От чего зависит информационная безопасность от компьютеров

Обновлено: 07.07.2024

Если говорить о проблемах компьютерной безопасности, то просматриваются несколько аспектов, а именно: информационная безопасность, безопасность самого компьютера и организация безопасной работы человека с компьютерной техникой.

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
Важно уметь не только работать на компьютере, но и защитить ваши документы от чужих глаз.
Абсолютной защиты быть не может. Бытует такое мнение: установил защиту и можно ни о чем не беспокоиться. Полностью защищенный компьютер — это тот, который стоит под замком в бронированной комнате в сейфе, не подключен ни к какой сети (даже электрической) и выключен. Такой компьютер имеет абсолютную защиту, однако использовать его нельзя.
Первой угрозой безопасности информации можно считать некомпетентность пользователей. Если мы говорим об информации, хранящейся в компьютере на рабочем месте, то также серьезную угрозу представляют сотрудники, которые чем-либо не довольны, например зарплатой.
Это интересно
В 1996 г. Федеральное бюро расследований совместно с Институтом компьютерной безопасности США провело исследование, результаты которого свидетельствуют о том, что почти в половине всех известных случаев попытки проникновения к информации в организации предпринимались внутри самой организации.

Одна из проблем подобного рода — это так называемые слабые пароли. Пользователи для лучшего запоминания выбирают легко угадываемые пароли. Причем проконтролировать сложность пароля невозможно. Другая проблема — пренебрежение требованиями безопасности. Например, опасно использовать непроверенное или
пиратски изготовленное программное обеспечение. Обычно пользователь сам «приглашает» в систему вирусы и «троянских коней».
Чем шире развивается Интернет, тем больше возможностей для нарушения безопасности наших компьютеров, даже если мы и не храним в них сведения, содержащие государственную или коммерческую тайну. Нам угрожают хулиганствующие хакеры, рассылающие вирусы, чтобы просто позабавиться; бесконечные любители пожить за чужой счет; нам угрожают наша беспечность (ну что стоит раз в день запустить антивирус!) и беспринципность (как же отказаться от дешевого пиратского ПО, возможно, зараженного вирусами?).
За последнее время в Интернете резко увеличилось число вирусных, а также «шпионских» программ типа «троянского коня» и просто краж паролей нечистоплотными пользователями.

Безопасность в информационной среде
Любая технология на каком-то этапе своего развития приходит к тому, что соблюдение норм безопасности становится одним из важнейших требований. И лучшая защита от нападения — не допускать нападения. Не стоит забывать, что мешает работе не система безопасности, а ее отсутствие.
С точки зрения компьютерной безопасности каждое предприятие обладает своим собственным корпоративным богатством — информационным. Его нельзя спрятать, оно должно активно работать. Средства информационной безопасности должны обеспечивать содержание информации в состоянии, которое описывается тремя категориями требований: доступность, целостность и конфиденциальность. Основные составляющие информационной безопасности сформулированы в Европейских критериях, принятых ведущими странами Европы:
• доступность информации — обеспечение готовности системы к обслуживанию поступающих к ней запросов;
• целостность информации — обеспечение существования информации в неискаженном виде;
• конфиденциальность информации — обеспечение доступа к информации только авторизованному кругу субъектов.

Классификация средств защиты
Классификацию мер защиты можно представить в виде трех уровней.

Законодательный уровень. В Уголовном кодексе РФ имеется глава 28. Преступления в сфере компьютерной информации. Она содержит три следующих статьи:
статья 272. Неправомерный доступ к компьютерной информации;
статья 273. Создание, использование и распространение вредоносных программ для ЭВМ;
статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

Административный и процедурный уровни. На административном и процедурном уровнях формируются политика безопасности и комплекс процедур, определяющих действия персонала в штатных и критических ситуациях. Этот уровень зафиксирован в руководящих документах, выпущенных Гостехкомиссией РФ и ФАПСИ.

Программно-технический уровень. К этому уровню относятся программные и аппаратные средства, которые составляют технику информационной безопасности. К ним относятся и идентификация пользователей, и управление доступом, и криптография, и экранирование, и многое другое.
И если законодательный и административный уровни защиты не зависят от конкретного пользователя компьютерной техники, то программно-технический уровень защиты информации каждый пользователь может и должен организовать на своем компьютере.

Защита жесткого диска (винчестера)
Любую часть компьютерной системы можно заменить на новую, но утратив данные, записанные на жестком диске, вы будете вынуждены воссоздать их заново. На это могут уйти месяцы, а то и годы. Гораздо проще заранее организовать защиту содержимого жесткого диска. Начинать следует с создания аварийной загрузочной дискеты. Она
очень пригодится, если по какой-то причине не удастся загрузить операционную систему с жесткого диска. Владельцам Windows-систем придется создать дискету аварийной загрузки самостоятельно.

Резервное копирование данных
Другой враг нашей информации — сбои самого компьютера. Даже при самом строгом соблюдении мер профилактики нельзя быть абсолютно застрахованным от потери данных, хранящихся на жестком диске. Рано или поздно что-нибудь случается, и восстановить все в прежнем виде можно будет только в том случае, если у вас имеется копия содержимого жесткого диска. Логика здесь очень простая: если одни и те же данные хранятся в двух разных местах, вероятность лишиться их значительно уменьшается. Поэтому всегда следует хранить данные в двух экземплярах, например: один на встроенном жестком диске, а другой на внешнем жестком диске или сменных носителях, используемых для резервного копирования. Чтобы определиться со стратегией создания резервных копий, необходимо решить, каким носителем вы будете пользоваться и какие данные нужно продублировать.

Полезные советы. Как защитить данные?
• Установите пароли на BIOS и на экранную заставку.
• Исключите доступ посторонних лиц к вашему компьютеру,
• Создайте аварийный загрузочный диск.
• Систематически делайте резервное копирование данных.
• Регулярно очищайте Корзину с удаленными файлами.
• Устанавливайте пароли на файлы с важной информацией.
• При установке пароля не используйте ваше имя, фамилию, телефон.
• Проводите архивацию файлов.
• После удаления большого количества файлов, но не реже одного раза в месяц, производите дефрагментацию жесткого диска.

Говоря о безопасности информации, мы сознательно глубоко не затрагивали проблему компьютерных вирусов, и могло сложиться мнение, что такая проблема не актуальна. Ничего подобного! Борьба с вирусами — это несомненно часть информационной безопасности, просто мимоходом говорить о такой важной проблеме неправильно. Борьба с вирусами — это тема отдельного разговора.

Виды компьютерных вирусов
Чтобы успешно бороться с вирусами, надо их знать. Рассмотрим наиболее распространенные типы вирусов, с которыми вы в любой момент можете столкнуться.
Макровирусы. Эти вирусы распространяются зараженными файлами данных и учиняют разгром, используя механизм макросов программы-хозяина. Они распространяются значительно быстрее любых других компьютерных вирусов, так как поражаемые ими файлы данных используются наиболее часто. Хакеры используют языки программирования таких популярных программ, как Word и Excel, чтобы искажать написание слов, изменять содержание документов и даже удалять файлы с жестких дисков.
Вирусы, поражающие загрузочный сектор и главную загрузочную запись. В качестве примера можно назвать вирусы «Микеланджело», «Килрой», «Джек-Потрошитель». Они передаются с компьютера на компьютер через зараженные флешки и дискеты. При обращении к установленному внешнему диску, операционная система считывает и выполняет вирусный код.
Пожалуй, самый знаменитый вирус «Микеланджело», заставивший трепетать весь компьютерный мир, заслуживает того, чтобы ему было уделено некоторое внимание. Ежегодно 6 марта, в день рождения Микеланджело, вирус производил свою главную атаку, заменяя содержимое секторов жестких дисков случайными данными. Эффект ужасающий: восстановить информацию уже нельзя.
Файловые вирусы. Они внедряются в исполняемые файлы и делают свое черное дело, когда вы запускаете зараженную программу.
«Бомбы замедленного действия» и «троянские кони». Это особые разновидности вирусов, поражающих загрузочные секторы и файлы. До наступления определенной даты или определенного события они «дремлют» в компьютере, а затем активизируются и наносят удар.
Однако четкого разделения между ними не существует, и все они могут использовать комбинацию вариантов взаимодействия — своеобразный вирусный «коктейль».
Троянские программы действуют подобно «троянскому коню» из греческой мифологии. Они искусно маскируются под личиной какой-либо полезной программы, но стоит заинтересованному пользователю установить и запустить подобную программу на своем компьютере, как она незаметно начинает выполнять свою скрытую вражью функцию.
После того как «троянец» выполнит свою задачу, программа может самоуничтожаться, тем самым затрудняя обнаружение истинных причин «пожара» на вашем компьютере. Троянские программы часто используются для первоначального распространения вирусов.
Логической бомбой называют программу (или ее отдельные модули), которая при выполнении условий, определенных ее создателем, осуществляет несанкционированные действия, например при наступлении обусловленной даты или, скажем, появлении или исчезновении какой-либо записи в базе данных происходит разрушение программ или БД. Известен случай, когда программист, разрабатывавший систему автоматизации бухгалтерского учета, заложил в нее логическую бомбу, и, когда из ведомости на получение зарплаты исчезла его фамилия, специальная программа-бомба уничтожила всю систему.
Полиморфные вирусы. Как подсказывает само название, каждый раз, когда такой вирус заражает систему, он меняет обличье, дабы избежать выявления антивирусными программами. Новые изощренные полиморфные вирусы значительно труднее обнаружить и куда сложнее нейтрализовать, поскольку при заражении каждого нового файла они изменяют свои характеристики.
Вирусы многостороннего действия. Хитроумные гибриды, одновременно с файлами поражающие загрузочные секторы или главную загрузочную запись.

Советы по организации антивирусной защиты.
Ниже приведенные советы помогут вам избежать неприятностей, связанных с вирусным заражением компьютера.
1. Если хотите избежать больших затрат и потерь, сразу предусмотрите приобретение и установку комплексной антивирусной программно-аппаратной защиты для вашей компьютерной системы. Если таковая пока не установлена, не забывайте регулярно проверять свой компьютер свежими версиями антивирусных программ
и установите программу-ревизор диска (например, ADinf), которая будет отслеживать все изменения, происходящие на вашем компьютере, и вовремя сигнализировать о вирусной опасности.
2. Не разрешайте посторонним работать на вашем компьютере, по крайней мере, без вашего разрешения.
3. Возьмите за строгое правило обязательно проверять все подключаемые сторонние внешние диски, которые вы используете на своем компьютере, несмотря на
все уверения их владельца, последними версиями антивирусных программ (Doctor WEB, AVP и др.).
4. Настоятельно советуем проверять на наличие вирусов все CD/DVD-ROM, в том числе и фирменные, но особенно купленные с рук или взятые со стороны.
6. Соблюдайте осторожность, обмениваясь файлами с другими пользователями. Этот совет особенно актуален, когда дело касается файлов, загружаемых вами из сети Интернет или приложенных к электронным посланиям. Поэтому лучше сразу проверять все входящие файлы (документы, программы) на наличие вируса, что неплохо умеют делать антивирусные мониторы, например AVP Monitor.
7. Делайте резервные копии своих данных. Это поможет восстановить информацию в случае воздействия вируса, сбоя в системе или выхода из строя жесткого диска.
8. Проверяйте на наличие вирусов старые файлы и диски. Обычные вирусы, равно как и макровирусы, пробуждаются только в тот момент, когда вы открываете или загружаете инфицированный файл. Таким образом, вирусы могут долгое время незаметно храниться на жестком диске в зараженных программах и файлах данных, приложениях к непрочитанным электронным письмам и сжатых файлах.

ОРГАНИЗАЦИЯ БЕЗОПАСНОЙ РАБОТЫ С КОМПЬЮТЕРНОЙ ТЕХНИКОЙ
Компьютерная техника является источником излучений и электромагнитных полей, а также местом накопления статического электричества, потенциально опасных для человека. Однако не следует забывать, что эти явления присутствуют и в быту, и в природе, а не только присущи исключительно компьютеру. А статическое электричество накапливает даже обычная расческа. И пока эти излучения и поля не превосходят установленный медициной предельно допустимый уровень (ПДУ), они не наносят ощутимого урона здоровью человека.
Из всех устройств, связанных с компьютером, для здоровья наибольшую потенциальную опасность представляет ЭЛТ монитор. Именно он сочетает относительно высокий уровень излучения и достаточно малое расстояние до человека. Строго говоря, клавиатура, находящаяся в непосредственном контакте с пальцами пользователя, тоже является источником излучения, но оно практически неотличимо от естественного фона и не идет ни в какое сравнение с излучением монитора. LCD мониторы излучают существенно меньше, чем ЭЛТ.
Компьютер столь же безопасен, как и любой другой бытовой прибор. Но, как и в случае с другими бытовыми приборами, существуют потенциальные угрозы для здоровья, связанные с его применением.
Рассматривая влияние компьютеров на здоровье, отметим несколько факторов риска. Сюда относятся:
• проблемы, связанные с электромагнитным излучением;
• проблемы зрения;
• проблемы, связанные с мышцами и суставами.
В каждом из этих случаев степень риска прямо пропорциональна времени, проводимому за компьютером и вблизи него.
Начнем с наиболее спорного момента, связанного с вредным влиянием электромагнитного поля, создаваемого монитором компьютера.

Полезные советы. Приведем несколько советов, содержащих сведения о том, как обезопасить себя, когда приходится иметь дело с компьютерами или электромагнитными полями.
1. Поскольку электромагнитное излучение исходит от всех частей монитора (многие измерения показали, что уровень излучения по бокам и сзади монитора выше, чем спереди), то наиболее безопасно установить компьютер в углу комнаты или в таком месте, где те, кто на нем не работают, не оказывались бы сбоку или сзади от монитора.
2. Не оставляйте компьютер или монитор надолго включенными. Если компьютер не используется, выключите его. Это, может быть, не очень удобно (и может даже оказать некоторое влияние на срок службы компьютера), но все же это не слишком большая плата за защиту от потенциальной опасности электромагнитного поля.
3. Старайтесь сидеть по возможности дальше от экрана компьютера, но не в ущерб удобству. Согласно испытаниям, проведенным различными исследователями, пользователи, сидевшие по крайней мере в 70 см от экрана, получают минимальную дозу электромагнитного излучения. Рекомендуется при работе за компьютером помещать монитор на расстояние вытянутой руки (руки взрослого с вытянутыми пальцами).
4. Дети и беременные женщины должны проводить за компьютером не больше нескольких часов в день.

Проблемы, связанные с мышцами и суставами
У людей, проводящих много времени за компьютером, наибольшее число жалоб на здоровье связано с заболеваниями мышц и суставов. Чаще всего это просто онемение шеи, боль в плечах и пояснице или покалывание в ногах. Но бывают более серьезные заболевания. Наиболее распространен кистевой туннельный синдром (capral tunnel syndrome), при котором нервы руки повреждаются вследствие частой и длительной работы на компьютере. Имеет смысл последить за положением своего тела, если вы
чересчур засиделись за компьютером. Обязательно проследите, чтобы стул, на котором вы сидите, не был слишком высоким или слишком низким. Заставляйте себя во время работы за компьютером не горбиться. Если вы выработаете привычку сидеть ровно и смотреть прямо на компьютер, то вероятнее всего вам удастся в будущем избежать проблем с мышцами и суставами.
Активные физические упражнения, гимнастика или просто движение являются профилактикой для суставов и мышц, поэтому старайтесь не реже одного раза в час встать из-за компьютера и сделать несколько физических упражнений или хотя бы просто пройтись по комнате.

2. Правильная организация рабочего места. Мало приобрести компьютерную технику с хорошими показателями безопасности — ее нужно еще грамотно установить. Превышающие допустимый уровень излучения электромагнитные поля могут возникать даже у качественной сертифицированной техники, если она неправильно установлена. Поэтому при установке компьютерной техники необходимо следующее.
• Проследить за правильной расстановкой компьютеров в помещении, ведь наличие большого количества мониторов в ограниченном пространстве может привести к превышению допустимого уровня магнитных полей.
• Предохранять компьютер от попадания на него прямых солнечных лучей. Рабочее кресло должно находиться на безопасном расстоянии, да и от боковой и задней стенок монитора лучше держаться подальше.
• Обязательно применять сетевой фильтр, а если позволяют финансы — источник бесперебойного питания. Обеспечить надежное заземление компьютерной техники и источников питания.
• Правильно сориентировать монитор относительно источников света — лучше всего сидеть спиной к окну. Минимизировать блики на экране от расположенных рядом с монитором источников света, светлого оборудования, ярких поверхностей, незашторенных окон.
• При использовании ноутбуков желательно подключать к ним обыкновенную клавиатуру и мышь для максимального удаления рук от процессорного блока.
• Поддерживать невысокий уровень запыленности помещения. При наличии кондиционера не забудьте его включать.

Контрольные вопросы
1. Назовите меры защиты компьютерной информации.
2. Какие средства программно-аппаратного уровня защиты вы Знаете?
3. Как устанавливать пароли на BIOS, экранную заставку и файлы?
4. Как защититься от вирусной атаки?
5. Перечислите известные вам антивирусные программы.
6. Как предостеречь пользователя от влияния электромагнитной) излучения?
7. Как уберечься от компьютерного зрительного синдрома?
8. Перечислите меры эргономической организации рабочего компьютерного места.
9. Назовите критерии оптимального режима работы с компьютером.

Информационная безопасность – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры. Информационная безопасность не сводится исключительно к защите информации. Субъект информационных отношений может пострадать (понести убытки) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в обслуживании клиентов.

Под безопасностью информации понимается такое ее состояние, при котором исключается возможность просмотра, изменения или уничтожения информации лицами, не имеющими на это права, а также утечки информации за счет побочных электромагнитных излучений и наводок, специальных устройств перехвата (уничтожения) при передаче между объектами вычислительной техники. Также к информационной безопасности относится защита информации от непреднамеренного уничтожения (технические сбои).

Защита информации – это совокупность мероприятий, направленных на обеспечение конфиденциальности и целостности обрабатываемой информации, а также доступности информации для пользователей.

Конфиденциальность – сохранение в секрете критичной информации, доступ к которой ограничен узким кругом пользователей (отдельных лиц или организаций).

Целостность – свойство, при наличии которого информация сохраняет заранее определенные вид и качество.

Доступность – такое состояние информации, когда она находится в том виде, месте и времени, которые необходимы пользователю, и в то время, когда она ему необходима.

Цель защиты информации является сведение к минимуму потерь в управлении, вызванных нарушением целостности данных, их конфиденциальности или недоступности информации для потребителей.

Официальная часть (процедура копировать-вставить с Интернетов) закончена. Теперь неофициальная. Из практики.

Статья эта написана для руководителей компаний, для которых правила НБ РК (регулятора) неприменимы.

Как большая часть руководителей (и не очень) понимают «информационную безопасность»?
Что имеют ввиду работодатели (компании), когда размещают вакансии с упоминанием словосочетания «Информационная безопасность»?

Из практики большая часть ассоциируют информационную безопасность с какими-то техническими средствами, например устройство защиты сети (firewall) или программным обеспечением по слежке за сотрудниками (так называемые DLP — data loss prevention) или антивирусом.

Вышеупомянутые средства относятся к информационной безопасности, но никак не гарантируют сохранность объекта защиты (информации), ее целостность и доступность. Почему?

По очень простой причине — обеспечение информационной безопасности — это процесс, а не какое-либо устройство, программное обеспечение, которые, как большая часть руководителей (и не только) думают, что являются панацеей и защитой.

Возьмем для примера небольшую торговую компанию, с количеством пользователей 50 штук. Под пользователями подразумеваются все сотрудники, имеющие доступ в информационную систему (ИС) компании посредством какого-либо устройства (компьютер, ноутбук, планшет, мобильный телефон). Под доступом в ИС подразумевается любой доступ — к электронной почте, в сеть Интернет, к базам данных, файлам и т.д.

Злоумышленник таким образом получает доступ в вашу сеть, впоследствии тихо разворачивает свою деятельность и вуаля! В один «прекрасный» день вы вдруг обнаруживаете (нужное подчеркнуть):

  • все ваши базы данных зашифрованы. К вам на почту пришло письмо с требованием выкупа;
  • все ваши файлы уничтожены. К вам на почту пришел смайлик :) ;
  • ваша сеть просто не работает;
  • данные ваших клиентов были размещены на каких-либо сайтах;
  • ваше реальное положение дел узнали ваши конкуренты;
  • ваши реальные финансовые показатели стали общедоступными;
  • поставщик вам предъявляет какие-то претензии по недавно подписанному вами контракту (нарушение целостности информации). Контракт был изменен злоумышленником накануне подписания (его уже проверили ваши юристы, бухгалтеры, коммерческий директор и прочие официальные лица) и сохранили его в папке на сервере. c камер наблюдения, где вы с вашей секретаршей танцевали на столе в трусах из скрепок каким-то образом попала к вашей супруге;
  • и т.д и т.п.

Многие возмутятся — все это страшилки. Аргументы обычно следующие:

  • у нас есть резервные копии;
  • у нас стоит firewall самой последней модели который настроила самая крутая в стране компания по ИБ;
  • у нас стоит самый дорогой антивирус;
  • у нас.

Резервные копии

Резервное копирование — это один из самых основных способов защиты информации — ее целостности, доступности и сохранности.

  • есть ли у вас регламент резервного копирования?
  • уверены ли вы, что ваша резервная копия (копии) рабочая?
  • тестировалась ли (было ли тестовое восстановление) ваша резервная копия (копии) вашим системным администратором?
  • как часто проводилось тестирование резервной копии?
  • есть ли вообще резервная копия?

Устройство безопасности (firewall)

Основная угроза информации — ее конфиденциальности, целостности и доступности (CIA) обычно исходит изнутри. Недовольные сотрудники, вышеупомянутые начальники, бухгалтеры (со своими зараженными флешками побывавшие в рассаднике вирусов — налоговой), рядовые сотрудники. Часто на вопрос «а есть ли у вас документированные процедуры доступа к ИС» многие отвечают непонимающим взглядом — «это что?». Или вопрос «производились ли проверки внешнего (и внутреннего) периметра сети квалифицированными людьми на предмет безопасности» — это зачем? Это затем, что все это относится к той же информационной безопасности. Из практики большая часть компаний ни того, ни другого, ни третьего не имеют, никогда не делали или вообще не знают, зачем это надо (но тем не менее пишут в вакансиях «обеспечение информационной безопасности»). Firewall не панацея. Это техническое средство, предназначенное для защиты как внешнего, так и внутреннего периметра вашей ИС. И несмотря на его стоимость, он не обеспечит вам защиты, если настроен он дилетантом. Это можно сравнить со стрельбой из оружия — оно может быть дорогим, но не гарантирует попадания в цель неумелому стрелку (плохому танцору).

Антивирус

Сколько людей — столько и антивирусов. Антивирус, как было сказано выше, не панацея. Это лишь одно из средств обеспечения безопасности информации, которое не исключает и не отменяет соответствующую настройку операционных систем, групповых политик, прав доступа, регламентированные процедуры резервного копирования, обучение и информирование пользователей основам информационной безопасности и прочие меры, которые могут укрепить бастион информационной безопасности.

Нужно ли вам нанимать сотрудника, специально занимающего информационной безопасностью, либо срочно бежать и закупать маски устройства безопасности (firewall) и антивирусы, чтобы обеспечить информационную безопасность?

Нет. На первом этапе ничего покупать, никого нанимать и делать прочие необдуманные действия — не надо.

Далее приведем упрощенный алгоритм действий, которые необходимо предпринять для построения системы информационной безопасности.

0. Определитесь как вы будете выстраивать систему ИБ — как обычно (как все делается на всем пространстве СНГ — через жопу и для галочки, поговорили, поделали умные лица на совещаниях и забыли), или в соответствии с общепринятыми стандартами.

Если ответ на вопрос 0 — «как обычно», можете дальше не терять свое драгоценное время и не читать.

1. Определитесь, что и зачем защищать. Документ, который это описывает обычно называется «Политика информационной безопасности». Документ не описывает каких-то конкретных мер, технических устройств, настроек и прочих действий, требуемых для обеспечения защиты информации.

2. Составьте список ресурсов (технических средств и программного обеспечения) которые имеются в компании. Часто в требованиях к соискателям упоминается перечень ПО и оборудования «Kerio FW, Cisco, Mikrotik, Ubuntu, pfsense» и т.д. Вы что, серьезно думаете, что все это имеющееся у вас в наличии, вас защитит? Скорее наоборот.

3. Создайте и обсудите матрицы доступа пользователей (клиентов, партнеров и т.п.) к информационной системе. Что такое матрица доступа: это когда есть четкий документ кто, куда и какого уровня имеет доступ к ИС системе.

4. Создайте документ, регламентирующий процедуру резервного копирования.

5. Создайте документ, где описываются все средства обеспечения ИБ — физические, технические, программные, административные.

6. Подготовьте и проведите обучающие занятия по информационной безопасности для сотрудников предприятия. Проводите их ежеквартально.

7. Поинтересуйтесь у ответственного сотрудника, сможет ли он обеспечить весь процесс самостоятельно или это требует привлечения третьей стороны (либо найма дополнительного сотрудника)

8. Протестируйте свою ИС на проникновение (так называемый penetration test).

9. Создайте, либо внесите корректировки в следующие документы:

  • восстановление ИС (информационной системы) на случай сбоя (оборудования, техногенных и природных катастроф, прочего повреждения);
  • положение по антивирусной защите;
  • документ, регламентирующий процедуру резервного копирования и тестирования резервных копий;
  • документ, регламентирующий контроль и восстановление баз данных (если таковые имеются);
  • документ, регламентирующий действия в случае инцидентов ИБ;
  • документ, регламентирующий использование паролей;
  • документ, регламентирующий использование программного обеспечения (разрешенное к использованию ПО);
  • положение о системе видео регистрации (при наличии таковой);
  • документ, регламентирующий использование беспроводной (WiFi) сети;
  • документ, регламентирующий правила обновления операционных систем;
  • инструкции для системных администраторов и специалистов по ИБ (при наличии таковых);
  • документ, регламентирующий использование доступа в сеть Интернет;
  • схему ИС (информационной системы).

11. Улыбнитесь. Не так страшен черт, как его малюют, если у вас есть хорошо структурированная, прозрачная, понятная и управляемая информационная система. Понятная как для вас (руководителя), для ваших пользователей (сотрудников) ну и надеемся для вашего системного администратора.

Словосочетание "информационная безопасность" в разных контекстах может иметь различный смысл. В Доктрине информационной безопасности Российской Федерации термин "информационная безопасность" используется в широком смысле. Имеется в виду состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.

В Законе РФ "Об участии в международном информационном обмене" (закон утратил силу, в настоящее время действует "Об информации, информационных технологиях и о защите информации") информационная безопасность определяется аналогичным образом – как состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства.

В данном курсе наше внимание будет сосредоточено на хранении, обработке и передаче информации вне зависимости от того, на каком языке (русском или каком-либо ином) она закодирована, кто или что является ее источником и какое психологическое воздействие она оказывает на людей. Поэтому термин "информационная безопасность" будет использоваться в узком смысле, так, как это принято, например, в англоязычной литературе.

Под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры . (Чуть дальше мы поясним, что следует понимать под поддерживающей инфраструктурой .)

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная сторона использования информационных технологий.

Из этого положения можно вывести два важных следствия:

  1. Трактовка проблем, связанных с информационной безопасностью , для разных категорий субъектов может существенно различаться. Для иллюстрации достаточно сопоставить режимные государственные организации и учебные институты. В первом случае "пусть лучше все сломается, чем враг узнает хоть один секретный бит", во втором – "да нет у нас никаких секретов, лишь бы все работало".
  2. Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.

Возвращаясь к вопросам терминологии, отметим, что термин "компьютерная безопасность " (как эквивалент или заменитель ИБ ) представляется нам слишком узким. Компьютеры – только одна из составляющих информационных систем, и хотя наше внимание будет сосредоточено в первую очередь на информации, которая хранится, обрабатывается и передается с помощью компьютеров, ее безопасность определяется всей совокупностью составляющих и, в первую очередь , самым слабым звеном , которым в подавляющем большинстве случаев оказывается человек (записавший, например, свой пароль на "горчичнике", прилепленном к монитору).

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры , к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал. Эта инфраструктура имеет самостоятельную ценность, но нас будет интересовать лишь то, как она влияет на выполнение информационной системой предписанных ей функций.

Обратим внимание, что в определении ИБ перед существительным " ущерб " стоит прилагательное "неприемлемый". Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение , а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

Ц ифровой мир, окружающий человека последние десятилетия, во многом облегчает ему жизнь, способствует развитию экономики, помогает решать множество бытовых и профессиональных задач. Но вместе с тем увеличению уровня удобств сопутствует и возрастание количества угроз, направленных на личные интересы и права гражданина, на нормальное функционирование бизнеса. Соблюдение даже простых требований информационной безопасности способно защитить средства на картах и персональные данные физического лица. Компаниям, особенно работающим на конкурентных рынках, необходимо относиться к вопросам компьютерной безопасности более ответственно.

Необходимость защиты информации

Эксперты, разрабатывающие для компаний концепции компьютерной безопасности, начинают работу с подготовки модели угроз. Этот документ помогает определить архитектуру информационных систем и необходимые организационные и технические средства защиты.

На уровне государства модель системных угроз формулируется в Доктрине информационной безопасности, и борьба с ними происходит в основном в правовом поле, путем принятия законов и установления стандартов и методик, определяющих основы информационной безопасности. Для компании же основные угрозы будут зависеть от того, на каких рынках она работает и какие категории информации обрабатывает.

Среди тех угроз, которые чаще всего оказываются в моделях, можно назвать следующие:

  • внешние. Это либо конкуренты, желающие получить сведения о бизнес-процессах или клиентских базах, либо хакеры, преследующие собственные цели;
  • внутренние, инсайдерские. Как считают эксперты, более 70 % утечек информации происходит в результате действий сотрудников компании, обычных пользователей. Такие действия могут быть преднамеренными или случайными.

Основным принципом выстраивания системы защиты будет то, что абсолютной безопасности информации быть не может. Всегда необходимо соизмерять способы и средства защиты и их стоимость с действительной ценой информации.

Бороться с внутренними угрозами проще, чем с внешними. Информирование сотрудников о базовых правилах работы с компьютером, установление режима коммерческой тайны, разграничение уровней допуска и информирование о случаях привлечения к ответственности за нарушение правил компьютерной безопасности способны снизить инсайдерские риски до минимума. Практически до нуля они уменьшаются в случае установки на рабочих компьютерах современной DLP-системы, но не все компании, работающие в секторе малого и среднего бизнеса, могут себе это позволить.

Чаще всего IT-специалисты ограничиваются несколькими типичными решениями:

  • установка на компьютеры паролей;
  • установка защиты от компьютерных вирусов;
  • запрет на инсталляцию любого непротестированного или найденного в Интернете программного обеспечения;
  • ранжирование уровня доступа пользователей определенным информационным массивам, хранящимся на компьютере.

Этого не всегда бывает достаточно. Если информация имеет ценность для третьих лиц, для ее защиты нужно применять комплекс организационных и технических мер, а также, при выявлении правонарушений в сфере безопасности информации, обращаться к правовым средствам.

Все они должны быть направлены на обеспечение трех основных свойств безопасности информации:

  • конфиденциальности. Любые сведения, в отношении которых установлен режим секретности (персональные данные, банковская или коммерческая тайна), должны быть доступны только авторизированным пользователям;
  • целостности. Данные должны сохраняться на компьютерах и в информационных системах в первоначальном виде, не изменяться и не искажаться;
  • доступности. Пользователь персонального компьютера или информационного ресурса должен получить необходимые сведения в момент запроса, их недоступность по тем или иным причинам (взлом сайта или появление на компьютере программы-вымогателя) не должна мешать работе.

Правовые средства защиты

Государство устанавливает нормы, призванные обеспечить безопасность информации, находящейся на компьютерах и серверах компании. На долю организаций остается или соблюдение правил и стандартов в случаях, предусмотренных законом, или обращение к государственным органам за привлечением к ответственности лиц, совершивших компьютерные преступления.

Стандарты и правила обеспечения информационной безопасности устанавливаются относительно определенных информационных объектов. Так, для защиты персональных данных или объектов критической информационной инфраструктуры приказами ФСТЭК РФ установлены программные средства, использование которых необходимо для защиты от утечек или перехвата управления.

В случае совершения инсайдером или третьим лицом компьютерного преступления гражданин или организация могут обратиться к правоохранительным органам с заявлением о возбуждении уголовного дела по статьям Уголовного кодекса о преступлениях в сфере компьютерной безопасности. Это:

  • неправомерный доступ к компьютерной информации (ст. 272 УК РФ). Любая попытка воспользоваться конфиденциальной информацией, находящейся на компьютере, если она была зафиксирована, будет преследоваться по закону;
  • разработка и распространение вредоносных программ (ст. 273 УК РФ). Под действие этой нормы попадают все авторы вирусов, червей, троянов, логических бомб;
  • нарушение правил эксплуатации компьютеров и информационных систем (ст. 274 УК). Ответственность возникнет, если информация была скопирована, модифицирована или уничтожена, и это принесло убытки ее владельцу.

Правовые механизмы защиты начинают действовать только тогда, когда есть желание привлечь инсайдера к ответственности, не боясь того, что пострадают деловая репутация и стабильная работа компании.

Роль административных мер

В любой организации существуют правила и регламенты, разрабатываемые в целях структурирования работы компании. Создание такого свода правил для работы за компьютером способно устранить многие риски или не допустить их возникновения. В ряде случаев разработка внутренних политик станет обязательной.

Например, оператору персональных данных, исходя из норм закона о персональных данных и постановлений правительства, нужно будет подготовить:

  1. Политику обработки персональных данных.
  2. Перечень лиц, имеющих допуск к информации.
  3. Стандартное согласие на обработку.
  4. Но помимо обязательного свода правил, многие компании разрабатывают:
  5. Политику информационной безопасности и правила работы за компьютером.
  6. Принципы работы в Интернете.
  7. Принципы работы с материальными носителями.
  8. Стандарты отнесения информации к тому или иному классу безопасности.

Со всеми документами сотрудники знакомятся под роспись, только это позволит впоследствии привлечь их к ответственности за нарушение правил компьютерной безопасности.

Дополнительно нормы о соблюдении регламентов и сохранении коммерческой тайны включаются в трудовые контракты с сотрудниками и договоры с поставщиками и подрядчиками. Часто наиболее критичные утечки информации происходят в момент ее передачи организации, оказывающей услуги, или в системы облачного хранения.

Технические средства

При работе на компьютере обычный пользователь сталкивается с единственным техническим средством защиты информации, а именно с антивирусной защитой. IT-подразделения корпорации имеют дело с существенно большим набором технических средств, призванных обеспечить защиту информации. Это:

  • средства криптографической защиты, используемые для шифрования данных на компьютере и исходящего трафика;
  • программы, позволяющие конвертировать конфиденциальные данные в графическую или звуковую форму; ; , гарантирующие перехват любых попыток передать конфиденциальную информацию по электронной почте, с использованием мессенджеров или социальных сетей, распечатать документ, сделать скрин с экрана компьютера или скопировать данные на съемный носитель;
  • межсетевые экраны.

Дополнительно решается задача использования аппаратных средств. Производится установка такой архитектуры информационной системы, которая минимизирует риски утечки информации в процессе ее передачи, установка двухфакторной системы защиты компьютера паролями. Второй пароль ставится на уровне BIOS. Но пароли не всегда решают задачу. Некоторые производители зарубежных системных плат устанавливают функцию введения единого пароля для входа в систему. Обязательным действием станет резервное копирование данных, которые могут быть утрачены в случае технического сбоя, ошибки пользователя или хакерской атаки.

Вся совокупность средств защиты информации призвана обеспечить компьютерную безопасность на высоком уровне, даже без необходимости тратить на решение этой задачи существенные ресурсы.

Читайте также: