момент на руках у россиян находится около 50 млн мобильных устройств - смартфонов, планшетов, нетбуков, ноутбуков и т. д. В этом году показатель увеличится еще на 12 млн, а к 2015-му превысит 70 млн. Согласно прогнозу аналитической компании International Data Corporation , мобильные устройства по частоте выхода в Интернет превзойдут персональные компьютеры уже в ближайшие месяцы.

И все эти устройства создают потенциальные уязвимости как для самой корпоративной сети, так и для хранящейся в ней конфиденциальной информации. У хакеров сейчас в большой моде вредоносные программы для смартфонов, работающих под управлением ОС Android . И поскольку сотрудники пользуются смартфонами и на работе, и дома, и на отдыхе, и в транспорте, вероятность инфицирования серверов, входящих в состав корпоративной сети, резко повышается.

Есть угроза и иного рода. Известны как минимум три случая, когда либо подгулявшие, либо перетрудившиеся сотрудники британской контрразведки MI-5, теряли свои ноутбуки с секретной информацией в самых неподходящих местах - в метро, такси, кафе. А смартфон, согласитесь, потерять куда легче, чем ноутбук.

Бороться с «тотальной мобилизацией» офиса бесполезно. Да и невыгодно: ведь сотрудники благодаря смартфонам и планшетам могут работать и дома или на отдыхе. По данным «Лаборатории Касперского», сейчас категорически запрещено использовать на работе мобильные устройства лишь четвертой части сотрудников всех компаний. Полный доступ к корпоративным ресурсам имеют 34% владельцев смартфонов, 38% - планшетов, 45% - ноутбуков. Для остальных введены ограничения различных уровней доступа.

Как же обеспечить информационную безопасность в эпоху мобильного Интернета и облачных вычислений? Задача непростая. Ведь рабочие станции и сервера корпоративных сетей работают под управлением одних ОС (Windows или Unix ), их безопасность поддерживается встроенными в систему средствами. А мобильные устройства мало того, что используют свои ОС, так еще и не располагают эффективными средствами защиты, потому что они задумывались как устройства индивидуального, а не корпоративного пользования. Ситуация усугубляется еще и тем, что контролировать местонахождение мобильного устройства и источник подключения, а также то, в чьих руках оно находится, организационными методами невозможно.

Как правило, эти проблемы решаются программными средствами за счет усиления защитного контура системы, адаптирования корпоративной системы безопасности ко всему многообразию мобильных устройств и установки на них необходимых защитных приложений. Однако возможен и иной способ - выдать сотрудникам корпоративные защищенные планшеты и смартфоны.

Отечественный производитель средств компьютерной безопасности «Код Безопасности» выпустил планшет «Континент Т-10» , работающий под управлением ОС Android 4 и оснащенный всеми необходимыми средствами для безопасной удаленной работы как самого планшета, так и приложений корпоративной системы, к которым он подключается через защищенный шлюз. Этот мобильный девайс полностью интегрирован в корпоративную систему безопасности и не требует никаких дополнительных адаптационных мероприятий.

Серьезные проблемы создают и облачные вычисления. Российский рынок облачных услуг уже превысил годовой оборот в $150 млн и растет ежегодно на 50%. При этом большая часть рынка приходится на частные облака, то есть создаваемые внутри корпорации. Частные облака существенно отличаются от корпоративных сетей жесткой конфигурации с точки зрения информационной безопасности. И требуют собственных средств защиты.

По линейке

Российский рынок информационной безопасности стремительно развивается и уже превысил объем в $600 млн. 15% рынка контролируют пять крупнейших игроков: «Астерос», «Крок», «Информзащита», Leta и «Инфосистемы Джет» . Что же касается мирового рынка, то при ежегодном приросте в 30%, его объем приблизился к $1 млрд. Среди международных лидеров значатся такие гиганты, как Symantec, McAffee, TrendMicro, Check Point, Cisco Systems .

И российские, и западные производители, решая общие задачи, выпускают схожие продукты. Для того чтобы гарантированно защитить информацию от всего спектра существующих угроз, необходим комплексный подход, учитывающий все аспекты функционирования корпоративных сетей, не только технические, но и психологические, связанные с человеческим фактором. Наилучшие результаты достигаются при использовании всей линейки продуктов, обеспечивающих защиту информации: антивирусов, межсетевых экранов, антиспамов, криптографических средств, систем предотвращения потери данных и т. п. Одна единственная брешь в защитном контуре системы способна привести к непредсказуемому ущербу.

Но каждый отдельный отечественный производитель предлагают не всю продуктовую линейку. Возникает ситуация, получившая название «зоопарка систем», когда использование различных продуктов, имеющих различную идеологию, требует создания сложных схем управления. В исключительных случаях это может привести к отказу системы.

Поэтому при выборе системы безопасности следует руководствоваться не только полнотой функционала и масштабируемостью, но и управляемостью, зависящей от единства концепции всех ее компонентов. Из российских вендоров, этому требованию удовлетворяет, например, компания «Код Безопасности», имеющая самую широкую продуктовую линейку. Ее продукты, инсталлированные по «бесшовной» технологии, позволяют оперативно отслеживать происходящие события из единой точки контроля всех защитных систем.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Информационная безопасность в бизнесе

Введение

Информация, которую необходимо защищать

От кого следует оберегать информацию?

Защита информации

Заключение

Литература

Введение

На сегодняшний день проблема обеспечения безопасности является одной из самых актуальных в бизнесе. Однако зачастую, под обеспечением безопасности понимается только физическая охрана персонала и материальных ценностей. Но таким способом можно противостоять только криминалу. Между тем, вступая в рыночные отношения, любая организация сталкивается с острой конкурентной борьбой, существующей на любом цивилизованном рынке. И эта борьба таит в себе немало опасностей для предприятия. Если компания достигла каких-либо успехов в своём бизнесе, можно не сомневаться в том, что она вызывает немалый интерес со стороны компаний-конкурентов. Любая информация о работе фирмы будет привлекать повышенное внимание с их стороны. Поэтому защита информации становится важнейшей частью современной системы безопасности бизнеса.

“Кто владеет информацией, тот владеет миром”. Эта истина становится особенно актуальной на пороге XXI века, когда на смену постиндустриальной эпохе приходит информационная эпоха. В новом веке вопрос информационной безопасности бизнеса становится ещё более значимым.

Цель данной работы - рассмотреть сущность информационной безопасности в бизнесе.

В соответствии с указанной целью были поставлены следующие задачи:

Определить виды и источники информации, которые следует защищать;

Выявить объекты, для которых составляет интерес чужая информация;

Раскрыть методы защиты информации.

Информация, которую необходимо защищать

Для того чтобы разобраться в проблеме защиты информации ответим на три вопроса:

Какую информацию нам необходимо защищать?

От кого и чего нам необходимо её защищать?

Каким образом нам необходимо осуществлять защиту информации?

Итак, какую же информацию нам необходимо защищать? От того, насколько правильно мы определим ответ на этот вопрос, главным образом зависит эффективность нашей системы защиты информации. В первую очередь необходимо защищать информацию: Горохов П. К. Информационная безопасность. - М.: Радио и связь, 2005.

О тех конкурентных преимуществах, которыми владеет компании

О технологиях её работы

О движении денежных и материальных потоков компании

О стратегических планах компании

О новых продуктах.

В зависимости от характера деятельности компании список объектов информационной защиты может быть расширен. Так, большинству компаний есть смысл хранить в тайне от конкурентов также информацию: Горохов П. К. Информационная безопасность. - М.: Радио и связь, .2005

О своих клиентах,

О персонале компании.

Важно понять, что предприятие должно оберегать далеко не всю информацию, которой оно владеет, а лишь ту, использование которой третьими лицами может нанести ущерб деятельности компании. Напротив, существует и такая информация, которую компании просто необходимо разглашать. Так, нет никакого смысла оберегать от конкурентов информацию о наших ценах. А вот информацию о ценах и условиях, на которых мы приобретаем продукцию, сырьё и материалы необходимо хранить в тайне от конкурентов. Излишняя закрытость компании может стать причиной негативного отношения к ней со стороны потенциальных партнёров, клиентов и инвесторов. Особенно это касается фирм, планирующих проводить размещение своих ценных бумаг. Для того чтобы этого не произошло, компания должна изначально определить, какую информацию, в каком объёме и с какой регулярностью ей следует раскрывать. При этом можно ориентироваться на западные стандарты раскрытия информации. Эти же стандарты установила и Федеральная комиссия по рынку ценных бумаг для компаний, осуществляющих размещение ценных бумаг. К информации, обязательной для раскрытия, относятся: Современный бизнес: Этика, культура, безопасность. - М.: ГПНТБ, 2007.

Ежегодная бухгалтерская отчётность (баланс, отчёт о прибылях и убытках, отчёт о движении денежных средств)

Данные об акционерах

Данные о существенных операциях с акционерным капиталом.

Что же касается той информации, которая не подлежит разглашению, то организация должна классифицировать её по степени секретности и выработать нормы информационной безопасности для каждой категории.

От кого следует оберегать информацию?

В своей деятельности предприятие сталкивается с различными организациями, составляющими её окружение. Это: Расторгуев С. П. Информационная война. - М.: Радио и связь, 2007. компании-конкуренты, клиенты, партнёры, налоговые органы, регулирующие органы.

Как уже отмечалось выше, особый интерес к различного рода информации проявляют конкуренты. И именно их действия таят в себе наибольшую опасность для компании. Ведь доля рынка, которую занимает компания, всегда является лакомым куском для конкурентов, и ущерб от утечки разного рода информации, например, о характеристиках готовящегося к выпуску продукта, может оказаться невосполнимым.

Что касается партнёров, то их интерес по отношению к информации о вашей компании, может быть вызван, прежде всего, соображениями собственной безопасности. Поэтому необходимо создать наиболее благоприятные условия для получения ими информации о компании, не выходящей за рамки необходимой для плодотворного сотрудничества. Здесь необходимо чётко определить, какая это информация, с тем, чтобы своевременно и в полном объёме предоставлять её и ограничить доступ к иной информации.

Информация, которую хотят получить клиенты, носит совершенно определённый характер. Это: Информационное общество: Информационные войны. Информационное управление. Информационная безопасность / Под ред. М. А. Вуса. - М.: Изд-во СПб. ун-та, 2006. общие сведения о компании и предлагаемой ею продукции, данные о надёжности компании, информация о ценах.

В отношении клиентов важно обеспечить максимальную доступность такой информации. Говоря о защите информации, следует понимать, что нежелательным был бы “вынос сора из избы”. Впрочем, то же самое касается и отношений с партнёрами. Поэтому особенно важно чётко определить, какая внутрифирменная информация не может подлежать разглашению.

Отношения компании с налоговыми и регулирующими органами носят специфический характер. Эти органы предъявляют свои особые требования к предоставлению им информации. В отношениях с ними важно полностью соблюдать предъявляемые ими требования, предоставлять информацию своевременно и в требуемом объёме, но не превышая этот объём. В данном случае как недостаток, так и избыток предоставляемой информации может привести к самым нежелательным последствиям.

Следующим важным вопросом является понимание того, от чего следует оберегать информацию. Нежелательными действиями, которые могут быть осуществлены с информацией, составляющей тайну организации, являются: Информационное общество: Информационные войны. Информационное управление. Информационная безопасность / Под ред. М. А. Вуса. - М.: Изд-во СПб. ун-та, 2006. уничтожение важной информации, искажение открытой информации, овладение секретной информацией, копирование конфиденциальной электронной информации, закрытие или ограничение доступа к информации, необходимой компании, несанкционированный доступ к информации с ограниченным доступом.

Прежде, чем рассмотреть меры по защите информации, остановимся на том, какие средства и методы могут быть использованы для получения необходимой информации о компании. Существует две большие группы средств и методов экономической разведки или промышленного шпионажа: Информационная безопасность: Учеб. для вузов по гуманитар. и социально- экон. специальностям. - М.: Междунар. отношения: Летописец, 2007.

Методы сбора информации с применением специальной техники

Методы фрагментарного сбора информации.

К промышленному шпионажу, связанному с применением специальной техники, относятся: Информационная безопасность: Учеб. для вузов по гуманитар. и социально- экон. специальностям. - М.: Междунар. отношения: Летописец, 2007.

Прослушивание телефонных разговоров

Прослушивание помещений

Телевизионное наблюдение

Вторжение в компьютерную сеть

Считывание информации с мониторов.

Все эти методы весьма трудоёмки и дорогостоящи, и могут применяться только крупными конкурентами и силовыми структурами. Осуществление таких действий под силу лишь профессионалом, что делает подобные действия особенно опасными.

К методам фрагментарного сбора информации относятся: Информационная безопасность: Учеб. для вузов по гуманитар. и социально- экон. специальностям. - М.: Междунар. отношения: Летописец, 2007.

Телефонная разведка. Многие сведения о фирме можно получить по телефону, позвонив под каким-либо благовидным предлогом, например для установления деловых контактов или проведения статистического опроса. Если персонал компании не достаточно осведомлён о том, какую информацию не следует разглашать, то вы рискуете допустить утечку важной информации, сами того не подозревая.

Лжепереговоры. Пользуясь этим очень распространённым методом, ваши конкуренты могут представиться, например, вашими потенциальными клиентами или партнёрами и во время предварительных переговоров получить множество интересующей их информации в случае, если вы не подвергнете их предварительной проверке и будете излишне открыты по отношению к ним. Особенно благодатной почвой для получения такого рода информации являются различные выставки.

Переманивание сотрудников. Приглашение специалистов компании-конкурента на работу порой позволяет очень многое узнать о его деятельности. Даже, если человек из соображений порядочности не будет выдавать информацию, являвшуюся тайной на его предыдущем месте работы, по его знаниям, привычкам, поведению можно сделать многочисленные выводы о работе компании-конкурента. Некоторые компании практикуют и “лжепереманивание” сотрудников, завлекая их высоким уровнем зарплаты. На многочисленных собеседованиях и интервью они могут узнать многое о его компании, при этом новое место работы он так и не получит.

Внедрение в штат конкурента собственных сотрудников. Этот метод промышленного шпионажа наиболее опасен, поскольку, внедрив своего человека в чужую команду, можно узнать о компании любую информацию, находящуюся в компетенции этого сотрудника. А если компания не предпринимает мер по разграничению доступа к внутренней информации, то рядовому сотруднику может быть известно о компании практически всё.

Таким образом, мы подошли к самому важному вопросу обеспечения информационной безопасности бизнеса - как защитить информацию?

Защита информации

В целом обеспечение информационной безопасности бизнеса сводится к решению двух важнейших задач: Степанов Е. А., Корнеев И. К. Информационная безопасность и защита информации. - М.: ИНФРА-М, 2008.

Обеспечение целостности и сохранности информации.

Защита информации от несанкционированного доступа.

Рассмотрим меры по обеспечению целостности и сохранности информации. Как правило, для хранения информации используются:

Бумажные носители

Электронные носители.

На бумажных носителях, как правило, хранятся документы. Количество копий документов ограничено, иногда они могут существовать в единственном экземпляре. Тогда их потеря сделает невозможным восстановление. Чтобы этого не произошло, необходимо вести строгий учёт всех документов, хранить их в соответствующих условиях и обеспечивать контроль доступа к ним. В тех случаях, когда это возможно, следует иметь копии информации и хранить их в специально оборудованных местах. При этом важно, чтобы оригиналы и копии хранились в независимых друг от друга помещениях. Причём желательно по возможности работать с копиями, а оригиналы хранить в секретных хранилищах. Это может быть особенно важно при непредвиденных обстоятельствах, таких как пожар или кража.

В настоящее время наблюдается явная тенденция к расширению использования электронных носителей. Во многих компаниях весь документооборот осуществляется в электронном виде. Неотъемлемой частью информационной структуры компаний являются различные электронные базы данных. На электронных носителях хранится также аудио- и видеоинформация. В последние годы даже платежи проходят в электронном виде. И в то же время именно электронная информация является наиболее уязвимой в плане уничтожения и порчи. Дело в том, что электронные носители не слишком долговечны, а неправильное обращение с техникой может привести к случайному уничтожению информации. Другой серьёзнейшей опасностью являются компьютерные вирусы, получившие громадное распространение в последнее время. В качестве мер, используемых для защиты электронной информации от повреждения и уничтожения, обычно используют: Степанов Е. А., Корнеев И. К. Информационная безопасность и защита информации. - М.: ИНФРА-М, 2008.

Резервное копирование информации. Осуществляется ежедневно и обеспечивает возможность восстановления информации на глубину не более суток. Ежедневные копии, как правило, хранятся отдельно от компьютерной сети.

Наличие резервных серверов в локальной сети. Позволяет при отказе основного сервера не прекращать работу.

Использование источников бесперебойного питания. Позволяет защитить компьютерную сеть компании от потерь информации, связанных с неполадками в электрической сети.

Создание архивов информации. Вся наиболее важная информация архивируется, записывается на съемные носители и хранится в специально оборудованном помещении. Причём для повышения надежности следует делать несколько копий и хранить их независимо друг от друга. При выборе носителя следует особое внимание уделять его надёжности и долговечности.

Антивирусная защита. Для эффективной защиты компьютерной сети от вирусной атаки следует контролировать все файлы, приходящие извне. Для этого рекомендуется отключать дисководы на рабочих станциях локальной сети, а все внешние файлы записывать только через сетевого администратора после соответствующей антивирусной проверки. Рекомендуется запретить использование дискет в организации. Наибольшую вирусную опасность таит в себе использование Internet. Необходимо так построить систему антивирусной защиты, чтобы все файлы приходящие через Internet перед использованием проходили проверку. Необходимо также проводить ежедневную профилактическую проверку перед резервным копированием.

Ограничение доступа. Во избежание случайного повреждения или удаления необходимой информации или программного обеспечения следует ограничивать доступ каждого пользователя локальной сети компании только к необходимой ему информации. В тех случаях, когда информацию следует защищать от самого пользователя, следует применять доступ “только для чтения”.

Теперь рассмотрим меры по защите информации от несанкционированного доступа.

Наиболее важным средством борьбы с утечкой информации является работа с персоналом. Самым важным этапом является отбор персонала. При приёме на работу в компанию следует уделять внимание не только деловым и профессиональным качествам кандидатов, а в первую очередь их человеческим качествам - порядочности, честности, лояльности. После приёма на работу необходимо время от времени проводить негласный контроль деятельности сотрудников с целью предотвратить возможные утечки информации. Необходимо, чтобы руководство также всегда было в курсе проблем своих подчинённых, дабы избежать таких ситуаций, когда поиск дополнительного заработка или излишнее честолюбие толкают человека на продажу секретов предприятия.

Однако все эти меры не принесут никакого результата, если на предприятии не будет выработано чёткой системы разграничения доступа к информации. В зависимости от существующей на предприятии иерархии, каждый сотрудник должен иметь доступ к строго определённому количеству информации. Помимо этого необходимо иметь внутреннее положение о служебной информации и коммерческой тайне и чётко определять степень секретности каждого документа.

Наиболее эффективным способом защиты информации от нежелательного доступа является дробление информации. Этот принцип заключается в том, что любой из сотрудников должен владеть только информацией, касающейся своего участка работы. Таким образом, любая информация дробится между сотрудниками, и никакая секретная информация не может быть полностью доступна одному человеку. В результате он ни сознательно, ни бессознательно не сможет передать кому-либо всю тайну.

Для защиты от промышленного шпионажа с применением технических средств необходимо применять специальные средства. В настоящее время на каждый “жучок” существует “антижучок”. Важно регулярно осуществлять соответствующие проверки, постоянно контролировать уязвимые места. Значительно снизить возможность применения против вас технических средств шпионажа можно, если у вас отлажена система контроля доступа в помещения. Учёт всех перемещений сотрудников и гостей внутри компании и внутреннее и наружное телевизионное наблюдение полностью не обезопасят вас, но в некоторых случаях помогут выявить и предотвратить действия против вас. И, конечно же, главным объектом защиты от несанкционированного доступа является электронная информация. Основными методами её защиты являются: Степанов Е. А., Корнеев И. К. Информационная безопасность и защита информации. - М.: ИНФРА-М, 2008.

Разграничение доступа. Как уже отмечалось выше, каждый сотрудник должен работать в локальной сети только с той информацией, которая ему необходима для выполнения своих должностных обязанностей. Особенно это актуально в организациях, использующих крупные интегрированные автоматизированные системы. Пренебрежение разделением доступа или неправильное его применение может привести к тому, что рядовые сотрудники будут иметь практически всю информацию о деятельности компании. Также необходимо фиксировать и периодически отслеживать работу пользователей в сети.

Локализация внутренней компьютерной сети. Для предотвращения утечки информации следует устанавливать в сеть компьютеры, не имеющие дисководов и параллельных портов. Это сделает невозможным скачивание информации с компьютеров фирмы.

Исключение наиболее важных компьютеров от локальной сети. Для уменьшения вероятности несанкционированного доступа рекомендуется объединять в локальную сеть только компьютеры, завязанные на единый технологический процесс. Правда, как правило, таких компьютеров большинство. Однако руководителям компании желательно иметь собственные независимые компьютеры, доступ к которым имеют только они сами.

Локализация работы с Internet. Всемирная компьютерная сеть таит в себе немало опасностей не только с точки зрения вирусных атак, но и с точки зрения взлома компьютерных сетей предприятий. Чтобы этого не произошло, необходимо разделить внутреннюю сеть предприятия и Internet. На небольших фирмах возможно выделение отдельного локального компьютера для работы во всемирной сети. Однако на крупном предприятии, где большинство сотрудников пользуются Internet, это не всегда возможно. В таком случае на рабочих станциях следует устанавливать режим, при котором перед входом в Internet компьютер отключается от локальной сети.

Шифрование информации. Этот метод применяется в основном при передаче информации по модему через телефонные линии, поскольку существует вероятность перехвата такой информации третьими лицами. В настоящее время существуют сертифицированные криптографические программы, и их необходимо использовать в том случае, если вы используете какие-либо постоянные каналы передачи электронной информации.

Электронно-цифровая подпись. Обеспечивает достоверность передаваемой по модему информации. Служит защитой от намеренного искажения передаваемой информации. В настоящее время существуют сертифицированные программы электронно-цифровой подписи с различной степенью защиты. Особое значение применение таких средств имеет при использовании электронных платежей и передаче сообщений повышенной секретности.

Заключение

Все описанные меры не должны применяться отдельно друг от друга. Для того чтобы обеспечить эффективную защиту информации, необходимо выработать систему информационной безопасности предприятия. Только предпринятые в комплексе эти меры смогут надёжно обезопасить ваш бизнес от нежелательных потерь. Каждая организация имеет свою специфику и соответственно должна иметь свою структуру системы информационной защиты. Правильность её выбора зависит от профессионализма сотрудников, занимающихся этой проблемой, и руководителей компании. Важнейшим компонентом такой системы должен стать регулярный анализ “слабых мест” и принятия необходимых мер для предотвращения возможных неприятностей.

В заключение хочу отметить, что, создавая систему информационной безопасности, важно, с одной стороны, не скупиться, поскольку потери могут оказаться неизмеримо больше, а с другой стороны, не переборщить, чтобы не выбрасывать деньги на ненужные псевдозащитные мероприятия и не затруднять прохождение информационных потоков. Безопасности никогда не бывает много, но никогда нельзя забывать, что главная цель системы безопасности - обеспечение надёжного и бесперебойного функционирования организации.

Литература

1. Горохов П. К. Информационная безопасность. - М.: Радио и связь, 2002.

2. Информационная безопасность: Учеб. для вузов по гуманитар. и социально- экон. специальностям. - М.: Междунар. отношения: Летописец, 2007.

3. Информационное общество: Информационные войны. Информационное управление. Информационная безопасность / Под ред. М. А. Вуса. - М.: Изд-во СПб. ун-та, 2006.

4. Расторгуев С. П. Информационная война. - М.: Радио и связь, 2005.

5. Современный бизнес: Этика, культура, безопасность. - М.: ГПНТБ, 2004.

6. Степанов Е. А., Корнеев И. К. Информационная безопасность и защита информации. - М.: ИНФРА-М, 2008.

Подобные документы

Структура и особенности ОС Linux, история ее развития. Информационная безопасность: понятие и регламентирующие документы, направления утечки информации и ее защиты. Расчет создания системы информационной безопасности и исследование ее эффективности.

курсовая работа , добавлен 24.01.2014

Главные каналы утечки информации. Основные источники конфиденциальной информации. Основные объекты защиты информации. Основные работы по развитию и совершенствованию системы защиты информации. Модель защиты информационной безопасности ОАО "РЖД".

курсовая работа , добавлен 05.09.2013

Обеспечение информационной безопасности в современной России. Анализ методов защиты информации от случайного или преднамеренного вмешательства, наносящего ущерб ее владельцам или пользователям. Изучение правового обеспечения информационной безопасности.

контрольная работа , добавлен 26.02.2016

Характеристика и особенности информационной безопасности, под которой понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий. Информационная безопасность в сети Интернет. Функции антивирусов.

контрольная работа , добавлен 24.02.2011

Понятие информационной безопасности, понятие и классификация, виды угроз. Характеристика средств и методов защиты информации от случайных угроз, от угроз несанкционированного вмешательства. Криптографические методы защиты информации и межсетевые экраны.

курсовая работа , добавлен 30.10.2009

Внешние угрозы информационной безопасности, формы их проявления. Методы и средства защиты от промышленного шпионажа, его цели: получение информации о конкуренте, уничтожение информации. Способы несанкционированного доступа к конфиденциальной информации.

контрольная работа , добавлен 18.09.2016

Понятие и основные принципы обеспечения информационной безопасности. Понятие защищенности в автоматизированных системах. Основы законодательства РФ в области информационной безопасности и защиты информации, процессы лицензирования и сертификации.

курс лекций , добавлен 17.04.2012

Категории действий, способных нанести вред информационной безопасности, методы её обеспечения. Сфера деятельности фирмы и анализ финансовых показателей. Система информационной безопасности фирмы и разработка комплекса мероприятий по её модернизации.

дипломная работа , добавлен 15.09.2012

Цели информационной безопасности. Источники основных информационных угроз для России. Значимость безопасности информации для различных специалистов с позиции компании и заинтересованных лиц. Методы защиты информации от преднамеренных информационных угроз.

презентация , добавлен 27.12.2010

Понятие, значение и направления информационной безопасности. Системный подход к организации информационной безопасности, защита информации от несанкционированного доступа. Средства защиты информации. Методы и системы информационной безопасности.

Обеспечение информационной безопасности бизнеса Андрианов В. В.

1.3. Модель информационной безопасности бизнеса

1.3.1. Мотивация

Российская и мировая практика регулирования информационной безопасности (ИБ) недавнего прошлого состояла из обязательных требований национальных уполномоченных органов, оформляемых в виде руководящих документов РД. Поэтому для топ-менеджмента и владельцев организаций существовала только одна проблема соответствия им (комплаенс) и только один способ ее решения - как с минимальными затратами выполнить предлагаемые требования. Для уполномоченных органов существовала своя проблема - как в силу невозможности охвата всех возможных видов деятельности и условий их реализации, а также существенных различий в целях деятельности предложить универсальный набор требований. Для этого проблема ИБ рассматривалась как самодостаточная сущность, инвариантная к деятельности, целям, условиям, а также существенно обуживалась в содержательности в угоду универсальности.

Оба подхода (организаций и регуляторов) неадекватны существующей реальности и представляют ее в существенно искаженном виде. Так, основные содержательные ограничения на деятельность по обеспечению ИБ связаны с традиционной моделью ИБ, предполагающей обязательное наличие злоумышленника, стремящегося нанести ущерб активам (информации), и, соответственно, ориентированной на защиту информации от действий такого субъекта (группы субъектов). При этом инциденты, связанные, например, со штатными изменениями прикладного софта, не могут быть отнесены к злоумышленнику. Их возможные причины - слабо развитый менеджмент и слабая технологическая база. Собственная неадекватность организации (менеджмента, процессов основной деятельности) сложившимся условиям вообще представляет собой очень мощный источник проблем, который игнорируется в силу невозможности его привязки к злоумышленнику.

Дальнейшая эволюция моделей ИБ была связана с усилением роли собственника (владельца) и сводилась к тому, что он сам выбирал (на свой страх и риск) из предложенного ему стандартного набора защитных мер те, которые ему необходимы, т. е. такие, которые, по его мнению, могут обеспечить приемлемый уровень безопасности. Это был существенный шаг вперед, так как он обеспечивал привязку ИБ к конкретному объекту с конкретными условиями его существования, частично разрешая противоречия, связанные с самодостаточностью проблемы ИБ. Однако конструктивного механизма для владельца предложить не удалось, кроме как создания каталога объектов с выбранными типовыми защитными мерами (профилей защиты). Сами профили создавались при этом экспертно-эвристическим методом. При этом какой все-таки риск принимал на себя владелец, оставалось неизвестным и определялось на практике.

Дальнейшая эволюция свелась к тезису о том, что ИБ может создавать (порождать) ущербы для целей деятельности и поэтому риски ИБ (которая оставалась самодостаточной) должны быть согласованы (увязаны) с рисками организации. Оставалось только указать, как их увязывать, и интегрировать систему менеджмента ИБ (СМИБ) в общекорпоративный менеджмент не как изолированную и независимую систему процессов, а как неотъемлемую, сильно связанную составную часть менеджмента. Этого не удалось сделать. Однако этот подход хорошо продвинул ряд оценочных категорий ИБ, включая риски ИБ.

Известны также прагматичные модели ИБ, основанные на оценке совокупной стоимости владения (применительно к ИБ) и «возврате» инвестиций в ИБ. В рамках этого подхода группа близких по целям и условиям деятельности организаций периодически производит оценку по направлениям реализации ИБ и формирует модель, состоящую из лучших практик по группе. Далее каждая из организаций в соответствии со своими отставаниями от лучших практик и своих условий (произошедших инцидентов) определяет направление и объем инвестиций. Эффективность инвестиций оценивается в следующем периоде по снижению ущербов от инцидентов, оказавшихся в области произведенных инвестиций и не повлекших поэтому больших ущербов.

Однако этот подход при многих своих достоинствах требует широкого обмена чувствительной информацией, а конфликт интересов участников обмена исключает создание сколько-нибудь качественных мер доверия, поэтому он не имеет широкого распространения.

Модель ИБ, предложенная в стандарте ЦБ РФ, еще более продвинула проблему как в части ее интеграции (связала с целями деятельности), так и в части расширения толкования сущности «злоумышленник». Под злоумышленником понимается лицо, способное вести противоборство с собственником и имеющее свою цель, которую он реализует, достигая контроля над активами организации.

Такой подход существенно расширяет виды и источники ущербов организации, попадающих в область рассмотрения ИБ, где их решение наиболее рационально. Он, однако, был во многом компромиссным подходом и настоятельно требует дальнейшего приближения проблем ИБ к конечному результату деятельности (производимому продукту). Нужна модель, которая реально помогает бизнесу, напрямую способствует его результативности и необходимому улучшению посредством создания и поддержания безопасной и доверенной информационной сферы, в том числе через борьбу со злоумышленником. Только такая модель может восприниматься бизнесом. Любая другая будет им отторгаться.

Данный текст является ознакомительным фрагментом. Из книги Применение технологий электронного банкинга: риск-ориентированный подход автора Лямин Л. В.

5.4. Адаптация обеспечения информационной безопасности Базовая причина усугубления проблемы ОИБ в условиях перехода к ДБО заключается в принципиальном изменении состава угроз надежности банковской деятельности в связи с формированием ИКБД, т. е. возникновении их новых

автора Андрианов В. В.

1. Философия информационной безопасности бизнеса