Trimiteți-vă munca bună în baza de cunoștințe este simplu. Utilizați formularul de mai jos

Buna treaba la site">

Studenții, studenții absolvenți, tinerii oameni de știință care folosesc baza de cunoștințe în studiile și munca lor vă vor fi foarte recunoscători.

postat pe http://www.allbest.ru/

• Introducere
• 1.3 Prevederi de bază ale sistemului de securitate a informațiilor
• 2.1 Obiecte și subiecte de protecție
• 2.3 Tehnologii moderne protectia informatiilor
• 2.4 Valabilitatea protecției informațiilor
• Lista documentelor de reglementare care reglementează activitățile în domeniul securității informațiilor:
• 3. Îmbunătățirea măsurilor care vizează creșterea eficacității măsurilor de protecție a sistemului informațional corporativ Distanțele de alimentare cu energie electrică
• 3.1 Dezavantajele organizării protecției rețelei corporative
• 3.2 Evenimente organizatorice
• 3.3 Activitati de inginerie
• Concluzie
• Bibliografie

Introducere

Dezvoltarea modernă a economiei mondiale se caracterizează printr-o dependență tot mai mare a pieței de o cantitate semnificativă de informații care circulă în cadrul acesteia.

În zilele noastre, societatea este în întregime dependentă de datele primite, prelucrate și transmise. Din acest motiv, datele în sine devin foarte valoroase. Și cu cât prețul este mai mare Informatii utile, cu atât este mai mare siguranța acestuia.

Relevanța subiectului se datorează acțiunii unui număr de factori care vizează îmbunătățirea protecției sistemului informațional corporativ, în vederea îmbunătățirii mecanismului economic al întreprinderilor moderne care operează într-o economie de piață și aplicarea dezvoltărilor tehnologice moderne. .

Având în vedere cele de mai sus, actele legislative, atât în ​​Rusia, cât și în țări străine, prevăd un număr considerabil de norme menite să reglementeze crearea, utilizarea, transferul și protecția informațiilor sub toate formele sale.

De o valoare deosebită sunt informațiile care conțin date personale, secrete oficiale, secrete comerciale, informații acces limitat, secrete bancare, secrete de stat, informații privilegiate, informații confidențiale și alte informații.

Problema securității informațiilor este multifațetă și complexă, necesitând combinația necesară de măsuri legislative, organizatorice, software și tehnice aplicabile.

O scurgere de informații poate afecta activitățile unei întreprinderi. Rol special informația joacă, pierderea scoarței poate duce la schimbări mari în întreprinderea în sine și pierderi materiale.

În viața de zi cu zi a unei persoane, siguranța informațiilor despre viața sa depinde de el. Dar situația este complet diferită atunci când suntem obligați să furnizăm date despre noi în conformitate cu legea unui terț, și în special angajatorului. În această situație, angajatul transferă informații confidențiale despre sine pentru păstrare. În plus, angajatorul este responsabil pentru siguranța datelor. El este obligat să protejeze informațiile despre angajat de atacurile terților și să poarte responsabilitatea pentru difuzarea acestor date.

Scopul acestei lucrări este de a determina cerințele pentru sistemul de securitate al unui sistem de informații corporative.

Obiectivele postului:

1. Identificați problemele problematice în sistemul de protecție a sistemului informațional corporativ al distanțelor de alimentare.

2. Formulați o listă de amenințări și cerințe pentru sistemul de protecție a sistemului informațional corporativ al distanței de alimentare cu energie.

3. Justificarea structurii riscurilor informaționale pentru sistemul informațional corporativ al distanțelor de alimentare cu energie.

4. Selectați și justificați metode și mijloace tehnice care vizează creșterea eficienței protejării sistemului informațional corporativ al distanței de alimentare cu energie.

Obiectul studiului este un sistem standard de protecție a sistemului informațional corporativ „intranet” al districtului de alimentare cu energie Moscova-Smolensk al filialei JSC Căile Ferate Ruse, care are propriile clădiri și teritoriu.

Obiectul cercetării îl reprezintă metodele și mijloacele tehnice de protejare a sistemului informațional corporativ al distanțelor de alimentare.

Semnificația practică și implementarea rezultatelor obținute au făcut posibilă crearea unor măsuri de organizare a protecției unei rețele corporative, adaptate la condiții specifice, ținând cont de specificul obiectului și diverse categorii de informații și utilizatori.

Autorii care studiază problemele lui A.V. Sokolov (profesor, șef al Departamentului de Informatică și Software, Institutul de Tehnologie Electronică din Moscova) și V.F. Shangin (profesor, doctor în științe tehnice) din 1978 până în prezent, a acoperit problemele actuale ale securității informațiilor atunci când se utilizează sisteme corporative distribuite și rețele la scară întreprindere, securitatea Internetului.

rețeaua corporativă a informațiilor de protecție

1. Baza teoretica construirea unei rețele corporative

1.1 Concept, componente, funcționare a unei rețele corporative

O rețea corporativă este un sistem complex care include multe componente diferite: computere tipuri diferite, de la desktop la mainframe, software de sistem și aplicație, adaptoare de rețea, hub-uri, comutatoare și routere, sistem de cabluri. În această lucrare vom lua în considerare intranetul Moscova-Smolensk Distante alimentarea cu energie electrică a filialei JSC Căile Ferate Ruse. Aceasta este o unitate structurală separată a căii ferate, care face parte din serviciul de electrificare și alimentare cu energie. Asigură neîntreruptă şi alimentare de încredere toți consumatorii de energie electrică, precum și asigurarea funcționării fiabile a tuturor obiectelor și dispozitivelor, a rețelei de contact din zona deservită.

Funcționalitatea intranet acoperă o gamă foarte largă - de la lucrul cu pagini web statice care înlocuiesc documentele tipărite ale companiei sau oferă o nouă modalitate partajarea informații și terminând cu interfețe client complexe pentru aplicații de server de birou.

Tehnologiile necesare unui intranet și instrumentele care le implementează sunt larg răspândite. Acestea includ: protocolul TCP/IP, fișierul de rețea sistem NFS(sistem de fișiere de rețea), browser web (căutare și vizualizare de sistem), server web, editor HTML, E-mail etc. Accesul la informații se bazează pe conexiuni IP.

Intranetul este format din mai multe componente:

1) infrastructura de rețea,

2) servere,

3) documente,

4) browsere,

5) aplicații.

Intranetul este fundația, oferind conexiunile necesare care oferă acces la informații angajaților organizației. Pentru conectarea și schimbul de date, intranetul folosește protocol de rețea TCP/IP. TCP/IP permite computerelor dintr-o rețea să fie numite în mod unic (aceste nume se numesc adrese IP). Acest protocol oferă, de asemenea, un mecanism prin care computerele se pot găsi și se pot conecta. Intranetul folosește altul Protocolul HTTP(Protocolul de transfer hipertext). Este folosit pentru a transmite text, imagini și hyperlink-uri (adică link-uri către alte documente electronice) care indică către pagini Web. Putem spune că TCP/IP este principalul mod prin care computerele comunică în rețea, iar HTTP este un fel de strat superior care le permite să facă schimb de informații.

Servere. Informațiile se află cel mai adesea pe computere, care sunt de obicei numite servere web. Serverul stochează documente și îndeplinește solicitările utilizatorilor de a căuta și vizualiza date.

Documentație. Conținutul intranet, adică informațiile pe care le vizualizați, este stocat în documente. În mod implicit, acestea sunt în format HTML (Hypertext Makeup Language) - format text, constând din textul real, etichete care controlează formatarea și hyperlinkuri care indică alte documente.

Browsere. Pentru a lucra pe intranet și a vizualiza documentele stocate pe servere se folosesc aplicații numite browsere. Ele îndeplinesc mai multe funcții:

căutarea de informații și conectarea la un server Web;

încărcarea, formatarea și afișarea documentelor în HTML;

recunoașterea și navigarea către documentele relevante;

Aplicații. Aplicațiile sunt scrise de dezvoltatori pentru a rezolva probleme specifice ale companiei.

Pe lângă cele variate echipamente de rețea, intranetul este format din următoarele componente software:

1) software-ul serverului Web intern al organizației, care conține informații despre activitățile companiei (prețuri, comenzi de gestiune, documente pentru aprobare și discuție etc., și conectat la bazele de date existente ("Depozit", "Contabilitate" și așa mai departe);

2) software pentru desfășurarea de conferințe în cadrul organizației pentru a discuta propuneri de îmbunătățire a muncii, raportare asupra diverselor evenimente etc.;

3) Software care implementează e-mail.

Pe intranet poate exista segmente cu diferite grade de securitate:

disponibil gratuit (diverse servere);

cu acces limitat;

închis accesului.

Este recomandabil să luați în considerare o rețea la distanță de alimentare cu energie electrică ca un sistem format din mai multe straturi care interacționează. La baza piramidei, reprezentând o rețea corporativă, se află un strat de calculatoare - centre de stocare și procesare a informațiilor, și un subsistem de transport care asigură transmiterea fiabilă a pachetelor de informații între computere.

Figura 1. Ierarhia straturilor de rețea corporativă

Un strat de sisteme de operare în rețea funcționează deasupra sistemului de transport, care organizează munca aplicațiilor pe computere și oferă resursele computerului său pentru utilizare generală prin intermediul sistemului de transport.

Diverse aplicații funcționează pe deasupra sistemului de operare, dar datorită rolului special al sistemelor de gestionare a bazelor de date, care stochează informațiile corporative de bază într-o formă organizată și efectuează operațiuni de căutare de bază pe acesta, această clasă de aplicații de sistem este de obicei alocată unui strat separat. a rețelei corporative.

La nivelul următor există servicii de sistem care, folosind DBMS ca instrument de căutare informatie necesara printre milioanele de octeți stocați pe discuri, oferă utilizatorilor finali aceste informații într-o formă convenabilă pentru luarea deciziilor și, de asemenea, efectuează unele proceduri de procesare a informațiilor comune întreprinderilor de toate tipurile. Aceste servicii includ un sistem de e-mail, sisteme de lucru în grup și multe altele.

Nivelul superior al rețelei corporative reprezintă special sisteme software, care îndeplinesc sarcini specifice a acestei intreprinderi sau întreprinderi de acest tip.

Scopul final al unei rețele corporative este întruchipat în programe de aplicații de nivel superior, dar pentru acestea munca de succes Este absolut necesar ca subsistemele altor straturi să își îndeplinească în mod clar funcțiile.

Sarcina principală a administratorilor de sistem este să se asigure că acest sistem greoi face față cât mai bine procesării fluxurilor de informații care circulă între angajații întreprinderii și le permite să ia decizii oportune și raționale care să asigure funcționarea întreprinderii.

Intranetul Moscovei-Smolensk Distante sursa de alimentare a Căilor Ferate Ruse JSC este izolată de utilizatorii externi de internet și funcționează ca o rețea autonomă care nu are acces din exterior.

Figura 2. Structura rețelei locale

1.2 Analiza surselor de amenințări și a riscurilor informaționale

Toate resursele informaționale ale companiei sunt expuse constant la amenințări obiective și subiective de pierdere a mass-media sau a valorii informațiilor. Amenințarea sau pericolul pierderii de informații este înțeles ca o manifestare unică sau complexă, reală sau potențială, activă sau pasivă a oportunităților nefavorabile de externe sau surse interne amenințări de a crea situații critice, evenimente și au un efect destabilizator asupra informațiilor, documentelor și bazelor de date protejate. Pentru resursele informaționale cu acces limitat, gama de amenințări care implică pierderea de informații (dezvăluire, scurgere) sau pierderea media este mult mai largă ca urmare a interesului crescut pentru aceste documente din partea diferitelor tipuri de atacatori. Principala amenințare la adresa securității resurselor informaționale de distribuție limitată este accesul neautorizat (ilegal, neautorizat) al unui atacator sau al unui străin la informații documentate și, ca urmare, achiziționarea de informații și utilizarea ilegală a acesteia sau comiterea altor acțiuni destabilizatoare. . Scopurile și rezultatele accesului neautorizat pot fi nu numai achiziția de informații valoroase și utilizarea acestora, ci și modificarea, modificarea, distrugerea, falsificarea, înlocuirea și altele asemenea. O condiție prealabilă pentru încercarea de succes a accesului neautorizat la resursele de informații restricționate este interesul față de acestea din partea concurenților, anumitor persoane, servicii și organizații. Principalul vinovat al accesului neautorizat la resursele informaționale este, de regulă, personalul care lucrează cu documente, informații și baze de date. Pierderea de informații are loc în cele mai multe cazuri nu ca urmare a acțiunilor deliberate ale unui atacator, ci din cauza neatenției și iresponsabilității personalului.

În consecință, pierderea resurselor de informații cu acces limitat poate apărea atunci când:

§ prezenta interesului unui concurent, institutii, firme sau persoane in anumite informatii;

§ apariția unui risc de amenințare organizată de un atacator, sau în circumstanțe accidentale;

§ prezența condițiilor care permit unui atacator să efectueze acțiunile necesareși obține informații.

Aceste condiții pot include:

© lipsa analitică sistemică și munca de testare să identifice și să studieze amenințările, canalele și gradul de risc de încălcare a securității resurselor informaționale;

© un sistem de securitate a informațiilor ineficient sau absența acestui sistem, care creează un grad ridicat de vulnerabilitate a informațiilor;

© tehnologie organizată neprofesional pentru procesarea și stocarea documentelor confidențiale;

© selecție dezordonată a personalului și fluctuație de personal, climat psihologic dificil în echipă;

© lipsa unui sistem de instruire a angajaților în regulile de protecție a informațiilor cu acces restricționat;

© lipsa controlului din partea conducerii companiei asupra conformității de către personal cu cerințele documentelor de reglementare pentru lucrul cu resurse de informații cu acces limitat;

© vizite necontrolate la sediul companiei de către persoane neautorizate.

Trebuie să vă amintiți întotdeauna că faptul de a documenta crește considerabil riscul unei amenințări la adresa informațiilor. Marii maeștri ai trecutului nu au notat niciodată secretele artei lor, ci le-au transmis oral fiilor și studenților lor. Prin urmare, secretul de a face multe obiecte unice de atunci nu a fost dezvăluit până în ziua de azi.

Acțiuni existente efectuate cu informații care pot conține o amenințare: colectare, modificare, scurgere și distrugere. Aceste acțiuni sunt de bază pentru o analiză ulterioară. Aderând la clasificarea acceptată, vom împărți toate sursele de amenințări în externe și interne.

Amenințări interne și externe

Un infractor intern poate fi o persoană din următoarele categorii de angajați ai departamentelor de servicii: personal de service (administratori de sistem responsabili cu operarea și întreținerea hardware-ului și software-ului); Programatori de întreținere a software-ului de sisteme și aplicații; personalul tehnic(lucrători de utilități, curățători etc.); angajații departamentelor întreprinderii cărora li se acordă acces la spațiile în care se află echipamente informatice sau de telecomunicații.

Sursele amenințărilor interne sunt:

· angajații organizației;

· software;

· hardware.

Amenințările interne se pot manifesta sub următoarele forme:

erori ale utilizatorilor și ale administratorilor de sistem;

încălcări de către angajații companiei a reglementărilor stabilite pentru prelucrarea, transferul și distrugerea informațiilor;

erori în operarea software-ului;

infectarea computerelor cu viruși sau malware;

defecțiuni și defecțiuni ale echipamentelor informatice.

Intrușii externi includ persoane a căror prezență în incintă cu echipamente este imposibilă fără controlul angajaților întreprinderii.

Un intrus extern interceptează și analizează radiația electromagnetică de la echipamentele sistemului informatic.

Sursele externe de amenințări includ:

· Organizații și persoane fizice;

· Dezastre naturale;

· Accidente provocate de om;

· Comiterea de acte teroriste.

Formele de manifestare a ameninţărilor externe sunt: ​​interceptarea; analiza si modificarea informatiilor; acces neautorizat la informații corporative; monitorizarea informațiilor de către structuri concurente, informații și servicii speciale; accidente, incendii, dezastre provocate de om.

Toate tipurile de amenințări (forme de manifestare) pe care le-am enumerat pot fi împărțite în intenționate și neintenționate, persoane interesate și neinteresate de apariția unei amenințări.

Influențele deliberate sunt acțiuni intenționate ale unui atacator cauzate de curiozitate; atac de hacker; mândria rănită a unui angajat, o încercare de a comite acte teroriste. Un intrus poate fi un angajat, un vizitator, un concurent, un mercenar, personal tehnic (lucrători de utilități, curățători etc.).

Cauzele impacturilor accidentale neintenționate în timpul funcționării pot fi: situații de urgență datorate dezastrelor naturale și întreruperilor de curent (impacte naturale și provocate de om); defecțiuni și defecțiuni ale echipamentelor; erori de software; erori în munca personalului; interferențe în liniile de comunicare din cauza influențelor mediului.

Conform metodelor de influențare a obiectelor de securitate a informațiilor, amenințările sunt supuse următoarei clasificări: informaționale, software, fizice, radio-electronice și organizațional-juridice.

LA amenințări informaționale raporta:

- acces neautorizat la resursele informaționale;

- copierea ilegală a datelor în sisteme de informare;

- furtul de informații din biblioteci, arhive, bănci și baze de date;

- încălcarea tehnologiei de prelucrare a informațiilor;

- colectarea și utilizarea ilegală a informațiilor.

Amenințările software includ:

- utilizarea erorilor și „găurilor” în software;

- viruși informatici și programe malware;

- instalarea dispozitivelor „ipotecare”.

Amenințările fizice includ:

- distrugerea sau distrugerea facilitatilor de prelucrare si comunicare a informatiilor;

- furtul suporturilor de stocare;

- furtul de chei software sau hardware și mijloace de protecție a datelor criptografice;

- impact asupra personalului.

Amenințările electronice includ:

- introducerea dispozitivelor electronice de interceptare a informațiilor în mijloacele și spațiile tehnice;

- interceptarea, decriptarea, înlocuirea și distrugerea informațiilor în canalele de comunicare.

Amenințările organizaționale și juridice includ:

- achiziționarea de tehnologii și instrumente informaționale imperfecte sau învechite;

- încălcarea cerințelor legale și întârzierea în luarea deciziilor de reglementare necesare în sfera informațională.

După identificarea informațiilor care constituie un secret comercial și identificarea surselor care dețin, dețin sau conțin aceste informații, metodele de acces neautorizat la aceste informații sunt identificate prin selectarea din setul dat de principalele metode de acces neautorizat la sursele de informații confidențiale.

Pot fi identificate următoarele canale posibile pentru scurgerea de informații confidențiale (Figura 3):

copierea neautorizată a informațiilor confidențiale pe medii externe și eliminarea acestora în afara teritoriului controlat al întreprinderii. Exemple de astfel de suporturi sunt dischetele, CD-ROM-urile, discurile Flash etc.;

tipărirea informațiilor confidențiale și eliminarea documentelor tipărite în afara teritoriului controlat.

Trebuie remarcat faptul că în acest caz pot fi folosite ca imprimante locale, care sunt conectate direct la computerul atacatorului, și cele de la distanță, cu care interacțiunea se realizează prin rețea;

transfer neautorizat de informații confidențiale prin rețea către servere externe situat în afara teritoriului controlat al întreprinderii. De exemplu, un atacator poate transfera informații confidențiale către servere de fișiere externe sau intranet. În acest caz, pentru a-și disimula acțiunile, infractorul poate mai întâi să cripteze informațiile trimise sau să le transmită sub masca unor fișiere grafice standard.

Riscurile informaționale, cea mai restrânsă definiție, sunt riscurile de pierdere, modificare neautorizată a informațiilor ca urmare a defecțiunilor în funcționarea sistemelor informaționale sau a defecțiunii acestora, ducând la pierderi. Securitatea informației este starea de securitate a mediului informațional. Protecția informațiilor este o activitate de prevenire a scurgerii de informații protejate, a impacturilor neautorizate și neintenționate asupra informațiilor protejate, adică un proces care vizează atingerea acestei stări.

Securitatea informațională a întreprinderii de alimentare cu energie electrică va fi asigurată dacă se asigură riscuri informaționale minime. Informații pentru utilizare în activitățile de zi cu zi, lipsa informațiilor obiective (inclusiv confidențiale) în rândul conducerii întreprinderii necesare pentru luarea unei decizii corecte, precum și difuzarea de către cineva în mediul extern a informațiilor care sunt defavorabile sau periculoase pentru activități. a întreprinderii.

Pentru rezolvarea acestei probleme, din punct de vedere al abordării sistemice, este recomandabil să se dezvolte și să implementeze la întreprindere un sistem de minimizare a riscurilor informaționale, care este un set interconectat de organisme, mijloace, metode și măsuri care asigură minimizarea riscuri de scurgere si distrugere a informatiilor necesare functionarii intreprinderii. Principalele riscuri informaționale ale oricărei întreprinderi sunt:

riscul scurgerii și distrugerii informațiilor necesare funcționării întreprinderii;

riscul utilizării informațiilor părtinitoare în activitățile întreprinderii;

riscul ca conducerea întreprinderii să nu aibă informațiile necesare (inclusiv confidențiale) pentru a lua decizia corectă;

riscul ca cineva să difuzeze în mediul extern informații nefavorabile sau periculoase pentru întreprindere.

Principalele sarcini rezolvate de sistemul de minimizare a riscului informațional sunt:

identificarea informațiilor care trebuie protejate;

identificarea surselor care au, posedă sau conțin aceste informații;

identificarea modalităților de acces neautorizat la aceste informații;

dezvoltarea și implementarea măsurilor organizatorice și tehnice pentru protejarea informațiilor confidențiale.

Informațiile despre compania de furnizare a energiei electrice la distanță pot avea următoarele patru niveluri de importanță:

nesemnificative, adică informații, a căror scurgere sau distrugere nu provoacă daune întreprinderii și nu afectează procesul de funcționare a acesteia.

Riscul de scurgere și distrugere a informațiilor necesare funcționării întreprinderii atrage următoarele consecințe:

· informații confidențiale, transfer sau scurgere de informații la străini va atrage daune întreprinderii și personalului acesteia;

· informații critice, a căror absență sau deteriorare va face imposibilă munca zilnică a personalului și a întregii întreprinderi.

Este evident că informațiile din primele trei niveluri de importanță trebuie protejate, iar gradul de protecție ar trebui, în general, să fie determinat de nivelul de importanță al informațiilor. Acest lucru se datorează în principal faptului că gradul de protecție este direct legat de costul implementării acestuia, prin urmare, în general, nu este fezabil din punct de vedere economic să protejăm informațiile cu măsuri de securitate costisitoare dacă scurgerea sau distrugerea acesteia duce la daune nesemnificative.

Informațiile din primele trei niveluri, de regulă, se referă la secrete comerciale și sunt determinate de șeful întreprinderii în conformitate cu Hotărârea Guvernului Federația Rusă din 5 decembrie 1991 Nr. 35 „Pe lista informațiilor care nu pot constitui secret comercial”.

Procedura de identificare a informațiilor care constituie un secret comercial și de identificare a surselor care dețin, dețin sau conțin aceste informații ar trebui să fie următoarea.

Din ordinul întreprinderii, șefii de departamente sunt însărcinați cu responsabilitatea identificării unor informații specifice care constituie secret comercial în domeniile lor de activitate, a persoanelor admise la aceste informații, precum și a purtătorilor acestor informații.

Rezultatul acestei lucrări ar trebui să fie o „Lista de informații care constituie un secret comercial al întreprinderii” aprobată de șeful întreprinderii, indicând astfel de informații pentru fiecare dintre diviziile structurale; persoanele care sunt purtătoare a acestor informații; documente care conțin aceste informații, precum și alte medii (tehnice) pentru aceste informații, dacă există.

1.3 Prevederi de bază ale sistemului de securitate a informațiilor

O analiză a stării de fapt în domeniul informației arată că a apărut deja un concept și o structură de protecție complet formate, a căror bază este:

un arsenal foarte dezvoltat de mijloace tehnice de securitate a informațiilor produse pe bază industrială;

un număr semnificativ de firme specializate în rezolvarea problemelor de securitate a informațiilor;

un sistem de opinii destul de clar definit asupra acestei probleme;

având o experiență practică semnificativă.

Și, cu toate acestea, după cum arată presa internă și străină, acțiunile rău intenționate împotriva informațiilor nu numai că nu scad, ci au și o tendință ascendentă destul de constantă. Experiența arată că pentru a combate această tendință este necesar:

1. Organizarea organică și direcționată a procesului de protejare a resurselor informaționale. Mai mult, specialiștii profesioniști, administrația, angajații și utilizatorii ar trebui să participe activ la aceasta, ceea ce determină importanța sporită a laturii organizaționale a problemei. În plus, asigurarea securității informațiilor nu poate fi un act unic. Acesta este un proces continuu constând în justificarea și implementarea celor mai multe metode raționale, modalități și mijloace de îmbunătățire și dezvoltare a sistemului de protecție, monitorizarea continuă a stării acestuia, identificarea blocajelor și punctelor slabe și acțiunilor ilegale ale acestuia;

2. Securitatea informației poate fi asigurată numai prin utilizarea integrată a întregului arsenal de mijloace de securitate disponibile în toate elementele structurale ale sistemului de producție și în toate etapele ciclului tehnologic de prelucrare a informațiilor. Cel mai mare efect este obținut atunci când toate mijloacele, metodele și măsurile utilizate sunt combinate într-un singur mecanism integral - un sistem de securitate a informațiilor (IPS). Totodată, funcționarea sistemului trebuie monitorizată, actualizată și completată în funcție de schimbările din condițiile externe și interne.

Prin urmare, ne putem imagina un sistem de securitate a informațiilor ca un ansamblu organizatoric de organisme speciale, mijloace, metode și măsuri care asigură protecția informațiilor împotriva amenințărilor interne și externe.

Figura 4. Model pentru construirea unui sistem corporativ de securitate a informațiilor

Din punctul de vedere al unei abordări sistematice a protecției informațiilor, sunt impuse anumite cerințe. Protecția informațiilor ar trebui să fie:

1. Continuu. Această cerință provine din faptul că atacatorii caută doar o oportunitate de a ocoli protecția informațiilor de care sunt interesați.

2. Planificat. Planificarea este realizată de fiecare serviciu care elaborează planuri detaliate pentru protejarea informațiilor din domeniul său de competență, ținând cont de obiectivul general al întreprinderii (organizației).

3. Intenționat. Ceea ce este protejat este ceea ce ar trebui protejat în interesul unui obiectiv specific, nu totul la rând.

4. Specific. Sunt supuse protecției datele specifice care fac obiectul protecției, a căror pierdere ar putea cauza anumite daune organizației.

5. Activ. Este necesar să se protejeze informațiile cu un grad suficient de persistență.

6. De încredere. Metodele și formele de protecție trebuie să blocheze în mod fiabil posibilele căi de acces continuu la secretele protejate, indiferent de forma de prezentare a acestora, limbajul de exprimare și tipul de suport fizic pe care sunt stocate.

7. Universal. Se crede că, în funcție de tipul de canal de scurgere sau de metoda de acces neautorizat, acesta trebuie blocat, oriunde apare, prin mijloace rezonabile și suficiente, indiferent de natura, forma și tipul informațiilor.

8. Cuprinzător. Pentru a proteja informațiile în toată varietatea de elemente structurale, toate tipurile și formele de protecție trebuie utilizate în totalitate. Este inacceptabil să folosiți doar anumite forme sau mijloace tehnice.

Natura complexă a protecției decurge din faptul că protecția este un fenomen specific care reprezintă sistem complex procese indisolubil interconectate, fiecare dintre ele având, la rândul său, multe laturi, proprietăți și tendințe care se determină reciproc.

Astfel, pentru a asigura îndeplinirea unor astfel de cerințe multiple de securitate, sistemul de securitate a informațiilor trebuie să îndeplinească anumite condiții:

acoperă întreg complexul tehnologic al activităților informaționale; să fie variat în mijloacele folosite,

multi-nivel cu secvență de acces ierarhică; să fie deschis la modificări și completări ale măsurilor de securitate a informațiilor;

să fie non-standard, divers, atunci când alegeți mijloace de protecție, nu puteți conta pe ignoranța atacatorilor cu privire la capacitățile sale;

să fie ușor de întreținut și convenabil de utilizat pentru utilizatori;

fi de încredere, orice defecțiuni ale echipamentelor tehnice determină apariția unor canale necontrolate de scurgere de informații;

să fie complex, să aibă integritate, ceea ce înseamnă că nici o singură parte a acestuia nu poate fi îndepărtată fără a deteriora întregul sistem.

Există anumite cerințe pentru sistemul de securitate a informațiilor:

definirea clară a puterilor și drepturilor utilizatorului de a accesa anumite informații;

asigurarea utilizatorului cu autoritatea minimă necesară pentru a efectua munca atribuită;

minimizarea numărului de instrumente de protecție comune mai multor utilizatori;

înregistrarea cazurilor și încercărilor de acces neautorizat la informații confidențiale;

asigurarea unei evaluări a gradului de confidențialitate a informațiilor;

asigurarea controlului integrității echipamentelor de protecție și a răspunsului imediat la defecțiunea acestora.

Un sistem de securitate a informațiilor, ca orice sistem, trebuie să aibă anumite tipuri de suport propriu, bazându-se pe care își va desfășura activitatea. funcția țintă. Ținând cont de acest lucru, un sistem de securitate a informațiilor poate avea:

1. Suport juridic. Acestea includ documente de reglementare, reglementări, instrucțiuni, linii directoare, ale căror cerințe sunt obligatorii în regulile domeniului lor de aplicare.

2. Suport organizațional. Aceasta înseamnă că implementarea securității informațiilor este realizată de anumite unități structurale – precum serviciul de securitate a documentelor; regim, acces și serviciu de securitate; serviciu de securitate a informațiilor prin mijloace tehnice; serviciu de informare și analitică și altele.

3. Hardware. Este de așteptat ca mijloacele tehnice să fie utilizate pe scară largă atât pentru protejarea informațiilor, cât și pentru asigurarea funcționării sistemului de securitate a informațiilor.

4. Suport informațional. Include informatii, date, indicatori, parametri care stau la baza solutionarii problemelor care asigura functionarea sistemului. Acesta poate include atât indicatori de acces, contabilitate, stocare, cât și sisteme de suport informațional pentru sarcini de decontare de natură variată legate de activitățile serviciului de suport informațional.

5. Software. Include diverse programe de informare, contabilitate, statistică și calcul care oferă o evaluare a prezenței și pericolului diverse canale scurgeri și căi de pătrundere neautorizată în surse de informații confidențiale;

6. Software matematic. Presupune utilizarea metodelor matematice pentru diferite calcule legate de evaluarea pericolului mijloacelor tehnice ale atacatorilor, zonelor și standardelor de protecție necesare.

7. Suport lingvistic. Un set de speciale mijloace lingvistice comunicarea intre specialisti si utilizatori in domeniul securitatii informatiei.

8. Suport normativ și metodologic. Acestea includ norme și reglementări pentru activitățile organismelor, servicii, instrumente care implementează funcții de securitate a informațiilor, diverse tehnici care asigură activitățile utilizatorilor atunci când își desfășoară activitatea în condiții stricte de securitate a informațiilor.

Doar un sistem de securitate poate satisface cerințele moderne pentru asigurarea activităților unei întreprinderi și protejarea informațiilor confidențiale ale acesteia. Prin sistem de securitate înțelegem un set organizatoric de organisme speciale, servicii, mijloace, metode și măsuri care asigură protecția intereselor vitale ale individului, întreprinderii și statului de amenințările interne și externe.

Ca orice sistem, un sistem de securitate a informațiilor are propriile scopuri, obiective, metode și mijloace de activitate, care sunt coordonate în loc și timp în funcție de condiții.

Înțelegând securitatea informațiilor ca „starea de securitate a mediului informațional al societății, asigurând formarea, utilizarea și dezvoltarea acestuia în interesul cetățenilor și organizațiilor”, este legitim să se identifice amenințările la adresa securității informațiilor, sursele acestor amenințări, metodele de implementarea și obiectivele acestora, precum și alte condiții și acțiuni care încalcă securitatea. În același timp, este firesc să luăm în considerare măsuri de protecție împotriva informațiilor abatere conducând la pagube.

Practica arată că pentru a analiza un set atât de semnificativ de surse, obiecte și acțiuni, este indicat să se folosească metode de modelare, în care se formează un fel de „substitut” al situațiilor reale. Trebuie avut în vedere că modelul nu copiază originalul, este mai simplu. Modelul trebuie să fie suficient de general pentru a descrie acțiuni reale, ținând cont de complexitatea acestora.

concluzii: După cum arată experiența străină și internă, în ciuda introducerii din ce în ce mai răspândite a noilor tehnologii informaționale în practica întreprinderilor, principala sursă de scurgere de informații sunt angajații acestor întreprinderi.

Prin urmare, în legătură cu o astfel de situație, este necesar să se înțeleagă că este practic imposibil să se creeze condiții la întreprindere care să excludă complet accesul neautorizat la această sursă de informații restricționate, este posibil doar să-și reducă semnificativ rolul dintre alte surse; scurgerea de informații confidențiale.

În consecință, amenințările la adresa informațiilor restricționate sunt întotdeauna reale, sunt foarte diverse și creează condiții prealabile pentru pierderea informațiilor.

Potrivit Institutului de Securitate Informatică (CSI) și FBI, peste 50% dintre intruziuni sunt opera angajaților proprii ai companiilor. În ceea ce privește frecvența intruziunilor, 21% dintre respondenți au indicat că au experimentat recurențe ale „atacurilor”. Modificarea neautorizată a datelor a fost cea mai comună formă de atac și a fost folosită în principal împotriva instituțiilor medicale și financiare. Peste 50% dintre respondenți consideră concurenții o sursă probabilă de „atacuri”. Respondenții acordă cea mai mare importanță faptelor de interceptări, pătrundere în sistemele informaționale și „atacuri” în care „atacatorii” falsifică adresa de retur pentru a redirecționa căutările către persoane neimplicate. Astfel de atacatori sunt cel mai adesea angajați și concurenți nemulțumiți.

Analiza riscurilor informaționale arată că acestea sunt asociate cu informații confidențiale.

Unele dintre motivele care sunt slab luate în considerare, de exemplu, ostilitatea personală față de șeful întreprinderii, deteriorarea legăturilor comerciale dintre întreprinderi, pot duce la apariția în mass-media a unor informații nefavorabile și, în unele cazuri, periculoase pentru intreprinderea. Prin urmare, pentru a elimina sau cel puțin a reduce riscul de difuzare a acestor informații de către întreprinderile concurente, este necesară diseminarea proactivă a unor informații adevărate și, în unele cazuri, dezinformări.

În ciuda minuțiozității subiectului, multe întrebări apar întotdeauna în procesul de îmbunătățire a sistemului de management al riscului informațional. Scopul construirii unui proces de analiză a riscurilor nu este doar de a le identifica, de a evalua consecințele posibilei lor implementări, de a asigura prelucrarea lor și, ulterior, de a efectua sistematic o monitorizare eficientă ulterioară. Dar și în asigurarea standardizării abordării riscurilor în toate aspectele activităților companiei, obținerea în mod convenabil și rapid a unei imagini holistice a situației cu riscurile informaționale din companie în orice perioadă a activității acesteia. Și, de asemenea, în creșterea atractivității competitive a companiei printr-un răspuns rapid și adecvat la toate noile amenințări emergente, în creșterea încrederii în cadrul companiei însăși între business și securitate.

2. Organizarea protecției sistemului informațional corporativ Distanțele de alimentare pe baza soluțiilor standard

2.1 Obiecte și subiecte de protecție

Pentru Distanța de alimentare, resursele care sunt importante pentru viață și, prin urmare, protejate sunt:

1) oameni (personalul întreprinderii);

2) proprietate: documentație, active materiale și financiare, mostre de produse finite, proprietate intelectuală (know-how), fonduri tehnologia calculatoarelor si altul;

3) Informații: pe medii tangibile, precum și care circulă în canalele de comunicare și informare internă, în birourile conducerii întreprinderii, la ședințe și ședințe;

4) Resurse financiare și economice care asigură dezvoltarea efectivă și durabilă a întreprinderii (interese comerciale, planuri de afaceri, documente și obligații contractuale etc.).

Valori supuse protecției, precum informații restricționate, secrete bancare, date personale, secrete oficiale, secrete comerciale, secrete de stat, informații privilegiate și alte informații în privința cărora se instituie un regim de confidențialitate și răspundere obligatorie pentru divulgarea acestora.

De asemenea, valoroase sunt datele care sunt create sau utilizate în rețeaua de informații corporative, cum ar fi informații științifice, tehnice și tehnologice legate de activitățile întreprinderii.

O listă completă a informațiilor care constituie un secret comercial este stabilită de șefii serviciilor de protecție a informațiilor pe lângă reglementările relevante.

Categoriile de „confidenţiale” includ informaţii care îndeplinesc următoarele criterii:

nu sunt cunoscute în general sau disponibile din punct de vedere legal pentru public;

deținerea în mod monopol a acestor informații oferă organizației avantaje comerciale, beneficii economice și de altă natură, a căror dezvăluire sau utilizare deschisă poate duce la daune (materiale, morale, fizice) organizației, clienților sau corespondenților acesteia (secretul comercial).

Bancarsecret se referă la informații despre tranzacții, conturi și depozite, detalii bancare, precum și informații despre clienți și corespondenți ai Băncii, care fac obiectul protecției obligatorii.

Serviciusecret se referă la informații la care accesul este limitat de autoritățile de stat și de legile federale și se referă la informații care nu sunt un secret bancar și sunt supuse protecției obligatorii în conformitate cu lista de informații restricționate.

Comercialsecret organizație înseamnă informații legate de informații științifice, tehnice, tehnologice, de producție, financiare, economice sau de altă natură, care au valoare comercială reală sau potențială datorită necunoscutei terților, la care nu există acces liber din punct de vedere legal și în privința cărora proprietarul astfel de informații au intrat în regim de secret comercial. Dezvăluirea (transfer, scurgere, utilizare deschisă) poate duce la daune organizației, statului, clienților sau corespondenților săi, contrapărților JSC Căile Ferate Ruse.

Personaldate se referă la informații despre fapte, evenimente și împrejurări din viața privată a cetățenilor care permit identificarea identității acestora.

Statsecret- conform definiției adoptate în legislația rusă, informații protejate de stat în domeniul său militar, politicii externe, economice, de informații, contrainformații, de căutare operațională și alte activități, a căror difuzare ar putea dăuna securității statului.

Insiderinformație- (ing. Informații privilegiate) - informații de proprietate semnificative nedezvăluite public ale companiei, care, dacă sunt dezvăluite, ar putea afecta valoarea de piață hârtii valoroase companiilor. Acestea pot include: informații despre schimbarea viitoare a managementului și noua strategie, pregătirea pentru lansarea unui nou produs și pentru implementare tehnologie nouă, despre negocieri reușite cu privire la fuziunea unor companii sau achiziția în curs de desfășurare a unui pachet de control; materiale de raportare financiară, previziuni care indică dificultățile companiei; informații despre oferta de licitație (la licitație) înainte de dezvăluirea acesteia către public etc.

informațielimitatacces sunt informații de valoare pentru proprietarul său, accesul la care este restricționat legal. La rândul lor, informațiile cu acces restricționat sunt împărțite în informații care constituie secret de stat și informații a căror confidențialitate este stabilită de legea federală (informații confidențiale).

LegalȘireferinţăinformație, corespondență de afaceri, transfer de informații contabile de raportare între stațiile de lucru ale utilizatorilor și serverul de baze de date în cadrul sistemelor automate SAP R/3 pentru departamentele financiare, economice și tehnice.

Informațiile despre întreprindere pot avea următoarele patru niveluri de importanță:

vitale, adică informații, a căror scurgere sau distrugere amenință însăși existența întreprinderii;

importante, adică informații a căror scurgere sau distrugere duce la costuri mari;

utilă, adică informații, a căror scurgere sau distrugere provoacă unele daune, dar întreprinderea poate funcționa destul de eficient și după aceea;

nesemnificative, adică informații, a căror scurgere sau distrugere nu provoacă daune întreprinderii și nu afectează procesul de funcționare a acesteia.

2.2 Măsuri organizatorice în sistemul de securitate a informațiilor

Documentele și metodele organizatorice și juridice reglementează întregul ciclu tehnologic de lucru al JSC Căile Ferate Ruse, de la metodologia de selectare a personalului și angajarea acestuia, de exemplu, pe bază de contract, până la reglementările privind responsabilități funcționale orice angajat. Fiecare instrucțiune sau reglementare a companiei trebuie să abordeze direct sau indirect problemele de siguranță și să afecteze funcționalitatea și eficacitatea sistemului de protecție.

O sursă importantă de scurgere de informații confidențiale sunt diversele tipuri de documente. Aici este necesar să se țină seama de faptul că dezvoltarea destul de rapidă a tehnologiei informației a dus la apariția unor noi tipuri de medii de informare a documentelor: imprimări de computer, medii de stocare și altele asemenea. În același timp, importanța în activitățile comerciale a tipurilor tradiționale de documente pe hârtie: contracte, scrisori, recenzii analitice practic nu scade.

Apariția unor noi purtători de informații documentare a condus nu numai la apariția unor noi dificultăți în rezolvarea problemei asigurării protecției informațiilor împotriva accesului neautorizat la conținutul acesteia, ci și la noi oportunități de asigurare a protecției garantate a acestor informații. Vorbim aici în primul rând despre stocarea informațiilor de document deosebit de importante pe medii într-o formă convertită folosind transformări criptografice.

În cadrul acestor măsuri au fost elaborate și implementate documente organizatorice și administrative la Distanța de Alimentare, care definesc o listă de resurse de informații confidențiale, precum și o listă a acelor măsuri care trebuie implementate pentru a contracara.

Documentele organizaționale sunt politica de securitate a informațiilor, fișele de post ale angajaților companiei și reglementările pentru lucrul pe un computer personal.

În acest scop, JSC Căile Ferate Ruse a îndeplinit următoarele sarcini organizatorice:

A fost creat un cadru legal pentru a asigura protecția informațiilor prin implementarea:

- introducerea modificărilor la Carta întreprinderii care conferă conducerii întreprinderii dreptul de a: emite documente de reglementare și administrative care reglementează procedura de determinare a informațiilor care constituie secret comercial și mecanismele de protecție a acestuia;

- completări la „Contractul colectiv” cu prevederi care stabilesc responsabilitățile administrației și angajaților întreprinderii legate de elaborarea și implementarea măsurilor de determinare și protejare a secretelor comerciale;

- completări la „Contractul de muncă” cu cerințe pentru protecția secretelor comerciale și reglementări interne, inclusiv cerințe pentru protecția secretelor comerciale;

- instruirea persoanelor angajate asupra regulilor de păstrare a secretelor comerciale cu executarea unei obligații scrise de nedezvăluire.

- tragerea la răspundere administrativă sau penală a celor care încalcă cerințele de protecție a secretelor comerciale în conformitate cu legislația în vigoare.

- include cerințe pentru protecția secretelor comerciale în contracte pentru toate tipurile de activități comerciale;

- cere protejarea intereselor întreprinderii în fața autorităților guvernamentale și judiciare;

- dispune de informații care sunt proprietatea întreprinderii pentru a obține beneficii și a preveni pagubele economice aduse întreprinderii;

- instruirea angajaților în regulile de protecție a informațiilor cu acces restricționat;

- selectia atenta a angajatilor care sa lucreze in sistemul de management al biroului;

- crearea condiţiilor interne favorabile la întreprindere pentru păstrarea secretelor comerciale;

- identifica si stabilizeaza fluctuatia personalului, climatul psihologic dificil in echipa;

- asigurarea evaluării gradului de confidențialitate a informațiilor;

- scoaterea din munca legata de secretele comerciale a persoanelor care incalca cerintele stabilite pentru protectia acestuia;

- aducerea la cunostinta fiecarui angajat al intreprinderii a “Lista informatiilor constituind secret comercial al intreprinderii”;

- asigurarea depozitării în siguranță a documentelor și distrugerea acestora în timp util, precum și verificarea disponibilității documentelor și monitorizarea oportunității și corectitudinii executării acestora;

- proiectele și versiunile documentelor sunt distruse personal de către executorul executor, care răspunde personal de distrugerea acestora. Distrugerea se realizează folosind mașini standard de tăiat hârtie sau alte metode care exclud posibilitatea citirii.

- stocarea informațiilor confidențiale pe medii și în memoria unui computer electronic personal într-o formă convertită folosind transformări criptografice.

Prin urmare, pentru a exclude accesul neautorizat la această sursă de informații, se folosesc atât metode tradiționale, cât și netradiționale, și anume:

· securitatea teritoriului, spațiilor și birourilor, precum și controlul efectiv al intrării asupra accesului la acestea;

· introducerea unei organizări clare a sistemului de lucru de birou.

Informațiile care constituie un secret comercial includ:

- informatii privind activitatile financiare si economice;

- informatii despre activitatile operationale si de productie;

- informatii despre activitatile de management;

- informatii despre activitatile personalului;

- informatii privind activitatile de control si audit;

- informatii despre semnalizare si comunicatii, electrificare, energie;

- informatii despre munca contractuala;

- informații despre rezultatele propriilor cercetări;

- informatii despre activitatile medicale;

- Informații privind protecția informațiilor și facilităților JSC Căile Ferate Ruse.

Asigurați-vă că computerele și resursele de telecomunicații ale organizației sunt utilizate în scopul propus de către angajații săi și contractanții independenți. Toți utilizatorii de computere au responsabilitatea de a utiliza resursele computerului într-o manieră pricepută, eficientă, etică și legală. Încălcarea politicii de securitate corporativă implică acțiuni disciplinare, până la și inclusiv concediere și/sau proceduri penale.

Politicile de securitate nu sunt reguli obișnuite care sunt deja clare pentru toată lumea. Se prezintă sub forma unui document tipărit serios. Și pentru a reaminti constant utilizatorilor importanța siguranței, copii ale acestui document sunt păstrate de fiecare angajat, astfel încât aceste reguli să fie mereu în fața ochilor lor pe desktop.

Politica de securitate corporativă

· Accesul liber la informațiile care constituie secrete bancare, comerciale și oficiale ale Băncii este închis pentru a proteja informațiile confidențiale și protectie fizica purtătorii săi.

· Organizația, în calitate de proprietar (deținător) de informații, ia măsuri pentru a proteja secretul bancar, datele personale, secretele oficiale, secretele sale comerciale și alte informații în conformitate cu drepturile și obligațiile care îi sunt acordate de legislația în vigoare.

Documente similare

Analiza comerțului companiei și a sistemului de management al personalului, contabilitate, și nivelul de securitate al sistemului de informații corporative de date cu caracter personal. Dezvoltarea unui subsistem de măsuri tehnice pentru protejarea rutare, comutare și firewall ISDN.

lucrare curs, adăugată 07.08.2014


Analiza obiectului informatizarii. Politica de securitate a informațiilor. Subsisteme de securitate a informațiilor tehnice: control acces, supraveghere video, alarme de securitate și incendiu, protecție împotriva scurgerilor prin canale tehnice, protecție rețelei corporative.

prezentare, adaugat 30.01.2012


Analiza modelului de sistem informatic si de telecomunicatii intreprindere. Tipuri de amenințări la securitatea informațiilor. Scopurile si obiectivele securitatii informatiilor in intreprindere. Dezvoltarea procedurilor de monitorizare a sistemului de management al securității informațiilor în rețeaua corporativă.

teză, adăugată 30.06.2011


Analiza securității rețelelor întreprinderii bazate pe ATM, arhitectura obiectelor de securitate în tehnologie. Model pentru construirea unui sistem corporativ de securitate a informațiilor. Metodologie de evaluare a eficienței economice a utilizării sistemului. Metode de reducere a riscului de pierdere a datelor.

teză, adăugată 29.06.2012


Revizuirea analitică a rețelei corporative. Analiză reteaua existenta, fluxurile de informații. Cerințe pentru sistemul de administrare și marcarea elementelor LAN. Dezvoltarea protecției sistemului împotriva accesului neautorizat. Instrucțiuni pentru administratorul de sistem.

teză, adăugată 19.01.2017


Concept de protecție antivirus infrastructura informaţională, tipuri de posibile amenințări. Caracteristicile software-ului utilizat în PJSC „ROSBANK”. Mijloace de protejare a resurselor de informații bancare împotriva amenințărilor la adresa integrității sau confidențialității.

lucrare de curs, adăugată 24.04.2017


Dezvoltarea unei rețele de informații corporative de mare viteză bazată pe linii Ethernet cu un segment de comerț mobil pentru întreprinderea Monarch LLC. Activitati de instalare si exploatare echipamente. Calculul indicatorilor tehnico-economici ai proiectului.

lucrare curs, adăugată 10.11.2011


Structura sistemului informațional corporativ al organizației. Dezvoltarea spațiului de adrese și a sistemului DNS. Structura domeniului CIS. Selectarea hardware-ului și configurarea software-ului stații de lucru și echipamente server. Configurarea serviciilor standard.

lucrare curs, adaugat 29.07.2013


Mediul fizic de transmisie a datelor în rețele locale. Rețeaua de informații corporative. Echipamente de telecomunicații și calculatoare pentru întreprinderi. Dezvoltarea unei rețele informaționale corporative bazată pe analiza tehnologiilor informaționale moderne.

teză, adăugată 06.07.2015


Relevanța problemelor de securitate a informațiilor. Software și hardware pentru rețeaua Mineral LLC. Construirea unui model de securitate corporativă și protecție împotriva accesului neautorizat. Solutii tehnice pentru protectia sistemului informatic.

Definiții Securitatea informațională a unei organizații este starea de securitate a mediului informațional al organizației, asigurând formarea, utilizarea și dezvoltarea acestuia. Protecția informațiilor este o activitate de prevenire a scurgerii de informații protejate, a impacturilor neautorizate și neintenționate asupra informațiilor protejate, adică un proces care vizează atingerea acestei stări. 2

Componente de securitate a informațiilor. confidențialitate - disponibilitatea informațiilor doar unui anumit cerc de persoane; integritate (integritate) - garantarea existenței informațiilor în forma sa originală; Disponibilitate - capacitatea unui utilizator autorizat de a primi informații la momentul potrivit. autenticitate - capacitatea de a identifica autorul informațiilor; recurs - capacitatea de a dovedi că autorul este persoana declarată și nimeni altcineva. 3

Modele de control al accesului pentru a asigura confidențialitatea, integritatea și disponibilitatea se utilizează: Controlul accesului obligatoriu Controlul accesului selectiv Controlul accesului bazat pe rol 4

Controlul accesului obligatoriu. Controlul accesului obligatoriu, MAC - delimitarea accesului subiecților la obiecte, bazată pe atribuirea unei etichete de confidențialitate pentru informațiile conținute în obiecte, și eliberarea de permisiuni oficiale (admiterea) subiecților pentru a accesa informații de acest nivel de confidențialitate. De asemenea, uneori tradus ca control al accesului forțat. Aceasta este o metodă care combină protecția și restricționarea drepturilor aplicate proceselor computerizate, datelor și dispozitivelor de sistem și este concepută pentru a preveni utilizarea nedorită a acestora 5

Controlul accesului discreționar (DAC) - Controlul accesului subiectului la obiecte pe baza listelor de control al accesului sau a unei matrice de acces. Pentru fiecare pereche (subiect - obiect), trebuie specificată o listă explicită și neechivocă a tipurilor de acces acceptabile (citire, scriere etc.), adică acele tipuri de acces care sunt autorizate pentru un anumit subiect (individ sau grup de persoane). persoane fizice) la această resursă(obiect) 7

8

Role Based Access Control (RBAC) - dezvoltarea unei politici de control selectiv al accesului, în care drepturile de acces ale subiecților sistemului la obiecte sunt grupate ținând cont de specificul aplicației acestora, formând roluri, de exemplu Administrator, 1 utilizator etc. of roles este conceput pentru a defini reguli clare și ușor de înțeles de control al accesului pentru utilizatori. 9

Asigurarea securității în timpul transmisiei Implementare – Criptarea este o metodă de transformare a informațiilor utilizată pentru a stoca informații importante în surse nesigure sau pentru a le transmite prin canale de comunicație nesecurizate. Include 2 procese - procesul de criptare și decriptare Baza metodologică este criptografia. 10

Definiția unei chei Cheia este informații secrete utilizate de un algoritm criptografic la criptarea/decriptarea mesajelor, stabilirea și verificarea unei semnături digitale și calcularea codurilor de autenticitate (MAC). Când utilizați același algoritm, rezultatul criptării depinde de cheie. Pentru algoritmi moderniÎn criptografia puternică, pierderea cheii face practic imposibilă decriptarea informațiilor. Cantitatea de informații dintr-o cheie este de obicei măsurată în biți. Pentru algoritmii moderni de criptare, principala caracteristică a puterii criptografice este lungimea cheii. Criptarea cu chei de 128 de biți și mai mult este considerată puternică, deoarece este nevoie de ani de supercomputere puternice pentru a decripta informațiile fără o cheie 11

Metode de criptare: criptare simetrică: străinii pot cunoaște algoritmul de criptare, dar o mică parte a informațiilor secrete este necunoscută - cheia, care este aceeași pentru expeditorul și destinatarul mesajului; criptare asimetrică: străinii pot cunoaște algoritmul de criptare și, eventual, cheia publică, dar nu și cheia privată, cunoscută doar de destinatar. 12

Mijloace de asigurare a autenticității: Semnătura Semnătura digitală Semnătura este un set unic de simboluri, scrise manual, folosind anumite tehnici de design, care servește la identificarea unei persoane. Proprietățile unei semnături bune Rezistență la contrafacere. Repetabilitate. Identificabilitate (semnătura seamănă de obicei cu un prenume sau de familie). Viteza de scriere 13

Semnătura digitală electronică (EDS) este o cerință a unui document electronic destinat să protejeze acest document electronic de fals, obținut ca urmare a transformării criptografice a informațiilor folosind cheia privată a unei semnături digitale electronice și care permite identificarea proprietarului cheii de semnătură. certificat, precum și pentru a stabili absența distorsionării informațiilor dintr-un document electronic și, de asemenea, asigură nerepudierea semnatarului. Deoarece documentele semnate sunt de lungime variabilă (și destul de mare), în schemele de semnătură digitală semnătura este adesea plasată nu pe documentul în sine, ci pe hash-ul acestuia. Funcțiile hash criptografice sunt utilizate pentru a calcula hash-ul. Astfel de transformări sunt numite și funcții hash. Orice modificare a documentului are ca rezultat modificări ale hash-ului 14

Sistem semnatura electronica include: algoritm de generare a cheilor; funcția de calcul al semnăturii; funcția de verificare a semnăturii. Funcțiile de calcul bazate pe document și cheia secretă a utilizatorului calculează semnătura în sine. Funcția de verificare a semnăturii verifică dacă o anumită semnătură se potrivește cu documentul dat și cu cheia publică a utilizatorului. Cheie publică utilizatorul este disponibil pentru toată lumea, astfel încât oricine poate verifica semnătura de pe acest document 15

O semnătură digitală oferă autentificarea sursei unui document. În funcție de detaliile definiției documentului, se pot semna câmpuri precum „autor”, „modificări efectuate”, „ștampilă de timp”, etc. Protecție împotriva modificărilor documentului. Orice modificare accidentală sau intenționată a documentului (sau semnăturii) va schimba hash-ul și, prin urmare, va invalida semnătura. Imposibilitatea renunțării la calitatea de autor. Deoarece puteți crea o semnătură corectă numai cunoscând cheia privată și este cunoscută doar de proprietar, proprietarul nu poate refuza semnătura acestuia pe document. 16

Mijloace de autorizare și autentificare: o parolă este un cuvânt secret sau un set de caractere conceput pentru a confirma identitatea sau autoritatea. Cracarea parolelor este o sarcină care necesită mult resurse, rezolvată de obicei prin așa-numita metodă forta bruta- adică prin simpla căutare Cheie - informații secrete cunoscute unui cerc restrâns de oameni, utilizate de obicei sub formă criptată. Biometria este o tehnologie de identificare personală care utilizează parametrii fiziologici ai subiectului (amprentele digitale, irisul etc.). 17

Protecția datelor în retele de calculatoare devine una dintre cele mai deschise probleme ale sistemelor informatice și de calcul moderne. Până în prezent, au fost formulate trei principii de bază ale securității informației, a căror sarcină este de a asigura: - integritatea datelor - protecția împotriva defecțiunilor care conduc la pierderea informațiilor sau distrugerea acesteia; - confidentialitatea informatiilor; - disponibilitatea informatiilor pentru utilizatorii autorizati.

Mijloace de protecție - mijloace de protecție fizică; - software (programe antivirus, sisteme de distribuție a energiei, software de control acces); - masuri administrative de protectie (accesul la sedii, elaborarea strategiilor de securitate ale companiei etc.).

mijloacele de protecţie fizică sunt sisteme de arhivare şi duplicare a informaţiilor. În rețelele locale în care sunt instalate unul sau două servere, cel mai adesea sistemul este instalat direct în sloturi gratuite servere. În rețelele corporative mari, se acordă preferință unui server de arhivare specializat, dedicat, care arhivează automat informațiile din hard disk-uri servere și stații de lucru la o anumită oră stabilită de administratorul de rețea, emitând un raport privind backup-ul efectuat. Cele mai comune modele de server de arhivă sunt Storage Express System ARCserve pentru Windows de la Intel.

Pentru a combate virușii informatici, cel mai des sunt folosite programe antivirus, iar protecția hardware este mai puțin obișnuită. Cu toate acestea, recent a existat o tendință către o combinație de metode de protecție software și hardware. Printre dispozitivele hardware se folosesc carduri speciale antivirus, introduse în sloturile standard de expansiune ale computerului. Intel Corporation a propus o tehnologie promițătoare pentru protejarea împotriva virușilor în rețele, a cărei esență este scanarea sistemelor de computer înainte de a porni. Pe lângă programele antivirus, problema protecției informațiilor din rețelele de calculatoare este rezolvată prin introducerea controlului accesului și delimitarea puterilor utilizatorului. În acest scop, sunt utilizate instrumente încorporate ale sistemelor de operare în rețea, cel mai mare producător al cărora este Novell Corporation.

Pentru a preveni intrarea neautorizată într-o rețea de calculatoare, se utilizează o abordare combinată - parolă + identificarea utilizatorului folosind o „cheie” personală. „Cheia” este o cartelă de plastic (magnetică sau cu microcircuit încorporat - un smart card) sau diverse dispozitive pentru identificarea unei persoane folosind informații biometrice - iris, amprente, dimensiunea mâinii etc. Servere și stații de lucru în rețea, dotate cu smart cititoarele de carduri și software-ul special, cresc semnificativ gradul de protecție împotriva accesului neautorizat. Cardurile inteligente de control acces vă permit să implementați funcții precum controlul intrării, accesul la dispozitive PC, programe, fișiere și comenzi.

Sistemul Kerberos este o bază de date care conține informații despre toate resursele rețelei, utilizatori, parole, chei de informații etc.; - un server de autorizare, a cărui sarcină este să proceseze cererile utilizatorilor pentru furnizarea unuia sau altui tip de serviciu de rețea. La primirea unei cereri, acesta accesează baza de date și determină autoritatea utilizatorului de a efectua o anumită operațiune. Parolele utilizatorului nu sunt transmise prin rețea, crescând astfel nivelul de securitate a informațiilor; - Serverul de acordare a biletelor (server de eliberare a permisiunii) primește de la serverul de autorizare un „pass” cu numele utilizatorului și adresa de rețea, ora solicitării, precum și o „cheie” unică. Pachetul care conține „trecerea” este transmis și în formă criptată. Serverul de permisiuni, după ce a primit și decriptat „permisul”, verifică cererea, compară „cheile” și, dacă sunt identice, dă voie pentru a utiliza echipamentele sau programele de rețea.

Pe măsură ce întreprinderile își extind activitățile, numărul de abonați crește și apar noi filiale, apare nevoia de a organiza accesul utilizatorilor la distanță (grupuri de utilizatori) la resursele de calcul sau informaționale din centrele companiei. Pentru a organiza accesul de la distanță, liniile de cablu și canalele radio sunt cel mai des folosite. În acest sens, protecția informațiilor transmise prin canalele de acces la distanță necesită abordare specială. Podurile și routerele de acces la distanță folosesc segmentarea pachetelor - împărțindu-le și transmitendu-le în paralel pe două linii - ceea ce face imposibilă „interceptarea” datelor atunci când un „hacker” se conectează ilegal la una dintre linii. Procedura de compresie a pachetelor transmise utilizată la transmiterea datelor asigură că datele „interceptate” nu pot fi decriptate. Podurile și routerele de acces la distanță pot fi programate astfel încât nu toate resursele centrului companiei să fie disponibile utilizatorilor de la distanță

În prezent, au fost dezvoltate dispozitive speciale pentru a controla accesul la rețelele de calculatoare prin linii dial-up. Un exemplu este modulul Remote Port Security Device (PRSD) dezvoltat de AT&T, care constă din două blocuri de dimensiunea unui modem obișnuit: RPSD Lock (blocare), instalat în biroul central și RPSD Key (cheie), conectat la modemul utilizatorului de la distanță. Cheia și blocarea RPSD vă permit să setați mai multe niveluri de protecție și control al accesului: - criptarea datelor transmise pe linie folosind generarea chei digitale; - controlul accesului în funcție de ziua săptămânii sau de ora din zi

Strategia de creare copii de rezervăși recuperarea bazei de date. De obicei, aceste operațiuni sunt efectuate în afara orelor de lucru în modul lot. În majoritatea DBMS-urilor, backup-ul și recuperarea datelor sunt permise numai utilizatorilor cu permisiuni largi (drepturile de acces la nivelul administratorului de sistem sau al proprietarului bazei de date nu este de dorit să fie specificate astfel de parole sensibile direct în fișierele de procesare în lot); Pentru a nu stoca parola în mod explicit, este recomandat să scrieți un program de aplicație simplu care să numească în sine utilitarele de copiere/recuperare. În acest caz parola de sistem trebuie să fie „conectat” în codul aplicației specificate. Dezavantajul acestei metode este că de fiecare dată când parola este schimbată, acest program trebuie recompilat

La fiecare întreprindere, indiferent de mărimea, tipul de proprietate și linia de activitate, se utilizează același tip de metode și metode de protecție, implementând modelul sistemului de protecție. Blocul metodelor de protecție include obstacole, reglementare, control acces, mascare, stimulare și constrângere.

Obstacole (metoda fizică), de exemplu, instalarea de garduri în jurul întreprinderilor, restricții privind accesul la clădiri și spații, instalarea de alarme, accesul este limitat fizicși software și hardware Mascarea implică utilizarea de software criptografic. Stimulent - respectarea de către utilizatori a standardelor etice la prelucrarea și utilizarea informațiilor. Reglementarea presupune prezența instrucțiunilor și reglementărilor de prelucrare a informațiilor, iar interzicerea presupune prezența normelor legale consacrate în documentele de reglementare și care definesc răspunderea juridică în cazul încălcării acestora.

Metodele și metodele de protecție enumerate mai sus sunt combinate în patru subsisteme care sunt instalate în sistemele informaționale: Subsistemul de control al accesului Subsistemul de înregistrare și contabilitate Subsistemul criptografic Subsistemul de integritate

Subsistemul de control acces protejează intrarea în sistemul informațional folosind software (parole) și software și hardware ( chei electronice, dischete cheie, dispozitive de recunoaștere a utilizatorilor pe baza caracteristicilor biometrice etc.).

Subsistemul de înregistrare și contabilitate realizează înregistrarea în mod special jurnal electronic utilizatorii și programele care au acces la sistem, fișiere, programe sau baze de date, orele de intrare și ieșire din sistem și alte operațiuni efectuate de utilizatori.

Subsistemul criptografic este un set de programe speciale care criptează și decriptează informațiile. Prezența unui subsistem criptografic este necesară în special în sistemele informatice utilizate pentru afaceri electronice.

Subsistemul pentru asigurarea integrității informațiilor include prezența securității fizice a echipamentelor și mediilor informatice, disponibilitatea instrumentelor de testare pentru programe și date și utilizarea mijloacelor de securitate certificate.

CONCEPTUL DE SECURITATE A INFORMAȚIILOR Securitatea informațiilor (SI) se referă la securitatea informațiilor și a infrastructurii suport împotriva impacturilor accidentale sau intenționate de natură naturală sau artificială care vizează producerea de daune proprietarilor sau utilizatorilor de informații și infrastructurii suport. Trei categorii principale de subiecte au nevoie de securitatea informațiilor: organizații guvernamentale, structuri comerciale și antreprenori individuali.

Disponibilitate (capacitatea de a obține serviciul de informații solicitat într-un timp rezonabil); integritatea (relevanța și consistența informațiilor, protecția acesteia împotriva distrugerii și modificărilor neautorizate); confidențialitate (protecție împotriva accesului neautorizat).

Accesul la informații înseamnă familiarizarea cu informațiile, prelucrarea acesteia, în special copierea, modificarea sau distrugerea informațiilor. Accesul autorizat la informații este accesul la informații care nu încalcă regulile stabilite de control al accesului. Accesul neautorizat la informații se caracterizează printr-o încălcare a regulilor de control al accesului stabilite. Un atac asupra unui sistem informatic (rețea) este o acțiune întreprinsă de un atacator pentru a găsi și exploata o anumită vulnerabilitate a sistemului.

Constructiv, atunci când scopul principal al accesului neautorizat este obținerea unei copii a informațiilor confidențiale, de ex. Putem vorbi despre natura inteligenței impactului distructiv, atunci când accesul neautorizat duce la pierderea (modificarea) datelor sau la încetarea serviciului.

Armonizarea legislației naționale privind combaterea criminalității informatice cu cerințele dreptului internațional; pregătire profesională înaltă aplicarea legii de la anchetator la sistemul judiciar; cooperare și mecanism legal de interacțiune între agențiile de aplicare a legii din diferite state.

ETAPE DE DEZVOLTARE A CRIMINALITĂŢII INFORMATICE 1. Utilizarea tehnologiei informaţiei în săvârşirea infracţiunilor tradiţionale, precum furtul, vătămarea şi frauda. 2. Apariția infracțiunilor informatice specifice. 3. Dezvoltarea criminalității informatice în terorism informatic și extremism. 4. Transformarea terorismului informatic și a extremismului în războaie informaționale.

MĂSURI ȘI MIJLOACE LA NIVEL SOFTWARE ȘI TEHNIC utilizarea rețelelor private virtuale securizate VPN pentru a proteja informațiile transmise prin canale deschise comunicații, utilizarea firewall-urilor pentru a proteja rețeaua corporativă de amenințări externe atunci când se conectează la rețele publice de comunicații; controlul accesului la nivel de utilizator și protecția împotriva accesului neautorizat la informații; identificarea garantată a utilizatorilor prin utilizarea token-urilor; protejarea informațiilor la nivel de fișier (prin criptarea fișierelor și directoarelor); protecție împotriva virușilor folosind complexe antivirus specializate de prevenire și protecție; tehnologii pentru detectarea intruziunilor și cercetare activă în securitatea resurselor informaționale; transformarea datelor criptografice pentru a asigura integritatea, autenticitatea și confidențialitatea informațiilor

SECURITATE ORGANIZAȚIONALĂ ȘI ECONOMICĂ Standardizarea metodelor și mijloacelor de protecție a informațiilor Certificarea sistemelor și rețelelor informatice și a mijloacelor de protecție a acestora Activități de licențiere în domeniul protecției informațiilor Asigurarea riscurilor informaționale asociate funcționării sistemelor și rețelelor informatice Monitorizarea acțiunilor personalului din sisteme informatice sigure suport organizatoric funcționarea sistemelor de securitate a informațiilor.

SECURITATE JURIDICĂ Legea federală a Federației Ruse din 27 iulie 2006 N 149-FZ „Cu privire la informații, tehnologiile informației și protecția informațiilor”. reglementează raporturile juridice apărute în procesul de formare și utilizare a informațiilor documentate și a resurselor informaționale; crearea de tehnologii informatice, sisteme informatice automatizate sau automate si retele; stabilește procedura de protecție a resursei informaționale, precum și drepturile și obligațiile subiecților care participă la procesele de informatizare.

În viitorul apropiat, este de așteptat o creștere a numărului de sisteme informaționale corporative, deoarece conducerea țării a stabilit un curs pentru formarea unei economii digitale în țară, axată pe creșterea eficienței tuturor industriilor prin utilizarea tehnologiilor informaționale. 1, ceea ce înseamnă că este în creștere și nevoia de a proteja informațiile prelucrate în acestea.

Constantin Samatov
Şeful Departamentului Protecţia Informaţiilor TFOMS
Regiunea Sverdlovsk, membru al Asociației Managerilor
servicii de securitate a informațiilor, profesor
securitatea informațiilor URTK le. LA FEL DE. Popova

Noțiuni de bază

Conceptul de „sistem informațional corporativ” (SIC) este cuprins în art. 2 din Legea federală din 6 aprilie 2011 nr. 63-FZ „Cu privire la semnăturile electronice”. CIS este înțeles ca un sistem informațional în care participanții la interacțiunea electronică cuprind un anumit cerc de persoane. În același timp, cercul de persoane care participă la schimbul de informații poate include nu numai divizii structurale ale organizației - operatorul CSI, ci și contrapărțile sale. Singurul lucru principal este că compoziția și numărul de participanți sunt strict definite.

Operatorul sistemului informatic este cetățean sau entitate desfășurarea activităților legate de funcționarea sistemului informațional, inclusiv prelucrarea informațiilor conținute în bazele de date ale acestuia (articolul 2 din Legea federală din 27 iulie 2006 nr. 149-FZ „Cu privire la informații, tehnologiile informației și protecția informațiilor”).

Prin sistem informatic se înțelege totalitatea informațiilor conținute în baze de date și tehnologiile informaționale și mijloacele tehnice care asigură prelucrarea acestuia (articolul 2 din Legea federală din 27 iulie 2006 nr. 149-FZ „Cu privire la informații, tehnologii informaționale și protecția informației”. ”). Prin urmare, este necesar să se ia în considerare problema protecției informațiilor în CSI prin determinarea informațiilor care fac obiectul protecției.

Informații care trebuie protejate în sistemul informațional corporativ

Legislația actuală împarte informațiile în două tipuri: informații accesibile publicului și informații cu acces limitat (Partea 2, articolul 5 din Legea federală nr. 149-FZ din 27 iulie 2006 „Cu privire la informații, tehnologii informaționale și protecția informațiilor”). Informațiile restricționate pot fi împărțite în două grupuri mari - secrete de stat și informații confidențiale.

Secretul de stat este informații protejate de stat în domeniul activităților sale militare, politice externe, economice, de informații, contrainformații și de căutare operațională, a căror difuzare ar putea dăuna securității Federației Ruse (articolul 2 din Legea Rusiei). Federația din 21 iulie 1993 Nr. 5485-1 „Despre secretul de stat”). Pe baza practicii autorului, putem spune că cu acest grup de informații, de regulă, există cele mai puține probleme (comparativ cu alte tipuri de secrete). Sul informatii specificate specific Procedura de prelucrare este strict reglementată. Înainte de a prelucra informații care constituie secret de stat, organizația trebuie să obțină licența corespunzătoare. Sancțiunile pentru încălcarea procedurii de prelucrare sunt stricte. În plus, numărul de entități cu astfel de informații este mic.

Informațiile confidențiale includ aproximativ 50 de tipuri de secrete, dintre care cele mai comune sunt secrete comerciale și secrete personale (de familie), dintre care un tip este datele personale.

Datele personale sunt aproape întotdeauna disponibile în CSI. În special, orice organizație care are cel puțin un angajat sau datele de pașaport ale cel puțin unui client va fi un operator de date cu caracter personal în sensul Legii federale nr. 152-FZ din 27 iulie 2006 „Cu privire la datele cu caracter personal”. Adică, dacă datele clienților sunt procesate într-un sistem CRM corporativ (de exemplu, numele complet și adresa de livrare) sau aceste date sunt localizate într-un fișier MS Excel pe stație de lucru, putem spune cu încredere că datele cu caracter personal sunt prelucrate în CSI și, prin urmare, organizația este obligată să respecte cerințele pentru protecția acestora. În practică, managerii majorității organizațiilor nu înțeleg acest lucru și cred că nu prelucrează date cu caracter personal și, prin urmare, nu iau măsuri pentru a proteja informațiile înainte de apariția oricărui incident.

Pe lângă datele cu caracter personal, aproape orice CSI conține informații care au valoare reală sau potențială datorită necunoașterii acestora față de terți, a căror dezvăluire sau transfer necontrolat organizația încearcă să o evite (secretul comercial). În practică, o situație comună este atunci când lista acestor informații este conținută exclusiv în mintea managerului sau proprietarului organizației.

Cheia este instruirea personalului cu privire la regulile de securitate a informațiilor, care ar trebui efectuate la intervale regulate.

Ținând cont de cele de mai sus, problema adoptării în organizație a unui set de măsuri pentru protejarea informațiilor prelucrate în sistemul informațional corporativ devine relevantă.

Măsuri de protecție a informațiilor în sistemul informațional corporativ

Există trei grupuri principale de măsuri:

1. Organizațional (organizațional și juridic). Întocmirea documentației organizatorice și administrative privind problemele de securitate a informațiilor: instrucțiuni, regulamente, ordine, îndrumări. Scopul este de a eficientiza procesele de afaceri și de a respecta cerințele reglementărilor interne și externe (așa-numita „conformitate”, „securitate pe hârtie”). Acest tip măsurile pot fi numite de bază, deoarece:

• Regimul secretului comercial se stabilește numai prin luarea măsurilor organizatorice enumerate în partea 1 a art. 5 din Legea federală din 29 iulie 2004 nr. 98-FZ „Cu privire la secretele comerciale”;
• în cazul datelor cu caracter personal, scopul principal al protejării datelor cu caracter personal astăzi este adesea de a trece cu succes inspecțiile de către așa-numitele „autorități de reglementare” (Roskomnadzor, FSTEC din Rusia, FSB din Rusia).

De aici și termenul de „securitate pe hârtie”, care a devenit larg răspândit în rândul specialiștilor în securitate.

Aproape orice CIS conține informații care au valoare reală sau potențială din cauza necunoscutului lor față de terți, a căror dezvăluire sau transfer necontrolat organizația încearcă să o evite (secretul comercial). În practică, o situație comună este atunci când lista acestor informații este conținută exclusiv în mintea managerului sau proprietarului organizației.
Prin urmare, personalul transferă adesea neintenționat (trimite unui participant la un schimb de informații căruia nu este destinat) informații stocate în CSI sau le dezvăluie (le postează în domeniul public). Totodată, în lipsa unei liste aprobate de informații care constituie secret comercial, atrageți salariatul la răspundere disciplinară pentru săvârșirea actiuni specificate imposibil.

2. Măsuri tehnice. Protecția informațiilor tehnice include patru grupuri de măsuri:

1. Inginerie si protectie tehnica. Scopul său este de a proteja împotriva pătrunderii fizice a unui intrus în obiectele în care se află mijloacele tehnice CIS (stații de lucru automate, servere etc.). Protecția împotriva pătrunderii se realizează prin utilizarea structurilor inginerești: garduri, uși, încuietori, turnichete, alarme, supraveghere video etc.
2. Protecție împotriva accesului neautorizat la informații. Scopul acestui grup de măsuri este prevenirea accesului neautorizat direct la informațiile prelucrate în sistemul informațional. Se implementează prin următoarele activități:
   • control acces (parole, atribuire de puteri);
   • înregistrare și contabilitate (logging);
   • firewall;
   • protectie antivirus;
   • aplicarea instrumentelor de detectare (prevenire) a intruziunilor.
3. Protecție împotriva scurgerilor prin canale tehnice. Scopul este de a proteja informațiile de scurgeri prin canale tehnice (vizuale, auditive, radiații electromagnetice laterale) în timpul procesării informațiilor în CSI. Se implementează prin următoarele măsuri:
   • dotarea ferestrelor cu jaluzele (draperii);
   • utilizarea mijloacelor de protecție împotriva scurgerilor prin canale acustice, așa-numitele bruiaj vibroacustici;
   • utilizarea de filtre speciale pentru a proteja împotriva radiațiilor electromagnetice nedorite și interferențelor. Cu toate acestea, aceste măsuri sunt în practică necesare doar pentru sistemele informaționale de stat sau sistemele informaționale în care sunt prelucrate secrete de stat.
4. Protecția informațiilor criptografice. Utilizarea instrumentelor de securitate a informațiilor criptografice a câștigat destul de mult amploare în ultimii ani, în mare parte datorită dezvoltării active a sistemelor electronice de management al documentelor corporative și a utilizării semnăturilor electronice în acestea ca mecanism de asigurare a integrității informațiilor. În practică, mecanismele de transformare criptografică a informațiilor sunt folosite pentru a asigura, în primul rând, confidențialitatea informațiilor stocate în baze de date sau pe stațiile de lucru, precum și pentru a proteja informațiile în procesul de schimb de informații (în timpul transmiterii). De fapt, numai folosind transformarea criptografică este posibilă construirea completă a rețelelor VPN (Virtual Private Network).

3. Măsurile morale și etice sunt menite să prevină sau cel puțin să minimizeze dezvăluirea de informații restricționate de către utilizatorii CSI.

Potrivit diverselor studii, numărul scurgerilor de informații de la angajați variază între 80 și 95%, în timp ce marea majoritate - aproximativ 90% din scurgeri - nu sunt asociate cu acțiuni intenționate.

Măsurile morale și etice sunt indisolubil legate de securitatea personalului și includ angajarea de personal calificat, măsuri de control, fișe detaliate de post, pregătirea personalului, control strict al accesului și asigurarea securității la concedierea angajaților. Potrivit autorului, cheia este instruirea personalului în regulile de securitate a informațiilor, care ar trebui efectuate la anumite intervale. Deci, în special, autorul pregătește anual un ordin care prevede instruirea trimestrială a angajaților organizației în care lucrează.

În plus, pentru a preveni scurgerile de informații de la personal prin intermediul canalelor de comunicare (e-mail, mesagerie instantanee, rețele sociale), există o întreagă clasă de sisteme de protecție a informațiilor numite „sisteme DLP” (Protecție (Prevenire) Pierdere Date (Scurgere)), denumită în general sub denumirea de „sisteme de prevenire a scurgerilor.” Aceste sisteme sunt în prezent una dintre soluțiile populare de monitorizare a personalului utilizate de managerii atât ai serviciilor de securitate informațională, cât și ai serviciilor de securitate economică. Majoritatea sistemelor din această clasă existente pe piață permit nu numai monitorizarea și blocarea canalelor de comunicații electronice, dar și monitorizarea activității utilizatorilor, care face posibilă identificarea angajaților care își folosesc timpul de lucru în mod irațional: întârzie la serviciu și pleacă devreme, „stau” pe rețelele de socializare, joacă jocuri pe calculator și lucrează pentru ei înșiși.

O altă tendință în problema securității personalului care a apărut în urmă cu doar câteva luni sunt sistemele de monitorizare și identificare a comportamentului deviant al utilizatorilor - User and Entity Behavior Analytics (UEBA). Aceste sisteme sunt concepute pentru a analiza comportamentul utilizatorului și, pe baza acestuia, pentru a identifica amenințările actuale la adresa personalului și a securității informațiilor.

Astfel, marea majoritate a sistemelor de informații corporative prelucrează date personale și secrete comerciale și, în consecință, toate necesită protecție. Aproape întotdeauna, mai ales în sectorul comercial, problemele de securitate a informațiilor intră în conflict cu comoditatea angajaților și cu finanțarea acestor activități. În lucrare autorul a considerat set minim măsuri menite să protejeze informațiile din orice CSI. Această listă de măsuri nu necesită cunoștințe unice și este disponibilă pentru utilizare practică de aproape orice specialist în domeniul tehnologiei informației. În plus, majoritatea măsurilor propuse nu necesită costuri financiare semnificative.

___________________________________________
1 Adresa președintelui Federației Ruse către Adunarea Federală a Federației Ruse din 1 decembrie 2016.

Coloana Expert

Perimetrul: a mai rămas ceva de protejat?

Alexei
Lukatsky

Consultant de afaceri pentru securitatea informatiei

Suntem destul de conservatori în zona noastră. Suntem foarte dependenți de autorități, de abordări, de produse și de termeni și definiții care nu s-au schimbat de ani de zile. Perimetrul de securitate a informațiilor este tocmai termenul care, din păcate, este atât de depășit încât este aproape imposibil să-l mai folosești. Mai mult, nici măcar nu știm pe deplin care este perimetrul de securitate a informațiilor. Unii oameni percep perimetrul ca pe un punct de conectare la Internet, oricât de amuzant ar suna în contextul geometriei, în care perimetrul este încă o linie închisă. Unii oameni percep perimetrul ca pe o linie care conturează o rețea corporativă sau departamentală. Unii oameni percep perimetrul ca pe un set de dispozitive care au acces la Internet.

Dar fiecare dintre aceste definiții are, evident, avantajele și dezavantajele sale și toate sunt diferite. Cum să percepem situația chiar și cu o opțiune aparent simplă ca un segment al unei rețele industriale, poate chiar izolat fizic de lumea exterioară, dacă un reprezentant al unui antreprenor venea acolo cu un laptop conectat prin modem 3G la Internet? Avem un perimetru aici sau nu? Ce se întâmplă dacă ne uităm la o situație în care un angajat cu un dispozitiv mobil se conectează la un cloud extern care stochează date confidențiale ale companiei sau rulează o aplicație care prelucrează aceste date? Există sau nu un perimetru aici? Ce se întâmplă dacă un angajat se conectează de pe dispozitivul său personal la infrastructura furnizorului de cloud a altcuiva, unde sunt stocate informațiile companiei? Unde este perimetrul într-o astfel de situație?

Ei bine, să presupunem că dispozitivele noastre mobile aparțin companiei, iar norii aparțin furnizorului. În același timp, maximul pe care îl putem cunoaște este bucățica noastră din cloud în care ne localizam serverele, aplicațiile, datele noastre. Dar cine are acces la ele din exterior, de la furnizorul de cloud, de la ceilalți clienți ai săi? Într-o astfel de situație, este în general imposibil să se contureze perimetrul. Și asta înseamnă că oricât de mult ne-am dori, suntem forțați să ne schimbăm abordările față de ceea ce obișnuiam să numim apărare perimetrală. De exemplu, în unele companii, conducerea respectă regula conform căreia un angajat al companiei poate lucra oricând de oriunde în lume de pe orice dispozitiv. Într-un astfel de concept, desigur, nu poate exista un perimetru în sensul uzual, iar asta ne obligă să protejăm într-un mod cu totul diferit, nu, nu perimetrul, ci conexiunea la Internet! Ești pregătit pentru noua realitate?

Eterogenitatea sferei de activitate a diferitelor organizații, firme, bănci face ca obiectivul să fie necesar să se precizeze strategii de protejare a informațiilor și de gestionare a acestora în cazul unei încălcări grave sau crize. Această abordare încurajează dezvoltarea diferitelor concepte de securitate a informațiilor în funcție de dimensiunea organizației (mică, medie, mare), domeniile de activitate (financiare, bancare, producție, comerț) și caracteristicile naționale și regionale. Analiza riscurilor informaționale implică determinarea a ceea ce trebuie protejat, de cine și cum să îl protejăm. Un nivel rațional de securitate a informațiilor este ales în primul rând din motive de fezabilitate economică.

O corporație este o asociație de organizații și persoane fizice bazată pe interese profesionale comune, una dintre formele unei societăți pe acțiuni pentru afaceri mari, inclusiv bancare.

Corporațiile mari se caracterizează printr-o structură complexă, distribuită geografic, cu o structură pe mai multe niveluri și cu mai multe legături. Amploarea activității și volumele de produse și servicii pot fi regionale sau globale.

O trăsătură caracteristică și distinctivă a rețelelor de computere corporative este că construcția lor are loc de obicei pe parcursul mai multor ani. În astfel de rețele funcționează echipamente de la diferiți producători și generații diferite, de exemplu. echipamente, atât cele mai moderne, cât și învechite, nu întotdeauna concentrate inițial asupra lucrand impreuna, transmiterea și prelucrarea datelor. Pe măsură ce rețelele corporative se dezvoltă cantitativ și calitativ, sarcina de a le gestiona devine din ce în ce mai complexă și necesită noi mijloace de gestionare a rețelelor în întreaga întreprindere. Astfel de instrumente trebuie să fie independente de protocol, scalabile și să ofere un management centralizat al rețelei.

În prezent, consumatorii caută soluții pentru a uni sucursale disparate nu numai în cadrul unei singure corporații, ci și regiuni din întreaga țară. Scopul principal al fuzionarii ramurilor este de a crea un singur spațiu informaționalși funcții de serviciu unificate. Soluțiile moderne fac posibilă furnizarea consumatorilor cu un sistem unificat pentru gestionarea și monitorizarea (monitorizarea) resurselor rețelei corporative, reducând costurile, combinând rețelele de date și de telefonie și protejând împotriva accesului neautorizat.

O resursă de informații la nivel corporativ este deosebit de vulnerabilă și necesită protecție de înaltă calitate și de încredere, deoarece structura informațională a organizațiilor de tip corporativ este eterogenă și constă dintr-un set de sisteme distribuite, tehnologii, baze de date și bănci de date și sarcini locale.

În organizațiile mari tipuri diferite activitățile au suport informațional diferit. Datele de la diferite departamente (în absența integrării lor) pot fi duplicate, stocate în formate diferite, se pot completa reciproc într-o anumită materie și, în același timp, pot fi inaccesibile specialiştilor etc. Adesea, corporația nu are posibilitatea de a folosi întreaga varietate de resurse informaționale la maximum. Această situație face dificilă, complicată și costisitoare crearea și exploatarea fiabilă a sistemelor de protecție.

Întrucât pe vremuri problemele securității tehnologiei informației erau rezolvate în țara noastră în principal pentru a proteja secretele de stat, acum problemele specifice de protejare a băncilor sau a altor afaceri necesită soluții urgent, iar abia acum sunt integrate cu sistemul mondial. Protecția informațiilor într-un anumit domeniu de activitate comercială are o serie de caracteristici semnificative legate de impactul securității informațiilor asupra organizației. Cele mai importante dintre ele:

Prioritatea factorilor economici, de piață și a relațiilor de proprietate;

Utilizarea sistemelor deschise, crearea unui subsistem de securitate a informațiilor folosind instrumente disponibile pe scară largă pe piață;

Semnificația juridică a informațiilor care oferă protecție juridică a documentelor, resurselor de informații, procesele informaţionaleîn conformitate cu legislația stabilită a Federației Ruse.

Necesitatea schimbului de informații nu numai între utilizatorii corporației dispersați geografic, ci și cu lumea exterioară, necesită utilizarea rețelelor mondiale globale. Atunci când este conectat la Internet, lucrul cu serviciile sale crește semnificativ domeniul de amenințări la adresa informațiilor procesate în corporație.

Serviciile de internet sunt împărțite în deschise și închise. Serviciu deschis presupune interacțiunea utilizatorilor corporației cu structuri externe. Serviciu închis se aplică utilizatorilor rețelei corporative, inclusiv celor de la distanță. Un serviciu de internet integrat oferă atât servicii de tip închis, cât și servicii de tip deschis.

În scopul securității informațiilor corporației, se creează infrastructura necesară, se folosesc programe fiabile pentru interacțiunea cu Internetul, care necesită respectarea următoarelor reguli atunci când corporația lucrează cu Internet:

Salvați-vă cu atenție parola și schimbați-o dacă bănuiți;

Nu lăsați computerul nesupravegheat în timpul unei sesiuni de comunicare;

După ce ați primit informațiile necesare, încheiați complet sesiunea de comunicare înainte de a vizita alte site-uri;

Utilizați criptarea mesajelor care apar prin rețea și multe altele.

La crearea rețelelor corporative se ține cont de legislația privind protecția informațiilor și se elaborează standarde de răspundere pentru încălcările securității informațiilor. Globalizarea computerelor moderne a rețelelor este un spațiu practic necontrolat de oricine, care este în mod constant completat cu megaocteți diverse informatii. Sub masca unor informații utile, computerele sunt uimite diverse virusuri(malware). Prin internet, oamenii pot fi atacați, datele confidențiale furate, bazele de date distruse etc.

Putem formula următoarele cerințe de bază pentru protecția rețelelor corporative și a obiectelor informaționale din malware.

Utilizarea de software, hardware și instrumente de securitate licențiate.

Efectuarea certificării obiectelor informaționale pentru conformitatea cu cerințele documentelor de reglementare privind protecția, inclusiv testarea prezenței capacităților nedeclarate.

Determinarea și fixarea listei de instrumente software acceptabile pentru utilizare, o interdicție categorică a utilizării instrumentelor software neincluse în pachet.

Folosiți pentru a proteja modernul agenți antivirus combaterea programelor malware și asigurarea actualizărilor în timp util.

Elaborarea documentelor organizatorice și administrative necesare pentru a proteja obiectele de malware și specificarea metodelor de prevenire pentru a le împiedica să intre în rețea, asigurându-se că utilizatorii sunt conștienți de semnele generale ale apariției malware-ului.

Dezvoltarea metodelor de backup, salvare și restaurare a software-ului și a resurselor de informații atunci când acestea sunt infectate sau deteriorate de viruși, asigurând totodată stocare sigură mostre originale de software și resurse de informații într-o locație sigură.

Asigurarea controalelor regulate instrumente informatice pentru infectarea cu malware.

Pe lângă nivelul legislativ, nu mai puțin important este și nivelul managerial. Conducerea fiecărei corporații trebuie să fie conștientă de necesitatea menținerii unui regim de securitate și să aloce resurse adecvate în acest scop. Principalul lucru pe care trebuie să-l implementeze nivelul de management este dezvoltarea unei politici de securitate a informațiilor adecvate Direcția Generală lucrările întreprinderii.

Scopul principal al măsurilor luate la nivel de management este formularea unui program de lucru în domeniul securității informațiilor și asigurarea implementării acestuia. Sarcina conducerii este de a aloca resursele necesare și de a monitoriza starea de fapt. Baza programului este o politică de securitate pe mai multe niveluri care reflectă abordarea organizației de a-și proteja activele și interesele informaționale. Utilizarea sistemelor informatice este asociată cu un anumit set de riscuri. Atunci când riscul este inacceptabil de mare, trebuie luate măsuri de protecție. Reevaluarea periodică a riscurilor este necesară pentru a monitoriza eficacitatea activităților de securitate și pentru a ține seama de schimbarea condițiilor.

Pentru a menține un regim de securitate a informațiilor, măsurile și instrumentele software și hardware sunt deosebit de importante, întrucât principala amenințare la adresa sistemelor informatice constă în acestea: defecțiuni hardware, erori software, greșeli ale utilizatorilor și administratorilor etc.

Mecanismele cheie pentru asigurarea securității informațiilor rețelelor corporative sunt:

Identificare și autentificare;

Controlul accesului;

Înregistrare și înregistrare;

Criptografia și protecția rețelei;

Ecranarea.

Ecranarea în rețelele corporative se realizează folosind firewall-uri. Firewall-ul împiedică utilizatorii să încalce regulile de securitate a informațiilor stabilite de administratori. Ecranul nu permite accesul la servere care nu sunt necesare pentru îndeplinirea sarcinilor utilizatorului.

Firewall-urile pot fi implementate în software și hardware. Implementări software mai ieftin, dar mai puțin productiv și necesită resurse semnificative ale sistemului informatic. Firewall-urile hardware sunt produse ca complexe tehnice speciale hardware și software care funcționează sub controlul unor sisteme de operare specializate sau convenționale modificate pentru a îndeplini funcții de protecție.

1. Trebuie să te concentrezi doar pe produse certificate.

2. Ar trebui să alegeți un furnizor de sisteme de securitate care va oferi o gamă completă de servicii, de ex. nu numai vânzări și garanții oferite de toată lumea, ci și servicii de instalare și configurare (dacă este necesar), instruirea angajaților pentru a lucra cu echipamente de securitate și suport pentru sistemele achiziționate.

3. Alegeți un sistem de securitate care asigură controlul accesului în diverse sisteme de operare.

4. Ar trebui să vă concentrați asupra sistemelor cu cele mai bune caracteristici operaționale, precum: fiabilitate ridicată, compatibilitate cu diverse programe software, reducere minimă a performanței stației de lucru, disponibilitate obligatorie a mijloacelor pentru controlul centralizat al mecanismelor de protecție de la locul de muncă al administratorului de securitate, notificarea promptă a administrator despre toate evenimentele NSD de la stațiile de lucru.

5. Atunci când alegeți, acordați atenție nu numai costului unor astfel de fonduri, ci și nivelului cheltuielilor așteptate pentru funcționarea și întreținerea acestora.

Prelucrarea informațiilor care constituie un secret comercial necesită asigurarea securității și precauției acestora munca de proiectîn etapa creării unui IP. Proiectarea include: inspectarea sistemului automatizat și elaborarea documentelor organizatorice și administrative; selectarea, achiziționarea, instalarea, configurarea și funcționarea echipamentelor de protecție; instruirea personalului pentru a lucra cu echipamentul de protecție disponibil; serviciu de informatii de securitate; audit periodic al sistemului de securitate informatică.

Este recomandabil ca astfel de lucrări să fie efectuate de profesioniști, deoarece calculele greșite în etapa de topografie și proiectare a unui sistem de securitate a informațiilor pot duce la probleme grave și pierderi în timpul construcției și exploatării acestuia.

Ținând cont de particularitățile rețelei corporative, documentele elaborate ar trebui să prevadă soluționarea următoarelor sarcini:

Protecție împotriva pătrunderii în rețeaua corporativă și împotriva scurgerii de informații din rețea prin canale de comunicație;

Delimitarea fluxurilor de informații între segmentele de rețea;

Protecția celor mai critice resurse ale rețelei de interferențe în procesul normal de funcționare;

Protecția locurilor de muncă și resurselor importante împotriva accesului neautorizat (NSD);

Protecția criptografică a celor mai importante resurse de informații.

În prezent, nu există o singură soluție gata făcută (hardware, software sau altele) care să ofere implementarea simultană a funcțiilor tuturor sarcinilor enumerate.

Acest lucru se explică prin faptul că, pe de o parte, cerințele fiecărui utilizator specific pentru implementarea anumitor măsuri de protecție diferă semnificativ și, pe de altă parte, fiecare dintre sarcini este rezolvată folosind mijloace specifice. Să ne uităm la câteva instrumente care implementează aceste funcții.

Protecție împotriva pătrunderii în rețea și a scurgerilor de informații din rețea. Principalul mijloc de implementare a unei astfel de amenințări este canalul care conectează rețeaua corporativă la internetul global.

Utilizarea firewall-urilor este cea mai comună soluție. Acestea vă permit să definiți și să implementați reguli de control al accesului atât pentru utilizatorii externi, cât și pentru cei interni ai unei rețele corporative, să ascundeți structura rețelei de un utilizator extern dacă este necesar, să blocați trimiterea de informații către adrese „interzise” și, în final, să controlați pur și simplu utilizarea a Internetului.

Delimitarea fluxurilor de informații între segmentele de rețea. În funcție de natura informațiilor procesate într-un anumit segment de rețea și de metoda de interacțiune între segmente, sunt implementate diferite opțiuni. Cea mai comună este utilizarea firewall-urilor, care este recomandată atunci când se organizează interacțiunea între segmente prin intermediul internetului. De regulă, această metodă este utilizată atunci când rețeaua are deja firewall-uri concepute pentru a controla fluxurile de informații între rețeaua internă și Internet, ceea ce ajută la prevenirea costurilor inutile - capabilitățile instrumentelor disponibile sunt mai mult utilizate.

Protejarea celor mai critice resurse ale rețelei de interferența cu operațiunile normale este o prioritate de top. Cele mai critice resurse dintr-o rețea corporativă sunt serverele. Principala modalitate de a interfera cu funcționarea lor normală este de a efectua atacuri folosind vulnerabilități în hardware-ul și software-ul rețelei. În acest caz, atacul poate fi efectuat atât dintr-o rețea externă (Internet), cât și dintr-o rețea internă, de exemplu, de către unul dintre membrii personalului. Problema principală constă nu numai în detectarea și înregistrarea în timp util a unui atac, pe care multe instrumente îl pot face, ci și în contracararea acestuia, deoarece chiar și capturarea unui atacator (pe baza rezultatelor înregistrării) va servi ca o mică consolare dacă corporația rețeaua este paralizată de ceva timp din cauza unui atac reușit.

Protejarea locurilor de muncă și resurselor importante împotriva accesului neautorizat are următoarele caracteristici. Până în prezent, multe sisteme automatizate au funcționat și continuă să funcționeze, concentrându-se doar pe mecanismele de protecție încorporate ale diferitelor sisteme de operare (de obicei de rețea), care asigură o protecție suficientă (cu o administrare corespunzătoare) a informațiilor de pe servere. Dar numărul de servere din rețeaua corporativă este de 1-3% din numărul total de stații de lucru pe care sunt procesate informații protejate. În același timp, marea majoritate a stațiilor de lucru (aproximativ 90%) rulează MS DOS sau Windows și nu au niciun mijloc de protecție, deoarece acestea OS nu conțin mecanisme de protecție încorporate.

Apare o situație - într-un loc de muncă neprotejat poate fi procesată Informații importante, la care accesul nu este limitat în niciun fel. În aceste cazuri se recomandă utilizarea unor măsuri de securitate suplimentare, în special instrumente de protecție criptografică (pentru a proteja chei criptografice); reglarea și înregistrarea acțiunilor utilizatorului; diferențierea drepturilor utilizatorilor pentru accesul la resursele locale.

Protecție criptografică sunt expuse cele mai importante resurse informaţionale. Criptarea este o modalitate fiabilă de a proteja datele de a fi accesate și utilizate de alte persoane în propriile lor scopuri. Particularitatea unor astfel de fonduri în Rusia este că utilizarea lor este strict reglementată de lege. În prezent produse de informare, destinate criptării în rețelele corporative, sunt instalate doar pe acele stații de lucru unde sunt stocate informații de o importanță foarte mare sau sunt procesate plăți electronice în numerar (de exemplu, în sistemele Bancă-Client).

Pentru protecția completă a sistemelor și tehnologiilor informaționale corporative, se recomandă utilizarea instrumentelor software și hardware de la companii mari. Aceștia sunt capabili să ofere o gamă mai completă de servicii și facilități și într-o manieră mai avansată din punct de vedere tehnologic.

Deoarece protecția informațiilor în corporații este o problemă complexă, niciun mijloc de semnătură digitală și criptare nu va ajuta dacă celelalte componente ale protecției nu sunt luate în considerare. Majoritatea structurilor corporative practic nu iau în considerare amenințarea scurgerii de informații prin canale tehnice (sisteme de alimentare cu energie, linii telefonice, structuri de inginerie, dispozitive de captare secretă a informațiilor etc.) ca fiind reale, deși, potrivit mai multor organizații implicate în securitatea informațiilor, acesta este unul dintre cele mai comune canale de furt de informații în prezent.

Controlul calității securității informațiilor la locații este responsabilitatea organizațiilor care au promovat un examen special și sunt acreditate în sistemul general de certificare. Aceștia poartă întreaga responsabilitate juridică și financiară pentru acțiunile lor. În prezent, pe piața serviciilor în acest domeniu există două categorii de organizații: cele cu licență, dar neacreditate de Comisia Tehnică de Stat (în prezent - serviciu federal pentru controlul tehnic și la export) ca organism de certificare și care deține atât licență, cât și acreditare. Diferența dintre ele este că, deși ambii pot efectua inspecții ale organizațiilor aparținând primei categorii (cel mai adesea acestea sunt organizații subcontractante), nu au dreptul să aprobe un certificat de conformitate și trebuie să solicite acest lucru la una dintre ele. organismelor de certificare sau direct Comisiei Tehnice de Stat.

Fiecare întreprindere corporativă și bancă, în funcție de condițiile specifice de activitate, necesită un sistem personalizat de securitate a informațiilor. Construirea unui astfel de sistem este posibilă numai de firmele care au licență pentru tipul de activitate specificat.

Folosind exemplul unei bănci, un sistem personalizat de securitate a informațiilor trebuie să fie adecvat nivelului de importanță și secret al informațiilor. Costul acestuia nu trebuie să depășească posibilele daune din cauza unei încălcări a securității informațiilor protejate. Dar, în același timp, depășirea sistemului de securitate ar trebui să fie inoportună din punct de vedere economic în comparație cu posibilele beneficii din obținerea accesului, distrugerii, modificării sau blocării informațiilor protejate. Pentru a determina caracterul adecvat al costului sistemului de protecție, amploarea daunelor și probabilitatea apariției acesteia trebuie comparate cu costul asigurării protecției. Deoarece costul real al informației este destul de dificil de estimat, sunt adesea folosite evaluări calitative ale experților. Resursele informaționale sunt clasificate drept critice atunci când faceți afaceri, dacă sunt de o importanță deosebită în orice problemă etc.

Nivelul de securitate a informațiilor ar trebui determinat în mod oficial pe baza nivelului de confidențialitate al informațiilor care sunt procesate și a nivelului de daune cauzate de o încălcare a securității. Determinarea nivelului necesar de confidențialitate este apanajul conducerii băncii. Poate varia mult în funcție de obiectivele strategice și tactice ale băncii, de tehnologia de procesare a informațiilor utilizată, de opinia privată a conducerii, de componența personalului de serviciu, de compoziția instrumentelor automate și de multe alte motive. Importante atunci când se determină nivelul de confidențialitate al informațiilor sunt cerințele cadrului legislativ și ale agențiilor guvernamentale.

Gradul de securitate a informațiilor în sistemele bancare automatizate este determinat și de domeniul specific al amenințărilor la încălcările confidențialității. Lista completă a amenințărilor din lumea computerizată modernă are mai mult de o pagină. O evaluare specifică a probabilității de apariție a fiecărei amenințări ar trebui determinată pe un anumit sistem bancar.

Produsele software disponibile astăzi pe piață în legătură cu metodele de securitate a informațiilor conțin un sistem de control al accesului. Din punct de vedere organizatoric, măsurile de introducere a unui nou utilizator în sistem rămân la latitudinea serviciilor de securitate. Un exemplu ar fi completarea unui formular pentru dreptul de acces la sistem, care conține o listă de sarcini funcționale, o listă de operațiuni într-o anumită sarcină funcțională și o listă de acțiuni pe care operatorul are voie să le efectueze. Chestionarul este aprobat de conducerea băncii, serviciul de securitate și serviciul de asistență. După acești pași, operatorul trebuie să cunoască două parole pentru a se conecta în sistem: parola supervizorului pentru autentificarea fizică la computer și parola personală pentru a vă autentifica.

În cele mai multe cazuri, infracțiunile informatice sunt comise de angajații băncii. Unele bănci preferă să angajeze un personal de dezvoltatori de software. Dezvoltatorul de sistem știe totul despre sistem, toate punctele sale slabe, știe să modifice informațiile pentru ca nimeni să nu afle despre el. Nimeni în afară de el nu poate menține mai bine sistemul. După cum arată practica, implementarea infracțiunilor informatice este facilitată de încălcarea reglementărilor și regulilor de arhivare a informațiilor.

În prezent, societatea în ansamblu depinde de calculatoare, așa că astăzi problema securității informațiilor este o problemă pentru întreaga societate.

Protecția informațiilor a devenit o ramură independentă, în dezvoltare dinamică, a științei, ingineriei și tehnologiei. Urmează tendințele moderne în domeniul protecției informațiilor tendinte generale dezvoltarea sistemelor și tehnologiilor informatice: integrare, standardizare, portabilitate, transparență.

Evoluțiile în domeniul securității informațiilor continuă să evolueze rapid. Cererea de produse software cu garanție de securitate a informațiilor este în creștere. Problemele de rețea rămân cele mai presante.