Способы защиты от нарушителей

Технологии защиты информации в компании

Больше материалов по теме «Ведение бизнеса» вы можете получить в системе КонсультантПлюс .

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

• Доступность. Предполагает доступ субъектов к необходимой информации. Под субъектами понимаются компании, которые имеют право на доступ к соответствующим данным.
• Целостность. Сведения должны быть защищены от незаконного видоизменения, порчи.
• Конфиденциальность. Предполагает защищенность от несанкционированного доступа к данным.

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

• Нежелание обучаться работе с информационными системами.
• Отсутствие у сотрудника необходимой подготовки.
• Отсутствие техподдержки, что приводит к сложностям с работой.
• Умышленное или неумышленное нарушение правил работы.
• Выход поддерживающей инфраструктуры из обычного режима (к этому может привести, к примеру, превышение числа запросов).
• Ошибки при переконфигурировании.
• Отказ ПО.
• Нанесение вреда различным частям инфраструктуры (к примеру, проводам, ПК).

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

1. Ввод неправильных данных.
2. Изменение сведений.
3. Подделка заголовка.
4. Подделка всего текста письма.
5. Отказ от исполненных действий.
6. Дублирование информации.
7. Внесение дополнительных сведений.

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

1. Использование многоразовых паролей с сохранением их на источниках, к которым могут получить доступ злоумышленники.
2. Использование одних и тех же паролей в различных системах.
3. Размещение информации в среде, которая не обеспечивает конфиденциальность.
4. Использование злоумышленниками технических средств. К примеру, прослушивающие устройства, специальные программы, фиксирующие введенный пароль.
5. Выставки, на которых презентуется оборудование с конфиденциальными сведениями.
6. Хранение сведений на резервных носителях.
7. Распространение информации по множеству источников, что приводит к перехвату сведений.
8. Оставление ноутбуков без присмотра.
9. Злоупотребление полномочиями (возможно при обслуживании инфраструктуры системным администратором).

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

• Защита помещения компании от действий злоумышленников.
• Защита хранилищ информации от действий заинтересованных лиц.
• Защита от удаленного видеонаблюдения, прослушивания.
• Предотвращение перехвата сведений.
• Создание доступа сотрудников в помещение компании.
• Контроль над деятельностью сотрудников.
• Контроль над перемещением работников на территории компании.
• Защита от пожаров.
• Превентивные меры против последствий стихийных бедствий, катаклизмов.

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

• Защита конфиденциальности сведений, которые передаются по открытым каналам.
• Возможность подтверждения подлинности сведений, которые передаются по различным каналам.
• Обеспечение конфиденциальности сведений в том случае, если они размещены на открытых носителях.
• Сохранение целостности данных при их передаче и хранении.
• Подтверждение отправки сообщения с информацией.
• Защита ПО от несанкционированного применения и копирования.

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

• Инструменты для ввода сведений, нужных для идентификации (идентификация по отпечаткам пальцев, магнитные и пластиковые карты доступа).
• Инструменты для шифрования данных.
• Оборудование, предупреждающее несанкционированное использование систем (к примеру, электронные звонки, блокираторы).
• Инструменты для уничтожения сведений на носителях.
• Сигнализация, срабатывающая при попытках несанкционированных манипуляций.

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Источник

Технологии защиты от внутренних нарушителей

Технологии защиты от внутренних нарушителей

Технологии защиты от внутренних нарушителей

Алексей Королев, управляющий партнер компании Pointlane

В СОВРЕМЕННОМ бизнесе ключевым преимуществом является обладание необходимой информацией. Многие руководители привыкли учитывать только материальные активы, забывая о нематериальных, неосязаемых. Тот, кто сможет хорошо проанализировать и воспользоваться информацией быстрее других, будет иметь неоспоримое конкурентное преимущество. Однако данное преимущество можно легко утратить, потеряв важную информацию. Как показывает практика, в большинстве случаев наиболее простой канал ее получения – это легальный пользователь, внутренний нарушитель. Меры, необходимые для нейтрализации такой угрозы, делятся на технические и организационно-правовые.

Технические меры

Нарушитель, имеющий легальный доступ к корпоративной сети, может вынести информацию за пределы периметра многими способами, например такими:

• копирование на съемный носитель (flash-память, DVD и т.п.);
• пересылка по электронной почте (в том числе Web-почте);
• передача файла через сторонний ресурс (файлообменник, форум в Интернете и т.д.);
• отправка текстового фрагмента посредством IM;
• печать на бумаге и вынос за пределы организации (контролируемой зоны);
• визуальный съем информации (в том числе с использованием технических средств).

В каждом случае нарушитель имеет легальный (обусловленный его служебными обязанностями) доступ к информации. Запретить этот доступ невозможно, сам факт доступа также не является нарушением. Поэтому перед службой информационной безопасности встает проблема интерпретации и анализа действий пользователя. И тут на помощь может прийти система предотвращения утечки данных (data loss prevention, DLP). В самом простом случае критичная информация является просто набором файлов. Тогда для сохранения ее конфиденциальности можно использовать любое из имеющихся DLP-решений – практически все эти решения перехватывают все возможные способы хищения информации. Единственным препятствием может послужить использование экзотических форматов файлов (для анализа содержимого файла продукт должен «знать» его формат).

Существуют две основные разновидности DLP-решений по способу работы: агентские решения (когда на рабочие станции сотрудников устанавливается специальный агент) и решения, работающие на узле обмена информацией (например, шлюзе доступа в Интернет).

Преимущества агентских решений состоят в том, что перекрываются все пути хищения информации, включая мобильные носители и те программы-коммуникаторы, которые используют шифрование трафика (например, Skype). Вместе с тем такой способ не лишен недостатков – на машине пользователя необходимо формировать доверенную среду (иначе агент будет просто выгружен злоумышленником). Кроме того, агенты существуют почти исключительно под операционные системы Microsoft, что подходит не всем.

У DLP-решений, работающих на узле обмена информацией, есть иные недостатки – невозможно «на лету» разбирать зашифрованный трафик (например, трафик Skype возможно контролировать только агентскими DLP) и придется либо принимать этот риск, либо применять другие меры (в том числе и чисто организационные) к запрету таких сообщений. Также такое DLP-решение очевидно не в состоянии контролировать использование flash-дисков и подобных носителей информации.

В случае использования агентского DLP-решения службе ИБ необходимо составить перечень конфиденциальной информации и мест ее хранения и установить соответствующее ПО на рабочие станции сотрудников. В случае если все использующиеся типы файлов поддерживаются продуктом, они будут проиндексированы и все действия по копированию (в том числе и через буфер обмена) будут контролироваться. После этого «простыми» действиями похитить информацию не удастся.

Однако можно сформулировать достаточное количество сценариев, которые будет применять внутренний нарушитель для обхода агентского DLP-решения, например:

• массовое копирование важных файлов на рабочую станцию с последующей архивацией;
• компиляция файла, содержащего важную информацию из многих других источников.

Поиск подобных сценариев можно продолжить, но главная причина утечки состоит в том, что пользователь имеет легальный доступ к конфиденциальной информации и запретить этот доступ невозможно. Сокрытие применяемых методов защиты (и используемых решений в том числе) нельзя признать хорошей практикой, поэтому можно считать, что нарушитель знает возможности и недостатки средств защиты информации.

Таким образом, для качественного предотвращения утечек информации необходимо применять и другие меры. Однако DLP-решения незаменимы при проведении расследований — они позволяют контролировать действия пользователей и выявлять подозрительную активность (например, копирование больших фрагментов файлов через буфер обмена). В качестве других технических мер можно применять системы записей пользователя (вплоть до записи всего происходящего на экране), программы теневого копирования (когда регистрируются все данные, переданные через переносные носители) и другие способы фиксации действий (вплоть до записей системы видеонаблюдения). Правда, надо заметить, что некоторые DLP-решения могут данный функционал подключать в виде дополнительных модулей.

Администратор безопасности, имея собранную такими средствами информацию, может восстановить точную последовательность действий предполагаемого нарушителя и доказать или опровергнуть факт кражи информации. Применение же перечисленных мер по отдельности скорее всего результата не даст, так как сквозной анализ любой системы регистрации крайне трудоемок. Конкретизировать временной отрезок и подозреваемого пользователя можно при помощи системы DLP.

Вместе с тем применение одной лишь такой системы также серьезно осложняет жизнь потенциальному нарушителю (особенно если он не является профессионалом в сфере IT). Также DLP помогает предотвратить утечки информации по неосторожности -пользователь получит дополнительное предупреждение о том, что передаваемая им информация носит конфиденциальный характер, и ему придется подтвердить необходимость передачи. Сам факт того, что действия пользователя контролируются, является сильнейшим сдерживающим фактором для большинства потенциальных нарушителей.

Организационные и правовые меры

Вообразим себе ситуацию, когда факт кражи конфиденциальной информации стал известным и виновник уличен. Возникает вопрос: каким образом возможно его наказать?

В случае если похищенная информация является конфиденциальной в терминах законодательства РФ (например, является персональными данными или коммерческой тайной), виновника можно привлечь к ответственности по нормам закона.

Однако большая часть критичной для бизнеса информации законом не охраняется, и руководству организации приходится придумывать меры воздействия в рамках организации. В случае если формальные должностные инструкции в части обеспечения ИБ, политик безопасности и т.п. в организации не оформлены, оказывается, что нарушителя наказать очень проблематично. Разумеется, большая часть уличенных в таком нарушении людей предпочтет добровольно покинуть фирму, однако в случае большой организации такая ситуация неприемлема.

Общепринятым решением проблемы правовой защиты критичной информации является написание внутренних нормативных документов, определяющих процессы обеспечения ИБ в организации:

• политика безопасности (определяющая как общий подход к защите информации, так и конкретные важные направления);
• должностные обязанности работников, имеющих доступ к критичной информации (тогда разглашение такой информации будет являться должностным нарушением и появится возможность наказать нарушителя, оставаясь в рамках законодательства);
• дополнение к должностным инструкциям представителя высшего руководства компании, курирующего вопросы ИБ (практика показывает, что таким куратором должен быть сотрудник не ниже первого заместителя руководителя организации).

В случае наличия полного комплекта внутренних регламентов по результатам служебного расследования нарушитель понесет наказание, а работодатель, со своей стороны, не рискует нарушить трудовое законодательство. Однако необходимо помнить, что некоторые действия сотрудников подразделения информационной безопасности могут выходить не только за рамки трудового законодательства. Именно поэтому как при внедрении систем предотвращения утечек и разработки руководящих документов, так и при расследовании инцидентов необходима серьезная помощь юристов компании.

Заключение

Проблема защиты от внутренних нарушителей крайне сложна в разрешении. В сложных ситуациях (например, если на организацию проводится спланированная атака конкурентов) понадобится напряжение всех сил как служб ИБ организации, так и юридической службы и высшего руководства компании. Организация при этом проходит проверку на прочность как в части технической инфраструктуры, так и (даже в большей степени) в части морального климата внутри коллектива. Мало кому понравится быть объектом расследования и подвергаться расспросам службы безопасности. Усилия служб ИБ должны быть направлены в равной степени как на выявление фактов утечки, так и на сбор доказательств причастности сотрудников к этим утечкам. Ситуация, когда и виновный в утечке не найден, и работа организации нарушена нервозностью в коллективе, более чем реальна.

Грамотное применение технических средств борьбы с внутренними нарушителями вкупе с правовыми способами защиты информации многократно повысят эффективность работы в кризисной ситуации и позволят выйти из нее с минимально возможными потерями.

Источник