7.15. Обеспечение информационной безопасности бизнеса в современных условиях

Расширение видов деятельности, освоение новых рынков, расширение круга клиентов и поставщиков, появление новых служб – все это ведет к усложнению структуры и алгоритмов функционирования организации и к требованию постоянного совершенствования ее информационной инфраструктуры на основе новых компьютерных и телекоммуникационных технологий.

Вместе с тем с созданием АИС расширяется число источников угроз нарушения информационной безопасности.

Источники угроз информационной безопасности бизнеса можно условно разделить на внешние и внутренние. Ориентировочное соотношение степени опасности этих источников, рассчитанное на основе данных публикаций по этой тематике в прессе и в Интернете за последние два года, составляет 15 к 85.

К внешним источникам можно отнести:

• деятельность конкурентов, использующих методы недобросовестной конкуренции: промышленный и экономический шпионаж, шантаж, дезинформацию, «черный» пиар;

• действия хакеров и крекеров, стремящихся взломать систему защиты АИС организации с целью дезорганизации ее функционирования;

• агентурную деятельность иностранных спецслужб и систем электронного шпионажа, специализирующихся на промышленном и экономическом шпионаже; в качестве примера можно привести американскую систему Echelon; европейская экономика понесла существенные потери в результате утечки по каналам системы Echelon информации о ряде крупных контрактов, «перехваченных» американскими подрядчиками у европейских;

• недостаточный ассортимент сертифицированных средств защиты информации;

• отсутствие инфраструктуры контроля достоверности открытых ключей ЭЦП;

• ограниченность и противоречивость нормативно-правовой базы развития систем криптографической защиты информации, электронного документооборота, электронных платежей, электронной коммерции;

• действия недобросовестных клиентов, стремящихся к получению незаконной выгоды;

• деятельность недобросовестных партнеров, стремящихся ради собственной выгоды нанести ущерб организации.

К внутренним источникам можно отнести:

• использование организацией технологий обработки информации, которые не обеспечивают требуемую защиту информации;

• недостаточная надежность программно-аппаратных средств обработки данных;

• недостаточная надежность систем защиты информации и, в частности, средств криптографической защиты информации;

• недобросовестность и низкая квалификация персонала;

• периодические обновления и модификация информационных систем;

• использование несертифицированных аппаратных и программных средств, в частности, присутствие недокументированных возможностей и закладок;

• недостаточная безопасность (техническая, пожарная, и т.д.) зданий и помещений, в которых расположена АИС;

• недостаточная надежность систем энергоснабжения и жизнедеятельности;

• использование «пиратских» копий программного обеспечения.

Чтобы представить весь круг и всю сложность задач по обеспечению информационной безопасности в таких условиях, приведем перечень объектов, нуждающихся в защите, и мер, которые могут быть приняты.

Объектами обеспечения информационной безопасности являются:

• здания, помещения и территории, на которых расположены средства АИС и где могут вестись переговоры и обмен конфиденциальной информацией;

• технические средства АИС – компьютерное оборудование, оборудование локальных сетей, кабельная система, телекоммуникационное оборудование;

• программные средства АИС;

• информация, хранимая и обрабатываемая в АИС и передаваемая по каналам связи;

• автономные носители информации (CD-диски, дискеты, флеш-карты и т.д.);

• сотрудники организации, работающие с АИС и являющиеся носителями конфиденциальной информации и информации о защите АИС.

Все меры защиты можно разделить на четыре категории (в скобках указана относительная значимость этих мер для обеспечения информационной безопасности бизнеса, рассчитанная по данным публикаций в прессе и Интернете за последние два года):

• меры защиты от НСД территорий и помещений, где расположена АИС (20%);

• меры защиты от технических средств шпионажа (12%);

• меры защиты АИС и хранилищ с носителями информации (28%);

• меры по работе с персоналом (40%).

Меры защиты территории и помещений включают следующие технические системы:

• системы пожарной безопасности;

• системы охранной сигнализации;

• системы охранного телевидения и видеонаблюдения;

• системы управления допуском, включая биометрические системы опознавания личности и другие системы, позволяющие автоматизировать процесс допуска людей и транспорта в защищаемые здания и помещения, а также дающие возможность отслеживать длительность пребывания и маршруты передвижения людей на защищаемых объектах;

• системы входного контроля (металлодетекторы, интроскопы, средства обнаружения радиоактивных веществ и т.п.);

• инженерные средства защиты – специальные замки и двери, решетки на окнах, защитные оконные пленки, пулестойкие оконные бронемодули.

Меры защиты от технических средств шпионажа включают:

• поиск и уничтожение технических средств шпионажа;

• шифрование телефонных переговоров, факсимильных сообщений, всей информации, передаваемой по каналам телефонной и иной связи;

• подавление технических средств шпионажа постановкой помех;

• экранирование помещений и источников электромагнитных излучений; заземление, звукоизоляция.

Меры защиты АИС включают:

• выработку политики безопасности (правил разграничения доступа к информации) в АИС;

• организационные меры по внедрению политики безопасности, включая подготовку и издание приказов и распоряжений по обеспечению информационной безопасности, меры по мониторингу и контролю их исполнения;

• защиту оборудования (компьютеров) от нарушения их целостности;

• антивирусную защиту программного обеспечения;

• аутентификацию пользователей при допуске к работе на компьютере;

• проверку целостности аппаратных средств и программного обеспечения, установленного на компьютерах АИС;

• создание систем разграничения доступа к ресурсам информационно-вычислительной системы и к базам данных;

• аутентификацию пользователей при доступе к ресурсам локальной сети и базам данных;

• протоколирование действий пользователей при работе на компьютере в сетях;

• аудит протоколов действий пользователей;

• создание систем криптографической защиты информации в локальной сети;

• установку межсетевых экранов между локальной сетью и каналами телекоммуникационного доступа; использование прокси-серверов;

• установку систем обнаружения атак;

• применение программного обеспечения сканеров контроля защищенности АИС от сетевых атак;

• применение систем криптографической аутентификации и защиты информации в телекоммуникационных сетях;

• создание систем резервного копирования и хранения информации, по возможности, территориально-распределенных;

• использование систем резервирования электропитания;

• создание систем защиты структурированной кабельной сети АИС, в том числе от утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИиН);

• создание систем учета и контроля информации, хранимой на автономных носителях информации, и учета этих носителей;

• проведение расследований попыток нарушения информационной безопасности АИС, в том числе с привлечением профессиональных служб компьютерных криминалистов;

• периодический контроль программного обеспечения, установленного на компьютерах пользователей, на предмет его легальности.

Большинство из указанных мер, как правило, реализуются путем установки в АИС специальных программно-аппаратных средств. Вся совокупность программных и технических средств защиты информации в АИС объединяется в подсистему информационной безопасности АИС.

Меры по работе с персоналом включают:

• определение и закрепление дисциплинарной и иной ответственности каждого сотрудника за соблюдение условий конфиденциальности и других условий обеспечения безопасности информации в организации; информирование его об уголовной, административной и дисциплинарной ответственности, возникающей при злоупотреблениях во время работы с АИС и конфиденциальной информацией;

• контроль знаний и умений персонала, в том числе по действиям в чрезвычайных условиях компьютерных атак и по восстановлению информационных баз и работоспособности АИС после потери информации или нарушений регламентов работы АИС;

• контроль усвоения персоналом политики безопасности организации, знание им приказов, распоряжений и инструкций по обеспечению информационной безопасности;

• контроль и повышение квалификации персонала в области защиты информации, в том числе в области распознания приемов социальной инженерии, которые к ним могут быть применены;

• предупреждение эксцессов выражения нелояльности к организации, к ее руководству или к другим сотрудникам путем воздействия на ее информационную систему;

• контроль лояльности и исключение возможности вербовки персонала; все чаще для выполнения этого требования в коммерческих структурах используют детекторы лжи;

• разъяснение недопустимости использования нелегального, «пиратского» ПО.