Способы защиты информации бизнеса

Технологии защиты информации в компании

Больше материалов по теме «Ведение бизнеса» вы можете получить в системе КонсультантПлюс .

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

• Доступность. Предполагает доступ субъектов к необходимой информации. Под субъектами понимаются компании, которые имеют право на доступ к соответствующим данным.
• Целостность. Сведения должны быть защищены от незаконного видоизменения, порчи.
• Конфиденциальность. Предполагает защищенность от несанкционированного доступа к данным.

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

• Нежелание обучаться работе с информационными системами.
• Отсутствие у сотрудника необходимой подготовки.
• Отсутствие техподдержки, что приводит к сложностям с работой.
• Умышленное или неумышленное нарушение правил работы.
• Выход поддерживающей инфраструктуры из обычного режима (к этому может привести, к примеру, превышение числа запросов).
• Ошибки при переконфигурировании.
• Отказ ПО.
• Нанесение вреда различным частям инфраструктуры (к примеру, проводам, ПК).

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

1. Ввод неправильных данных.
2. Изменение сведений.
3. Подделка заголовка.
4. Подделка всего текста письма.
5. Отказ от исполненных действий.
6. Дублирование информации.
7. Внесение дополнительных сведений.

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

1. Использование многоразовых паролей с сохранением их на источниках, к которым могут получить доступ злоумышленники.
2. Использование одних и тех же паролей в различных системах.
3. Размещение информации в среде, которая не обеспечивает конфиденциальность.
4. Использование злоумышленниками технических средств. К примеру, прослушивающие устройства, специальные программы, фиксирующие введенный пароль.
5. Выставки, на которых презентуется оборудование с конфиденциальными сведениями.
6. Хранение сведений на резервных носителях.
7. Распространение информации по множеству источников, что приводит к перехвату сведений.
8. Оставление ноутбуков без присмотра.
9. Злоупотребление полномочиями (возможно при обслуживании инфраструктуры системным администратором).

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

• Защита помещения компании от действий злоумышленников.
• Защита хранилищ информации от действий заинтересованных лиц.
• Защита от удаленного видеонаблюдения, прослушивания.
• Предотвращение перехвата сведений.
• Создание доступа сотрудников в помещение компании.
• Контроль над деятельностью сотрудников.
• Контроль над перемещением работников на территории компании.
• Защита от пожаров.
• Превентивные меры против последствий стихийных бедствий, катаклизмов.

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

• Защита конфиденциальности сведений, которые передаются по открытым каналам.
• Возможность подтверждения подлинности сведений, которые передаются по различным каналам.
• Обеспечение конфиденциальности сведений в том случае, если они размещены на открытых носителях.
• Сохранение целостности данных при их передаче и хранении.
• Подтверждение отправки сообщения с информацией.
• Защита ПО от несанкционированного применения и копирования.

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

• Инструменты для ввода сведений, нужных для идентификации (идентификация по отпечаткам пальцев, магнитные и пластиковые карты доступа).
• Инструменты для шифрования данных.
• Оборудование, предупреждающее несанкционированное использование систем (к примеру, электронные звонки, блокираторы).
• Инструменты для уничтожения сведений на носителях.
• Сигнализация, срабатывающая при попытках несанкционированных манипуляций.

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Источник

Способы защиты информации бизнеса

7 МИН

Чек-лист кибербезопасности: как малому бизнесу защитить данные

Объём российского рынка средств киберзащиты по итогам 2019 года увеличился до 90,6 млрд рублей: рост на 14 % по отношению к 2018 году. Бизнес тратит на информационную безопасность всё больше денег. Но что делать, если ваш бюджет в разы меньше, чем у крупных корпораций? О правилах киберзащиты для малого бизнеса рассказал IT-эксперт.

Услуги злоумышленников дешевеют и становятся доступнее:

• порядка 7000 рублей может стоить конкуренту DDoS-атака на ваш сайт.
• 50 000 рублей потребуют хакеры за кражу паролей к соцсетям и почте, спам-рассылку и слив частной переписки.
• 70 000 рублей — за подрыв репутации: плохие отзывы о компании, чёрный PR, удаление сайта.

При этом аудит — проверка того, насколько вы уязвимы в плане информационных угроз — обойдётся в сумму от 400 тысяч до нескольких миллионов рублей. Однако базовая система киберзащиты не требует столь крупных инвестиций. Сооснователь и коммерческий директор компании «Акстел-Безопасность» Владимир Соловьев сформулировал 5 правил информационной безопасности, а мы дополнили чек-лист ещё одним важным пунктом.

6 советов по кибербезопасности для бизнеса

Определите, какая именно информация требует защиты

Чаще всего приходится защищать:

• сведения о клиентах, поставщиках, новых разработках и ноу-хау,
• содержание договоров с партнёрами,
• себестоимость продуктов и услуг,
• аналитические и маркетинговые исследования, их результаты и выводы,
• данные о финансовом состоянии компании и о зарплатах.

Оцените реальную стоимость вашей информации

Система защиты информации не должна стоить дороже, чем сама информация. То есть тратить десять рублей на каждый заработанный компанией рубль нерационально. Задача собственника — изучить список потенциальных объектов атаки, оценить риски и возможные потери, рассчитать стоимость покрытия этих рисков и уже после принять решение, каким образом их минимизировать.

Позаботьтесь о дополнительной защите данных на удалёнке

2020 год запомнится молниеносным переходом на удалённую работу. Взломать домашнюю интернет-сеть или личный ноутбук легче. А значит, подключаться к корпоративным ресурсам — системам CRM и ERP, почте, хранилищам файлов, внутренним мессенджерам — опаснее. Доступ к домашнему интернет-каналу открывает злоумышленнику доступ и к данным, которые через этот канал передаются.

Важно соблюдать базовые правила информационной безопасности:

• Установите надёжный пароль на домашнем Wi-Fi-роутере. Вариант «123» не подойдёт.
• Установите на домашний компьютер антивирус, либо последнюю версию операционной системы, в которую уже входит антивирус.
• Не игнорируйте сообщения с призывом обновить антивирус, эта программа должна быть актуальной.
• Используя личную электронную почту для работы, не открывайте вложения из писем с незнакомых адресов, не переходите по ссылкам из них: это может быть фишинг.

Фишинговые рассылки — это письма и СМС, которые выглядят как сообщения от надёжных источников. Например, банков, интернет-провайдеров, платёжных систем, известных компаний. Чаще всего в них содержатся две вещи: просьба обновить или прислать какие-то личные данные (номер карты, пароль) и завуалированная угроза («Если данные о карте не поступят в течение недели, ваш счёт будет заблокирован»).

Формируйте культуру информационной безопасности

Для малого бизнеса наиболее подходящее по затратам и эффективности решение — обучать сотрудников и владельцев. Предотвращать кибератаки и минимизировать их последствия учат офлайн — например, в Сибирской академии информационной безопасности, и онлайн — на площадках вроде «Нетологии» или «Инфобезопасности».

На таких курсах рассказывают, как правильно пользоваться программами антивирусной защиты, учат создавать и правильно обновлять пароли, объясняют особенности работы с корпоративной почтой, жёсткими дисками, флешками и другими носителями.

Используйте специальные облачные сервисы

Для малого бизнеса подойдут облачные сервисы вроде DataFort и McAfee Web Gateway Cloud Setvice. Они защищают информацию от сетевых угроз примерно на том же уровне, что и аппаратные устройства, которые обычно используют для этого в офисах, но тратиться на техобслуживание не придётся. В дополнение к таким сервисам можно подписаться на антивирусную защиту или систему контроля за утечкой информации.

Совет от Сбербанка: выпустите цифровую подпись

Её можно использовать для регистрации или авторизации на интернет-сайтах, а также в качестве ключа доступа к файлам и базам данных, защищённым паролем. Квалифицированная электронная подпись (КЭП) наиболее совершенна в плане безопасности. Это ключ, сформированный с помощью криптографических средств, который записывается на USB-носитель.

КЭП способна обеспечить надёжную защиту информации от посторонних лиц, а степень конфиденциальности владелец устанавливает сам. Данные будут защищены, даже когда срок действия ключа истечёт.

Простой способ оформить квалифицированную подпись — подать заявку через Сбербанк Бизнес Онлайн: потребуется минимум документов, а получить подпись можно курьерской доставкой.

Короче

—

Вредоносные коды, программы, фишинговые рассылки, утечка данных, взломы сайтов и программ — способы, при помощи которых киберпреступники крадут деньги и данные, а также просто портят настроение, деловую репутацию, отношения с клиентами и партнёрами.

—

Потенциальная угроза информационной безопасности — сотрудники. Открытое на рабочем компьютере фишинговое письмо, установка сомнительных программ и приложений, заражённая вирусами флешка — самые частые ошибки.

—

Игнорирование принципов информационной безопасности может привести к серьёзным финансовым и репутационным потерям.

—

Если у вас небольшая компания и ограниченный бюджет, начните с обучения сотрудников основам информационной безопасности.

—

Изучите популярные схемы кибермошенничества и действуйте по инструкции, чтобы ваш бизнес не пострадал.

Источник