Забезпечення інформаційної безпеки організації

Система забезпечення інформаційної безпеки організації: комплексний підхід до побудови

Система безпеки потенційних і реальних загроз непостійна, оскільки ті можуть з'являтися, зникати, зменшуватися або наростати. Всі учасники відносин у процесі забезпечення безпеки інформації, будь то людина, держава, підприємство або регіон, являють собою багатоцільові складні системи, для яких важко визначити рівень необхідної безпеки.

На підставі цього система забезпечення інформаційної безпеки організації розглядається як цілий комплекс прийнятих управлінських рішень, спрямованих на виявлення і запобігання зовнішнім та внутрішнім загрозам. Ефективність вжитих заходів грунтується на визначенні таких факторів, як ступінь і характер загрози, аналітична оцінка кризової ситуації і розгляд інших несприятливих моментів, які становлять небезпеку для розвитку підприємства і досягнення поставлених цілей. Забезпечення інформаційної безпеки організації базується на прийнятті таких заходів, як:

1. Аналіз потенційних і реальних ситуацій, які становлять загрозу безпеці інформації підприємства;
2. Оцінка характеру загроз безпеці інформації;
3. Прийняття та комплексне розподіл заходів для визначення загрози;
4. Реалізація вжитих заходів щодо запобігання загрози.

Основна мета забезпечення комплексної системи безпеки інформації для захисту підприємства, це:

• Створити сприятливі умови для нормального функціонування в умовах нестабільного середовища;

• Забезпечити захист власної безпеки;

• Можливість на законний захист власних інтересів від протиправних дій конкурентів;

• Забезпечити співробітнику збереженням життя і здоров'я.

• Запобігати можливості матеріального і фінансового розкрадання, спотворення, розголошення та витоку конфіденційної інформації, розтрати, виробничі порушення, знищення майна і забезпечити нормальну виробничу діяльність.

Якісна безпеку інформації для фахівців - це система заходів, яка забезпечує:

• Захист від протиправних дій;

• Дотримання законів, щоб уникнути правового покарання і накладення санкцій;

• Захист від кримінальних дій конкурентів;

• Захист від несумлінності співробітників.

Ці заходи застосовуються в наступних сферах:

• Виробничої (для заощадження матеріальних цінностей);

• Комерційної (для оцінки партнерських відносин і правового захисту особистих інтересів);

• Інформаційною (для визначення цінності отриманої інформації, її подальшого використання і передачі, як додатковий спосіб від розкрадання);

• Для забезпечення підприємства кваліфікованими кадрами.

Забезпечення безпеки інформації будь-якого комерційного підприємства грунтується на таких критеріях:

• Дотримання конфіденційності і захист інтелектуальної власності;

• Надання фізичної охорони для персоналу підприємства;

• Захист і збереження майнових цінностей.

При такій за останні роки на вітчизняному ринку обстановці розраховувати на якісний захист особистих і життєво важливих інтересів можна тільки за умови:

• Організації процесу, орієнтованого на позбавлення будь-якої можливості в отриманні конкурентом цінної інформації про наміри підприємства, про торговельні та виробничі можливості, що сприяють розвиток і здійснення поставлених підприємством цілей і завдань;

• Залучення до процесу щодо захисту і безпеки всього персоналу, а не тільки служби безпеки.

6 рекомендацій розробникам системи інформаційної безпеки

1. Всі використовувані засоби для захисту повинні бути доступними для користувачів і простими для технічного обслуговування.
2. Кожного користувача потрібно забезпечити мінімальними привілеями, необхідними для виконання конкретної роботи.
3. Система захисту повинна бути автономною.
4. Необхідно передбачити можливість відключення захисних механізмів в ситуаціях, коли вони стоять на заваді для виконання робіт.
5. Розробники системи безпеки повинні враховувати максимальну ступінь ворожості оточення, тобто припускати самі найгірші наміри з боку зловмисників і можливість обійти всі захисні механізми.
6. Наявність і місце розташування захисних механізмів повинно бути конфіденційною інформацією.

Організація забезпечення безпеки інформаційних банківських систем грунтується на тих же принципах захисту і передбачає постійну модернізацію захисних функцій, оскільки ця сфера постійно розвивається і вдосконалюється. Здавалося б, ще недавно створені нові захисні системи з часом стають уразливими і недієвими, ймовірність їх злому з кожним роком зростає.

5 принципів системи забезпечення інформаційної безпеки організації

Принцип комплексності. При створенні захисних систем необхідно припускати ймовірність виникнення всіх можливих загроз для кожної організації, включаючи канали закритого доступу і використовувані для них засоби захисту. Застосування засобів захисту повинно збігатися з імовірними видами загроз і функціонувати як комплексна система захисту, технічно доповнюючи один одного. Комплексні методи і засоби забезпечення інформаційної безпеки організації є складною системою взаємопов'язаних між собою процесів.

Принцип ешелонування є порядок забезпечення інформаційної безпеки організації, при якому всі рубежі захисної системи будуть складатися з послідовно розташованих зон безпеки, найважливіша з яких буде знаходитися всередині всієї системи.

Принцип надійності (равнопрочності). Стандарт організації забезпечення інформаційної безпеки повинен стосуватися всіх зон безпеки. Всі вони повинні бути равнопрочность, тобто мати однакову ступінь надійного захисту з ймовірністю реальної загрози.

Принцип розумної достатності предполагает розумне! Застосування захисних ЗАСОБІВ з прийнятною рівнем безпеки без фанатизму создания абсолютного захисту. Забезпечення организации вісокоефектівної захисних системою предполагает Великі матеріальні витрати, тому до Вибори систем безпеки нужно підходіті раціонально. Вартість захисної системи не повинна перевищувати розмір можливого збитку і витрати на її функціонування і обслуговування.

Принцип безперервності. Робота всіх систем безпеки повинна бути цілодобовою і безперервною.

Чим займається служба безпеки в організації

В цілому діяльність служби безпеки на підприємстві може мати одну з форм:

• Може входити в структуру організації і фінансуватися за її рахунок.

• Може існувати як окреме комерційне або державне підприємство і працювати в організації за договором з метою забезпечення безпеки окремих об'єктів.

Служба безпеки, що входить до складу підприємства, може мати форму багатофункціональної структури, що забезпечує повну безпеку підприємства. Зазвичай, така форма служби безпеки властива великим фінансовим компаніям зі стабільною економічною ситуацією. Це інвестиційні фонди, комерційні банки, фінансово-промислові групи - все, хто може використовувати власні технічні засоби і персонал.

Служба безпеки як окрема комерційна організація, яка надає послуги в сфері безпеки і захисту, може надавати як комплексні, так і окремі послуги. Вона може повністю забезпечити організацію системи охорони або виконувати конкретні завдання: визначати, де встановлені пристрої для підслуховування; супроводжувати транзитні перевезення; надавати особисту охорону і інші послуги. До цієї категорії можна віднести приватні детективні та охоронні агентства і деякі державні організації.

Для багатьох підприємств набагато вигідніше користуватися послугами комерційної служби безпеки, ніж утримувати власну охоронну структуру.

Основи забезпечення інформаційної безпеки організації базуються на таких функціональних напрямках, як:

1. Своєчасна організація безпеки щодо запобігання загроз для життєво важливих інтересів організації з боку кримінальних осіб або конкурентів. В цьому випадку для забезпечення захисту використовуються такі методи інформації, як ділова розвідка і аналітичне прогнозування ситуації.

2. Вживання заходів щодо запобігання впровадження агентури і установки технічних пристроїв з метою отримання конфіденційної інформації і комерційної таємниці підприємства. Основними засобами захисту тут є суворий пропускний режим, пильність охоронної служби і застосування технічних захисних пристроїв.

3. Забезпечення особистої охорони керівництву і персоналу організації. Основними критеріями для цього виду охорони є організація попереджувальних заходів, досвід і професіоналізм охоронця, системний підхід до забезпечення безпеки.

На структуру і організацію системи безпеки впливають такі фактори, як:

• Масштабність і рівень виробничої діяльності організації, кількість службовців та можливості для технічного розвитку;

• Позиція підприємства на ринку - темпи його розвитку в галузі, динаміка продажів і відсоткове охоплення ринку, зони стратегічного впливу, конкурентна здатність товарів і послуг;

• Рівень фінансової рентабельності, платоспроможність, ділова активність і привабливість для інвестиційних вкладень;

• Наявність об'єктів і суб'єктів для спеціальної охорони - володарі комерційної або державної таємниці, вибухонебезпечні і пожежонебезпечні ділянки, екологічно шкідливе виробництво;

• Присутність кримінального середовища.

Служба безпеки може складатися з типового набору послуг:

Перший напрямок - юридичний захист підприємницької діяльності, яка являє собою юридично грамотне оформлення обов'язків, прав і умов для ведення діяльності (прав власності на патент, ліцензію, майно, ведення бухгалтерської документації, реєстраційних документів, угод, орендних договорів, статутів та іншої документації). Реалізація та впровадження даної захисту для безпеки підприємницької діяльності очевидна, оскільки нормативно-правова база в даних умовах нестабільна і вимагає певної юридичного захисту.

Другий напрямок - фізична безпека учасників підприємницької діяльності. В даному випадку учасниками або суб'єктами підприємницької діяльності можуть бути не тільки підприємці, а й використовуються ними ресурси - матеріальні, фінансові, інформаційні. Безпека інтелектуальних ресурсів також входить в цю категорію. Це обслуговуючий персонал, працівники підприємства, акціонери.

Третій напрям - інформаційно-комерційна безпеку, яка представляє собою захист інформаційних ресурсів підприємця і його інтелектуальної власності.

Четвертий напрямок - охорона і безпека персоналу і людей, які працюють на підприємстві. Це дотримання техніки безпеки, охорони праці, екології, санітарії, ділових взаємин, особистої безпеки працівників.

На підставі цієї інформації можна зробити висновок, що універсального або ідеального методу захисту на сьогоднішній день не існує, хоча потреба в якісній безпеки очевидна, а в деяких випадках - критично необхідна.

Які методи і засоби забезпечення інформаційної безпеки організації гарні

Для забезпечення захисту інформації використовуються наступні методи:

1) Перешкода. Метод являє собою використання фізичної сили з метою захисту інформації від злочинних дій зловмисників за допомогою заборони на доступ до інформаційних носіїв і апаратурі.

- метод, який заснований на використанні регулюючих ресурсів автоматизованої системи, що запобігають доступ до інформаційних носіїв. Управління доступом здійснюється за допомогою таких функцій, як:

• Ідентифікація особистості користувача, працюючого персоналу і систем інформаційних ресурсів такими заходами, як присвоєння кожному користувачеві і об'єкту особистого ідентифікатора;

• Аутентифікація, яка встановлює приналежність суб'єкта або об'єкта до заявленого їм ідентифікатору;

• Перевірка відповідності повноважень, яка полягає у встановленні точного часу доби, дня тижня і ресурсів для проведення запланованих регламентом процедур;

• Доступ для проведення робіт встановлених регламентом і створення необхідних умов для їх проведення;

• Реєстрація у вигляді письмового протоколювання звернень до доступу захисних ресурсів;

• Реагування на спробу несанкціонованих дій у вигляді шумовий сигналізації, відключення, відмови в запиті і в затримці робіт.

3) Маскування - метод криптографічного закриття, захищає доступ до інформації в автоматизованій системі.

4) Регламентація - метод інформаційного захисту, при якому доступ до зберігання та передачі даних при несанкціонованому запиті зводиться до мінімуму.

5) Примус - це метод, який змушує користувачів при доступі до закритої інформації дотримуватися певних правил. Порушення встановленого протоколу призводить до штрафних санкцій, адміністративної та кримінальної відповідальності.

6) Спонукання - метод, який заснований на етичних і моральних нормах, що накладають заборону на використання забороненої інформації, і спонукає дотримуватися встановлених правил.

Всі перераховані методи захисту спрямовані на забезпечення максимальної безпеки всієї інформаційної системи організації і здійснюються за допомогою різних захисних механізмів, створення яких заснована на таких засобах, як:

1. Фізичні засоби захисту використовуються в якості зовнішньої охорони для спостереження за територією об'єкта і захисту автоматизованої інформаційної системи у вигляді спеціальних пристроїв.

Разом зі звичайними механічними системами, для роботи якого необхідна участь людини, паралельно впроваджуються і електронні повністю автоматизовані системи фізичного захисту. За допомогою електронної системи проводиться територіальний захист об'єкта, організовується пропускний режим, охорона приміщень, спостереження, пожежна безпека і сигналізаційні пристрої.

Сама елементарна система електронного захисту складається з датчиків, сигнали яких обробляються мікропроцесорами, електронних ключів, біометричних пристроїв для ідентифікації людини та інших інтелектуальних систем.

Захист обладнання, що входить в загальну автоматизовану систему інформаційної безпеки, і переносних пристроїв (магнітних стрічок або флешок) здійснюється за допомогою таких механізмів, як:

• Замкові системи (механічні, радіокеровані, кодові, з мікропроцесором), які встановлюються на сейфи, двері, віконниці, системні блоки та інші пристрої;

• Мікровимикачі, за допомогою яких фіксується відкривання і закривання вікон і дверей;

• Інерційні датчики, які використовуються в електромережі, телефонних проводах, телекомунікаційних антенах;

• Наклейки зі спеціальної фольги приклеюють на прилади, документи, системні блоки, вузли, що служить для них захистом від виносу за територію організації або приміщення. Будь-яка спроба виносу документів або пристроїв із захисною наклейкою через пропускні пристрої буде сповіщена сигналом тривоги.

• Металеві шафи і спеціальні сейфи, службовці для установки окремих пристроїв інформаційної автоматизованої системи - фалів-серверів, принтерів і переносних інформаційних носіїв.

Доступ інформації через електромагнітні канали обмежують за допомогою екранізує і поглинаючих пристроїв і матеріалів:

• У приміщеннях, де встановлені елементи автоматизованої інформаційної системи. Для захисту проводиться екранування всіх поверхонь в приміщенні - підлоги, стін і стелі за допомогою металізованих шпалер, токопроводящей штукатурки і емалі, фольги, дротяної сітки, багатошарових сталевих або алюмінієвих листів, спеціальної пластмаси, токопроводящего цегли та інших матеріалів.

• Віконні отвори закривають шторами з металевою ниткою або покривають скла струмопровідних складом;

• На всі отвори в приміщеннях встановлюють металеві сітки з системою заземлення або з'єднують з настінного екрануванням;

• Вентиляційні канали комплектують з магнітними пастками, що блокують поширення радіохвиль.

В якості захисту для блоків і вузлів автоматизованої системи застосовують:

• Екранований кабель, який можна монтувати між блоками, стояками, всередині і зовні стін;

• Еластичні екрановані з'єднувачі або роз'єми, мережеві фільтри для блокування електромагнітних випромінювань;

• Провід, дроселі, наконечники, конденсатори та інші пристрої з Помехоподавляющие дією;

• На трубах системи водопровідної і газової мережі встановлюють діелектричні розділові вставки, що розривають електромагнітні ланцюга.

У місцях введення мережі зі змінним напругою встановлюють електронні отслежівателі, контролюючі електроживлення. При будь-яких пошкодженнях шнура відбувається кодування і включення сигналу тривоги. Запис наступних подій відбувається після активації телевізійної камери.

Для виявлення підслуховуючих пристроїв найбільш ефективним вважається обстеження за допомогою рентгена. Але, з точки зору технічних і організаційних заходів, рентгенівське обстеження саме витратне.

Використання різних шумових генераторних пристроїв, що захищають інформацію в комп'ютерах від розкрадання, методом зняття випромінювань з дисплея несприятливо впливає на здоров'я людини. В результаті відбуваються такі порушення, як облисіння, головні болі, зниження апетиту, тому даний спосіб захисту використовується на практиці вкрай рідко.

2. Апаратні засоби захисту - це всі види електронних і електромеханічних пристроїв, вбудованих в блоки інформаційної автоматизованої системи, які представлені як самостійні пристрої, з'єднані з цими блоками.

Основна їх функція - це забезпечення внутрішньої захисту сполучних елементів і систем в обчислювальній техніці - периферійного обладнання, терміналів, ліній зв'язку, процесорів і інших пристроїв.

Забезпечення безпеки інформації за допомогою апаратних засобів включає:

• Забезпечення заборони неавторизованого доступу віддалених користувачів і АІС (автоматизована інформаційна система);

• Забезпечення надійного захисту файлових систем архівів і баз даних при відключеннях або некоректної роботи АІС;

• Забезпечення захисту програм і додатків.

Перераховані вище завдання забезпечення безпеки інформації забезпечують апаратні засоби і технології контролю доступу (ідентифікація, реєстрація, визначення повноважень користувача).

Забезпечення безпеки особливо важливої ​​інформації може здійснюватися з використанням унікальних носіїв з особливими властивостями, які запобігають зчитування даних.

3. Програмні засоби захисту входять до складу ПО (програмного забезпечення), АІС або є елементами апаратних систем захисту. Такі засоби здійснюють забезпечення безпеки інформації шляхом реалізації логічних і інтелектуальних захисних функцій і відносяться до найбільш популярних інструментів захисту. Це пояснюється їх доступною ціною, універсальністю, простотою впровадження і можливістю доопрацювання під конкретну організацію або окремого користувача. У той же час, забезпечення безпеки інформації за допомогою ПО є найбільш вразливим місцем АІС організацій.

Програмні захисні засоби, здатні вирішувати такі завдання щодо забезпечення безпеки інформації:

• Забезпечення контролю входу в АІС і завантаження баз даних за допомогою унікальних ідентифікаторів (логін, пароль, код і ін.);

• Забезпечення обмеження доступу користувачів до певних компонентів АІС і її зовнішніх ресурсів;

• Захист ПЗ, яке забезпечує виконання процесів для певного користувача від сторонніх суб'єктів;

• Забезпечення безпеки потоків конфіденційних даних;

• Безпека інформації від впливу вірусного ПЗ;

• Знищення залишкових даних конфіденційного характеру в відкритих після введення паролів файлах в оперативній пам'яті;

• Формування протоколів про знищення і стирання залишкових конфіденційних даних;

• Забезпечення цілісності даних шляхом впровадження надлишкової інформації;

• Автоматичне забезпечення безпеки роботи користувачів АІС на основі даних протоколювання інформації з подальшою підготовкою звітів в реєстраційному журналі системи.

Більшість сучасних ОС (операційних систем) містять програмні рішення для забезпечення блокування повторного доступу до інформації. При відсутності таких коштів можуть використовуватися різні комерційні ПО. Впровадження надлишкових даних направлено на забезпечення контролю випадкових помилок. Це може реалізовуватися через використання контрольних сум або забезпечення кодування стійкого до перешкод.

Для забезпечення безпеки особливо важливої ​​інформації використовується метод зберігання даних з використанням системи сигнатур. Як сигнатури може застосовуватися система, що включає поєднання захисного байта з його розміром, часом зміни і ім'ям. При будь-якому зверненні до цього файлу система аналізує поєднання інформації з оригіналом.

Необхідно уточнити, що надійне забезпечення безпеки інформації можливо тільки при використанні шифрування даних.

Рекомендації від ICC щодо захисту інформації в організації

В сучасних умовах інтелектуальна власність (ІВ) має особливу цінність не тільки для бізнесу, але і для всієї державної і міжнародної економіки. Забезпечення захисту інформації, торгових марок, авторських прав та інших об'єктів ІВ сприяє успішному розвитку і отримання стабільних доходів. Все частіше впроваджуються технології з використання компаніями ІС інших власників, яка включає весь цикл від розробки і виробництва продукту до його реалізації, надання послуг і забезпечення роботи технологічних процесів.

Міжнародна торгова палата (МТП) ініціювала розробку рекомендацій щодо забезпечення безпеки ІС в рамках проекту «Бізнес в боротьбі з контрафактом і піратством» ( «Business Action to Stop Counterfeiting and Piracy» - «BASCAP»). Грунтуючись на досвіді різних компаній, дані рекомендації пропонують практичні заходи по оцінці рівня безпеки інформації, авторських прав та інших об'єктів ІВ, що сприяють забезпеченню захисту інтелектуальних прав. Впровадження таких рекомендацій сприяє підвищенню ефективності подолання ризиків, які пов'язані з контрафактом і піратством.

Документ, розроблений МТП, спрямований на забезпечення керівників всіляких напрямків роботи з ІС ефективним інструментом по розробці, впровадженню і внутрішньокорпоративного використання інтелектуальних прав. Він включає технології формування систем забезпечення взаємодії з посередниками та іншими суб'єктами, що використовують розробки в сфері ІВ. Велика частина рекомендацій включає опис існуючих напрацювань в даній сфері з практичними прикладами та порадами щодо конкретних типів інтелектуальних прав.