Средства обеспечения надежного хранения информации с использованием технологии защиты на файловом уровне (File Encryption System — fes)

Технологии защиты информации на файловом уровне позволяют скрыть конфиденциальную информацию пользователя на разнообразных носителях (жестком диске компьютера или сетевых дисках) путем кодирования содержимого файлов, каталогов и дисков. Доступ к данной информации осуществляется по предъявлению ключа, который может вводиться с клавиатуры, храниться и предоставляться со смарт-карты, HASP-ключей или USB-ключей и прочих токенов. Помимо этого данные средства позволяют мгновенно уничтожить информацию при подаче сигнала «тревога» или при «входе под принуждением», а также блокировать компьютер в перерывах между сеансами работы.

Актуальность проблемы защиты данных на серверах и резервных копиях подтверждается большим количеством инцидентов, происходящих с этими носителями в последнее время. Основными предпосылками этого многие аналитики называют повышение степени централизации данных, увеличение их объемов, а также рост емкости и миниатюризацию носителей. Кроме этого, в последнее время в связи с ориентацией бизнеса на клиента стали бурно развиваться системы типа CRM, в которых накапливаются персональные данные (адрес, номер паспорта/водительского удостоверения, номера счетов и т.д.), и которые могут быть использованы для того, что сейчас называют «кража личности» («identity theft»). Наиболее приемлемой технологией защиты, известной на сегодня, является шифрование .

Если на носителе данные зашифрованы, то можно не беспокоиться об их компрометации вне зависимости от того, где этот носитель физически находится, какими путями перевозится, к кому в руки попадает и т.д. Естественно, при условии, что ключ шифрования хранится и передается отдельно от носителя. Шифрование должно быть «прозрачным», то есть данные должны автоматически зашифровываться при записи на носитель и расшифровываться при чтении.

9.1.2.

Средства авторизации и разграничения доступа к информационным ресурсам, а также защита от несанкционированного доступа к информации

Информационные технологии находятся сегодня в противоречивой ситуации: с одной стороны, от ИТ требуют максимальной гибкости и открытости в пользовании информацией, c другой стороны — они находятся под сильным давлением требований к конфиденциальности корпоративных данных. Отсюда и требования по применению средств ИТ-безопасности:

1) предотвращение несанкционированного доступа к базам данных или злоупотреблений содержащейся в них информацией;

2) предотвращение утечки информации из организации через общие каналы связи;

3) обеспечение информационной безопасности ноутбуков и съемных носителей данных.

Необходимо признать, что системы ИТ-безопасности пока не имеют «защиты от дурака», т.е. ничто не помешает инсайдеру брать конфиденциальные данные домой в своем ноутбуке или копировать их на съемный носитель. Но обнаружить утечку информации и потом найти и наказать виновного они могут. По данным CNews Analytics, 33% и 20% инцидентов, связанных с «инсайдерскими инцидентами» — утечкой информации из компании и использованием ее в корыстных целях — вызваны нынешними и бывшими сотрудниками соответственно, 11% приходятся на долю клиентов компании, 8% происходят по вине партнеров, 7% вызваны временными служащими (контрактниками, консультантами и т.д.). Таким образом, за 60% всех инцидентов несут ответственность нынешние, бывшие и временные сотрудники компании, что поднимает проблему утечек конфиденциальной информации на первое место в списке приоритетов руководства компании.

Довольно быстрыми темпами развивается индустрия биометрического сканирования и распознавания при авторизации и доступе. В число наиболее значимых из них входит, во-первых, наращивание применений биометрии в государственных системах. Во-вторых, осознание бизнес-структурами потребности и необходимости в распознавании людей (а не жетонов или карт) при доступе в здания и к корпоративным информационным ресурсам. В-третьих, рост мобильности населения и децентрализация управления человеческими ресурсами, что требует надежной идентификации. В-четвертых, расширение сервисов «электронного правительства», при котором государство заинтересовано в адресном предоставлении соответствующих информационных услуг, то есть в идентификации граждан.

9.1.3.