Информационная безопасность бизнеса: концепция, угрозы и способы защиты

Бизнес современной прогрессивной компании построен на использовании информационных технологий, а защита конфиденциальных данных становится неотъемлемой частью этого процесса и залогом конечной успешности предприятия. Ресурсная, кадровая, репутационная стабильность в том числе строятся на таком общем понятии как информационная безопасность бизнеса. Об этом сегодня в статье Falcongaze.

План статьи:

1. Понятие информационной безопасности бизнеса

2. Информационные угрозы для бизнеса?

3. Внешние угрозы информационной безопасности в бизнесе

4. Внутренние угрозы информационной безопасности

5. Причины утечек информации

6. Алгоритм обеспечения информационной безопасности бизнеса.  

Понятие информационной безопасности бизнеса

Определение информационная безопасность в бизнесе подразумевает под собой комплекс технических, программных, организационных мер и кадровой организации работы, которые вместе работают на предупреждение и предотвращение рисков утечки, несанкционированного изменения, удаления данных или порчи носителей информации. Планирование мероприятий по обеспечению информационной безопасности производится согласно трем признанным принципам ее обеспечения: 

Принцип №1 — конфиденциальность. Информационная безопасность представляется через призму применяемых мер, которые должны обеспечивать конфиденциальность защищаемых данных независимо от источника угроз: объектов внутри или вне контура обеспечения безопасности и типа защищаемых данных (коммерческая тайна, персональная информация, гостайна и др.). 

Принцип №2 — целостность. Бизнес-данные, в том числе высоко конфиденциальные, должны быть защищены от несанкционированного изменения и фальсификации, и обеспечивать достоверность хранимой информации.

Принцип №3 — доступность. Меры обеспечения информационной безопасности бизнеса не должны противодействовать своевременному санкционированному  доступу к данным и их использованию в достоверной форме.

Бизнес-информация может являться целью внедрения во внутренний контур безопасности предприятия. Инсайдерская деятельность, промышленный шпионаж, халатные действия сотрудников —- вариативность враждебных воздействий очень большая. Рассмотрим подробнее информационные угрозы для бизнеса.  

Информационные угрозы для бизнеса

Разнообразие информационных угроз, способных навредить бизнесу, делает необходимость их классификации. В общем основные угрозы можно разделить на несколько категорий:

• внешние угрозы — воздействие на объекты информации внутри предприятия;
• внутренние угрозы — воздействие на информацию субъектами внутри периметра информационной безопасности.

Рассмотрим подробнее, что к ним относится.  

Внешние угрозы информационной безопасности в бизнесе

Сюда можно отнести все программные решения, внедряемые в контур безопасности извне.

1. Фишинг — рассылка поддельных ссылок с целью перераспределения обращения адресата на поддельный сайт или приложение.
2. Программы-шифровальщики — вредоносное ПО, которое осуществляет блокировку или шифрование доступа к данным взамен на выполнение требуемых условий.
3. DoS и DDoS-атаки — массированное давление на сайт или приложение с помощью многоразового единовременного запроса на вход.

Все эти действия преследуют цель взлома системы безопасности предприятия при помощи программных инструментов с целью получения доступа к файлам-хранения и похищения данных из них.

Отдельно во внешних угрозах стоит упомянуть социальную инженерию. Это способы психологического воздействия на потенциальную жертву с целью получения доступа к конфиденциальной информации, манипулирования людьми с помощью эмоций и вывода их из равновесия.

К инструментам мошенников в бизнесе при помощи социальной инженерии относятся:

• Претекстинг. Создание ложного сценария для взаимодействия с представителем компании. Как правило используется имитация востребованных коммерческих услуг типа общения со службой безопасности или ИТ-отделом, чтобы через авторитетность и доверие получить доступ к конфиденциальным данным.
• Байтинг. Создание триггерных приманок (физических предметов, на которые могут среагировать пользователь) для внедрения через них специального вредоносного ПО. Это может быть как подброшенная ценная флеш-карта, так и псевдорекламная раздача. Основная цель: обеспечить максимально действенную приманку, перед которой нельзя будет устоять.
• Тейлинг. Это метод проникновения в защищенную зону предприятия через следование за сотрудником под любым предлогом: необходимость срочного решения производственного задания, личный контакт или по другой причине.
• Прямые манипуляции и психологическое давление. Злоумышленники создают искусственно панику и страх, призывая потенциальную жертву к необдуманным срочным решениям и спешке. 

Кроме методов программного воздействия и социальной инженерии,  внешним угрозам информационной безопасности бизнеса можно отнести физические угрозы. К ним относятся:

• стихийные бедствия (землетрясения, ураганы, молнии и т. д.);
• погодные катаклизмы (чрезмерная жара или холод);
• непосредственное физическое воздействие типа кражи, порчи носителей информации.  

   

  Внутренние угрозы информационной безопасности

  Эти угрозы исходят от самих сотрудников или партнеров организации, то есть от всех лиц, входящих в круг доверия компании. 

  К ним относятся преднамеренные или случайные нарушения внутренних правил безопасности компании, такие как:

  • нецелевое использование оборудования, интернет-мощностей или программного обеспечения, повлекшее утечку данных;
  • игнорирование установленных внутренним распорядком правил обращения с информацией, включающих потребность в обеспечении безопасной передачи, внесения изменений и условий хранения информации;
  • нарушение соглашения о нераспространении информации, относящейся к коммерческой тайне;
  • использование служебного положения с целью расширения прав доступа к конфиденциальной информации и др. пути.

  Во всех эти случаях имеет место работа внутреннего инсайдера — сотрудника, который использует собственное служебное положение с целью получения доступа конфиденциальной информации и распространения этих данных третьим лицам за вознаграждение. Мотивация инсайдеров может быть разной и зависит лишь от персонального выбора:

  • финансовая нажива, когда инсайдер по предварительному заказу или самостоятельно распространяет конфиденциальные данные за вознаграждение от третьих лиц;
  • личные мотивы или месть в следствии неразрешенных внутрикорпоративных конфликтов и накопленного негатива;
  • политические, идеологические мотивы, согласно которым сотрудник не разделяет принятый курс развития компании и транслируемую политику и др.

  В этом случае действия инсайдера, как и потенциальный ущерб, заранее спланированы.

  Существует также такое понятие как непреднамеренная утечка данных, когда сотрудник становится инсайдером по невнимательности. Распространение конфиденциальных данных в таком случае не несет за собой эмоционального посыла, однако ущерб от несанкционированного инсайдерства из-за этого не уменьшается. Может быть осуществлено в:

  • личной переписке, общении в соцсетях, мессенджерах, с помощью email переписки;
  • утечке через физические носители информации из-за халатного обращения с ними или в случае утери, порчи;
  • конфиденциальной информации, распространенной устно в разговорах;
  • ошибках в коммуникациях различных структурных подразделений компании, когда заведомо охраняемые данные попадают в открытый доступ досрочно, что приводит к потере конкурентных позиций.

  К внутренним угрозам информационной безопасности бизнеса относятся также технические проблемы. Это совокупность сбоев в работе оборудования и инфраструктуры предприятия, повлекшие негативные последствия для конфиденциальности данных. Технические сбои могут быть представлены:

  • Аппаратными сбоями оборудования типа нарушений в работе жестких дисков, SSD, маршрутизаторов и коммутаторов, сбоев в системе питания, приведших к потере данных.
  • Ошибками в работе систем резервного копирования, в том числе применением несовместимых систем, приведших к невозможности восстановления данных и к утечке информации при некорректной работе систем безопасности.
  • Сбоями или неправильной настройкой систем аутентификации и авторизации, могли привести к несанкционированному доступу к конфиденциальной информации.

  “Комплекс программного обеспечения по противодействию утечкам информации — DLP-система Falcongaze SecureTower доступен для бесплатного тестирования в течении 30 дней. Узнайте больше о безопасности собственного бизнеса!”

   

  Причины утечек информации

  Утечка информации — самый распространенный способ утери контроля над сохранностью данных и управлением конфиденциальностью компании. Однако причины утечек могут быть самыми разными:

  • Человеческий фактор из-за невнимательности сотрудников, партнеров или клиентов, имеющих доступ к конфиденциальным данным.
  • Недостаточные знании о кибербезопасности у сотрудников, которые привели к ошибкам при работе с конфиденциальными данными и их утечке.
  • Нарушение работы с корпоративными политиками безопасности, как умышленное, так и случайное.
  • Устаревшая материально-техническая база, уязвимая для атак и эксплуатации злоумышленниками. Сюда можно отнести как оборудование, так и программные комплексы, используемые для осуществления бизнес-процессов.
  • Таргетированное воздействие, когда предприятие и его информационная инфраструктура целенаправленно становятся объектами внешнего или внутреннего воздействия с целью получения доступа к данным (например, к ноу-хау или продуктам научно-технического труда).

  

  Предприятие не может заранее просчитать причины утечек информации. Невозможно спланировать потенциальную гонку конкурентов или недобросовестность и негативные реакции сотрудников.  

  Поэтому компания при формировании общей концепции обеспечения безопасности предприятия должна продумать как комплекс превентивных мер, так и прямую защиту от потери ценной информации.  

  Алгоритм обеспечения информационной безопасности бизнеса

  При формировании алгоритма обеспечения информационной безопасности бизнеса предприятие должно руководствоваться основными принципами.

  Во-первых, обеспечение ИБ должно создавать комплексную защиту, учитывающие как технические проблемы с оборудованием, так и человеческий фактор.

  Во-вторых, ИБ должно строится с учетом превентивных мер безопасности, включающих:

  В-третьих, необходимо заранее разграничить доступ к информации, выделить в круг доверенных лиц из числа сотрудников.

  В-четвертых, это регулярность проведения мероприятий по обеспечению безопасности информации.

  Для того чтобы эффективно защищать данные компании, необходимо следовать пошаговому алгоритму обеспечения информационной безопасности.

  Этап №1: оценка существующих активов и данных для охраны.

  Предприятие должно определить все информационные активы, которые необходимо обеспечить защитой от утечек. К ним относятся все данные, которые имеют ценность для компании и распространение которых может нанести ущерб любого вида и внутренней безопасности в целом. Информационные активы могут быть представлены  в цифровом или физическом виде:

  Информационная безопасность бизнеса должна строится с учетом всех этих способов хранения и защищать их все.

  Этап №2: оценка и управление рисками.

  Первостепенным шагом является проведение тщательного анализа информационных систем компании для выявления уязвимостей. Это позволяет понять, какие аспекты бизнеса нуждаются в защите в первую очередь. Можно выделить следующие виды рисков ИБ:

  Предприятие должно определить риски, которые могут максимально нанести ущерб компании, и с учетом полученной информации о них строить систему безопасности. 

  Этап №3: создание политики безопасности.

  На основе анализа разрабатываются и внедряются четкие правила и процедуры, которые регулируют порядок работы с информацией на всех уровнях организации, зафиксированные в политике безопасности, что обеспечивает:

  Подробнее эту тему мы исследовали в статье “Политика информационной безопасности”.

  Этап №4: разграничение доступа.

  Важный элемент контроля за доступом к данным и системам предприятия. Все сотрудники наделяются определенными уровнями доверия, представленными в виде доступа к корпоративным данным. Этот уровень доверия не является рандомной мерой, а определяется объемом информации, необходимым для выполнения служебных обязанностей. 

  Разделяют следующие подходы к предоставлению доступа к информационным ресурсам:

  Дискреционная модель управления доступом основывается на концепции, что доступ к ресурсам контролируется владельцем этих ресурсов. В этой модели право на управление доступом передается субъекту, который владеет или создал ресурс (например, файл или папку). Владелец ресурса может на свое усмотрение предоставлять права другим пользователям, а также изменять их.

  Мандатная модель предполагает, что доступ к ресурсам контролируется системой на основе предустановленных правил, которые определяются политиками безопасности. В этой модели пользователи не могут самостоятельно изменять права доступа к объектам. Доступ регулируется на основании уровней секретности или классификации данных.

  В рамках этой модели одним из самых популярных решений последних лет стала модель Zero Trust или модель Нулевого доверия. Это более современный подход к информационной безопасности, который основывается на принципе "никому нельзя доверять по умолчанию". Считается, что ни одна внутренняя или внешняя сеть, устройство или пользователь не заслуживает автоматического доверия, все субъекты и устройства, независимо от их местоположения (внутри сети или снаружи), должны проходить аутентификацию, авторизацию и проверку на соответствие политике безопасности перед получением доступа к ресурсам.

  Ролевая модель управления доступом основывается на назначении пользователям ролей, каждая из которых определяет набор разрешений. В этой модели доступ к ресурсам контролируется не на основе индивидуальных прав пользователя, а через его принадлежность к определенной роли. Например, роль "администратор" может обладать одними правами, а роль "пользователь" — другими.

  Этап №5: постоянный мониторинг и обнаружение угроз информационной безопасности предприятия.

  Предприятие должно обеспечить регулярный контроль активности в системе, выявлять и оперативно реагировать на подозрительные действия всех участников. Важно внедрить системы для мониторинга как внешних, так и внутренних угроз, а также применять комплекс аппаратных и программных решений. Для этого применяются:

  “DLP-системы являются одним из самых эффективных инструментов противодействия утечкам информации. С помощью них можно пресечь деятельность как профессионального инсайдера, так и просто невнимательного сотрудника, который по ошибке распространяет конфиденциальную информацию. Подробнее можно узнать по ссылке.”

  Этап №6: обучение сотрудников. 

  Невозможно создать безопасный контур предприятия, но при этом игнорировать информационную грамотность самих сотрудников. Утечки по неосторожности продолжают занимать лидирующие позиции среди основных рисков ИБ. Поэтому для повышения эффективности мер ИБ рекомендуется проводить обучение сотрудников с помощью:

  Этап №7: резервное копирование данных. 

  Это один из важных страховочных этапов защиты информации. Резервные копии обеспечивают сохранность информации на случай утраты доступа или повреждения данных. Осуществление резервного копирования должно проводится в соответствии со следующими принципами:

  Этап №8: актуализация программного обеспечения.

  Поставщики современного программного обеспечения постоянно дорабатывают и расширяют функционал своих цифровых продуктов, поэтому своевременное обновление операционных систем и программ помогает:

  Заключение

  Информационная безопасность бизнеса — это многоаспектный процесс, требующий тщательного планирования и постоянного контроля. Для успешной защиты компании от утечек данных и кибератак необходимо внедрять комплексные решения, учитывать как внешние, так и внутренние угрозы, а также повышать осведомленность сотрудников о базовых принципах безопасности. Соблюдение данных рекомендаций позволит минимизировать риски и обеспечить стабильную и безопасную работу организации в условиях цифровой экономики.

  • нецелевое использование оборудования, интернет-мощностей или программного обеспечения, повлекшее утечку данных;
  • игнорирование установленных внутренним распорядком правил обращения с информацией, включающих потребность в обеспечении безопасной передачи, внесения изменений и условий хранения информации;
  • нарушение соглашения о нераспространении информации, относящейся к коммерческой тайне;
  • использование служебного положения с целью расширения прав доступа к конфиденциальной информации и др. пути.
  • финансовая нажива, когда инсайдер по предварительному заказу или самостоятельно распространяет конфиденциальные данные за вознаграждение от третьих лиц;
  • личные мотивы или месть вследствии неразрешенных внутрикорпоративных конфликтов и накопленного негатива;
  • политические, идеологические мотивы, согласно которым сотрудник не разделяет принятый курс развития компании и транслируемую политику и др.
  • личной переписке, общении в соцсетях, мессенджерах, с помощью email переписки;
  • утечке через физические носители информации из-за халатного обращения с ними или в случае утери, порчи;
  • конфиденциальной информации, распространенной устно в разговорах;
  • ошибках в коммуникациях различных структурных подразделений компании, когда заведомо охраняемые данные попадают в открытый доступ досрочно, что приводит к потере конкурентных позиций.
  • Аппаратными сбоями оборудования типа нарушений в работе жестких дисков, SSD, маршрутизаторов и коммутаторов, сбоев в системе питания, приведших к потере данных.
  • Ошибками в работе систем резервного копирования, в том числе применением несовместимых систем, приведших к невозможности восстановления данных и к утечке информации при некорректной работе систем безопасности.
  • Сбоями или неправильной настройкой систем аутентификации и авторизации, могли привести к несанкционированному доступу к конфиденциальной информации.
  • своевременное обновление программного обеспечения;
  • аудит систем безопасности;
  • обучение и профилактические беседы с сотрудниками;
  • применение специализированного программного обеспечения по противодействию утечкам информации;
  • исследование рынка конкурентов и применяемых ими инструментов борьбы и др.
  • на жестких дисках, USB-носителях, картах памяти;
  • на серверах внутрикорпоративной сети;
  • в облачных хранилищах арендуемых или покупаемых систем хранений данных;
  • в бумажном варианте в виде документов, чертежей, схем;
  • в виде накопленного опыта сотрудников и т. д. 
  • Финансовые риски.
  • Репутационные риски.
  • Риски юридической ответственности.
  • Риски срыва технической работы предприятия.
  • Риски “утечки мозгов” и кадрового дефицита.
  • Риск санкционного давления и издержек.
  • Операционные риски и срыв бизнес-процессов и др.
  • сохранение правил обращения с информацией в едином стандарте для всей организации, что позволяет обеспечить целостность к подходу обеспечения ИБ во всех структурных подразделениях и всеми сотрудниками;
  • фиксация правил поведения для сотрудников при  наступлении инцидента безопасности или при критической ситуации;
  • распределение и фиксацию категорий доступа к информации, определение процесса предоставления доступа для сотрудников;
  • перечисление мер защиты информации;
  • фиксацию безопасных средств коммуникации для сотрудников, партнеров и клиентов.
  • Дискреционная модель управления доступом (DAC)
  • Мандатная модель управления доступом (MAC)
  • Ролевая модель управления доступом (RBAC)
  1. антивирусы, для защиты от внедрения вредоносного ПО;
  2. межсетевые экраны для отражения трафика по IP-адресу;
  3. IDS и IPS системы для обнаружения и предотвращения вторжений;
  4. система управления информационной безопасностью и событиями безопасности (SIEM) для обеспечения ИБ бизнеса и предотвращения внешних попыток внедрения в контур безопасности;
  5. DLP-системы для предотвращения утечек информации и блокировки работы инсайдеров.
  • Образовательных вебинаров и тренингов внутри компании, как в онлайн, так и в офлайн формате.
  • Тематических конференций и выставок.
  • Чек-листов, инструкций, правил информационной безопасности и ознакомления с ними.
  • Обмена опытом между структурными подразделениями и приглашением сторонних спикеров.
  • Специальным образованием и переподготовкой кадров и другими мерами.
  • Регулярность копирования, независимо от степени автоматизации этого процесса.
  • Периодическая проверка резервных копий на предмет восстановления данных из них и корректной сохранности информации.
  • Дублирование резервных копий на разных устройствах и сервисах,  что позволит дополнительный уровень безопасности информации.
  • Долгосрочное хранение данных.
  • Использование облачных сервисов.
  1. устранить обнаруженные критические уязвимости;
  2. улучшить производительность продукции;
  3. расширить функционал.