что такое технические средства защиты
Технологии защиты информации в компании
Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.
Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ
Базовые элементы информационной безопасности
Рассмотрим основные составляющие информационной безопасности:
Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.
Разновидности угроз информационной безопасности
Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.
Угрозы доступности
Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.
Рассмотрим подробнее источники угроз доступности:
Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.
Угрозы целостности
Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:
Внимание! Угроза нарушения целостности касается и данных, и самих программ.
Базовые угрозы конфиденциальности
Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:
Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.
Методы защиты информации
Методы защиты, как правило, используются в совокупности.
Инструменты организационно-правовой защиты
Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.
Инструменты инженерно-технической защиты
Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:
Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.
Криптографические инструменты защиты
Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:
КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.
Программно-аппаратные инструменты для защиты сведений
Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:
В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.
ТЕМА 1.3. ОСНОВЫ И МЕТОДЫ ЗАЩИТЫ ИНФОРМАЦИИ
Оглавление
1.3.1. Основные понятия
В современных информационных системах (ИС) информация обладает двумя противоречивыми свойствами – доступностью и защищенностью от несанкционированного доступа. Во многих случаях разработчики ИС сталкиваются с проблемой выбора приоритета одного из этих свойств.
Под защитой информации обычно понимается именно обеспечение ее защищенности от несанкционированного доступа. При этом под самим несанкционированным доступом принято понимать действия, которые повлекли «…уничтожение, блокирование, модификацию, либо копирование информации…»(УК РФ ст.272). Все методы и средства защиты информации можно условно разбить на две большие группы: формальные и неформальные.
Рис. 1. Классификация методов и средств защиты информации
Формальные методы и средства
Это такие средства, которые выполняют свои защитные функции строго формально, то есть по заранее предусмотренной процедуре и без непосредственного участия человека.
Техническими средствами защиты называются различные электронные и электронно-механические устройства, которые включаются в состав технических средств ИС и выполняют самостоятельно или в комплексе с другими средствами некоторые функции защиты.
Физическими средствами защиты называются физические и электронные устройства, элементы конструкций зданий, средства пожаротушения, и целый ряд других средств. Они обеспечивают выполнение следующих задач:
Криптографические методы и средства
Криптографическими методами и средствами называются специальные преобразования информации, в результате которых изменяется ее представление.
В соответствии с выполняемыми функциями криптографические методы и средства можно разделить на следующие группы:
Неформальные методы и средства защиты информации
Неформальные средства – такие, которые реализуются в результате целенаправленной деятельности людей, либо регламентируют ( непосредственно или косвенно) эту деятельность.
К неформальным средствам относятся:
Организационные средства
Это организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации ИС с целью обеспечения защиты информации. По своему содержанию все множество организационных мероприятий условно можно разделить на следующие группы:
Законодательные средства
Это законодательные акты страны, которыми регламентируются правила использования и обработки информации ограниченного использования и устанавливаются меры ответственности за нарушение этих правил. Можно сформулировать пять ”основных принципов”, которые лежат в основе системы законов о защите информации:
Морально – этические нормы
Эти нормы могут быть как не писанными (общепринятые нормы честности, патриотизма и т.п.) так и писанными, т.е. оформленными в некоторый свод правил и предписаний (устав).
С другой стороны, все методы и средства защиты информации можно разделить на две большие группы по типу защищаемого объекта. В первом случае объектом является носитель информации, и здесь используются все неформальные, технические и физические методы и средства защиты информации. Во втором случае речь идет о самой информации, и для ее защиты используются криптографические методы.
1.3.2. Угрозы безопасности информации и их источники
Наиболее опасными (значимыми) угрозами безопасности информации являются:
Приведем ниже краткую классификацию возможных каналов утечки информации в ИС – способов организации несанкционированного доступа к информации.
Косвенные каналы, позволяющие осуществлять несанкционированный доступ к информации без физического доступа к компонентам ИС:
Каналы, связанные с доступом к элементам ИС, но не требующие изменения компонентов системы, а именно:
Каналы, связанные с доступом к элементам ИС и с изменением структуры ее компонентов :
1.3.3. Ограничение доступа к информации
В общем случае система защиты информации от несанкционированного доступа состоит из трех основных процессов:
При этом участниками этих процессов принято считать субъекты – активные компоненты (пользователи или программы) и объекты – пассивные компоненты (файлы, базы данных и т.п.).
Задачей систем идентификации, аутентификации и авторизации является определение, верификация и назначение набора полномочий субъекта при доступе к информационной системе.
Идентификацией субъекта при доступе к ИС называется процесс сопоставления его с некоторой, хранимой системой в некотором объекте, характеристикой субъекта – идентификатором. В дальнейшем идентификатор субъекта используется для предоставления субъекту определенного уровня прав и полномочий при пользовании информационной системой.
Аутентификацией субъекта называется процедура верификации принадлежности идентификатора субъекту. Аутентификация производится на основании того или иного секретного элемента (аутентификатора), которым располагают как субъект, так и информационная система. Обычно в некотором объекте в информационной системе, называемом базой учетных записей, хранится не сам секретный элемент, а некоторая информация о нем, на основании которой принимается решение об адекватности субъекта идентификатору.
Авторизацией субъекта называется процедура наделения его правами соответствующими его полномочиям. Авторизация осуществляется лишь после того, как субъект успешно прошел идентификацию и аутентификацию.
Весь процесс идентификации и аутентификации можно схематично представить следующим образом:
Рис. 2. Схема процесса идентификации и аутентификации
1- запрос на разрешение доступа к ИС;
2- требование пройти идентификацию и аутентификацию;
3- отсылка идентификатора;
4- проверка наличия полученного идентификатора в базе учетных записей;
5- запрос аутентификатора;
6- отсылка аутентификаторов;
7- проверка соответствия полученного аутентификатора указанному ранее идентификатору по базе учетных записей.
Из приведенной схемы (рис.2) видно, что для преодоления системы защиты от несанкционированного доступа можно либо изменить работу субъекта, осуществляющего реализацию процесса идентификации/аутентификации, либо изменить содержимое объекта – базы учетных записей. Кроме того, необходимо различать локальную и удаленную аутентификацию.
При локальной аутентификации можно считать, что процессы 1,2,3,5,6 проходят в защищенной зоне, то есть атакующий не имеет возможности прослушивать или изменять передаваемую информацию. В случае же удаленной аутентификации приходится считаться с тем, что атакующий может принимать как пассивное, так и активное участие в процессе пересылки идентификационной /аутентификационной информации. Соответственно в таких системах используются специальные протоколы, позволяющие субъекту доказать знание конфиденциальной информации не разглашая ее (например, протокол аутентификации без разглашения).
Общую схему защиты информации в ИС можно представить следующим образом (рис.3):
Рис. 3. Съема защиты информации в информационной системе
Таким образом, всю систему защиты информации в ИС можно разбить на три уровня. Даже если злоумышленнику удастся обойти систему защиты от несанкционированного доступа, он столкнется с проблемой поиска необходимой ему информации в ИС.
Семантическая защита предполагает сокрытие места нахождения информации. Для этих целей может быть использован, например, специальный формат записи на носитель или стеганографические методы, то есть сокрытие конфиденциальной информации в файлах-контейнерах не несущих какой-либо значимой информации.
В настоящее время стеганографические методы защиты информации получили широкое распространение в двух наиболее актуальных направлениях:
Последним препятствием на пути злоумышленника к конфиденциальной информации является ее криптографическое преобразование. Такое преобразование принято называть шифрацией. Краткая классификация систем шифрования приведена ниже (рис.4):
Рис. 4. Классификация систем шифрования
Основными характеристиками любой системы шифрования являются:
В настоящее время принято считать, что алгоритм шифрации/дешифрации открыт и общеизвестен. Таким образом, неизвестным является только ключ, обладателем которого является легальный пользователь. Во многих случаях именно ключ является самым уязвимым компонентом системы защиты информации от несанкционированного доступа.
Из десяти законов безопасности Microsoft два посвящены паролям:
Закон 5: «Слабый пароль нарушит самую строгую защиту»,
Закон 7: «Шифрованные данные защищены ровно настолько, насколько безопасен ключ дешифрации».
Именно поэтому выбору, хранению и смене ключа в системах защиты информации придают особо важное значение. Ключ может выбираться пользователем самостоятельно или навязываться системой. Кроме того, принято различать три основные формы ключевого материала:
Пароль – секретная информация, запоминаемая пользователем и таким образом неразрывно с ним связанная,
Ключ – секретная информация, хранящаяся на некотором носителе, которой могут воспользоваться без ведома пользователя,
Биометрия – биометрическая информация (отпечаток пальца, сетчатка глаза, голос и т.п.)
1.3.4. Технические средства защиты информации
В общем случае защита информации техническими средствами обеспечивается в следующих вариантах:
источник и носитель информации локализованы в пределах границ объекта защиты и обеспечена механическая преграда от контакта с ними злоумышленника или дистанционного воздействия на них полей его технических средств
Эти варианты реализуют следующие методы защиты:
Под объектами защиты понимаются как люди и материальные ценности, так и носители информации, локализованные в пространстве. К таким носителям относятся бумага, машинные носители, фото- и кинопленка, продукция, материалы и т.д., то есть всё, что имеет четкие размеры и вес. Для организации защиты таких объектов обычно используются такие технические средства защиты как охранная и пожарная сигнализация.
Носители информации в виде электромагнитных и акустических полей, электрического тока не имеют четких границ и для защиты такой информации могут быть использованы методы скрытия информации. Эти методы предусматривают такие изменения структуры и энергии носителей, при которых злоумышленник не может непосредственно или с помощью технических средств выделить информацию с качеством, достаточным для использования ее в собственных интересах.
1.3.5. Программные средства защиты информации
Эти средства защиты предназначены специально для защиты компьютерной информации и построены на использовании криптографических методов. Наиболее распространенными программными средствами являются:
1.3.6. Антивирусные средства защиты информации
В общем случае следует говорить о «вредоносных программах», именно так они определяются в руководящих документах ГосТехКомиссии и в имеющихся законодательных актах(например, статья 273 УКРФ «Создание, использование и распространение вредоносных программ для ЭВМ»). Все вредоносные программы можно разделить на пять типов:
В настоящее время вредоносные программ в «чистом» виде практически не существуют – все они являются некоторым симбиозом перечисленных выше типов. То есть, например: троян может содержать вирус и в свою очередь вирус может обладать свойствами логической бомбы. По статистике ежедневно появляется около 200 новых вредоносных программ, причем «лидерство» принадлежит червям, что вполне естественно, вследствие быстрого роста числа активных пользователей сети Интернет.
В качестве защиты от вредоносных программ рекомендуется использовать пакеты антивирусных программ ( например: DrWeb, AVP – отечественные разработки, или зарубежные, такие как NAV, TrendMicro, Panda и т.д.). Основным методом диагностики всех имеющихся антивирусных систем является «сигнатурный анализ», то есть попытка проверить получаемую новую информацию на наличие в ней «сигнатуры» вредоносной программы – характерного куска программного кода. К сожалению, такой подход имеет два существенных недостатка:
Закон 8: «Не обновляемая антивирусная программа не намного лучше полного отсутствия такой программы»
Одним из известных путей повышения эффективности диагностирования вредоносных программ является использование так называемого «эвристического метода». В этом случае предпринимается попытка обнаружить наличие вредоносных программ, учитывая известные методы их создания. Однако, к сожалению, в случае если в разработке программы принимал участие высококлассный специалист, обнаружить ее удается лишь после проявления ею своих деструктивных свойств.
Средства защиты информации от несанкционированного доступа
Тест на прочность: чему нас учат недостатки СЗИ?
Защитить информацию от несанкционированного доступа можно с помощью любого из популярных специализированных средств. Главное — знать его сильные и слабые стороны, чтобы в случае необходимости нейтрализовать негативные последствия. Мы провели эксперимент, чтобы посмотреть, как ведут себя различные решения в ситуации несанкционированного доступа.
Современный рынок средств защиты информации (СЗИ) представлен различными аппаратными, программными и комбинированными комплексами. Продукты различаются по цене, функциональности и настройкам. Прежде чем сделать выбор, IT-специалист должен все это хорошо изучить. Ведь ценность защищаемой информации не дает ему права на ошибку, а руководитель требует обосновать стоимость покупки конкретного СЗИ.
Цель нашего эксперимента — понять, какие дополнительные меры безопасности необходимо принять, чтобы обезопасить информацию от кражи.
Моделируемая ситуация: в компьютере финансового директора обрабатывается очень важная информация, интерес к которой имеет недовольный зарплатой сотрудник. В обеденный перерыв директор заблокировал свой компьютер и ушел. У злоумышленника есть только час на то, чтобы незаметно похитить нужную ему информацию.
Тестируемые средства
Действия злоумышленника: Предположим, что на компьютере установлено одно из вышеуказанных СЗИ и шестизначный пароль, содержащий буквы разного регистра и спецсимволы. На подбор такого пароля потребуется много времени, поэтому злоумышленник, скорее всего, попробует обойти систему следующим образом:
Совет № 1. Запретите загрузку с внешних носителей и используйте пароли на BIOS.
Программные СЗИ, к сожалению, оставляют возможность загрузиться в обход операционной системы и похитить ценную информацию. И в этом заключается их главный недостаток. Единственным программным СЗИ, которое не удалось обойти таким образом, оказался «Страж NT».
В СЗИ «Страж NT» идентификация и аутентификация пользователя производится до загрузки операционной системы, что позволяет исключить возможность получения доступа к информации, содержащейся на жестком диске компьютера без успешного прохождения процедуры аутентификации.
Программа идентификации и аутентификации содержится в главной загрузочной записи (MBR) жесткого диска и вызывается автоматически после прохождения процедуры POST BIOS: пользователю предлагается предъявить персональный идентификатор и ввести пароль.
Модификация главной загрузочной записи, выполняемая СЗИ при его инициализации, предотвращает попытки несанкционированного доступа при загрузке компьютера с внешнего носителя, так как любая операционная система «повиснет» при попытке монтирования раздела, на котором установлена СЗИ «Страж NT». Таким образом, для злоумышленника исключается несанкционированный доступ к содержимому жесткого диска, несмотря на гипотетическую возможность загрузки персонального компьютера с внешнего носителя или подключения жесткого диска к другому компьютеру.
Вне эксперимента нам удалось с помощью программы восстановления потерянных разделов TestDisk восстановить загрузочный сектор. Но на эту процедуру ушло больше часа.
При использовании остальных СЗИ рекомендуем в настройках BIOS выставить единственное загрузочное устройство — локальный жесткий диск. Необходимо установить пароль на BIOS. Можно установить ПАК «Соболь» или Secret Net Card, которые обеспечат доверенную загрузку.
Совет № 2. При использовании любых СЗИ, кроме «Страж NT», опечатывайте или опломбируйте корпус системного блока.
При тестировании программных СЗИ мы увидели, что добыть информацию можно и без физического вмешательства в системный блок. В случае с рассматриваемыми программно-аппаратными комплексами «Аккорд» и Secret Net способ загрузки в обход операционной системы не сработал из-за наличия установленной платы, которая не давала доступа к настройкам BIOS и не позволяла изменить источник первичной загрузки.
При настройке системы защиты в соответствии с требованиями законодательства, если системный блок не опломбировать или не закрыть на замок, злоумышленнику ничего не мешает на время своих злодеяний извлечь эту плату из системного блока. В этом состоит главный недостаток плат доверенной загрузки. Таким образом, мы настоятельно рекомендуем использовать такую меру защиты как опломбирование системных блоков и закрытие на ключ.
Совет № 3. Используйте встроенные или дополнительные средства шифрования данных.
Мы рассматриваем ситуацию, когда злоумышленник пытается незаметно похитить информацию. Если это условие убрать, то и установка пароля на BIOS, и опечатывание системного блока не помешают информации «сделать ноги». Поэтому общая рекомендация для всех рассмотренных средств защиты информации следующая — использовать средства шифрования данных. При таких условиях у злоумышленника не будет возможности получить доступ к информации описанными нами или любыми иными способами.
Так, например, в СЗИ Dallas Lock средство шифрования данных является встроенным, а для Secret Net есть возможность приобрести лицензию с возможностью сокрытия выбранных разделов на жестком диске. Для остальных СЗИ остается использовать только дополнительные средства шифрования от сторонних производителей.
Совет № 4. Используйте комплекс мер: дополняйте технические средства административными мерами.
Прежде чем принимать решение о применении того или иного средства защиты, необходимо продумать и смоделировать все возможные варианты утечки информации. В каждой конкретной ситуации это будут различные меры. В случае, описанном в начале статьи, мы бы порекомендовали не оставлять открытым помещение с важной информацией, установить системы видеонаблюдения. Для особо важной информации необходимо использовать средства защиты, позволяющие шифровать информацию «на лету» и т д.
Совет № 5. Не переплачивайте: стоимость средств защиты не должна превышать стоимость самой информации.
Если руководитель поручил защитить информацию на конкретных компьютерах, необходимо понять, какова ценность информации «в цифрах». И только после этого принимать решение о выборе СЗИ. Правда, есть один нюанс: для информации, охраняемой законодательством, это правило не работает — защищать придется даже информационные системы обработки персональных данных, содержащие сведения о пяти сотрудниках.
Вадим Галлямшин, руководитель проектов внедрения систем информационной безопасности «СКБ Контур».
Станислав Шиляев, руководитель группы технической защиты информации проекта «Контур-Безопасность»
Не пропустите новые публикации
Подпишитесь на рассылку, и мы поможем вам разобраться в требованиях законодательства, подскажем, что делать в спорных ситуациях, и научим больше зарабатывать.
Техническая защита информации
ИБ-аутсорсинг
на базе DLP-системы
Контроль исполнения документов
Мониторинг ИТ инфраструктуры
Защита бизнеса от мошенничества
Разработка требований к защите информации
Управление системами фильтрации электронной почты и веб-трафика
АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА
З начительная часть существующей информации представляет определенный интерес для посторонних лиц. Охрана информационных систем – это сложный комплекс мероприятий, который включает техническую защиту информации. Для реализации охраны данных производятся непосредственные действия с массивами информации, а также профилактические меры разного вида и состава.
Что такое информация?
Общего определения термина «информация» не существует. Чаще всего под ним понимают совокупность данных, сведений, знаний, в том числе:
Основные свойства грамотно охраняемой информации:
Сведения хранятся в виде бумажных документов или электронных файлов. Способ представления информации не имеет принципиального значения, поскольку это лишь вариант ее консервации до момента использования. В современных условиях предпочтительны цифровые способы хранения данных, поскольку они удобны для быстрой передачи, тиражирования, изменения и прочих видов обработки. Однако это удобство имеет обратную сторону – появляется возможность доступа к информации для посторонних лиц или злоумышленников. Возникает необходимость охраны информационных массивов с помощью организационных или технических средств, программных методов.
Почему информации нужна защита?
Большинство сведений представляет собой определенную ценность и могут быть использованы во вред их обладателям. Злоумышленники используют массу методов несанкционированного доступа к информации, приносящих значительный вред организации или физическому лицу.
Перечень угроз безопасности информации велик – от прямого хищения документов до взлома компьютерных систем с целью хищения или несанкционированной обработки данных.
Необходимо учитывать, что универсальных методов защиты информации не существует. Невозможно заранее предусмотреть все варианты развития событий. Особенностью сведений является изменчивость их важности в глазах как собственника, так и посторонних лиц.
Актуальность и содержательность данных меняются, иногда это происходит с большой скоростью. Противостояние систем защиты информации и злоумышленников способно принять любые формы – от активных действий до случайных, эпизодических попыток несанкционированного доступа. Нередко возникает ситуация, когда внешних признаков угрозы нет, и руководство организации начинает относиться к обеспечению информационной безопасности как к излишней, непродуктивной нагрузке. Сокращается финансирование подразделений охраны, уделяется меньше внимания мероприятиям по защите информации. В таких условиях потери или хищения сведений – лишь вопрос времени.
Законодательная база
Основным законодательным актом, обеспечивающим защиту информации, является Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В нем перечислен ряд понятий, с помощью которых реализуется государственный подход к охране и защите конфиденциальной информации. Определены принципы и нормы правового регулирования, даны четкие определения объектов и субъектов правовых отношений в сфере информационной безопасности. Регулируется право на различные действия с информацией:
Отдельно определена ответственность за действия, связанные с нарушениями в сфере информационных технологий. Для обеспечения государственной поддержки защиты информационных ресурсов создана Федеральная служба по техническому и экспортному контролю (ФСТЭК). Это государственный орган, который обеспечивает защиту информации на стратегическом уровне, в том числе выполняет множество функций:
На базе ФЗ № 149 созданы ГОСТы, определяющие порядок защиты информации в организациях, сетях электросвязи и других сферах деятельности. Они являются основными нормативными документами в сфере защиты конфиденциальной информации. Действия подразделений или служб, обеспечивающих охрану данных, должны быть согласованы с этими стандартами.
Системный подход к защите данных
Особенностью защиты информации является невозможность выработки универсальных методик. Для успешного решения возможных проблем необходим комплексный подход. Возникает необходимость в системах защиты информации, объединяющих все существующие методики. Это непростая задача, требующая всестороннего анализа существующих данных, оценки их важности и распределения массивов по уровню ценности. Необходимо определить возможные каналы утечки информации, предотвратить несанкционированный доступ посторонних лиц или неавторизованных сотрудников к ценным сведениям. Для этого нужны средства защиты информации. Важно, чтобы действия службы охраны данных не оказались помехой для работы организации.
Задачи службы безопасности
Охрана конфиденциальной информации требует наличия специального подразделения. Для создания службы информационной безопасности (ИБ-службы) руководству организации необходимо точно представлять себе ее задачи и приоритетные функции. К ним относятся:
Подразделение обеспечения безопасности должно состоять из проинструктированных сотрудников. Необходимо обследовать территорию и разбить ее на зоны ответственности. Для каждой определить уровень допуска сотрудников для выполнения профессиональных обязанностей. Параллельно надо вести работу по изучению возможных способов проникновения, устанавливать посты или КПП. При этом мероприятия не должны создавать препятствий для функционирования организаций, тормозить работу сотрудников. Важно четко различать источники опасности и доверенных сотрудников, чтобы не получить на выходе сплошной контроль без полезных результатов.
Возможные пути утечки данных
Потеря сведений возможна на любом этапе их использования. Охрана важных данных должна базироваться на принципе недоступности информации для посторонних, отсутствии возможности случайного доступа, воздействия или обработки.
К наиболее проблемным каналам утечки следует отнести:
Необходимо также обеспечить невозможность прослушки переговоров сотрудников. Нередко офисы организаций находятся в жилых домах, где есть возможность услышать разговоры в соседней комнате. Кроме того, существуют технические системы, позволяющие получать информацию, считывая ее снаружи, с оконных стекол кабинета. Они направляют луч лазера на поверхность стекла и фиксируют мельчайшие колебания, возникающие при его контакте со звуковыми волнами (разговор). Поэтому для важных переговоров предпочтительно использование специальных помещений. На стекла в таких переговорных устанавливают ультразвуковые глушилки, делающие устройства прослушки бесполезными.
Не менее важными объектами защиты являются телефонные или оптоволоконные кабели, провода систем связи. Современные технологии позволяют получить сигнал даже без непосредственного подключения, путем электромагнитного сканирования проводов. Поэтому необходимо выполнять прокладку кабелей и проводов по закрытым, надежно экранированным каналам.
Необходимо внимательно анализировать и изучать задачи злоумышленников. Понимание, в каких целях предпринимаются попытки доступа к базам данных, позволит принимать эффективные меры по их обнаружению. Важно учитывать, что преступники не всегда считают хищение сведений своей задачей. Часто им требуется уничтожить или изменить данные. Поэтому необходимо предусмотреть варианты злонамеренного использования информации и максимально ограничить такие возможности.
Средства и методы защиты информации
Специфика технических систем защиты данных должна соответствовать форме и условиям их хранения и использования. Существуют общие меры предотвращения несанкционированного доступа:
Большую важность имеет организация работы с сотрудниками. Они должны получить определенный допуск к информационным ресурсам, который соответствует их профессиональным обязанностям. Кроме этого, сотрудникам необходимо пройти инструктаж по обращению с данными. Работникам ИБ-службы следует предупредить персонал об ответственности за повреждение или хищение информационных массивов.
Реализация технической защиты
Для охраны баз данных используются два основных метода:
С помощью аппаратного метода выполняют поиск и обнаружение попыток несанкционированного доступа. Используются методы пассивного и активного противодействия атакам злоумышленников.
Программный метод предназначен для отсечки попыток получения данных из компьютерной техники. Используются антивирусные приложения, файрволы, шифрование данных, парольная защита.
Если аппаратные методы рассчитаны на непосредственное использование технических средств защиты, то программные методики предназначены для предотвращения удаленных способов воздействия на базы данных.
Обе методики нуждаются в постоянном контроле работоспособности и обновлении. С появлением новых технических и программных средств старые способы защиты перестают работать. Злоумышленники находятся в постоянном поиске новых возможностей получения чужих сведений, поэтому системы защиты не должны отставать от них. Попытки экономии на охране неизменно приводят к потере данных. Работа организации может быть полностью парализована, чего допустить нельзя. Важно предусмотреть намерения злоумышленников, опередить их на всех стадиях неправомерных действий.