Текст лекції
з дисципліни: «Організація та управління службою захисту інформації»
Тема «Служба захисту інформації, як складова системи безпеки компанії»
Лекція «Служба захисту інформації, як складова системи безпеки компанії»
План проведення заняття
Навчальні питання
Вступ |
1. Проблематика забезпечення інформаційної безпеки в ІТС (найменування першого питання) |
|
|
|
2. Класифікація інформації (найменування другого питання) |
3. Категорування інформаційних ресурсів (найменування третього питання) |
Контрольні запитання. |
Проблематика забезпечення інформаційної безпеки в ітс
Заходи захисту потрібно дотримуватися на всіх ділянках мережі, при роботі будь-яких суб’єктів з інформацією (під суб’єктом в даному контексті розуміють користувача системи, процес, ПЕОМ або ПЗ для обробки інформації). Кожний інформаційний ресурс, будь то ПЕОМ користувача, сервер компанії або мережеве устаткування повинен бути захищеним від різноманітних загроз. Захищеними повинні бути і файлові системи, сама мережа тощо. На методах реалізації захисту ми детально зупинятися не будемо, оскільки вони мають бути широко розкриті в навчальних курсах ЗІКС та основи ТЗІ.
Забезпечити стовідсотковий захист не можливо. Разом з тим, слід розуміти, що чим вищий рівень захищеності, тим дорожча система і тим більш не зручною вона стає у користуванні для користувача, що тим самим призводить до погіршення захисту внаслідок впливу людського фактору. Наприклад, надмірне ускладнення або дуже часта зміна паролю призводить до того, що користувачі наклеюють стікери з паролями до моніторів, до клавіатури тощо. Слід нагадати й той факт, що за оцінками аналітиків до 45% часу служба підтримки користувачів витрачає на відновлення втрачених користувачами паролів.
Існує величезна кількість ПЗ, спрямованого на вирішення задач захисту інформації антивірусне ПЗ, брендмауери, вбудовані засоби операційних систем та багато іншого. Однак, найбільш вразливим звеном у захисті є людина, оскільки працездатність будь-якого ПЗ залежить від якості його написання, гамотності адміністратора відповідної ділянки захисту інформації, від рівня дисциплінованості користувача, який працює з даним ПЗ. В зв’язку з цим численні організації створюють підрозділи захисту інформації (ІБ) або ставлять відповідні задачі перед своїми ІТ-підрозділами. Разом з тим, слід зазначити, що не варто доручати ІТ-службі не властиві їй функції. Бо якщо доручити забезпечення захисту інформації ІТ-підрозділу, то ці задачі будуть виконуватися в останню чергу, або за рахунок його основних завдань. Причому це відбуватиметься навіть у тому випадку, якщо ІТ-підрозділ усвідомлює що саме він має робити із забезпечення ІБ та має у своєму складі фахівців з відповідними знаннями.
Класифікація інформації
Категорії конфіденційності:
цілком конфіденційно – інформація, що признана конфіденційною та обмеження на розповсюдження якої накладені керівництвом компанії. Розголошення такої інформації може призвести до важких фінансово-економічних наслідків для компанії аж до банкрутства;
конфіденційно – до даної інформації відноситься інформація, що не підпадає до категорії “цілком конфіденційно”, обмеження на розповсюдження якої введено керівництвом компанії у відповідності з наданими йому діючим законодавством правами, розголошення якої може призвести до значних збитків та втраті конкурентоздатності компанії (завдаванню суттєвої шкоди інтересам її клієнтів, партнерів або співробітників);
відкрита – до даної категорії відноситься інформація, в забезпеченні конфіденційності якої не має потреби.
Категорії цілісності:
висока – інформація, несанкціонована модифікація або підробка якої може призвести до завдавання значної шкоди компанії;
низька – до даної категорії відноситься інформація, несанкціонована модифікація або підробка якої може призвести до завдавання незначної шкоди компанії, її клієнтам, партнерам та співробітникам;
немає вимог - до даної категорії відноситься інформація, до забезпечення цілісності та аутентичності якої вимоги не висуваються (як правило, в цьому випадку мова йде про застарілі відомості, що втратили для компанії будь-яке значення).
Категорії доступності:
За ступенем доступності можна ввести чотири категорії в залежності від періодичності вирішення функціональних задач та максимально припустимого часу затримки отримання результатів їх вирішення:
реальний час – доступ до інформації має забезпечуватися в будь-який час;
година – доступ до інформації має забезпечуватися без дових часових затримок (задача вирішується кожного дня, затримка не перевищує декількох годин);
доба – доступ до інформації може забезпечуватися зі значними часовими затримками (задача вирішується протягом кількох днів). Приклад – замовлення довідково-нормативної літератури для розробки технічних вимог, тобто задача не потребує миттєвого вирішення;
тиждень – часові затримки при доступі до інформації не встановлені (період вирішення задачі складає від кількох тижнів або місяців, припустима затримка результату – кілька тижнів) Приклад – запит інформації у бізнес - партнерів, або у віддаленого філіалу компанії.