Основи забезпечення інформаційної безпеки організації

Інформаційна безпека передбачає забезпечення захисту даних від розкрадань або змін як випадкового, так і навмисного характеру. Система забезпечення інформаційної безпеки організації - ефективний інструмент захисту інтересів власників і користувачів інформації. Слід зазначити, що збиток може бути завдано не тільки несанкціонованим доступом до інформації. Він може бути отриманий в результаті поломки комунікаційного або інформаційного обладнання. Особливо актуальна ефективна організація забезпечення безпеки інформаційних банківських систем і установ відкритого типу (навчальні, соціальні та ін.).

Для того щоб налагодити належне забезпечення захисту інформації слід мати чітке уявлення про основні поняття, цілі і ролі інформаційної безпеки.

Термін «безпека інформації» описує ситуацію, яка виключає доступ для перегляду, модерації і знищення даних суб'єктами без наявності відповідних прав. Це поняття включає забезпечення захисту від витоку і крадіжки інформації за допомогою сучасних технологій та інноваційних пристроїв.

Захист інформації включає повний комплекс заходів по забезпеченню цілісності та конфіденційності інформації за умови її доступності для користувачів, що мають відповідні права.

Цілісність - поняття, що визначає збереження якості інформації та її властивостей.

Конфіденційність передбачає забезпечення секретності даних і доступу до певної інформації окремим користувачам.

Доступність - якість інформації, що визначає її швидке і точне знаходження конкретними користувачами.

Мета захисту інформації - мінімізація шкоди внаслідок порушення вимог цілісності, конфіденційності та доступності.

 

Загрози інформаційної безпеки організації

Несприятлива для підприємства економічна політика держави.

Регулювання економіки державою за допомогою маніпуляцій (визначення валютного курсу, облікова ставка, митні тарифи і податки) є причиною багатьох протиріч на підприємствах в сфері виробництва, фінансів і комерції.

Велику небезпеку для забезпечення безпеки інформації підприємства несуть адміністративні зобов'язання виходу на ринок, що призводить до насильницького звуження товарно-грошових відносин, порушення законів з боку держави і обмеження діяльності підприємства. Часто держава перебільшує свою компетентність у фінансовій і комерційній сфері діяльності підприємства і необгрунтовано втручається в простір інформації цих сфер, а також зазіхає на власність підприємства в різних формах.

Серйозну загрозу для забезпечення безпеки інформації підприємства несуть політичні дії, спрямовані на обмеження або припинення економічних зв'язків. Санкції в економіці викликають у обох сторін недовіру до подальшої діяльності і підривають комерційні взаємини. Все це веде до дестабілізації економічних відносин, і не тільки на рівні держави.

 

Дії інших господарюючих суб'єктів.

В даному випадку ризик забезпечення безпеки інформації несе нездорова конкуренція. Нездорова або недобросовісна конкуренція має кілька понять і за нормами міжнародного права поділяється на три види:

• Коли діяльність однієї комерційної структури намагаються представити споживачеві під виглядом іншого;
• Діскредітірованіе репутації комерційного підприємства шляхом поширення неправдивої інформації;
• Неправомірне і некоректне використання торгових позначень, що вводять споживача в оману.

У західних країнах існують законодавчі акти щодо ведення недобросовісної конкуренції, фірмових найменувань, товарних позначень і перешкоджання забезпеченню безпеки інформації, порушення яких веде до певної юридичної відповідальності. Також до відповідальності наводять такі неправомірні дії:

• Підкуп або переманювання споживачів з боку конкурента;
• Порядок забезпечення інформаційної безпеки організації порушується шляхом розголошення комерційних таємниць, а також з'ясування інформації за допомогою шпигунства, підкупу;
• Встановлення нерівноправних і дискредитують умов, що впливають на забезпечення безпеки інформації;
• Таємне створення картелів, змову під час торгів з наданням комерційної інформації;
• Створення умов, що обмежують можливість забезпечення безпеки інформації;
• Навмисне зниження цін для придушення конкуренції;
• Копіювання товарів, реклами, послуг і інших форм комерційної діяльності та інформації конкурента.

Є й інші аспекти, що виявляють недобросовісну конкуренцію. До них відноситься економічне придушення, яке виражається в різних формах - шантаж персоналу, керівників, яка компрометує інформація, паралізація діяльності підприємства і зрив угод за допомогою медіаканалів, корупційних зв'язків в держорганах.

Комерційний і промисловий шпіонаж, що підриває основи забезпечення інформаційної безпеки організації, також входить під правову юридичну відповідальність, оскільки він має на увазі незаконне заволодіння секретною інформацією конкурента з метою отримання особистої вигоди.

Та інформація, яка надається для широких мас легальними каналами, не дає керівництву підприємства повної відповіді на питання, що цікавлять про конкурентів. Тому, багато великих підприємств, навіть вважаючи дії шпигунства неетичними і неправомірними, все одно вдаються до заходів, що протидіє забезпечення безпеки інформації. Шпигуни, що працюють на конкуруючому підприємстві, часто вдаються до таких дій, як пряма пропозиція службовцю про надання секретної інформації, крадіжка, підкуп та інші різні хитрощі. Багато дій по підриву забезпечення безпеки інформації полегшуються за рахунок появи на ринку різних підслуховуючих пристроїв та інших сучасних технічних розробок, які дозволяють максимально якісно здійснювати комерційний і промисловий шпіонаж.

Для багатьох службовців конкурентної компанії сума, запропонована за шпигунство, надання секретної інформації і порушення забезпечення безпеки інформації, в кілька разів перевищує їх щомісячний дохід, що є дуже спокусливим для звичайного співробітника. Тому, можна вважати, що підписка про нерозголошення не є повною гарантією забезпечення безпеки комерційної інформації.

Наступною формою недобросовісної конкуренції, спрямованої на перешкоджання забезпеченню безпеки інформації, вважається фізичне придушення у вигляді посягання на життя і здоров'я службовця компанії. У цю категорію входить:

• Організація розбійних нападів на виробничі, складські приміщення і офіси з метою пограбування;
• Знищення, псування майна і матеріальних цінностей шляхом вибуху, підпалу або руйнування;
• Захоплення співробітників в заручники або фізичне усунення.

 

 Система безпеки забезпечується роботою таких підрозділів, як:

Система забезпечення інформаційної безпеки організації: комплексний підхід до побудови
Система безпеки потенційних і реальних загроз непостійна, оскільки ті можуть з'являтися, зникати, зменшуватися або наростати. Всі учасники відносин у процесі забезпечення безпеки інформації, будь то людина, держава, підприємство або регіон, являють собою багатоцільові складні системи, для яких важко визначити рівень необхідної безпеки.

На підставі цього система забезпечення інформаційної безпеки організації розглядається як цілий комплекс прийнятих управлінських рішень, спрямованих на виявлення і запобігання зовнішнім та внутрішнім загрозам. Ефективність вжитих заходів грунтується на визначенні таких факторів, як ступінь і характер загрози, аналітична оцінка кризової ситуації і розгляд інших несприятливих моментів, які становлять небезпеку для розвитку підприємства і досягнення поставлених цілей. Забезпечення інформаційної безпеки організації базується на прийнятті таких заходів, як:

1. Аналіз потенційних і реальних ситуацій, які становлять загрозу безпеці інформації підприємства;
2. Оцінка характеру загроз безпеці інформації;
3. Прийняття та комплексне розподіл заходів для визначення загрози;
4. Реалізація вжитих заходів щодо запобігання загрози.

Основна мета забезпечення комплексної системи безпеки інформації для захисту підприємства, це:

• Створити сприятливі умови для нормального функціонування в умовах нестабільного середовища;
• Забезпечити захист власної безпеки;
• Можливість на законний захист власних інтересів від протиправних дій конкурентів;
• Забезпечити співробітнику збереженням життя і здоров'я.

Запобігати можливості матеріального і фінансового розкрадання, спотворення, розголошення та витоку конфіденційної інформації, розтрати, виробничі порушення, знищення майна і забезпечити нормальну виробничу діяльність.

Якісна безпеку інформації для фахівців - це система заходів, яка забезпечує:

• Захист від протиправних дій;
• Дотримання законів, щоб уникнути правового покарання і накладення санкцій;
• Захист від кримінальних дій конкурентів;
• Захист від несумлінності співробітників.

Ці заходи застосовуються в наступних сферах:

• Виробничої (для заощадження матеріальних цінностей);
• Комерційної (для оцінки партнерських відносин і правового захисту особистих інтересів);
• Інформаційною (для визначення цінності отриманої інформації, її подальшого використання і передачі, як додатковий спосіб від розкрадання);
• Для забезпечення підприємства кваліфікованими кадрами.

Забезпечення безпеки інформації будь-якого комерційного підприємства грунтується на таких критеріях:

• Дотримання конфіденційності і захист інтелектуальної власності;
• Надання фізичної охорони для персоналу підприємства;
• Захист і збереження майнових цінностей.

При такій за останні роки на вітчизняному ринку обстановці розраховувати на якісний захист особистих і життєво важливих інтересів можна тільки за умови:

• Організації процесу, орієнтованого на позбавлення будь-якої можливості в отриманні конкурентом цінної інформації про наміри підприємства, про торговельні та виробничі можливості, що сприяють розвиток і здійснення поставлених підприємством цілей і завдань;
• Залучення до процесу щодо захисту і безпеки всього персоналу, а не тільки служби безпеки.

 

Які методи і засоби забезпечення інформаційної безпеки організації гарні
Для забезпечення захисту інформації використовуються наступні методи:

1) Перешкода. Метод являє собою використання фізичної сили з метою захисту інформації від злочинних дій зловмисників за допомогою заборони на доступ до інформаційних носіїв і апаратурі.

2) Управління доступом - метод, який заснований на використанні регулюючих ресурсів автоматизованої системи, що запобігають доступ до інформаційних носіїв. Управління доступом здійснюється за допомогою таких функцій, як:
Ідентифікація особистості користувача, працюючого персоналу і систем інформаційних ресурсів такими заходами, як присвоєння кожному користувачеві і об'єкту особистого ідентифікатора;

• Аутентифікація, яка встановлює приналежність суб'єкта або об'єкта до заявленого їм ідентифікатору;
• Перевірка відповідності повноважень, яка полягає у встановленні точного часу доби, дня тижня і ресурсів для проведення запланованих регламентом процедур;
• Доступ для проведення робіт встановлених регламентом і створення необхідних умов для їх проведення;
• Реєстрація у вигляді письмового протоколювання звернень до доступу захисних ресурсів;
• Реагування на спробу несанкціонованих дій у вигляді шумовий сигналізації, відключення, відмови в запиті і в затримці робіт.

3) Маскування - метод криптографічного закриття, захищає доступ до інформації в автоматизованій системі.

4) Регламентація - метод інформаційного захисту, при якому доступ до зберігання та передачі даних при несанкціонованому запиті зводиться до мінімуму.

5) Примус - це метод, який змушує користувачів при доступі до закритої інформації дотримуватися певних правил. Порушення встановленого протоколу призводить до штрафних санкцій, адміністративної та кримінальної відповідальності.

6) Спонукання - метод, який заснований на етичних і моральних нормах, що накладають заборону на використання забороненої інформації, і спонукає дотримуватися встановлених правил.

1. Фізичні засоби захисту використовуються в якості зовнішньої охорони для спостереження за територією об'єкта і захисту автоматизованої інформаційної системи у вигляді спеціальних пристроїв.

Разом зі звичайними механічними системами, для роботи якого необхідна участь людини, паралельно впроваджуються і електронні повністю автоматизовані системи фізичного захисту. За допомогою електронної системи проводиться територіальний захист об'єкта, організовується пропускний режим, охорона приміщень, спостереження, пожежна безпека і сигналізаційні пристрої.

Сама елементарна система електронного захисту складається з датчиків, сигнали яких обробляються мікропроцесорами, електронних ключів, біометричних пристроїв для ідентифікації людини та інших інтелектуальних систем.

Захист обладнання, що входить в загальну автоматизовану систему інформаційної безпеки, і переносних пристроїв (магнітних стрічок або флешок) здійснюється за допомогою таких механізмів, як:

• Замкові системи (механічні, радіокеровані, кодові, з мікропроцесором), які встановлюються на сейфи, двері, віконниці, системні блоки та інші пристрої;
• Мікровимикачі, за допомогою яких фіксується відкривання і закривання вікон і дверей;
• Інерційні датчики, які використовуються в електромережі, телефонних проводах, телекомунікаційних антенах;
• Наклейки зі спеціальної фольги приклеюють на прилади, документи, системні блоки, вузли, що служить для них захистом від виносу за територію організації або приміщення. Будь-яка спроба виносу документів або пристроїв із захисною наклейкою через пропускні пристрої буде сповіщена сигналом тривоги.

Металеві шафи і спеціальні сейфи, службовці для установки окремих пристроїв інформаційної автоматизованої системи - фалів-серверів, принтерів і переносних інформаційних носіїв.

Доступ інформації через електромагнітні канали обмежують за допомогою екранізує і поглинаючих пристроїв і матеріалів:

• У приміщеннях, де встановлені елементи автоматизованої інформаційної системи. Для захисту проводиться екранування всіх поверхонь в приміщенні - підлоги, стін і стелі за допомогою металізованих шпалер, токопроводящей штукатурки і емалі, фольги, дротяної сітки, багатошарових сталевих або алюмінієвих листів, спеціальної пластмаси, струмопроводячої цегли та інших матеріалів;
• Віконні отвори закривають шторами з металевою ниткою або покривають скла струмопровідних складом;
• На всі отвори в приміщеннях встановлюють металеві сітки з системою заземлення або з'єднують з настінного екрануванням;
• Вентиляційні канали комплектують з магнітними пастками, що блокують поширення радіохвиль.

В якості захисту для блоків і вузлів автоматизованої системи застосовують:

• Екранований кабель, який можна монтувати між блоками, стояками, всередині і зовні стін;
• Еластичні екрановані з'єднувачі або роз'єми, мережеві фільтри для блокування електромагнітних випромінювань;
• Провід, дроселі, наконечники, конденсатори та інші пристрої з перешкода-пригнічую дією;
• На трубах системи водопровідної і газової мережі встановлюють діелектричні розділові вставки, що розривають електромагнітні ланцюга.

У місцях введення мережі зі змінним напругою встановлюють електронні отслежівателі, контролюючі електроживлення. При будь-яких пошкодженнях шнура відбувається кодування і включення сигналу тривоги. Запис наступних подій відбувається після активації телевізійної камери.

Для виявлення підслуховуючих пристроїв найбільш ефективним вважається обстеження за допомогою рентгена. Але, з точки зору технічних і організаційних заходів, рентгенівське обстеження саме витратне.

Використання різних шумових генераторних пристроїв, що захищають інформацію в комп'ютерах від розкрадання, методом зняття випромінювань з дисплея несприятливо впливає на здоров'я людини. В результаті відбуваються такі порушення, як облисіння, головні болі, зниження апетиту, тому даний спосіб захисту використовується на практиці вкрай рідко.

 

2. Апаратні засоби захисту - це всі види електронних і електромеханічних пристроїв, вбудованих в блоки інформаційної автоматизованої системи, які представлені як самостійні пристрої, з'єднані з цими блоками.

Основна їх функція - це забезпечення внутрішньої захисту сполучних елементів і систем в обчислювальній техніці - периферійного обладнання, терміналів, ліній зв'язку, процесорів і інших пристроїв.

Забезпечення безпеки інформації за допомогою апаратних засобів включає:

• Забезпечення заборони неавторизованого доступу віддалених користувачів і АІС (автоматизована інформаційна система);
• Забезпечення надійного захисту файлових систем архівів і баз даних при відключеннях або некоректної роботи АІС;
• Забезпечення захисту програм і додатків.

Перераховані вище завдання забезпечення безпеки інформації забезпечують апаратні засоби і технології контролю доступу (ідентифікація, реєстрація, визначення повноважень користувача).

Забезпечення безпеки особливо важливої ​​інформації може здійснюватися з використанням унікальних носіїв з особливими властивостями, які запобігають зчитування даних.

3. Програмні засоби захисту входять до складу ПО (програмного забезпечення), АІС або є елементами апаратних систем захисту. Такі засоби здійснюють забезпечення безпеки інформації шляхом реалізації логічних і інтелектуальних захисних функцій і відносяться до найбільш популярних інструментів захисту. Це пояснюється їх доступною ціною, універсальністю, простотою впровадження і можливістю доопрацювання під конкретну організацію або окремого користувача. У той же час, забезпечення безпеки інформації за допомогою ПО є найбільш вразливим місцем АІС організацій.

Програмні захисні засоби, здатні вирішувати такі завдання щодо забезпечення безпеки інформації:

• Забезпечення контролю входу в АІС і завантаження баз даних за допомогою унікальних ідентифікаторів (логін, пароль, код і ін.);
• Забезпечення обмеження доступу користувачів до певних компонентів АІС і її зовнішніх ресурсів;
• Захист ПЗ, яке забезпечує виконання процесів для певного користувача від сторонніх суб'єктів;
• Забезпечення безпеки потоків конфіденційних даних;
• Безпека інформації від впливу вірусного ПЗ;
• Знищення залишкових даних конфіденційного характеру в відкритих після введення паролів файлах в оперативній пам'яті;
• Формування протоколів про знищення і стирання залишкових конфіденційних даних;
• Забезпечення цілісності даних шляхом впровадження надлишкової інформації;
• Автоматичне забезпечення безпеки роботи користувачів АІС на основі даних протоколювання інформації з подальшою підготовкою звітів в реєстраційному журналі системи.

Більшість сучасних ОС (операційних систем) містять програмні рішення для забезпечення блокування повторного доступу до інформації. При відсутності таких коштів можуть використовуватися різні комерційні ПО. Впровадження надлишкових даних направлено на забезпечення контролю випадкових помилок. Це може реалізовуватися через використання контрольних сум або забезпечення кодування стійкого до перешкод.

Для забезпечення безпеки особливо важливої ​​інформації використовується метод зберігання даних з використанням системи сигнатур. Як сигнатури може застосовуватися система, що включає поєднання захисного байта з його розміром, часом зміни і ім'ям. При будь-якому зверненні до цього файлу система аналізує поєднання інформації з оригіналом.

Необхідно уточнити, що надійне забезпечення безпеки інформації можливо тільки при використанні шифрування даних.

 

 

 

 

• Системи запобігання вторгнень і системи міжмережевого екранування (NGFW / NGIPS)
• Системи фільтрації Web-, Email- трафіку (Secure Web Gateway, Secure Email Gateway)
• Системи захисту від атак на веб-додатки (Web Application Firewall)
• Системи забезпечення захисту від DDoS
• Системи управління доступом до мережі (Network Access Control)
• Системи контролю і управління мобільними пристроями (Enterprise Mobile Management)
• Системи моніторингу та аналізу мережевого трафіку для виявлення аномалій (Network Security Monitoring)
• Системи управління вразливостями (Vulnerability Management)
• Системи аудиту та аналізу конфігурацій міжмережевих екранів (Firewall Audit)
• Системи захисту віртуальних середовищ
• Системи захисту баз даних (Database Firewall, DBF)
• Системи управління правами доступу до даних (Information Rights Management, IRM)
• Системи резервного копіювання
• Системи запобігання витоку даних (DLP)
• Системи захисту кінцевих точок (антивірусний захист, контроль портів введення-виведення, персональні FW / IPS, контроль запуску додатків)
• Системи управління привілейованими користувачами і паролями (Privileged Identity Management, PIM)
• Системи збору і кореляції подій (Security Information and Events Manager, SIEM)
• Системи виявлення / запобігання атак "нульового дня" (Advanced Malware Protection / Advanced Threat Detection / DeceptionGrid)
• Решения безопасности для систем ICS и SCADA
• Послуга "Експертна оцінка рівня захищеності ІТ-інфраструктури"
• Послуга "Зовнішні та внутрішні сканування, тести на проникнення"
• Посилених аутентифікацій (з використанням сертифікатів, переносних пристроїв, одноразових паролів та ін.)

 

• Індивідуальний підхід до кожного проекту.

 Індивідуальний підхід до реалізації проекту інженерного відділу допоможуть Вам вирішити будь-яку складну задачу.

• Консультації та зустрічі.

 Безпосередній контакт з Вами будь-яким способом на зручній Вами території.

• Складання технічного завдання.

 Технічне завдання індивідуально для кожного замовлення і залежить від Ваших побажань і вимог.

• Презентація продукту.

 Мета презентації - донести до Вас повноцінну інформацію про всі можливі рішення.

• Оптимізація Вашої Безпеки.

 Наші експерти допоможуть Вам автоматизувати, проаналізувати і убезпечити ваше майбутнє за допомогою оптимізації наступного покоління.

• Пілотний проект.

 Впроваджується з метою оцінки Вами доцільності, необхідного часу, витрат, наявності або відсутності побічних явищ і оцінки розміру ефекту (статистичної мінливості)

• Віртуальний тест на нашому обладнання.
• Демо-версії продукту.
• Підбір та продаж обладнання.
• Завантаження продуктів - Інсталяція продуктів - Налаштування продуктів - Реєстрація продукту.

Скористайтеся нашими Службами впровадження, щоб інтегрувати широкий спектр технологій безпеки і перейти на інші рішення, включаючи застарілі продукти. Ми також оптимізуємо ваші існуючі технології безпеки для підвищення ефективності безпеки.

 

• Служба підтримки GoobkasSupport 24/7

         Задоволеність клієнтів є головним пріоритетом компанії Goobkas. Служби GoobkasSupport від Goobkas надають глобальну підтримку для всіх продуктів які впроваджує Goobkas і краща на ринку сервісне обслуговування. Завдяки службам GoobkasSupport клієнти можуть бути впевнені, що їх рішення безпеки працюють найоптимальнішим чином і забезпечують захист корпоративних ресурсів.
 

*"Goobkas": - Все це дасть Вам можливість в короткі терміни зробити правильний вибір!!

Освіта	Виробництво	Спорт і розваги
Енергетика	Професійний сервіс	Уряд
Фінансові послуги	Нерухомість	Телекомунікації
Охорона здоров'я	Роздрібна торгівля	Перевезення
Гостинність	Сервіс провайдер	І інші