Методы обеспечения информационной безопасности

Основными направлениями обеспечения информационной безопасности являются:

• — разработка, создание и эксплуатация системы информационной безопасности;
• — организационно-режимное обеспечение защиты сведений конфиденциального характера, а также информации, несанкционированный доступ к которой может нанести экономический ущерб;
• — обеспечение физической охраны объектов информатизации;
• — разграничение доступа к помещениям различных категорий, ограничение доступа к информационным ресурсам;
• — предотвращение утечки по техническим каналам информации, обрабатываемой на объектах информатизации, а также передаваемой по каналам связи;
• — исключение несанкционированного доступа к информационным ресурсам;
• — обеспечение сохранности информационных ресурсов;
• — обучение сотрудников правилам поведения на объекте.

Для того, чтобы реализация системы защиты себя оправдала, то есть её функционирование было эффективным, необходимо, чтобы выполнялись следующие основные принципы.

• 1) Приоритет мер предупреждения. Данный принцип подразумевает, что гораздо эффективнее уберечь объект от самого факта нарушения состояния защищённости, чем устранять последствия вторжения, уменьшать ущерб от вмешательства. Таким образом, основные силы должны быть направлены на предупреждение реализации угрозы. Другими словами, лучше исключить возможность нарушения безопасности, чем иметь возможность возместить ущерб.
• 2) Законность. Предполагает создание системы информационной безопасности на основе федерального законодательства в области защиты информации, других нормативных и правовых актов по информационной безопасности, утвержденных органами государственного управления в пределах их компетенции, с применением всех дозволенных методов обнаружения и пресечения правонарушений при работе с информацией. При этом принятые меры информационной безопасности не должны препятствовать доступу к информации в предусмотренных законодательством случаях.
• 3) Комплексное использование сил и средств. Предполагает согласование и комплексное использование разнообразных мер, методов и средств защиты информации при построении целостной системы информационной безопасности, перекрывающей все возможные каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонент. Обосновывается тем, что слабость в элементе системы ведёт к слабости системы вцелом.
• 4) Координация и взаимодействие внутри и вне предприятия. Заключается в согласовании и взаимодействии со всеми заинтересованными сторонами, а также объединиении усилий с правоохранительными органами для защиты законных интересов государства, юридических и физических лиц при реализации защиты.
• 5) Сочетание гласности с конспирацией. Информация о том, что система защиты существует, должна быть доступна злоумышленнику, но ключевые моменты системы безопасности, особенности защитных возможностей должны быть скрыты, чтобы максимально усложнить задачу злоумышленника.
• 6) Компетентность. Предполагает привлечение к разработке и внедрению мер и средств защиты информации специализированных организаций, имеющих опыт практической работы и государственную лицензию на право оказания услуг в этой области. Эксплуатация системы информационной безопасности должна осуществляться профессионально подготовленными специалистами.
• 7) Экономическая целесообразность. Подразумевает сопоставление возможного ущерба врезультате нарушения состояния защищённости и затрат на систему защиты, что предполагает адекватность уровня затрат на обеспечение защиты информационных ресурсов величине возможного ущерба от их утраты, утечки, искажения или блокирования.
• 8) Плановая основа деятельности. Предполагает обязательность чёткого планирования мер и мероприятий по интеграции системы защиты информации, тщательную проработку всех аспектов реализации системы, в том числе документальную подготовку, распределение ролей и др.
• 9) Системность и непрерывность. Предполагает, что функционирование комплексной системы обеспечения информационной безопасности предприятия должно осуществляться постоянно. Заключается в непрерывном, целенаправленном процессе, который предполагает обеспечение безопасности информационных ресурсов на протяжении всего их жизненного цикла, на всех технологических этапах их обработки и использования, во всех режимах функционирования технических средств.
• 10) Дифференциация мер. Подразумевает, что выбор мер по преодолению возникших угроз происходит в зависимости от характера угрозы и степени тяжести последствий ее реализации.
• 11) Техническая обоснованность. Предполагает использование технических и программных средств, а также информационных технологий, средств и мер защиты информации, обоснованных с точки зрения достижения заданного уровня защиты информации, соответствия установленным нормам и требованиям информационной безопасности. Внедряемые технические и программные средства защиты инфрмации не должны существенно ухудшать основные функциональные характеристики автоматизированных систем, систем связи и управления;
• 12) Полная подконтрольность системы обеспечения безопасности руководству предприятия. Это необходимо и для того, чтобы система безопасности не превратилась в замкнутое образование, ориентированное на решение узких задач без учета интересов предприятия в целом, и для оценки эффективности деятельности системы и ее возможного совершенствования.

К объектам, подлежащим защите от потенциальных угроз и противоправных посягательств, относятся:

• — персонал компании (руководящие работники, производственный персонал, имеющий непосредственный доступ к финансам, валюте, ценностям, хранилищам, осведомленные в сведениях, составляющих коммерческую тайну, работники внешнеэкономических служб и другие);
• — финансовые средства;
• — информационные ресурсы с ограниченным доступом, составляющие служебную и коммерческую тайну, а также иная конфиденциальная информация на бумажной, магнитной, оптической основе, информационные массивы и базы данных, программное обеспечение, информативные физические поля различного характера;
• — средства и системы информатизации (автоматизированные системы и вычислительные сети различного уровня и назначения, линии телеграфной, телефонной, факсимильной, радиосвязи, технические средства передачи информации, средства размножения и отображения информации, вспомогательные технические средства и системы);
• — материальные средства (здания, сооружения, хранилища, техническое оборудование, транспорт и иные средства);
• — технические средства и системы охраны и защиты материальных и информационных ресурсов.

Категории информационных ресурсов, подлежащих защите.

В организации циркулирует информация различных уровней конфиденциальности (секретности) содержащая сведения ограниченного распространения (служебная, коммерческая, банковская информация, персональные данные) и открытые сведения.

В документообороте организации присутствуют:

• — платежные поручения и другие расчетно-денежные документы;
• — отчеты (финансовые, аналитические и др.);
• — сведения о лицевых счетах;
• — обобщенная информация и другие конфиденциальные (ограниченного распространения) документы и др.

Защите подлежит вся информация, циркулирующая в организации и содержащая:

• — сведения, составляющие коммерческую тайну, доступ к которым ограничен собственником информации (организации) в соответствии с предоставленными Федеральным законом «Об информации, информатизации и защите информации» правами;
• — сведения, составляющие банковскую тайну, доступ к которым ограничен в соответствии с Федеральным законом «О банках и банковской деятельности»;
• — сведения о частной жизни граждан (персональные данные), доступ к которым ограничен в соответствии с Федеральным законом «Об информации информатизации и защите информации».

Все объекты, в отношении которых могут быть осуществлены угрозы безопасности или противоправные посягательства, имеют различную потенциальную уязвимость с точки зрения возможного материального или морального ущерба. Исходя из этого они должны быть классифицированы по уровням уязвимости (опасности), степени риска.

Наибольшую уязвимость представляют финансовые и информационные ресурсы и некоторые категории персонала.

Ухудшение состояния криминогенной обстановки в стране, усиление межрегиональных связей организованных преступных групп, рост их финансовой мощи и технической оснащенности дает основание полагать, что тенденция к осложнению оперативной обстановки вокруг компаний в ближайшее будущее сохранится. Отсюда определение и прогнозирование возможных угроз и осознание их опасности необходимы для обоснования, выбора и реализации защитных мероприятий, адекватных угрозам интересам компании.

В процессе выявления, анализа и прогнозирования потенциальных угроз интересам компании в рамках концепции учитываются объективно существующие внешние и внутренние условия, влияющие на их опасность.

Таковыми являются:

• — нестабильная политическая, социально-экономическая обстановка и обострение криминогенной ситуации;
• — невыполнение законодательных актов, правовой нигилизм, отсутствие ряда законов по жизненно важным вопросам;
• — снижение моральной, психологической и производственной ответственности граждан.

Наиболее опасными (значимыми) угрозами безопасности информации организации (способами нанесения ущерба субъектам информационных отношений) являются:

• — нарушение конфиденциальности (разглашение, утечка) сведений, составляющих банковскую или коммерческую тайну, а также персональных данных;
• — нарушение работоспособности (дезорганизация работы) организации, блокирование информации, нарушение технологических процессов, срыв своевременного решения задач;
• — нарушение целостности (искажение, подмена, уничтожение) информационных и других ресурсов организации, а также фальсификация (подделка) документов.

Основными источниками угроз безопасности информации организации являются:

• — непреднамеренные (ошибочные, случайные, необдуманные, без злого умысла и корыстных целей) нарушения установленных регламентов сбора, обработки и передачи информации, а также требований безопасности информации и другие действия сотрудников (в том числе администраторов средств защиты) структурных подразделений организации, приводящие к непроизводительным затратам времени и ресурсов, разглашению сведений ограниченного распространения, потере ценной информации или нарушению работоспособности отдельных рабочих станций, подсистем или организации в целом;
• — преднамеренные (в корыстных целях, по принуждению третьими лицами, со злым умыслом и т. п.) действия сотрудников подразделений организации, допущенных к работе с конфиденциальной информацией организации, а также сотрудников подразделений организации, отвечающих за обслуживание, администрирование средств обработки информации, средств защиты и обеспечения безопасности информации;
• — деятельность международных и отечественных преступных групп и формирований, политических и экономических структур, а также отдельных лиц по добыванию информации, навязыванию ложной информации, нарушению работоспособности системы в целом и ее отдельных компонент;
• — деятельность иностранных разведывательных и специальных служб, направленная против интересов организации;
• — ошибки, допущенные при проектировании системы защиты организации, ошибки в программном обеспечении, отказы и сбои технических средств (в том числе средств защиты информации и контроля эффективности защиты) организации;
• — аварии, стихийные бедствия и т. п.

На стадии концептуальной проработки вопросов безопасности компании представляется возможным рассмотрение общего состава потенциальных угроз. Конкретные перечни, связанные со спецификой компании, и условий требуют определенной детализации и характерны для этапа разработки конкретного проекта системы безопасности.

В общем плане к угрозам безопасности личности относятся:

• — похищения и угрозы похищения сотрудников, членов их семей и близких родственников;
• — убийства, сопровождаемые насилием, издевательствами и пытками;
• — психологический террор, угрозы, запугивание, шантаж, вымогательство;
• — нападение с целью завладения денежными средствами, ценностями и документами.

Преступные посягательства в отношении помещений (в том числе и жилых), зданий и персонала проявляются в виде:

• — взрывов;
• — обстрелов из огнестрельного оружия;
• — минирования, в том числе с применением дистанционного управления;
• — поджогов;
• — нападения, вторжения, захватов, пикетирования, блокирования;
• — повреждения входных дверей, решеток, ограждений, витрин, мебели, а также транспортных средств личных и служебных;
• — технологические аварии, пожары.

Цель подобных акций:

• — нанесение серьезного морального и материального ущерба;
• — срыв на длительное время нормального функционирования;
• — вымогательство значительных сумм денег или каких-либо льгот (кредиты, отсрочка или погашение платежей и т. п.) перед лицом террористической угрозы.

Угрозы финансовым ресурсам проявляются в виде:

• — мошенничества со счетами клиентов;
• — незаконных подключений;
• — подложных платежных документов и пластиковых карт;
• — хищения финансовых средств из касс.

Угрозы информационным ресурсам проявляются в виде:

• — разглашения конфиденциальной информации;
• — утечки конфиденциальной информации через технические средства обеспечения производственной деятельности различного характера и исполнения;
• — несанкционированного доступа к охраняемым сведениям со стороны конкурентных организаций и преступных формирований.

Осуществление угроз информационным ресурсам может быть произведено:

• — путем неофициального доступа и съема конфиденциальной информации;
• — путем подкупа лиц, работающих в компании или структурах, непосредственно связанных с ее деятельностью;
• — путем подслушивания конфиденциальных переговоров, ведущихся в служебных помещениях, служебном и личном автотранспорте, на квартирах и дачах;
• — через переговорные процессы между иностранными или отечественными фирмами, используя неосторожное обращение с информацией;
• — через отдельных сотрудников компании, стремящихся заполучить больший, чем их зарплата, доход или имеющих иную корыстную либо личную заинтересованность.