2 Совершенствование системы информационной безопасности
Недостатки в системе защиты информации
Проанализировав информационную безопасность предприятия, можно выделить следующие недостатки:
Отсутствие контроля над использованием электронной почты сотрудниками компании;
не ведется контроль за сотрудниками. Часто работники могут уйти с места работы, имея при себе внешний носитель со служебной информацией или оставить носитель с информацией на рабочем месте. Также при отсутствии контроля возможен риск пересылки сотрудниками фотоснимков бумажных носителей и экранов с помощью мобильных телефонов;
отсутствие перечня сайтов, доступ к которым запрещен. У сотрудников имеется возможность посетить сайт, содержащий вредоносное программное обеспечение, тем самым заразив локальную сеть;
распространение паролей среди сотрудников.
Все вышеперечисленное является очень важными недостатками обеспечения информационной безопасности предприятия. На основе выявленных недостатков можно выделить следующие риски, образующиеся на предприятии:
Передача конфиденциальной информации посредством сети Интернет и электронной почты за пределы контролируемой информационной среды;
доступ к личным данным и конфиденциальной информации посторонними пользователями;
утечка информации в связи с потерей (кражей) внешнего носителя.
Цель и задачи формирования системы информационной безопасности на предприятии
Информационная безопасность – это состояние защищенности информационной среды. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния. Цели защиты информации:
предотвращение угроз безопасности предприятия вследствие несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации или иных форм незаконного вмешательства в информационные ресурсы и информационных системах;
сохранение коммерческой тайны, обрабатываемой с использованием средств вычислительной техники;
защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах.
Для достижения целей защиты должно обеспечиваться эффективное решение следующих задач:
защита от вмешательства в процесс функционирования предприятия посторонних лиц;
защита от несанкционированных действий с информационными ресурсами предприятия посторонних лиц и сотрудников, не имеющих соответствующих полномочий;
обеспечение полноты, достоверности и оперативности информационной поддержки принятия управленческих решений руководством предприятия;
обеспечение физической сохранности технических средств и программного обеспечения предприятия и защита их от действия техногенных и стихийных источников угроз;
регистрация событий, влияющих на безопасность информации, обеспечения полной подконтрольности и подотчетности выполнения всех операций, совершаемых на предприятии;
своевременное выявление, оценка и прогнозирование источников угроз безопасности информации, причин и условий, способствующих нанесению ущерба интересам субъектов, нарушению нормального функционирования и развития предприятия;
анализ рисков реализации угроз безопасности информации и оценка возможного ущерба, предотвращение неприемлемых последствий нарушения безопасности информации предприятия, создание условий для минимизации и локализации наносимого ущерба;
обеспечение возможности восстановления актуального состояния предприятия при нарушении безопасности информации и ликвидации последствий этих нарушений;
создание и формирование целенаправленной политики безопасности информации предприятия.
Модель информационной системы с позиции безопасности
Представленная модель информационной безопасности – это совокупность объективных внешних и внутренних факторов и их влияние на состояние информационной безопасности и на сохранность материальных или информационных ресурсов.
В качестве защищаемых объектов представлены личные дела работников, личные карты работников, документы для внутреннего пользования, план выполняемых работ, данные о поставщиках и покупателях.
На объекты могут воздействовать такие угрозы как: несанкционированный доступ (несанкционированный доступ в помещение, несанкционированный и неизбирательный доступ к данным внутри корпоративной сети), компьютерные вирусы и отказы программно-аппаратных средств (могут привести как к частичной, так и к полной потере информации), пересылка информации (приведет к утечке информации).
В качестве источников угроз выступают персонал, посетители, программные средства, а также стихийные источники угроз.
Для защиты информации используются административные, процедурные и программные способы защиты информации.
В результате применения мер защиты к защищаемым объектам от различного вида угроз, получаем защищенные объекты.
Модель информационной системы представлена на рисунке 3.
Рисунок 2 - Модель информационной системы с позиции безопасности