7.16. Управление информационной безопасностью бизнеса

Очевидно, что принятие всех возможных средств и методов защиты на все случаи жизни абсурдно и нереально. От чрезмерных мер безопасности организационная система может стать неработоспособной и разорительной для собственников. Решение этой коллизии состоит в необходимости создания механизма, который бы позволил, отслеживая реальные риски и угрозы, принимать рациональные, наиболее эффективные и посильные для организации меры защиты. Таким механизмом может стать создание системы управления информационной безопасностью, аналогичной системам управления финансами, качеством, проектами, функционирующим в любой организации. Такое решение будет представлять собой тот самый системный комплексный подход к обеспечению информационной безопасности бизнеса, который будет гарантировать от неприятных «сюрпризов», связанных с нарушением защиты информации.

В рамках системы управления информационной безопасностью бизнеса должны решаться следующие задачи:

• контроль и управление функционированием подсистемы информационной безопасности;

• непрерывный мониторинг защищенности АИС и регистрация попыток вторжения;

• разбор и расследование фактов нарушения информационной безопасности;

• изучение известных моделей хакерских атак и взлома компьютерных систем, анализ возможностей их реализации в отношении АИС организации, принятие мер по устранению возможностей реализации такого рода атак и методов взлома;

• организация антивирусной защиты компьютеров организации;

• обеспечение соблюдения политики безопасности в организации;

• мониторинг возможных угроз нарушения информационной безопасности;

• управление рисками нарушения информационной безопасности;

• подготовка планов и предложений по совершенствованию подсистемы информационной безопасности и политики безопасности;

• разработка новых решений по защите информации;

• внедрение новых средств защиты информации;

• контроль появления и проведение своевременной установки «заплат» к программному обеспечению;

• управление персоналом в аспектах, связанных с обеспечением информационной безопасности организации;

• в перспективе – управление страховыми гарантиями безопасности используемых компьютерных и телекоммуникационных технологий.

Таким образом, изучение инструментов обеспечения информационной безопасности в электронной торговле является в настоящее время актуальным вопросом для России, с которым ни одно государство не способно бороться самостоятельно.

7.17. Выводы и предложения

Сегодня для большинства средних и крупных организаций Интернет является неотъемлемым средством ведения бизнеса. Собственный Интернет-магазин и web-сайт дают компаниям неоспоримые конкурентные преимущества, но наряду с этим Интернет несет в себе и множество угроз, способных серьезно подорвать или даже свести на нет инвестиции организации в область электронной коммерции.

Что будет с бизнесом организации, если к базе данных о ее клиентах получит доступ злоумышленник?

Сколько в деньгах потеряет компания от простоя ее системы электронных платежей?

Как отразится на доверии партнеров компрометация web-сайта организации?

И, наконец, защищена ли система электронной торговли (ЭТ) компании в достаточной мере, чтобы окупать вложенные в ее развитие инвестиции?

Вот вопросы, которые рано или поздно возникают перед любой организацией, вовлеченной в индустрию ЭТ. Без оценки существующих угроз и внедрения адекватной системы защиты полноценное ведение электронного бизнеса невозможно.

Система защиты Интернет-портала должна решать следующие задачи:

1. Предотвращать и блокировать попытки несанкционированного доступа к конфиденциальной информации.

2. Распознавать и пресекать известные и неизвестные сетевые атаки и подозрительную сетевую активность.

3. Автоматически обновлять программное обеспечение, ответственное за выполнение бизнес-транзакций, а так же саму систему безопасности.

4. Вести подробный журнал событий и уметь в режиме реального времени пересылать администратору сети сообщения обо всех подозрительных операциях в системе.

Таким образом, основным негативным фактором, препятствующими повышению эффективности электронного бизнеса в России, являются соображения безопасности и конфиденциальности (45%). Именно они являются сегодня главной преградой для активного исполнения технологий в целом.

Идет к завершению процесс согласования условий для вступления России во Всемирную торговую организацию. Наряду с массой других проблем это событие будет иметь определенные последствия и для организаций, занятых вопросами обеспечения информационной безопасности. Как отмечается в Доктрине информационной безопасности, за последние десять лет российских реформ в сфере информационных технологий воцарился настоящий хаос, препятствующий формированию единого общероссийского информационно-финансового пространства. На рынке банковских систем доминируют аппаратно-программные средства иностранного производства, а отечественные разработки, адаптированные к российским условиям, зачастую остаются достоянием отдельных компаний-разработчиков.

Вступление в ВТО потребует адаптации российского законодательства и стандартов в области информационных технологий к международным образцам. Появится перспектива подписания Россией международного соглашения о взаимном признании сертификатов, выданных в рамках общих критериев оценки безопасности информационных технологий. Это приведет к массовому наплыву на российский рынок зарубежных средств защиты информации.

Одним из главных вопросов станет обеспечение конкурентоспособности продукции российских разработчиков. Следовательно, уже сейчас необходимо заниматься разработкой профилей защиты и заданий на безопасность для сертификации отечественной продукции.

Упорядочение деятельности по внедрению и развитию информационно-телекоммуникационных технологий в банковской сфере позволит интенсифицировать процессы ее интеграции, достичь требуемого уровня унификации, стандартизации и информационной безопасности.

Кроме того, целесообразно проведение работ по формированию единого Реестра аппаратно-программных средств, рекомендованных Центральным банком РФ, Ассоциацией российских банков, Гостехкомиссией и ФАПСИ к использованию в информационно-финансовых системах банков и других финансовых организаций, соответствующих основным международным стандартам.

Включение аппаратно-программных средств в Реестр должно осуществляться путем выдачи сертификатов соответствия. Сертификация в этом случае должна проводиться на основе Перечня требований, разработанного с учетом требований Гостехкомиссии, ФАПСИ, Центрального банка и других заинтересованных организаций. Основным ее результатом кроме включения в Реестр может также служить право на страхование информационных рисков в сертифицированных системах.

Условием успешного развития отечественного бизнеса является создание единого общероссийского технологического и информационного пространства. Эта проблема сегодня даже более актуальна, чем интеграция России в мировую финансовую систему в соответствии с мировыми стандартами технологического потенциала.

Вероятно, в ближайшее время предстоит пересмотр основных подходов к формированию концепции национальной безопасности ряда государств, в том числе России. Характер угроз, исходящих от международного терроризма, повлечет за собой формирование новой модели безопасности.

В этой ситуации можно предположить, что основной акцент будет сделан именно на развитии широкой сети служб безопасности как на крупных, так и на средних и малых предприятиях. Задачи государственных служб безопасности будут сведены в основном к координации «сети безопасности», сформированной из подобных структур.

Таким образом, имеет смысл более активно привлекать российский бизнес к законотворчеству в области информационной безопасности и электронной торговли. Его участие в процессе формирования государственной информационной политики в области защиты информации и электронной торговли позволит приблизить принимаемые законодательной властью решения к интересам бизнеса и в конечном итоге будет способствовать развитию российской экономики.