Техническая защита информации что это?

Технологии защиты информации в компании

Больше материалов по теме «Ведение бизнеса» вы можете получить в системе КонсультантПлюс .

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

Доступность. Предполагает доступ субъектов к необходимой информации. Под субъектами понимаются компании, которые имеют право на доступ к соответствующим данным.
Целостность. Сведения должны быть защищены от незаконного видоизменения, порчи.
Конфиденциальность. Предполагает защищенность от несанкционированного доступа к данным.

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

Нежелание обучаться работе с информационными системами.
Отсутствие у сотрудника необходимой подготовки.
Отсутствие техподдержки, что приводит к сложностям с работой.
Умышленное или неумышленное нарушение правил работы.
Выход поддерживающей инфраструктуры из обычного режима (к этому может привести, к примеру, превышение числа запросов).
Ошибки при переконфигурировании.
Отказ ПО.
Нанесение вреда различным частям инфраструктуры (к примеру, проводам, ПК).

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

Ввод неправильных данных.
Изменение сведений.
Подделка заголовка.
Подделка всего текста письма.
Отказ от исполненных действий.
Дублирование информации.
Внесение дополнительных сведений.

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

Использование многоразовых паролей с сохранением их на источниках, к которым могут получить доступ злоумышленники.
Использование одних и тех же паролей в различных системах.
Размещение информации в среде, которая не обеспечивает конфиденциальность.
Использование злоумышленниками технических средств. К примеру, прослушивающие устройства, специальные программы, фиксирующие введенный пароль.
Выставки, на которых презентуется оборудование с конфиденциальными сведениями.
Хранение сведений на резервных носителях.
Распространение информации по множеству источников, что приводит к перехвату сведений.
Оставление ноутбуков без присмотра.
Злоупотребление полномочиями (возможно при обслуживании инфраструктуры системным администратором).

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

Защита помещения компании от действий злоумышленников.
Защита хранилищ информации от действий заинтересованных лиц.
Защита от удаленного видеонаблюдения, прослушивания.
Предотвращение перехвата сведений.
Создание доступа сотрудников в помещение компании.
Контроль над деятельностью сотрудников.
Контроль над перемещением работников на территории компании.
Защита от пожаров.
Превентивные меры против последствий стихийных бедствий, катаклизмов.

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

Защита конфиденциальности сведений, которые передаются по открытым каналам.
Возможность подтверждения подлинности сведений, которые передаются по различным каналам.
Обеспечение конфиденциальности сведений в том случае, если они размещены на открытых носителях.
Сохранение целостности данных при их передаче и хранении.
Подтверждение отправки сообщения с информацией.
Защита ПО от несанкционированного применения и копирования.

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

Инструменты для ввода сведений, нужных для идентификации (идентификация по отпечаткам пальцев, магнитные и пластиковые карты доступа).
Инструменты для шифрования данных.
Оборудование, предупреждающее несанкционированное использование систем (к примеру, электронные звонки, блокираторы).
Инструменты для уничтожения сведений на носителях.
Сигнализация, срабатывающая при попытках несанкционированных манипуляций.

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Техническая защита информации

ИБ-аутсорсинг
на базе DLP-системы

Контроль исполнения документов

Мониторинг ИТ инфраструктуры

Защита бизнеса от мошенничества

Разработка требований к защите информации

Управление системами фильтрации электронной почты и веб-трафика

АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА

З начительная часть существующей информации представляет определенный интерес для посторонних лиц. Охрана информационных систем – это сложный комплекс мероприятий, который включает техническую защиту информации. Для реализации охраны данных производятся непосредственные действия с массивами информации, а также профилактические меры разного вида и состава.

Что такое информация?

Общего определения термина «информация» не существует. Чаще всего под ним понимают совокупность данных, сведений, знаний, в том числе:

научные, образовательные сведения;
технологические регламенты;
персональные данные;
интеллектуальная собственность;
финансовые данные;
структурная информация (состав, род деятельности организаций, объединений или иных сообществ).

Основные свойства грамотно охраняемой информации:

конфиденциальность – доступ к массивам данных должен быть только у доверенных лиц или сотрудников;
целостность – сведения не могут быть изменены, скопированы или обработаны иным способом без соответствующих разрешений;
доступность – доверенные сотрудники не должны испытывать затруднений в пользовании или работе с данными.

Сведения хранятся в виде бумажных документов или электронных файлов. Способ представления информации не имеет принципиального значения, поскольку это лишь вариант ее консервации до момента использования. В современных условиях предпочтительны цифровые способы хранения данных, поскольку они удобны для быстрой передачи, тиражирования, изменения и прочих видов обработки. Однако это удобство имеет обратную сторону – появляется возможность доступа к информации для посторонних лиц или злоумышленников. Возникает необходимость охраны информационных массивов с помощью организационных или технических средств, программных методов.

Почему информации нужна защита?

Большинство сведений представляет собой определенную ценность и могут быть использованы во вред их обладателям. Злоумышленники используют массу методов несанкционированного доступа к информации, приносящих значительный вред организации или физическому лицу.

Перечень угроз безопасности информации велик – от прямого хищения документов до взлома компьютерных систем с целью хищения или несанкционированной обработки данных.

Необходимо учитывать, что универсальных методов защиты информации не существует. Невозможно заранее предусмотреть все варианты развития событий. Особенностью сведений является изменчивость их важности в глазах как собственника, так и посторонних лиц.

Актуальность и содержательность данных меняются, иногда это происходит с большой скоростью. Противостояние систем защиты информации и злоумышленников способно принять любые формы – от активных действий до случайных, эпизодических попыток несанкционированного доступа. Нередко возникает ситуация, когда внешних признаков угрозы нет, и руководство организации начинает относиться к обеспечению информационной безопасности как к излишней, непродуктивной нагрузке. Сокращается финансирование подразделений охраны, уделяется меньше внимания мероприятиям по защите информации. В таких условиях потери или хищения сведений – лишь вопрос времени.

Законодательная база

Основным законодательным актом, обеспечивающим защиту информации, является Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В нем перечислен ряд понятий, с помощью которых реализуется государственный подход к охране и защите конфиденциальной информации. Определены принципы и нормы правового регулирования, даны четкие определения объектов и субъектов правовых отношений в сфере информационной безопасности. Регулируется право на различные действия с информацией:

обладание;
распространение;
документирование;
обмен;
обработка.

Отдельно определена ответственность за действия, связанные с нарушениями в сфере информационных технологий. Для обеспечения государственной поддержки защиты информационных ресурсов создана Федеральная служба по техническому и экспортному контролю (ФСТЭК). Это государственный орган, который обеспечивает защиту информации на стратегическом уровне, в том числе выполняет множество функций:

выдает лицензии на использование и изготовление средств защиты информации;
выдает заключения о возможности применения импортных средств защиты данных;
производит аккредитацию внешнеэкономических компаний;
выдает компаниям разрешения на экспорт продукции;
выдает разрешения на использование нетарифных методов для компаний, занятых в сфере внешнеэкономической деятельности.

На базе ФЗ № 149 созданы ГОСТы, определяющие порядок защиты информации в организациях, сетях электросвязи и других сферах деятельности. Они являются основными нормативными документами в сфере защиты конфиденциальной информации. Действия подразделений или служб, обеспечивающих охрану данных, должны быть согласованы с этими стандартами.

Системный подход к защите данных

Особенностью защиты информации является невозможность выработки универсальных методик. Для успешного решения возможных проблем необходим комплексный подход. Возникает необходимость в системах защиты информации, объединяющих все существующие методики. Это непростая задача, требующая всестороннего анализа существующих данных, оценки их важности и распределения массивов по уровню ценности. Необходимо определить возможные каналы утечки информации, предотвратить несанкционированный доступ посторонних лиц или неавторизованных сотрудников к ценным сведениям. Для этого нужны средства защиты информации. Важно, чтобы действия службы охраны данных не оказались помехой для работы организации.

Задачи службы безопасности

Охрана конфиденциальной информации требует наличия специального подразделения. Для создания службы информационной безопасности (ИБ-службы) руководству организации необходимо точно представлять себе ее задачи и приоритетные функции. К ним относятся:

контроль доступа сотрудников в помещения, где находится защищаемая информация;
защита носителей информации от внешних угроз, включая пожары или стихийные бедствия;
контроль удаленного доступа по всем возможным каналам приема и передачи сведений.

Подразделение обеспечения безопасности должно состоять из проинструктированных сотрудников. Необходимо обследовать территорию и разбить ее на зоны ответственности. Для каждой определить уровень допуска сотрудников для выполнения профессиональных обязанностей. Параллельно надо вести работу по изучению возможных способов проникновения, устанавливать посты или КПП. При этом мероприятия не должны создавать препятствий для функционирования организаций, тормозить работу сотрудников. Важно четко различать источники опасности и доверенных сотрудников, чтобы не получить на выходе сплошной контроль без полезных результатов.

Возможные пути утечки данных

Потеря сведений возможна на любом этапе их использования. Охрана важных данных должна базироваться на принципе недоступности информации для посторонних, отсутствии возможности случайного доступа, воздействия или обработки.

К наиболее проблемным каналам утечки следует отнести:

съемные носители информации, в том числе флешки, SD-карты памяти смартфонов, фотоаппаратов;
соцсети – это простой и быстрый способ передать сведения одному или нескольким лицам;
мессенджеры и сервисы для мгновенного обмена сообщениями. В их число входят модные ныне WhatsApp, Viber, Telegram, Skype и другие.

Необходимо также обеспечить невозможность прослушки переговоров сотрудников. Нередко офисы организаций находятся в жилых домах, где есть возможность услышать разговоры в соседней комнате. Кроме того, существуют технические системы, позволяющие получать информацию, считывая ее снаружи, с оконных стекол кабинета. Они направляют луч лазера на поверхность стекла и фиксируют мельчайшие колебания, возникающие при его контакте со звуковыми волнами (разговор). Поэтому для важных переговоров предпочтительно использование специальных помещений. На стекла в таких переговорных устанавливают ультразвуковые глушилки, делающие устройства прослушки бесполезными.

Не менее важными объектами защиты являются телефонные или оптоволоконные кабели, провода систем связи. Современные технологии позволяют получить сигнал даже без непосредственного подключения, путем электромагнитного сканирования проводов. Поэтому необходимо выполнять прокладку кабелей и проводов по закрытым, надежно экранированным каналам.

Необходимо внимательно анализировать и изучать задачи злоумышленников. Понимание, в каких целях предпринимаются попытки доступа к базам данных, позволит принимать эффективные меры по их обнаружению. Важно учитывать, что преступники не всегда считают хищение сведений своей задачей. Часто им требуется уничтожить или изменить данные. Поэтому необходимо предусмотреть варианты злонамеренного использования информации и максимально ограничить такие возможности.

Средства и методы защиты информации

Специфика технических систем защиты данных должна соответствовать форме и условиям их хранения и использования. Существуют общие меры предотвращения несанкционированного доступа:

введение контроля за лицами, входящими в здание. На крупных предприятиях часто вводится пропускной режим;
использование специальных технических средств связи и передачи данных – защищенные каналы, передача с шифрованием сигнала, системы кодировки данных;
защита важных помещений от прослушки, визуального наблюдения;
разграничение помещений по уровню допуска. Сотрудники, имеющие низкий уровень, не должны иметь возможности появляться в зонах, где требуется более высокий уровень допуска;
установка шумоизоляции (например, укладка термозвукоизола – прошивного материала для шумопоглощения) на стенах и других плоскостях важных помещений.

Большую важность имеет организация работы с сотрудниками. Они должны получить определенный допуск к информационным ресурсам, который соответствует их профессиональным обязанностям. Кроме этого, сотрудникам необходимо пройти инструктаж по обращению с данными. Работникам ИБ-службы следует предупредить персонал об ответственности за повреждение или хищение информационных массивов.

Реализация технической защиты

Для охраны баз данных используются два основных метода:

аппаратный;
программный.

С помощью аппаратного метода выполняют поиск и обнаружение попыток несанкционированного доступа. Используются методы пассивного и активного противодействия атакам злоумышленников.

Программный метод предназначен для отсечки попыток получения данных из компьютерной техники. Используются антивирусные приложения, файрволы, шифрование данных, парольная защита.

Если аппаратные методы рассчитаны на непосредственное использование технических средств защиты, то программные методики предназначены для предотвращения удаленных способов воздействия на базы данных.

Обе методики нуждаются в постоянном контроле работоспособности и обновлении. С появлением новых технических и программных средств старые способы защиты перестают работать. Злоумышленники находятся в постоянном поиске новых возможностей получения чужих сведений, поэтому системы защиты не должны отставать от них. Попытки экономии на охране неизменно приводят к потере данных. Работа организации может быть полностью парализована, чего допустить нельзя. Важно предусмотреть намерения злоумышленников, опередить их на всех стадиях неправомерных действий.

Средства защиты информации от несанкционированного доступа

Тест на прочность: чему нас учат недостатки СЗИ?

Защитить информацию от несанкционированного доступа можно с помощью любого из популярных специализированных средств. Главное — знать его сильные и слабые стороны, чтобы в случае необходимости нейтрализовать негативные последствия. Мы провели эксперимент, чтобы посмотреть, как ведут себя различные решения в ситуации несанкционированного доступа.

Современный рынок средств защиты информации (СЗИ) представлен различными аппаратными, программными и комбинированными комплексами. Продукты различаются по цене, функциональности и настройкам. Прежде чем сделать выбор, IT-специалист должен все это хорошо изучить. Ведь ценность защищаемой информации не дает ему права на ошибку, а руководитель требует обосновать стоимость покупки конкретного СЗИ.

Цель нашего эксперимента — понять, какие дополнительные меры безопасности необходимо принять, чтобы обезопасить информацию от кражи.

Моделируемая ситуация: в компьютере финансового директора обрабатывается очень важная информация, интерес к которой имеет недовольный зарплатой сотрудник. В обеденный перерыв директор заблокировал свой компьютер и ушел. У злоумышленника есть только час на то, чтобы незаметно похитить нужную ему информацию.

Тестируемые средства

№ Наименование СЗИ Производитель Цена за одно автоматизированное рабочее место, руб.

Программные
1	Secret Net 7 (автономный)	ООО «Код Безопасности»	7 000
2	«Аура 1.2.4»	НИО ПИБ	3 000
3	Dallas Lock 8.0 — К (для корпоративных заказчиков)	ООО «Конфидент»	6 000
4	«Страж NT» (версия 3.0)	ЗАО НПЦ «Модуль»	7 500
Программно-аппаратные
5	Аккорд-АМДЗ	ОКБ САПР	12 589
6	Secret Net 7 + Secret Net Card (плата PCI Express) — комплект с DS1992	ООО «Код Безопасности»	7 000 + 3 610

Действия злоумышленника: Предположим, что на компьютере установлено одно из вышеуказанных СЗИ и шестизначный пароль, содержащий буквы разного регистра и спецсимволы. На подбор такого пароля потребуется много времени, поэтому злоумышленник, скорее всего, попробует обойти систему следующим образом:

установит в BIOS загрузку с внешнего накопителя;
загрузится с Live USB и скопирует всю нужную ему информацию;
перезагрузит компьютер и покинет место преступления.

Совет № 1. Запретите загрузку с внешних носителей и используйте пароли на BIOS.

Программные СЗИ, к сожалению, оставляют возможность загрузиться в обход операционной системы и похитить ценную информацию. И в этом заключается их главный недостаток. Единственным программным СЗИ, которое не удалось обойти таким образом, оказался «Страж NT».

В СЗИ «Страж NT» идентификация и аутентификация пользователя производится до загрузки операционной системы, что позволяет исключить возможность получения доступа к информации, содержащейся на жестком диске компьютера без успешного прохождения процедуры аутентификации.

Программа идентификации и аутентификации содержится в главной загрузочной записи (MBR) жесткого диска и вызывается автоматически после прохождения процедуры POST BIOS: пользователю предлагается предъявить персональный идентификатор и ввести пароль.

Модификация главной загрузочной записи, выполняемая СЗИ при его инициализации, предотвращает попытки несанкционированного доступа при загрузке компьютера с внешнего носителя, так как любая операционная система «повиснет» при попытке монтирования раздела, на котором установлена СЗИ «Страж NT». Таким образом, для злоумышленника исключается несанкционированный доступ к содержимому жесткого диска, несмотря на гипотетическую возможность загрузки персонального компьютера с внешнего носителя или подключения жесткого диска к другому компьютеру.

Вне эксперимента нам удалось с помощью программы восстановления потерянных разделов TestDisk восстановить загрузочный сектор. Но на эту процедуру ушло больше часа.

При использовании остальных СЗИ рекомендуем в настройках BIOS выставить единственное загрузочное устройство — локальный жесткий диск. Необходимо установить пароль на BIOS. Можно установить ПАК «Соболь» или Secret Net Card, которые обеспечат доверенную загрузку.

Совет № 2. При использовании любых СЗИ, кроме «Страж NT», опечатывайте или опломбируйте корпус системного блока.

При тестировании программных СЗИ мы увидели, что добыть информацию можно и без физического вмешательства в системный блок. В случае с рассматриваемыми программно-аппаратными комплексами «Аккорд» и Secret Net способ загрузки в обход операционной системы не сработал из-за наличия установленной платы, которая не давала доступа к настройкам BIOS и не позволяла изменить источник первичной загрузки.

При настройке системы защиты в соответствии с требованиями законодательства, если системный блок не опломбировать или не закрыть на замок, злоумышленнику ничего не мешает на время своих злодеяний извлечь эту плату из системного блока. В этом состоит главный недостаток плат доверенной загрузки. Таким образом, мы настоятельно рекомендуем использовать такую меру защиты как опломбирование системных блоков и закрытие на ключ.

Совет № 3. Используйте встроенные или дополнительные средства шифрования данных.

Мы рассматриваем ситуацию, когда злоумышленник пытается незаметно похитить информацию. Если это условие убрать, то и установка пароля на BIOS, и опечатывание системного блока не помешают информации «сделать ноги». Поэтому общая рекомендация для всех рассмотренных средств защиты информации следующая — использовать средства шифрования данных. При таких условиях у злоумышленника не будет возможности получить доступ к информации описанными нами или любыми иными способами.

Так, например, в СЗИ Dallas Lock средство шифрования данных является встроенным, а для Secret Net есть возможность приобрести лицензию с возможностью сокрытия выбранных разделов на жестком диске. Для остальных СЗИ остается использовать только дополнительные средства шифрования от сторонних производителей.

Совет № 4. Используйте комплекс мер: дополняйте технические средства административными мерами.

Прежде чем принимать решение о применении того или иного средства защиты, необходимо продумать и смоделировать все возможные варианты утечки информации. В каждой конкретной ситуации это будут различные меры. В случае, описанном в начале статьи, мы бы порекомендовали не оставлять открытым помещение с важной информацией, установить системы видеонаблюдения. Для особо важной информации необходимо использовать средства защиты, позволяющие шифровать информацию «на лету» и т д.

Совет № 5. Не переплачивайте: стоимость средств защиты не должна превышать стоимость самой информации.

Если руководитель поручил защитить информацию на конкретных компьютерах, необходимо понять, какова ценность информации «в цифрах». И только после этого принимать решение о выборе СЗИ. Правда, есть один нюанс: для информации, охраняемой законодательством, это правило не работает — защищать придется даже информационные системы обработки персональных данных, содержащие сведения о пяти сотрудниках.

Вадим Галлямшин, руководитель проектов внедрения систем информационной безопасности «СКБ Контур».
Станислав Шиляев, руководитель группы технической защиты информации проекта «Контур-Безопасность»

Не пропустите новые публикации

Подпишитесь на рассылку, и мы поможем вам разобраться в требованиях законодательства, подскажем, что делать в спорных ситуациях, и научим больше зарабатывать.

Конфиденциальная информация: как защитить корпоративные данные

С какими угрозами сталкивается бизнес в информационной сфере, по каким каналам чаще всего происходят утечки и есть ли эффективные способы защиты конфиденциальной информации?

Информация стала одним из важнейших активов бизнеса. Об этом свидетельствуют данные по тратам компаний на ее защиту: согласно прогнозам Gartner, в 2019 году на информационную безопасность в мире будет потрачено свыше $124 млрд. Большие бюджеты на безопасность оправданы, достаточно вспомнить, к каким последствиям привело недавнее заражение вирусами-шифровальщиками Petya и Misha корпоративных бизнес-сетей. Тогда была нарушена работа сотен компаний из разных отраслей по всему миру. Вирусы распространялись через фишинговые письма, которые получали сотрудники организаций.

Рассмотрим основные источники утечек и меры по предотвращению потерь конфиденциальных данных.

Источники конфиденциальной информации

Люди (сотрудники, клиенты, посетители, обслуживающий персонал).

Документы материальные и представленные в электронном виде.

Технические средства носителей информации и их обработки.

Производственные и промышленные отходы и т.д.

Угрозы конфиденциальной информации

Утечка информации.

Отсутствие доступа к информации.

Каналы утечки конфиденциальной информации (через организацию деятельности)

Деятельность с контрагентами на основе гражданско-правовых договоров.

Запросы из государственных органов.

Проведение переговоров с потенциальными контрагентами.

Посещения территории предприятия.

Реклама, выставки, публикации в печати, интервью для прессы.

Каналы утечки конфиденциальной информации (через технические средства)

По данным исследования Infowatch, порядка 70% утечек данных происходит через сеть.

Доступ к компьютерной сети.

Побочные электромагнитные излучения и наводки.

Каналы утечки конфиденциальной информации (через человеческий фактор)

Через сотрудников компании (умысел, неосторожность, методы социальной инженерии и т.д.).

Через уволившихся сотрудников.

7 важных мер по защите информации

Есть семь основных направлений работы по защите корпоративных данных от утечек:

Правовые меры (создание режимов, например коммерческой тайны, патентов, авторских прав и т.д.).
Меры, связанные с кадровой работой (подбор, обучение, увольнение, контроль, действие в нештатных ситуациях, подбор ИТ специалиста и т.д.).
Создание конфиденциального делопроизводства (создание, хранение, уничтожение, передача документов и т.д.).
Режимные мероприятия (пропускной режим, внос-вынос документов, использование гаджетов на территории, удаленный доступ, охрана, доступ к информации и т.д.).
Организационные мероприятия (деление информации на части, дублирование на ключевых точках, использование облачных систем хранения, банковских ячеек, резервное копирование, аудит и т.д.).
Мероприятия по инженерно-технической защите (защита помещений, мест хранения информации, сигнализации, видеонаблюдение и т.д.).
Мероприятия по применению технических средств защиты информации (DLP – системы, шифрование, правильная настройка оборудования, защищенное программное обеспечение и т.д.).

Подготовительные мероприятия: что нужно сделать для настройки системы защиты

Определить, какая информация подлежит или нуждается в защите.

Оптимизировать защищаемые информационные потоки.

Определить формы представляемой информации.

Установить виды угроз защищаемой информации и варианты их реализации.

Установить, кому может быть интересна защищаемая информация.

Ответить на вопрос: чего вы хотите добиться — реально защитить информацию или формально выполнить требования законодательства по ее защите?

Определить, будете ли вы защищать информацию и информационные системы или только информационные системы.

Определить сроки актуальности защищаемой информации.

На что обратить внимание

Использование гаджетов на территории предприятия.

Удаленный доступ к информации.

Сочетание трудовых отношений с ИТ-специалистом и гражданского договора с внешней организацией; работа с Wi-Fi.

Настройка программного оборудования (особенно после обновления).

Надежность и порядочность ИТ-специалиста, бухгалтера, секретаря и иных лиц.

Разграничение доступа к информации.

Дробление информации на части.

5 принципов информационной безопасности

«Принцип системности». К безопасности нужно подходить системно: с отбора и обучения персонала до создания регламентов работы офиса (речь идет не о технических регламентах, а о бытовых, например, о таком правиле как «Важные документы не должны лежать на рабочих столах “лицом” вверх)». В компании нужны регламенты работы со звонками, идентификации личности посетителей и звонящих. И только потом информационная безопасность — это компьютеры, сеть и технологии.

«Принцип информационного шума». Никогда не чувствуйте себя защищенным. Не доверяйте информацию чему-либо — носителям, шифрам, хранилищам. Всегда помните, что ваша информация может быть получена третьими лицами, и старайтесь представить её в таком виде, чтобы непосвященному человеку было труднее разобраться в данных.

«Принцип разделяй и властвуй». Кроме руководителя в компании не должно быть человека, владеющего всей полнотой информации. Поэтому похитителю придется собирать ее из разных источников.

«Принцип разных корзин». Храните информацию и пересылайте её по разным каналам. Например, никогда не посылайте вместе логин и пароль. Если вы отправляете пароль по защищенной корпоративной почте, отправьте логин по смс, или назовите его в телефонном разговоре.

«Принцип паранойи». Здоровая паранойя поможет минимизировать утечки. Подозревайте всех, не верьте в абсолютные возможности новых технологий, всегда помните, что данные могут украсть. Можно даже спровоцировать кражу, проследить за процессом и выявить виновника.

Запомнить

Информация — бизнес-актив, на ее защиту компании тратят миллиарды долларов.
Источниками конфиденциальной информации в компании являются сотрудники, документация, технические носители, продукция и даже отходы.
Каналами утечки могут стать технические средства, человеческий фактор и организационные аспекты деятельности компании.
Существует как минимум 7 важных мер и 5 принципов, а также подготовительные мероприятия, о которых важно помнить при создании системы защиты конфиденциальной информации.

Появились вопросы? Задавайте их нам в комментариях к статье. И приходите учиться на курс «Специалист по информационной безопасности» в Русскую школу управления. Он будет полезен:

Руководителям и ведущим специалистам служб безопасности и информационной безопасности;
Владельцам бизнеса;
Начальникам структурных подразделений.

Узнать подробности, получить бесплатную консультацию и записаться на курс можно здесьАвтор: Степан Добродумов

техническая защита информации

3.3.1 техническая защита информации; ТЗИ: Обеспечение защиты некриптографическими методами информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращение ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию и носители информации в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации [1].

Примечание — Техническая защита информации при применении информационных технологий осуществляется в процессах сбора, обработки, передачи, хранения, распространения информации с целью обеспечения ее безопасности на объектах информатизации.

2.2.2 техническая защита информации; ТЗИ: Защита информации, заключающаяся в обеспечении некриптографическими методами безопасности информации (данных), подлежащей (подлежащих) защите в соответствии с действующим законодательством, с применением технических, программных и программно-технических средств.

техническая задержка
техническая зона

Полезное

Смотреть что такое «техническая защита информации» в других словарях:

техническая защита информации — ТЗИ Защита информации, заключающаяся в обеспечении некриптографическими методами безопасности информации (данных), подлежащей (подлежащих) защите в соответствии с действующим законодательством, с применением технических, программных и программно… … Справочник технического переводчика

Защита информации — Классически считалось, что обеспечение безопасности информации складывается из трех составляющих: Конфиденциальности, Целостности, Доступности. Точками приложения процесса защиты информации к информационной системе являются аппаратное обеспечение … Википедия

ГОСТ Р 50922-2006: Защита информации. Основные термины и определения — Терминология ГОСТ Р 50922 2006: Защита информации. Основные термины и определения оригинал документа: 2.8.9 анализ информационного риска: Систематическое использование информации для выявления угроз безопасности информации, уязвимостей… … Словарь-справочник терминов нормативно-технической документации

ГОСТ Р 53114-2008: Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения — Терминология ГОСТ Р 53114 2008: Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения оригинал документа: 3.1.19 автоматизированная система в защищенном исполнении ; АС в защищенном исполнении:… … Словарь-справочник терминов нормативно-технической документации

ГОСТ Р 52448-2005: Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения — Терминология ГОСТ Р 52448 2005: Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения оригинал документа: 3.1 безопасность сети электросвязи: Способность сети электросвязи противодействовать определенному множеству угроз … Словарь-справочник терминов нормативно-технической документации

Техническая — 28. Техническая документация на муфты для силовых кабелей с бумажной и пластмассовой изоляцией до 35 кВ. М.: Энергия, 1969. Источник: ВСН 13 77: Инструкция по монтажу контактных сетей промышленного и городского электрифицированного транспорта … Словарь-справочник терминов нормативно-технической документации

Защита компьютерной сети — Классически считалось, что обеспечение безопасности информации складывается из трех составляющих: Конфиденциальности, Целостности, Доступности. Точками приложения процесса защиты информации к информационной системе являются аппаратное обеспечение … Википедия

техническая дезинформация — Способ защиты информации от технических разведок, предусматривающий введение технической разведки в заблуждение относительно истинного местоположения (дислокации) объекта защиты и его функционального назначения путем проведения комплекса мер по… … Справочник технического переводчика

техническая разведка — Получение сведений путем сбора и анализа информации техническими средствами. [Домарев В.В. Безопасность информационных технологий. Системный подход.] Тематики защита информации EN technical intelligence … Справочник технического переводчика

Техническая защищенность информационных ресурсов — ПРАВОНАРУШЕНИЯ В ОБЛАСТИ ТЕХНИЧЕСКОЙ ЗАЩИЩЕННОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ Характерные правонарушения, совершаемые путем нарушения технической защиты ИС, подпадают, как правило, под действие Уголовного кодекса (УК) РФ, в который включена специальная … Википедия

Введение в специальность

Лекция 7

ТЕМА 6. ОРГАНИЗАЦИОННЫЕ ОСНОВЫ И МЕТОДОЛОГИЧЕСКИЕ ПРИНЦИПЫ ЗАЩИТЫ ИНФОРМАЦИИ

Лекция 7. КАНАЛЫ УТЕЧКИ И СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ

1.Понятие технической защиты информации.

2.Каналы утечки информации.

3.Средства технической и инженерно-технической защиты информации

Введение

Существующие информационные системы реализуются на цифровых электронных системах, основу которых составляют компьютерные системы и сети передачи информации и, соответственно, средства обработки представляют программно- аппаратные системы на базе инфокоммуникационных систем. В современном понимании информационная технология относится ко всем видам деятельности человека, т. е. относится ко всем обрабатываемым видам информации. Сюда будет относиться и речевая информация, документация, видео материалы и т.п. Собственно это «полная» информационная система в которой человек представляет неотъемлемую часть, элемент системы. Информационную систему (ИС) следует рассматривать как человеко-машинную. Классическое понимание информационной технологии включало только компьютерную систему и сеть.

В ИТ необходимо включать подсистемы обработки и «человеческой» информации, например, речевую (аудио), видео и т.п. Все это составляет единое целое, интегрированную систему, в которую включается подсистема техническая система. Общую структуру ИС можно условно представить следующем виде рис.0.1.

Рис. 0.1 Структура информационной системы

Из рис.0.1. видно, что технические средства , носители информации занимаю значительную долю из всех видов. Естественно, что в этом случае в систему защиты ИС должна включаться подсистема технической защиты информации (ТЗИ). В настоящее время для ТЗИ приняты стандартизованные, через Федеральную службу технического экспорта и контроля (ФС ТЭК), определения. Приведем основные из них.

Техническая защита информации] (Р 50.1.056 – 2005): деятельность, направленная на обеспечение некриптографическими методами безопасности информации (данных), подлежащей защите в соответствии с действующим законодательством, с применением технических, программных и программ- но-технических средств .

Техническая защита информации (Р 50.1.053 – 2005): Обеспечение защиты некриптографическими методами информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращение ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию и носители информации в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации.

Включением понятия «некриптографическими» фактически признается, что основным носителем информации в технических подсистемах ИС будет сигнал (рис.0.1).

Естественно, что при передаче информации носителями информации становятся сигналы различного рода. Угрозу нелегального снятия информации создают их демаскирующие признаки, в том числе случайно возникающие в результате побочных излучений и наводок.

Если сигналы содержат защищаемую информацию, то они относятся к опасным.

Таким образом, имеется возможность несанкционированного получения информации, за счет утечки, по некоторым техническим каналам.

С точки зрения информационного процесса под утечкой информации понимается несанкционированный процесс переноса информации от источника к злоумышленнику.

Под техническим каналом утечки информации понимают совокупность источника информации, линии связи (физической среды), по которой распространяется информационный сигнал, шумов, препятствующих передаче сигнала в линии связи, и технических средств перехвата информации.

Способы получения информации из технических подсистем ИС можно условно представить как в Табл. 0.1.

Табл.0.1. Способы несанкционированного доступа к источникам информации

В целом способы нелегального получения информации достаточно разнообразны. В технически системах ИС источником информации для злоумышленников являются каналы утечки информации. Имеются устоявшиеся понятия каналов утечки и определения зафиксированные в стандартах.

Технический канал утечки информации – совокупность объекта технической разведки, физической среды и средств технической разведки, которыми добываются разведывательные данные. Этим каналам уделяется большое внимание.

Если рассматривать комплекс защиты информации в ИС, то в систему защиты должны входить все методы и средства такой защиты: «человеко – машинной» защиты информации, который и в дальнейшем будет называться инженерно-технической защитой информации (ИТЗИ).

Техническая система информации может представлять самостоятельную, автономную, систему, например, такую как системы обеспечения переговоров, проведения конференций и прочие, в которых информация имеет некоторую степень конфиденциальности.

Отметим, что аналогично строятся системы обеспечивающие охрану предприятий, организаций, в которых также циркулирует конфиденциальная информация (возможно составляющая государственную, коммерческую тайну).

Таким образом, система ИТЗИ представляет собой комплекс организационно – административной, правовой и технической систем защиты конфиденциальной (конфиденциальная, секретная…), ценной, информации в ИС.

Система ИТЗИ имеет свою особенную технологию защиты и защищает информационную технологию «человеко- машинных» систем.

1.Понятие технической защиты информации

Виды источников и носителей информации

С точки зрения защиты информации ее источниками являются субъекты и объекты, от которых информация может поступить к несанкционированному получателю (злоумышленнику). Очевидно, что ценность этой информации определяется информативностью источника. Основными источниками информации являются следующие:

— интеллектуальные средства обработки информации;

— черновики и отходы производства;

— материалы и технологическое оборудование.

Информативность людей как источников информации существенно различается. Наиболее информированы руководители организаций, их заместители и ведущие специалисты. Каждый сотрудник организации владеет конфиденциальной информацией в объеме, превышающем, как правило, необходимый для выполнения его функциональных обязанностей. Распространение конфиденциальной информации между сотрудниками организации является одним из проявлений процессов выравнивания тезаурусов. Например, в результате неформальных межличностных отношений (дружественных, приятельских) конфиденциальная информация может поступать к посторонним лицам, которые к сохранению «чужих» тайн относятся менее ответственно, чем к своим. Тщеславные люди непреднамеренно разглашают конфиденциальные сведения в публичных выступлениях и беседах с целью продемонстрировать свою эрудицию или заинтересовать собеседника и т. д. Кроме непреднамеренного разглашения конфиденциальной информации, часть сотрудников (по американской статистике — около 25%) по различным личным мотивам готовы продать известные им секреты и ищут контактов с зарубежной разведкой или представителями конкурента.

Поэтому служба безопасности в интересах локализации ценной информации должна постоянно помнить о достаточно объективных процессах распространения информации внутри и даже за ее пределами (через родственников, друзей и приятелей, через сотрудников налоговой полиции, муниципалитетов, префектур, в арбитражном суде и т. д.). Даже эффективная защита информации, но только в пределах организации, не гарантирует ее безопасность.

В [1] под документом понимается зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать. К документам относится служебная информация, научные публикации в открытой и закрытой печати, статьи в газетах и журналах о деятельности организации или ее сотрудников, реклама, отчеты сотрудников, конструкторская и технологическая документация и т. д.

Документы относятся к наиболее информативным источникам, так как они содержат, как правило, достоверную информацию в отработанном и сжатом виде, в особенности, если документы подписаны или утверждены. Информативность различных публикаций имеет широкий диапазон оценок: от очень высокой, когда описывается открытие, до преднамеренной или непреднамеренной дезинформации. К последней, например, относятся публикации с недостаточно проверенными и достоверными результатами.

Большинство технических средств сбора, обработки, хранения и передачи информации нельзя отнести к источникам информации, так как они представляют собой лишь инструмент для преобразования входной информации. Исключения составляют лишь датчики различных измерительных устройств и интеллектуальные средства обработки, генерирующие информацию, такие как, например, компьютер Deep Blue фирмы IBM, выигравший матч у чемпиона мира Г. Каспарова. Критерием отнесения технического средства к источникам информации может служить ответ на вопрос потребителя информации об ее источнике. Легко можно представить реакцию потребителя информации на ответ, что ее источник — телефонный аппарат в таком-то помещении или компьютер. Также некорректно рассматривать в качестве источников информации радио- или телевизионные приемники. Очевидно, что источники этой информации даже не дикторы, читающие текст, а редакции и конкретные люди, готовящие текст или высказывающие свое мнение.

Продукция (без документации) является источником информации о признаках. Ноу-хау нового изделия могут содержаться во внешнем виде, например, в форме автомобиля, расцветке ткани, моделях одежды, узле механизма, в параметрах излучаемых полей (сигналов радиостанции или радиолокатора), в составе и структуре материала (броневой стали, ракетного топлива, духов или лекарства). Для получения семантической информации о сущности ноу-хау с целью его использования производят изучение и исследование продукции путем разборки, расчленения, выделения отдельных составных частей и элементов, проведения физического и химического анализа и т. д.

Любой творческий и производственный процесс сопровождается отходами. Научные работники создают эскизы будущих изделий или пробы веществ, при производстве (опытном или промышленном) возможен брак или технологические газообразные, жидкие или твердые отходы. Даже при печатании на пишущей машинке остаются следы документов на копировальной бумаге и ленте, которые после использования неопытная или небдительная машинистка бросает в корзину для бумаг. Отходы производства в случае небрежного отношения с ними (сбрасывания на .свалку без предварительной селекции, сжигания или резки бумаги и т. д.) могут привести к утечке ценной информации. Для такой возможности существуют, кроме того, психологические предпосылки сотрудников, серьезно не воспринимающих отходы как источники секретной (конфиденциальной) информации.

Информативными могут быть не только продукция и отходы ее производства, но и исходные материалы и сырье, а также используемое оборудование. Если среди поставляемых фирме материалов и сырья появляются новые наименования, то специалисты конкурента могут определить по ним изменения в создаваемой продукции или технологических процессах.

Таким образом, источниками конфиденциальной информации могут быть как физические лица, так и различные объекты. При решении задач ее защиты нужно учитывать каждый источник информации и его информативность в конкретных условиях. В редких случаях информация от источника непосредственно передается получателю, т. е. источник сам переносит ее в пространстве к месту расположения получателя или получатель вступает в непосредственный контакт с источником, например, проникает в помещение, вскрывает сейф и забирает документ.

Как правило, для добывания информации между источником и получателем существует посредник — носитель информации, который позволяет органу разведки или злоумышленнику получать информацию дистанционно, в более безопасных условиях. Информация источника также содержится на носителе. Следовательно, носителями являются материальные объекты, обеспечивающие запись, хранение и передачу информации в пространстве и времени. Известны 4 вида носителей информации:

— материальные тела (макрочастицы);

— элементарные частицы (микрочастицы).

Человек как носитель информации ее запоминает и пересказывает получателю в письменном виде или устно. При этом он может полученную от источника информацию преобразовать в соответствии с собственным толкованием ее содержания, исказив смысл. Кроме того, человек может быть также носителем других носителей информации — документов, продукции и т. д.

Материальные тела являются носителями различных видов информации. Прежде всего, материальные тела содержат информацию о своем составе, структуре (строении), о воздействии на них других материальных тел. Например, по остаточным изменениям структуры бумаги восстанавливают подчищенные надписи, по изменению структуры металла двигателя определяют его заводской номер, перебитый автомобильными ворами.