Корпоративная информационная безопасность

Что такое корпоративная информационная безопасность (КИБ)? Корпоративная информационная безопасность — это важный аспект современного предприятия, направленный на защиту конфиденциальной информации от несанкционированного доступа, распространения, изменения или уничтожения. Чем больше бизнес-процессов осуществляется на предприятиях, тем больше угроз существует, а значит, тем сложнее и многограннее становится корпоративная информационная безопасность.

В данной статье рассмотрены основные понятия корпоративной информационной безопасности, методология оценки угроз, методы и средства защиты, федеральные законы, современные тенденции и стоимость решений по защите информации.

Основные термины и определения

Информационная безопасность (ИБ) — совокупность профилактических и практических методов предотвращения несанкционированного доступа, использования, раскрытия, нарушения, изменения или уничтожения информации.

Угроза — действие, которое потенциально может нанести ущерб системе информации компании.

Уязвимость — снижение эффективности защиты информационной системы, что может привести к несанкционированному доступу или распространению конфиденциальных данных.

Риск — возможность потери или ущерба для информации, когда угроза использует уязвимость информационной системы.

Контроль — меры предосторожности или контрмеры, внедряемые для снижения информационных рисков.

Методология оценки угроз информационной безопасности

ФСТЭК в 2021 году создала Методику оценки угроз безопасности информации, направленную на единый подход к идентификации, оценке и управлению угрозами.

Основные цели:

1. Определение угроз. Структурированный подход к выявлению потенциальных угроз безопасности информации.
2. Оценка угроз. Анализ вероятности реализации угроз и возможного ущерба.
3. Управление рисками. Разработка мероприятий по снижению рисков и повышению уровня защищенности систем.
4. Единообразие подходов. Обеспечение единого подхода к оценке угроз и мер защиты информации.

Методология ориентирована на оценку антропогенных угроз безопасности информации и может использоваться для разработки отраслевых методик оценки угроз ИБ.

Основные задачи оценки угроз:

1. Определение негативных последствий реализации угроз ИБ.
2. Инвентаризация систем и сетей для выявления объектов защиты.
3. Поиск и выявление источников угроз и оценка возможностей нарушителей.
4. Оценка сценариев реализации угроз и их актуализация.

Для анализа угроз компания может использовать базовые источники: банк данных угроз ФСТЭК, модели угроз, базы данных атак (CAPEC, ATT&CK, OWASP и др.), техническую документацию, договоры с подрядчиками, нормативно-правовые акты и результаты оценки рисков.

Этапы оценки угроз:

1. Определение последствий, влияющих на ИБ.
2. Определение объектов воздействия.
3. Оценка вероятности и актуальности угроз.

Подробнее см. на сайте ФСТЭК.

Последствия, влияющие на ИБ

1. Нарушение персональных прав граждан.
2. Ущерб обороноспособности, безопасности, правопорядку или экономике страны.
3. Финансовые, технологические и репутационные риски для предприятия.

Объекты воздействия угроз

1. Сетевой уровень — серверы, протоколы передачи данных (HTTP/HTTPS, SSH, FTP и др.).
2. Системный уровень — операционные системы (Windows, Linux, MacOS, Unix и др.).
3. Прикладной уровень — программное обеспечение, браузеры, файлы и т. д.
4. Пользовательский уровень — воздействие через социальную инженерию.

Приложение 10 к документу ФСТЭК

Приложение 10 к методике содержит примеры, шаблоны и рекомендации для проведения оценки угроз, включая:

1. Шаблоны и формы документирования результатов.
2. Примеры реальных угроз и сценариев.
3. Методические рекомендации для различных этапов оценки.

Этапы структурированной оценки угроз:

1. Идентификация активов.
2. Идентификация угроз.
3. Идентификация уязвимостей.
4. Оценка рисков.
5. Внедрение контролей.
6. Мониторинг и обзор.

Полная информация по итогам оценки угроз позволяет компании построить эффективный план корпоративной информационной безопасности.

Методы и средства защиты информации

Защита информации требует применения различных методов:

• Шифрование и криптография. Преобразование информации в защищенный формат с помощью СКЗИ.
• Межсетевые экраны. ПО, предотвращающее несанкционированный доступ.
• Системы обнаружения вторжений (IDS). Средства выявления неавторизованного доступа и аномалий трафика.
• Контроль доступа. Механизмы авторизации (автономные, сетевые, биометрические).
• Правовые методы. Регулирование ИБ на уровне законодательства (98-ФЗ, 149-ФЗ, 152-ФЗ, 63-ФЗ).
• Административные методы. Политики безопасности, обучение сотрудников, кризисные планы.
• Физические методы. Контроль доступа на объект, защита от стихийных бедствий.
• Программные методы. Антивирусы, брандмауэры, SIEM, DLP-системы и др.

Современные тенденции защиты информации

Модель Zero Trust

Подход «Никогда не доверяй, всегда проверяй». Каждый пользователь и устройство проходят аутентификацию и авторизацию, применяется MFA, принцип минимальных привилегий и сегментация сети.

Интеграция искусственного интеллекта и машинного обучения

AI и ML используются для обнаружения аномалий, прогнозирования угроз и автоматизации ответных действий в системах ИБ.

Фокус на защите данных и соблюдении нормативов

Рост числа законов о защите данных повышает важность комплаенса и внедрения мер по конфиденциальности информации.

Рост использования облачных решений безопасности

Облачные технологии все активнее применяются для хранения и защиты корпоративных данных.

Киберуcтойчивость

Компании внедряют меры, направленные на предотвращение инцидентов и быстрое восстановление после них.