Люди и данные — две жизненно важные ценности организации в цифровую эпоху. Люди создают конкурентные преимущества, а потоки данных формируют кровеносную систему компании или предприятия. Но эти же две составляющие — и источник наиболее серьезных рисков.
Анализ информационных потоков и поведенческая аналитика способны не только предотвращать инциденты, связанные с человеческим фактором, целенаправленными атаками и утечкой данный, но предсказывать вероятность возникновения рисков и находить пути повышения эффективности.
РЕШЕНИЯ INFOWATCH
Комплексный подход к решению бизнес-задач в различных вертикалях рынка
· Защита конфиденциальной информации
Какие данные необходимо защищать?
Коммерческая тайна, производственные секреты, ноу-хау, базы данных клиентов, персональные данные — все это критически важная для бизнеса информация, доступ и использование которой должны быть тщательно регламентированы.
Нарушение конфиденциальности информации может быть связано как с мошеннической деятельностью сотрудников компании, так и вызвано действиями вредоносного программного обеспечения или внешних злоумышленников. Независимо от этого, задача защиты конфиденциальных данных должна решаться комплексно: от разработки документации, процедур реагирования и оценки рисков до внедрения технических средств защиты.
Компания InfoWatch помогает в определении перечня информационных активов, требующих защиты, подготовке правовой и организационной документации и разработке процедур реагирования на инциденты, связанные с утечкой конфиденциальных данных. Также эксперты InfoWatch предлагают комплекс технических мер защиты конфиденциальной информации.
· Управление рисками информационной безопасности
Согласно определению ISO/IEC 27005:2008 риски информационной безопасности – это потенциальные возможности использования уязвимостей актива или группы активов конкретной угрозой для причинения ущерба организации. Другими словами, риски информационной безопасности – это вероятные потери организации в результате инцидентов.
Риски информационной безопасности связаны с нарушениями конфиденциальности, целостности и доступности информационных активов компании. Они являются, как правило, результатом промышленного шпионажа, саботажа, кибератак на информационные ресурсы, а также целевых атак на компьютеры организации.
· Соответствие требованиям регуляторов
InfoWatch поможет провести экспертную оценку состояния и уровня зрелости информационной безопасности компании, определить степень соответствия требованиям регуляторов, сформировать план по приведению системы информационной безопасности этим требованиям, разработать концепцию развития информационной безопасности в целом. Также эксперты InfoWatch предложат эффективные средства защиты информационных активов компании.
Нормативно-правовые акты, а также международные и отраслевые стандарты предъявляют требования к обеспечению информационной безопасности: обязуют компании принимать меры по охране конфиденциальности информации, также содержат рекомендации по применению организационных мер и технических средств, направленных на защиту конфиденциальной информации (информации ограниченного доступа).
Понятие «конфиденциальность информации» трактуется по-разному, но всегда подразумевает необходимость предотвращения утечки (разглашения) информации.
· Защита АСУТП
В каждой промышленной организации используются автоматизированные системы управления технологическими процессами (АСУТП). Современные АСУТП подвергаются разнообразным угрозам со стороны внутренних злоумышленников и хакеров (террористических, экстремистских и враждебно настроенных групп) с целью вывести систему АСУТП из строя.
Учитывая, что аварии на производстве могут иметь весьма серьезные последствия, как для сотрудников производства, так и для окружающего это производство мира, информационная безопасность АСУТП очень важна. Технологические процессы изначально выстраиваются технологами так, чтобы быть максимально доступными, эффективными и безопасными.
Поэтому задача обеспечения безопасности АСУТП – это, прежде всего, обеспечение информационной безопасности технологических процессов. Обезопасить технологические процессы – это значит оградить их от любых воздействий информационного характера, мешающих технологическим процессам проходить легитимно.
· InfoWatch Консалтинг
В большинстве организаций нет понимания, насколько эффективны внедряемые системы и средства защиты конфиденциальной информации. Это приводит к неправильному построению бизнес-процессов, утечкам закрытых данных и многим другим рискам. Чтобы повысить эффективность инструментов обеспечения информационной безопасности, необходимо правильно внедрить решение в инфраструктуру компании. Что это значит на практике:
· Внедрению должен предшествовать полноценный аудит информационных потоков и бизнес-процессов.
· Для каждого типа инцидента должен быть проработан оптимальный протокол реагирования.
· Сам процесс сбора и анализа информации о действиях сотрудников должен получить юридическое обеспечение.
· Результаты внедрения DLP-системы должны быть качественно измеримы.
Всем хорошо известна пословица «Кто владеет информацией, тот владеет миром». А кто владеет информацией о конкурентах, получает безусловные преимущества в конкуренции с ними. Прогресс сделал организации зависимыми от информационных систем, а вместе с этим — уязвимыми к информационным (IT) нападениям, компьютерным вирусам, человеческому фактору и т.д. Поэтому, предприниматели не могут быть абсолютно уверены в безопасности компании. Информационная безопасность является краеугольным камнем в жизни компании, но этот же прогресс предлагает выходы, способные защитить секретную информацию от внешних посягательств. Любая утечка данных может привести к серьезным последствиям для компании — от небольших издержек до полной ликвидации. Конечно, проблема утечек не нова, промышленный шпионаж и переманивание квалифицированных специалистов были еще и до цифровой эпохи. Но именно с появлением интернета появились новые способы незаконной добычи информации. Если ранее для этого нужно было украсть и вывезти из фирмы массу бумаг, то сейчас огромные объемы важных документов можно в считанные секунды записать на цифровой носитель размером с орех, отправить онлайн и уничтожить прибегнув к использованию троянов, вирусов и т.д. Чаще всего «сливают» из фирм документы финансового толка, информационные и технические наработки, логины и пароли для входа в сеть. Но значительный вред может нанести и утечка личных данных сотрудников. Особенно это актуально для запада, где суды из-за таких утечек нередко приводят к огромным штрафам, после выплаты которых организации терпят серьезные убытки. Бывает и так, что утечка приносит вред компании после того, как она попадает в руки конкурентам или журналистам. Именно поэтому защита должна быть комплексной. Не стоит делить информацию на очень важную и менее важную. Все, что касается деятельности компании и не предназначено для опубликования, должно оставаться внутри компании и быть защищено от угроз.
Специалисты интернет-магазина ITmart предлагают целый комплекс услуг по созданию в компаниях системы защиты корпоративной информации. Под системой понимается набор информационных и технических средств, позволяющих гарантировать нужный уровень целостности, доступности и конфиденциальности значимых для компании данных. Как и другие направления компании, мы также настроены на комплексное обеспечение информационной безопасности бизнеса наших клиентов. Для любой современной фирмы важно не только создать инфраструктуру, поддерживать ее в нужном состоянии, но и обеспечить сохранность материальных ценностей, защиту персонала и оборудования от влияния природных или техногенных факторов – сбои электропитания, пожары, затопления и пр.
Обеспечение информационной безопасности позволит Вам:
— снизить расходы на обеспечение жизнедеятельности компании, охрану и ограничение;
— обеспечить безопасность ведения деятельности;
— снизить риски, связанные с техногенными катастрофами, преднамеренным умыслом или халатностью людей, другими внешними факторами;
— обеспечить сохранность материальных и прочих ценностей, точность и оперативность реагирования при возникновении нештатных и чрезвычайных ситуаций.
Конечно, чтобы быть уверенными в качестве и надежности применяемых решений, мы сотрудничаем с лидерами данной области, среди наших партнеров — Epson, Hewlett-Packard, Canon, Dr.Web и многие другие. А для уверенности в нашей профессиональности, наиболее продуктивной работе, мы постоянно проходим обучение, повышаем квалификацию и работаем над своими навыками, что подтверждают наши сертификаты.
Модель системы безопасности
Информация считается в безопасности, если соблюдаются три важных условия.
· Целостность – обеспечение достоверности и корректного отображения охраняемой информации, независимо от того, какие системы безопасности и приемы защиты используются в организации. Другими словами, это гарантирование того, что данные остаются неизменными. Примером могут быть меры, обеспечивающие то, что почтовое сообщение не было изменено при пересылке;
· Конфиденциальность – предполагает то, что доступ к просмотру и редактированию информации предоставляется исключительно авторизованным пользователям системы защиты. Это гарантия, что данные могут быть прочитаны и использованы только теми лицами, которые имеют на это право. Примером может прослужить то, что почтовое сообщение, которое защищено от открытия кем бы то ни было, кроме адресата.
· Доступность – подразумевает, что все авторизованные пользователи должны иметь доступ к конфиденциальным данным. Примером может являться защита доступа и обеспечение пропускной способности почтового сервиса. Обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости.
Каким способом некто может получить доступ к вашим данным. Очень легко! Либо украсть её оттуда где она размещена либо перехватить её при отправке. Мест хранения данных не так много. Это человеческая память, физические (бумажные документы) и цифровые (жёсткие диски, карты памяти и т.д) носители. И выкрасть нужные сведения можно из любого хранилища. Каналы передачи данных тоже в свою очередь подразделяются на физические и цифровые. Очень популярным методом цифрового канала передачи информации является отправка сообщений по e-mail или мессенджеру. А беседа двух человек является ничем иным как классическим обменом информацией. И бывает масса способов перехвата сведений отправляемой как по физическим так и по цифровым каналам. Набор мер, называемый информационной безопасностью, должен предотвратить хищение данных из любого места хранения информации.
Теперь о способах утечки данных. Как известно их всего 2. Это человеческий фактор и цифровые каналы утечки информации. В свою очередь как тот так и другой способы утечки информации делятся на виды. Так цифровые способы утечки информации делятся на физические и виртуальные. В свою очередь как физические так и виртуальные технические каналы утечки информации тоже делятся. И закрыть всё - довольно трудная но выполнимая задача
Почему возникают угрозы информационной безопасности?
1. Невнимательность и халатность работников. Угрозу информационной безопасности организации, как ни странно, могут представлять вполне лояльные сотрудники и не помышляющие о хищении информации. Непредумышленный вред секретным сведениям часто причиняется по простой халатности или неинформированности сотрудников. Всегда есть такая вероятность, что кто-нибудь откроет документ и заразит вирусом с личного компьютера сервер фирмы. Или, например, скопирует файл с конфиденциальной информацией на планшет, флэшку или КПК для работы в поездке. И ни одна фирма не застрахована от переотправки невнимательным работником важных данных по неправильному адресу. В такой ситуации информация оказывается очень легкой добычей. В 2010 году прототип смартфона iPhone 4 был оставлен в баре одним из сотрудников компании Apple. До официальной презентации гаджета оставалось еще несколько месяцев, но нашедший смартфон студент продал его за 5000 долларов журналистам Gizmodo, сделавшим эксклюзивный обзор новинки.
1. Применение пиратского ПО. Иногда руководство компаний пытаются сэкономить. Но следует помнить, что нелицензионное ПО не обеспечит защитой от мошенников, заинтересованных в краже данных с помощью вредоносных программ. Обладатель нелицензионного ПО не получает техподдержки, своевременных обновлений. Вместе с этим он приобретает и вирусы, которые могут нанести вред системе. По данным исследования Microsoft, в 7% изученных нелицензионных программ было найдено специальное программное обеспечение для кражи паролей и персональных данных.
1. DDoS-атаки. Distributed-Denial-of-Service — «распределенный отказ от обслуживания» — это поток ложных запросов от сотен тысяч географически распределенных хостов, которые блокируют выбранный ресурс одним из двух способов. Первый путь — это прямая атака на канал связи, который полностью блокируется массой бесполезных данных. Второй — атака непосредственно на сервер ресурса. Недоступность или ухудшение качества работы публичных веб-сервисов в результате атак может продолжаться довольно длительное время, от нескольких часов до нескольких дней. Обычно такие атаки применяются в ходе конкуренции, шантажа фирм или для отвлечения внимания системных администраторов от неких противоправных действий вроде хищения денежных средств со счетов. По мнению специалистов, именно кражи являются основным мотивом DDoS-атак.
1. Вирусы. Одной из самых распространенных на сегодня угроз информационной безопасности являются IT вирусы. Это подтверждается многомиллионным ущербом, который несут организации в результате вирусных атак. В последнее время существенно увеличилась их частота и уровень ущерба. По мнению экспертов, это можно объяснить появлением новых способов проникновения вирусов. На первом месте по-прежнему остается почта, но, как показывает практика, вирусы могут проникать и через мессенджеры, такие как ICQ и другие. Увеличилось и кол-во объектов для возможных вирусных угроз. Если ранее нападениям подвергались в основном серверы стандартных веб-служб, то сегодня вирусы способны воздействовать и на межсетевые экраны, коммутаторы, мобильные устройства, маршрутизаторы. Антивирусное ПО – это обязательная часть защиты информационной системы любого уровня: от бытового ПК до серверов фирм и хранилищ данных. Актуальность и востребованность таких ПО ежедневно подтверждается растущим числом вредоносного и потенциально опасного контента (вирусы, трояны и т.д).
1. Угрозы со стороны партнеров бизнеса. Именно легальные пользователи — одна из основных причин утечек информации в организациях. Подобные утечки эксперты называют инсайдерскими, а всех инсайдеров условно делят на следующие типы: «Нарушители» — среднее звено и топ-менеджеры, позволяющие себе небольшие нарушения информационной безопасности — играют в видеоигры, совершают онлайн-покупки с рабочих компьютеров, пользуются личной почтой. Такая халатность способна вызвать случаи, но чаще всего они являются непредумышленными. Кстати, масса внешних вторжений происходят именно через личные почтовые аккаунты или мессенджеры работников. «Преступники». Чаще всего инсайдерами являются топ-менеджеры, имеющие доступ к важным данным и злоупотребляющие своими полномочиями. Они сами скачивают разные программы, могут отправлять секретную информацию заинтересованным в ней третьим лицам и т.д. «Кроты» — работники, которые умышленно крадут важные сведения за вознаграждение от конкурентов. Как правило, это весьма опытные сотрудники, умело удаляющие все следы своих деяний. Поймать их в силу этого бывает очень сложно. Еще одна категория — это уволенные и обиженные на фирму работники, которые похищают с собой всю информацию, к которой они имели доступ. Обычно украденная информация применяется ими на новом месте работы.
1. Законодательство. Государственные органы в Казахстане наделены правом конфисковать в ходе проверок устройства и носители информации. Поскольку большинство важных данных фирмы размещается на серверах, то в случае их изъятия фирма на некоторое время просто приостанавливает свою работу. Простои при этом никто не возмещает, а если проверка затягивается, огромные убытки могут привести к закрытию компании. Изъятие устройств — одна из острейших проблем современного бизнеса, при этом поводом для него может послужить все что угодно — от решения следователя до решения суда в рамках какого-либо уголовного дела.
Инструменты информационной защиты:
· Физические средства защиты информации. К ним относятся ограничение или полный запрет доступа третьих лиц на территорию, карты-пропуски, оснащенные специальными системами. Большую популярность получили HID-карты для контроля доступа. Например, при внедрении этой системы, пройти в серверную или другое важное подразделение компании могут лишь те, кому такой доступ предоставлен по протоколу. Базовые средства защиты электронной информации. Это незаменимый компонент обеспечения информационной безопасности компании. К ним относятся многочисленные антивирусные программы, а также системы фильтрации электронной почты, защищающие пользователя от нежелательной или подозрительной корреспонденции. Корпоративные почтовые ящики обязательно должны быть оборудованы такими системами. Кроме того, необходима организация дифференцированного доступа к информации и систематическая смена паролей.
· Анти-DDoS. Правильная безопасноть от DDoS-нападений своими усилиями невозможна. Большинство создателей ПО предлагают услугу анти-DDoS, которая может обезопасить от таких атак. Когда в системе обнаруживается трафик подозрительного толка или качества, включается система безопасности, обнаруживающая и блокирующая атаку. При этом нужный-трафик поступает беспрепятственно. Система способна срабатывать неограниченное количество раз, до тех пор, пока угроза не будет полностью устранена.
· Резервное копирование данных. Это решение, подразумевающее хранение важной информации не только на конкретном компьютере, но и на других устройствах: внешнем носителе или сервере. В последнее время особенно актуальной стала услуга удаленного хранения различной информации в «облаке» дата-центров. Именно такое копирование способно защитить компанию в случае чрезвычайной ситуации, например, при изъятии сервера органами власти. Создать резервную копию и восстановить данные можно в любое удобное для пользователя время, в любой географической точке.
· План аварийного восстановления информации. Он нужен организациям для того, чтобы в скорейшие сроки гарантировать стабильность работы. Если фирма по некоторым причинам не имеет доступа к своим сведениям, данный способ поможет сэкономить время на восстановление технической стороны информации и подготовки ее к работе. В нем должна быть возможность включения аварийного способа деятельности на восстановительный период. Сам режим восстановления нужно проработать учитывая перемены в системе.
· Шифрование информация при отправке другим лицам в цифровом виде. Чтобы гарантировать секретность данных при ее отправке в цифровом виде используются разного рода шифрования. Шифрование может подтвердить оригинальность отправляемых сведений, обезопасить ее при сохранении на дисках, обезопасить ПО и другие технические сведения организации от нелегального дублирования и применения.
Итак, защита информации должна проходить комплексно, сразу по нескольким направлениям. Чем больше способов будет задействовано, тем меньше вероятность возникновения угроз и утечки, тем устойчивее и безопаснее положение фирмы на рынке.
Как выбрать инструменты обеспечения безопасности корпоративной информации
Количество и изощренность угроз информационной безопасности ежегодно растет. Несмотря на то, что индустрия услуг по защите информации развивается, злоумышленникам иногда все же удается быть на шаг впереди. И происходит это не потому, что нет эффективных средств защиты или квалифицированных консультантов, способных решить проблему. Скорее, это происходит от того, что руководители компаний не до конца понимают необходимость защиты информационных ресурсов. Недостаточно просто установить антивирусные программы и ограничить доступ к тем или иным данным. Чтобы обеспечить максимальную конфиденциальность информации, придется создать многоуровневую систему ее защиты, и далеко не всегда с этой задачей может справиться собственный IT-отдел фирмы. В таком случае на помощь приходят специализированные компании, профессионально занимающиеся именно защитой информационных ресурсов. Уже более 15 лет наша компания предлагает комплекс эффективных решений по защите данных.
На практике создание системы защиты информации осуществляется в три этапа.
На первом этапе разрабатывается базовая модель системы, которая будет функционировать в компании. Для этого необходимо проанализировать все виды данных, которые циркулируют в фирме и которые нужно защитить от посягательств со стороны третьих лиц. Планом работы на начальном этапе являются четыре вопроса:
1. Какие источники информации следует защитить?
2. Какова цель получения доступа к защищаемой информации?
Целью может быть ознакомление, изменение, модификация или уничтожение данных. Каждое действие является противоправным, если его выполняет злоумышленник. Ознакомление не приводит к разрушению структуры данных, а модификация и уничтожение приводят к частичной или полной потере информации.
1. Что является источником конфиденциальной информации?
Источники в данном случае это люди и информационные ресурсы: документы, флеш-носители, публикации, продукция, компьютерные системы, средства обеспечения трудовой деятельности.
1. Способы получения доступа, и как защититься от несанкционированных попыток воздействия на систему?
Второй уровень включает разработку системы безопасности. Это значит включить все выбранные способы, средства и направления защиты данных.
Система строится сразу по нескольким направлениям защиты, на нескольких уровнях, которые взаимодействуют друг с другом для обеспечения надежного контроля информации.
Правовой уровень обеспечивает соответствие государственным стандартам в сфере защиты информации и включает авторское право, указы, патенты и должностные инструкции. Грамотно выстроенная система защиты не нарушает права пользователей и нормы обработки данных.
Организационный уровень позволяет создать регламент работы пользователей с конфиденциальной информацией, подобрать кадры, организовать работу с документацией и физическими носителями данных.
Регламент работы пользователей с конфиденциальной информацией называют правилами разграничения доступа. Правила устанавливаются руководством компании совместно со службой безопасности и поставщиком, который внедряет систему безопасности. Цель – создать условия доступа к информационным ресурсам для каждого пользователя, к примеру, право на чтение, редактирование, передачу конфиденциального документа. Правила разграничения доступа разрабатываются на организационном уровне и внедряются на этапе работ с технической составляющей системы.
Технический уровень условно разделяют на физический, аппаратный, программный и математический подуровни.
· физический– создание преград вокруг защищаемого объекта: охранные системы, зашумление, укрепление архитектурных конструкций;
· аппаратный– установка технических средств: специальные компьютеры, системы контроля сотрудников, защиты серверов и корпоративных сетей;
· программный– установка программной оболочки системы защиты, внедрение правила разграничения доступа и тестирование работы;
· математический– внедрение криптографических и стенографических методов защиты данных для безопасной передачи по корпоративной или глобальной сети.
Третий, завершающий этап – это поддержка работоспособности системы, регулярный контроль и управление рисками. Важно, чтобы модуль защиты отличался гибкостью и позволял администратору безопасности быстро совершенствовать систему при обнаружении новых потенциальных угроз.
Виды секретных сведений
· Персональные секретные сведения: личная информация сотрудников, право на частную жизнь.
· Служебные секретные сведения: информация, доступ к которой может ограничить только государство.
· Судебные секретные данные: тайна следствия.
· Коммерческие конфиденциальные сведения: все виды информации, которая связана с коммерцией (прибылью) и доступ к которой ограничивается законом или организацией (секретные наработки, технологии производства и т.д.).
· Профессиональные секретные сведения: данные, связанные с деятельностью граждан, например, докторская, или адвокатская тайна, разглашение которой преследуется по закону.
Мы предоставляем полный набор услуг по ИБ: это консалтинг в вопросах лицензирования продуктов (антивирусное ПО), поставка систем для реализации требований, внедрение и поддержка уже имеющихся систем, обеспечивающих конфиденциальность, целостность и доступность критически важной информации.