Информационная безопасность в корпорации

В этом материале мы расскажем, как обеспечить информационную безопасность в корпорации в цифровую эпоху.

В этой статье:

1. Почему необходимо обеспечивать информационную безопасность в корпорации?

2. Угрозы информационной безопасности в корпорациях

3. Примеры инцидентов ИБ в корпорациях

4. Особенности обеспечения ИБ в корпорациях

5. Принципы обеспечения ИБ в корпорациях

6. Ключевые компоненты корпоративной безопасности

Рассмотрим основные определения.

Корпорация — это совокупность лиц или компаний, уполномоченных действовать как единое целое и признанных таковым на законных основаниях для достижения общих целей. Основана на долевой собственности и разделении функций собственника и управляющего. Как правило, корпорации имеют сложную структуру и могут иметь большое число филиалов или целые группы дочерних компаний.

Корпоративная информационная безопасность — это защита данных в корпорации от несанкционированного доступа, использования, раскрытия, саботажа, изменения или уничтожения. Охватывает методы, инструменты и операции, которые организации внедряют для защиты собственных информационных активов. 

Почему необходимо обеспечивать информационную безопасность в корпорации?

В широком смысле корпоративная безопасность — это меры, принимаемые внутри корпорации для защиты физических, финансовых, интеллектуальных и других активов от внутренних и внешних угроз. К таким угрозам могут относиться хищения, мошенничество, кибератаки, инсайдерство, утечка конфиденциальных данных, природные катаклизмы, террористические атаки и др.

К сожалению, существует множество ситуаций, которые могут привести к тому, что внутренние и внешние угрозы будут реализованы, и именно поэтому защита корпоративной информации должна стать первоочередной задачей для организаций любого размера.

Реализация некоторых угроз в особенно крупных производствах, а также объектах критической информационной инфраструктуры (КИИ) может привести к катастрофическим последствиям: вреду здоровью и жизни граждан, ущербу экологии и проч.

Далее мы рассмотрим причины развернуть эффективную систему ИБ внутри корпорации.

Защита физических и интеллектуальных активов

Как правило, работа системы корпоративной ИБ направлена на защиту физических и интеллектуальных активов, включая оборудование, объекты, коммерческую тайну, патенты, авторские права и товарные знаки. Внедряя надежные меры безопасности, предприятия могут минимизировать риски краж, промышленного шпионажа и несанкционированного использования интеллектуальной собственности. Такая защита в значительной степени сокращает риски реализации угроз ИБ. Это позволяет сохранять конкурентное преимущество и устойчивое положение на рынке.

Предотвращение утечек персональных данных

Без эффективных мер безопасности утечки могут легко совершаться и оставаться незамеченными.

При этом киберпреступники становятся все более успешными и искусными в вопросах хищения персональных данных (далее — ПД), обходя сети со слабыми системами безопасности. Так, согласно данным некоторых коммерческих источников, в 2024 году число утечек выросло на 7,76% — и это несмотря на серьезное ужесточение законодательства в области защиты ПД. 

Если персональные данные, обрабатываемые корпорацией, станут доступны третьим лицам, это может привести к финансовому и репутационному ущербу, а также возможным судебным разбирательствам и штрафам со стороны регуляторов. Так, на данный момент в правительстве Российской Федерации рассматривается законопроект, согласно которому штраф за утечку ПД для юридических лиц составит от 3 до 15 млн рублей в зависимости от объема утечки. За повторные утечки предусмотрен оборотный штраф: он составит 0,1 до 3% от выручки за календарный год или за часть этого года, при этом будет составлять не менее 15 млн и не более 500 млн рублей.

Ознакомиться с перечнем информации, относящейся к категории персональных данных, можно ст. 10 152-ФЗ «О персональных данных» от 27 июля 2006 г.

Защита чувствительных сведений

В эпоху, когда данные являются ценным ресурсом, сохранение конфиденциальности чувствительной информации имеет первостепенное значение. Меры ИБ могут предотвратить несанкционированный доступ к корпоративным данным, информации о клиентах и ​​финансовым записям. 

Помимо этого, клиенты и заказчики доверяют компаниям защиту данных — и любое нарушение этого доверия может привести к испорченной репутации, потере положения на рынке и юридическим последствиям. Внедрение надежных мер ИБ помогает поддерживать доверие и защищать чувствительную информацию — корпорации, ее клиентов и иных заинтересованных сторон.

Снижение финансовых потерь

Корпоративная безопасность помогает компаниям смягчать финансовые потери, которые могут возникнуть из-за реализации различных рисков ИБ. Например, эффективные меры физической безопасности могут отпугнуть злоумышленников и, разумеется, снизить вероятность хищения, порчи  и уничтожения продукции, оборудования или инвентаря. Аналогичным образом, надежные методы кибербезопасности минимизируют риски эксфильтрации данных, что может привести к значительным денежным потерям, юридическим издержкам и подрыву доверия клиентов. Таким образом, инвестиции в корпоративную безопасность могут сэкономить компаниям значительные суммы денег в долгосрочной перспективе.

Обеспечение непрерывности процессов

Непредвиденные события, такие как стихийные бедствия, кибератаки или сбои в работе, могут нарушить нормальную работу бизнеса или остановить производство. Внедрение планов обеспечения непрерывности бизнеса как части корпоративной безопасности гарантирует, что компании смогут эффективно реагировать на любые инциденты, минимизировать время простоя и возобновить полноценную работу как можно скорее. Поддерживая непрерывность процессов, компании могут защитить свой поток доходов, сохранить удовлетворенность клиентов и избежать потенциального финансового и репутационного ущерба. 

Угрозы информационной безопасности в корпорациях

В популярных моделях ИБ-угроз предлагают классифицировать их следующим образом.

Внешние угрозы

Исходят извне: от мошенников, киберкриминальных группировок, вирусов, роботов. Распространенный пример внешней угрозы — DDoS-атака. Это виртуальная атака на информационные ресурсы компании, которая препятствует их доступности, а также замедляет или полностью останавливает работу ресурсов или всей информационной системы (далее — ИС).

По принципу действия DDoS-атака выглядит так, будто к информационному ресурсу одновременно пытаются получить доступ тысячи пользователей. Сервер, на котором расположен ресурс, не успевает обрабатывать такое количество запросов — и отключается. Однако запросы шлют не реальные люди, а роботы. Киберкриминальные группировки могут атаковать серверы, а также каналы связи, используемые внутри контура безопасности организации.

Цели DDoS-атак могут разниться в зависимости от целей, которые преследуют злоумышленники: конкуренты запускают их, чтобы вывести из строя интернет-ресурсы, мошенники — чтобы шантажировать владельцев корпораций для получения выкупа или просто ради развлечения.

Другой тип угроз — вирусы. Они проникают на рабочие станции, автоматизированные системы управления, а затем:

• шпионят, передают данные из корпоративных систем заинтересованным лицам;
• уничтожают, выводят из строя оборудование;
• изменяют или уничтожают данные;
• шифруют информацию, а после киберпреступники требуют выкуп.

Внутренние угрозы

Как правило, это угрозы, связанные с деятельностью персонала внутри корпорации. Такие угрозы делят на случайные и намеренные.

Случайные угрозы. Как правило, связаны с низким уровнем осведомленности в вопросах информационной безопасности и кибергигиены среди сотрудников корпорации. 

Среди прочих выделяют следующие случайные угрозы ИБ.

• Ошибки ввода данных. Сотрудники могут случайно ввести неверные данные, что приведет к искажению информации или ошибкам в работе системы.
• Непреднамеренное раскрытие информации. Сотрудники могут непреднамеренно раскрыть конфиденциальную информацию другим лицам, а также случайно или по халатности опубликовать ее в открытом доступе.
• Несоблюдение установленных в корпорации политик безопасности. Сотрудники могут не соблюдать правила безопасности при работе с данными, например, использовать небезопасные методы передачи или оставлять рабочие устройства в свободном доступе для посторонних лиц.
• Использование небезопасных приложений и устройств, посещение небезопасных сайтов, сервисов. Сотрудники могут использовать ненадежные приложения или подключать непроверенные устройства для работы с корпоративными данными, что может привести к эксфильтрации данных.
• Нарушение политик доступа к информационным ресурсам. Сотрудники могут нарушать политики доступа к информации, предоставляя доступ неавторизованным пользователям или используя чужие учетные записи.

Намеренные угрозы

Сотрудники могут намеренно нарушать правила ИБ внутри корпорации. Мотивы могут разниться: это часто случается во время конфликтов между коллегами или при расторжении трудовых отношений — когда персонал забирает с собой часть клиентской базы или продает ее конкурентам. Сходство таких угроз одно — инициаторы осведомлены о последствиях инцидентов.

Возможные авторы таких угроз: конкуренты, недовольные акционеры, руководители и менеджмент, нелояльные корпорации сотрудники.

При этом важно понимать: намеренная угроза может исходить от доверенного сотрудника, который не производит впечатление инсайдера или потенциального нарушителя. 

Помимо прочих выделяют следующие намеренные угрозы ИБ.

• Хищение, порча или уничтожение оборудования — устройств хранения данных, серверов и др.
• Неправомерное использование ресурсов корпорации, злоупотребление полномочиями: нерациональное использование корпоративных ресурсов (интернет, принтеры, компьютеры) — для личных целей.
• Хищение конфиденциальных сведений и баз персональных данных — исходя из злого умысла или с целью продажи или передачи третьим лицам.
• Неправомерное копирование, изменение и уничтожение информации, принадлежащей корпорации. 
• Коррупция, откаты от поставщиков и подрядных организаций. 
• Промышленный шпионаж.

Изучите тему «Угрозы информационной безопасности» подробнее в нашем материале. 

Примеры инцидентов ИБ в корпорациях

Далее мы рассмотрим примеры инцидентов ИБ, которые удалось выявить и предотвратить с помощью DLP-системы Falcongaze SecureTower. 

Утечка информации при увольнении сотрудника 

Один специалист из компании-клиента, в которой была установлена DLP-система SecureTower, принял решение разорвать трудовые отношения. Перед тем как уйти, он начал скачивать базу данных клиентов — для дальнейшего ее использования в новой компании. Система своевременно оповестила офицера безопасности об операции (копировании файлов на флеш-носитель) — и тем самым предотвратила утечку очень чувствительной информации из базы данных.

Возможный ущерб может исчисляться миллионами рублей, репутационные риски — неоценимы.

Нерациональное распределение рабочего времени в организации

В компании-клиенте была развернута система SecureTower. Так, на основе проведенных наблюдений с экранов мониторов обнаружилось, что менеджеры тратят 30% рабочего времени на выполнение нерациональных действий в программе 1С. В связи с этим было принято решение о проведении курсов обучения работе в этой программе. Сотрудники прошли обучение и смогли больше времени уделять продажам, что способствовало увеличению прибыли компании на 15%. Потраченные средства и время на обучение способствовали более эффективному использованию программы 1С. Прибыль компании за 1 месяц больше стоимости внедрения системы.

Отсутствие достаточно эффективных механизмов своевременного выявления нелояльных и экстремистски настроенных работников

С помощью внедренной системы ST среди работников крупного авиационного производственного предприятия на этапе вербовки запрещенной в России террористической организацией выявлен экстремистски настроенный сотрудник. Последствия для предприятия могли быть катастрофическими. 

Особенности обеспечения ИБ в корпорациях

Как правило, у корпораций сложная структура и они имеют подразделения, распределенные по разным филиалам и иногда — по юридическим лицам. Это создает особые задачи по обеспечению безопасности, так как необходимо объединять множество локальных сетей в один контур управления.

Важно понимать, что ИС внутри корпорации практически всегда будет сложной и многоуровневой: с множеством компьютерных сетей, подразделений, оборудования и удаленных рабочих станций.

Особенностями корпоративных информационных систем в контексте ИБ:

• структурная сложность ИС, потребность в высокоточной настройке ее компонентов;
• не меньше трех уровней обмена данными: между подразделениями и головным офисом, между подразделениями, между структурными единицами и конечными потребителями данных (клиентами, сотрудниками, партнерами, контрагентами и проч.);
• большой объем подлежащих обработке данных, возникающих при коммуникациях между подразделениями.

Корпорации обязаны развернуть и поддерживать работоспособность системы безопасности данных на высоком уровне — в том числе в своих дочерних подразделениях и филиалах. 

Принципы обеспечения ИБ в корпорациях

Данные принципы сформулированы на основе международного стандарта ISO 27014:

• ИБ на уровне компании должна быть комплексной, многоуровневой и всеобъемлющей;
• каждое решение должно основываться на принятой в корпорации политике информационной безопасности;​
• стратегия приобретения и инвестирования в безопасность ИС должна соответствовать требованиям бизнеса, при этом стоимость организации системы ИБ не должна превышать стоимость охраняемых активов;​
• соблюдение правовых и нормативных требований, описанных в ГОСТах и международных стандартах;​
• поощрение позитивного отношения к мерам безопасности среди всех заинтересованных сторон, непрерывный образовательный процесс, направленный на повышение осведомленности в вопросах кибербезопасности;​
• принятые меры не должны препятствовать деятельности корпорации, вмешиваться в процессы и проч.

Ключевые компоненты корпоративной безопасности

Ниже приведены ключевые элементы надежной корпоративной политики безопасности.

Реализация правовых мер

Как уже было сказано выше, при недостаточности мер ИБ на корпорацию может быть наложен штраф. Чтобы избежать санкций и штрафов со стороны регуляторов, необходимо соблюдать требования, описанные в нормативно-правовых актах. В Российской Федерации регуляторами выступают Роскомнадзор, ФСБ, Минкомсвязи, ФСО и ФСТЭК.

Помимо прочих, в России действуют национальные стандарты (ГОСТ), которые регулируют различные аспекты ИБ. Например:

• ГОСТ Р 50922–2006 «Защита информации. Основные термины и определения».
• ГОСТ Р ИСО/МЭК 15408-1–2012 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель».

Международные стандарты разрабатываются такими организациями, как ISO (Международная организация по стандартизации) и IEC (Международная электротехническая комиссия). Вот некоторые из них:

• ISO/IEC 27001:2022 «Информационные технологии. Методы обеспечения безопасности. Системы управления информационной безопасностью. Требования».
• ISO/IEC TR 19791:2018 «Информационные технологии. Облачные вычисления. Эталонная архитектура защиты данных».

Исходя из вышесказанного, офицер безопасности обязан хорошо ориентироваться в специфике законодательства в сфере ИБ. В связи с этим часто возникает необходимость обратиться за профессиональной помощью.

Контроль за инцидентами ИБ

Корпоративная безопасность напрямую коррелирует с управлением инцидентами. К ним относятся, в частности, нарушения действующей политики безопасности в корпорации, утеря (или хищение) оборудования, несанкционированные изменения в работе систем и сервисов, утечка чувствительных сведений и проч.

К сожалению, сегодня не существует способов и аппаратно-технических средств, способных обеспечить 100%-ную защиту от возникновения инцидентов ИБ. Однако их своевременное выявление, реагирование и ликвидация существенно минимизируют возможные материальные, финансовые и репутационные потери.

Помимо того, чтобы сохранить целостность, доступность и конфиденциальность информационных активов корпорации, необходимо разработать надежную политику безопасности, в которой помимо прочего будут описаны меры упреждающего реагирования на различные угрозы.

Изучите тему подробнее в нашем материале «Управление инцидентами ИБ».

Секьюритизация персонала

Каждое подразделение, отдел и сотрудник в отдельности должны серьезно отнестись к вопросам обеспечения ИБ в корпорации.

Секьюритизация, или обучение персонала основам безопасного поведения в Сети, позволяет существенно сократить риски возникновения киберинцидентов по вине сотрудников.

Как правило, такая система обучения подразумевает:

• проведение семинаров, вебинаров, тренингов, составление методичек и памяток;
• регулярные рассылки с описанием новых или актуальных схем интернет-мошенничества;
• проведение так называемых киберучений, то есть проверок, насколько хорошо сотрудники корпорации осведомлены в вопросах кибербезопасности, и проч.

Сотрудничество между подразделениями 

Общий уровень ИБ в корпорации можно оценивать по состоятельности мер, которые были приняты в самом плохо защищаемом подразделении или филиале, входящем в информационную систему.

Именно поэтому для обеспечения надежной стратегии безопасности крайне важно обеспечить сотрудничество в масштабах всей корпорации. 

Ключевые механизмы обеспечения ИБ

При разработке и внедрении системы ИБ внутри корпорации, как правило, применяют организационные и программно-технические меры. Внедренные механизмы и принцип их работы должны быть подробно описаны в политике безопасности корпорации.

В числе прочих выделяют следующие механизмы обеспечения ИБ.

1. Брандмауэры и антивирусное ПО. Это ваша первая линия защиты от киберугроз. Брандмауэры отслеживают входящий и исходящий трафик, блокируя подозрительную активность, в то время как антивирусное ПО обнаруживает и удаляет вредоносное ПО с ваших устройств.
2. Шифрование данных. Это подразумевает преобразование ваших данных в код для предотвращения несанкционированного доступа. Даже если хакерам удастся перехватить зашифрованные данные, они не смогут прочитать их без ключа дешифрования.
3. Развертыванием SIEM- и DLP-систем. SIEM-системы агрегируют данные о событиях безопасности и дают возможность управлять упреждающими мероприятиями по ликвидации инцидентов и минимизации ущерба от их реализации. DLP-системы позволяют контролировать активность сотрудников за рабочими станциями и в значительной степени сокращают вероятность утечки охраняемой информации по вине персонала.
4. Разграничение и контроль доступа. Не всем сотрудникам корпорации нужен доступ сразу ко всем данным. Внедрение строгого контроля доступа гарантирует, что только уполномоченный персонал может просматривать или изменять конфиденциальную информацию. А введение принципа нулевого доверия позволит сократить риски несанкционированного доступа к охраняемым данным.
5. Своевременные обновления и исправления. Киберпреступники постоянно используют уязвимости устаревшего ПО. Регулярное обновление систем и применение исправлений помогает закрыть эти бреши в безопасности.
6. Ограничение программной среды. Отказ от неиспользуемых сотрудниками ПО, сервисов и его компонентов, управление временными файлами, контроль за установкой программ и сервисов и проч.
7. И иные.

Изучите тему подробнее в нашем материале «Механизмы обеспечения ИБ».

Заключение

Корпоративная безопасность играет важнейшую роль в защите активов, репутации и конкурентоспособности бизнеса. Внедряя комплексные меры, корпорации могут сократить вероятность реализации рисков и угроз, а также смягчить возможные последствия, обеспечив безопасность физических активов, конфиденциальность чувствительных сведений и непрерывность бизнес-операций. 

Важность корпоративной безопасности невозможно переоценить, поскольку от нее в буквальном смысле зависят прибыльность, репутация и надежность корпорации в глазах клиентов, партнеров и иных заинтересованных сторон. Поэтому инвестирование в надежную ИБ не просто необходимо — это стратегическая задача для каждой корпорации.