Информационная безопасность
Информационная безопасность (ИБ) — это комплекс мер, направленный на защиту информации от несанкционированного доступа, изменений, раскрытия или уничтожения, а также на предотвращение инцидентов, связанных с безопасностью.
Три столпа информационной безопасности
Конфиденциальность. Гарантирует, что информация доступна только пользователям с соответствующими правами;
Целостность. Обеспечивает точность и защиту информации от несанкционированных изменений;
Доступность. Гарантирует, что пользователи с необходимыми правами могут получить доступ к информации в любое время.
Как выглядят инциденты в области ИБ
Инциденты в области информационной безопасности не ограничиваются взломами и заражениями вирусами. Они могут проявляться в более прозаичных ситуациях, но при этом быть не менее вредоносными. Вот несколько примеров таких ситуаций:
- Нарушение конфиденциальности: секретарь Полина обнаружила зарплатную ведомость сотрудников в общей файловой папке, доступ к этой информации не входил в ее полномочия.
- Инцидент целостности: менеджер Игорь самостоятельно удалил или изменил документ коллеги без согласования с автором.
- Инцидент доступности: сотрудники не могут открыть базу 1С из-за сбоя, что препятствует доступу к необходимой информации в нужный момент.
Основы информационной безопасности
Организация работы по обеспечению безопасности информации начинается с выявления всех возможных угроз и оценки связанных с ними рисков. Затем принимаются меры для их предотвращения и минимизации потерь в случае их реализации.
Угроза — это потенциальная опасность, возникающая в различных сферах деятельности: будь то вредоносные программы, несанкционированный доступ к данным или физическое повреждение оборудования.
Риск же — это оценка возможных потерь, если угроза станет реальностью.
| Угрозы | Риски | Задача | Методы оценки рисков |
|---|---|---|---|
| Вредоносные программы (вирусы, трояны). | Уничтожение данных и утечка конфиденциальной информации. | Определение потенциальной опасности. | Анализ уязвимостей, тестирование на проникновение. |
| Несанкционированный доступ к данным | Утрата контроля над конфиденциальной информацией | Оценка возможных потерь | Оценка уровней доступа, аудит пользователей |
| Физическое повреждение оборудования | Временная недоступность данных, финансовые потери | Прогнозирование последствий для бизнеса | Оценка критичности оборудования, анализ сценариев |
| Социальная инженерия (фишинг, обман) | Прекращение работы сервисов, утечка данных | Защита от манипуляций и обмана | Обучение сотрудников, анализ инцидентов |
| Кибератаки (DDoS, взломы) | Прекращение работы сервисов, утечка данных | Предотвращение атак на инфраструктуру | Мониторинг трафика, внедрение систем IDS/IPS |
Угрозы: преднамеренные и непреднамеренные
Все угрозы можно условно разделить на две большие категории: преднамеренные и непреднамеренные (естественные).
| Непреднамеренные (естественные) угрозы | Преднамеренные угрозы |
|---|---|
| Природные катаклизмы: землетрясения, наводнения, ураганы | Внешние вторжения: вирусы, хакерские атаки, DDoS-атаки |
| Техногенные катастрофы: аварии на заводах, сбои в системах | Действия инсайдеров: утечка данных сотрудниками, которые имеют доступ к секретной информации |
| Сбои оборудования: выход из строя серверов, неисправности в сетевой инфраструктуре | Неавторизованный доступ: попытки проникновения в серверную или другие защищенные зоны |
| Сбои оборудования: выход из строя серверов, неисправности в сетевой инфраструктуре | Социальная инженерия: манипуляция пользователями для получения доступа к конфиденциальной информации |
Определение непреднамеренных угроз. Как видно из таблицы, непреднамеренные угрозы связаны с естественными явлениями и могут обобщаться для различных ИТ-систем. Главное отличие в каждом конкретном случае заключается в оценке вероятности их возникновения для конкретной компании и определении связанных с ними рисков. Такой подход помогает адаптировать меры безопасности, чтобы эффективно реагировать на потенциальные угрозы.
Определение преднамеренных угроз. Преднамеренные угрозы возникают в результате умышленных действий людей, которые используют уязвимости ИТ-систем для осуществления злого умысла. Этих людей принято называть «нарушителями», стремящимися к несанкционированному уничтожению, изменению или компрометации данных.
| Тип нарушителя | Примеры | Уровень мотивации | Уровень компетенции | Доступные ресурсы |
|---|---|---|---|---|
| Внешние | Спецслужбы, хакерские группировки, любопытные школьники | Высокий (в зависимости от цели) | Различный (от низкого до высокого) | Финансовые, технические, человеческие |
| Внутренние | Сотрудники компании, подрядчики | Переменный (в зависимости от отношения к работе) | Высокий (знание внутренних систем) | Доступ к ресурсам компании, информации |
Уязвимости, которые стремятся обнаружить и использовать нарушители, представляет собой недостаток в ИТ-системе: ошибки в архитектуре, программном обеспечении, настройках.
Но вернемся к определению потенциальных угроз. Прежде чем принимать меры по защите, важно оценить их актуальность для конкретной организации. Угроза считается актуальной, если нарушитель обладает тремя ключевыми факторами: мотивацией, компетенцией и ресурсами для использования уязвимостей ИТ-системы. Если один или несколько факторов отсутствуют, угроза считается неактуальной.
| Пример актуальной угрозы | Пример неактуальной угрозы |
|---|---|
| Хакерская группировка хочет получить выкуп, обладает необходимыми навыками и ресурсами для взлома инфраструктуры хлебобулочного завода. Их мотивация и возможности также совпадают с наличием уязвимостей в системе. | Школьник хочет взломать дневник, чтобы исправить оценки, но не обладает навыками (учится плохо) и ресурсами (не может нанять хакера). Его мотивация не соответствует его возможностям. |
Риски и потери как критерий выбора защиты
После выявления всех потенциальных угроз необходимо оценить, какие реальные риски они несут и к каким потерям могут привести в случае реализации. Такой подход позволяет понять, насколько адекватны выбранные меры защиты.
Например, если возможные потери от взлома ИТ-инфраструктуры составляют сто рублей, тратить сотни тысяч на защиту нецелесообразно. Но если взлом банковского счета грозит миллионными убытками, стоит серьезно рассмотреть усиление мер безопасности.
Выстраивание защиты
После определения угроз и оценки рисков следующий шаг — создание комплекса мер по защите информации. Используются следующие технологии и методы:
- физическая защита — охрана серверных помещений, системы контроля доступа;
- техническая защита — установка брандмауэров, систем обнаружения вторжений, антивирусное программное обеспечение, создание SOC-центра;
- организационная защита — настройка политик и процедур, обучение персонала, управление правами доступа;
- криптографическая защита — применение методов шифрования для обеспечения конфиденциальности и целостности данных;
- защита от сбоев и их последствий — создание отказоустойчивых систем, резервное копирование данных, планирование аварийного восстановления.
Как правило, под «комплексной защитой информации» подразумевается сочетание всех этих технологий и методов, которое обеспечивает надежную защиту от потенциальных угроз.
Наше мнение
- Система защищена настолько, насколько защищена её самая слабая часть. Например, если мы боимся потерять данные, но храним их только на одном диске и не делаем резервные копии, неважно сколько денег будет вложено в защиту от вирусов и хакеров — рано или поздно мы потеряем данные.
- Не стоит забывать о внутренних нарушителях. Любой внешний атакующий стремится проникнуть внутрь компании. Если эта угроза вас не волнует, вы просто упрощаете задачу хакерам.
- Система надежно защищена от внешних вторжений, когда стоимость взлома превышает ценность данных или выгоды, которые можно получить от атаки.
- В ИТ-сфере уязвимости появляются постоянно, а стоимость эксплуатации старых снижается. Кроме того, сама компания меняется, возникают новые риски и угрозы. Поэтому защита информации требует постоянного внимания и обновлений.
- Если вы — небольшая компания, вопросы информационной безопасности могут казаться вам не столь важными. Тем не менее, чтобы в будущем не оказаться у разбитого корыта, мы рекомендуем обсудить с вашим системным администратором как минимум четыре аспекта: какую информацию вы можете потерять в случае уничтожения серверной, какую информацию хранит компания и какой доступ к ней имеют сотрудники, какие потери могут возникнуть в случае успешной вирусной атаки, а также какие меры можно предпринять для снижения рисков и уменьшения потерь при реализации угроз.
