Разработка методических основ обеспечения информационной безопасности предприятия

Анализ рисков и принципы информационной безопасности предприятия

Цели и задачи обеспечения информационной безопасности не могут существовать в отрыве от бизнес целей и задач организации. Область деятельности организации, способы ведения бизнеса, конкурентная среда, используемые информационные системы, квалификация и мотивация сотрудников организации, и многие другие факторы оказывают ключевое влияние на карту операционных рисков организации, включая риски ИБ, а применяемые защитные меры должны снижать актуальные риски до приемлемого уровня.

Анализ рисков информационной безопасности позволяет выявить критичные факторы, негативно влияющие на ключевые бизнес-процессы компании, и принимать эффективные меры для их устранения или минимизации такого влияния. Утечка критически важной для бизнеса информации может привести к существенным финансовым потерям. Независимо от того, на каком этапе развития находится информационная система компании, она должна соответствовать определенному набору требований к обеспечению информационной безопасности. Существуют требования регуляторов, независимые от отрасли, а есть требования, специфичные для определенного сектора экономики. Также существуют «лучшие практики», позволяющие обеспечить информационную безопасность на уровне, адекватном целям и требованиям бизнеса.

Производя оценку активов компании, определят источники проблем (на основе моделей угроз и нарушителей, определения уязвимостей), оценивают существующие меры и средства защиты, оценивают риски информационной безопасности, внедряют оптимальные решения по минимизации выявленных рисков.

В результате снижаются риски, связанные с возможными финансовыми и репутационными потерями, наступающими в связи угрозами информационной безопасности, возможно подучить рациональное обоснование затрат на информационную безопасность, повысить уровень защищенности информации, обрабатываемой и хранимой в автоматизированных информационных системах.

Современные методы управления рисками позволяют решить ряд задач перспективного стратегического развития предприятия. Во-первых, количественно оценить текущий уровень информационной безопасности предприятия, что потребует выявления рисков на правовом, организационно-управленческом, технологическом и техническом уровнях обеспечения защиты информации. Во-вторых, в систему риск-менеджмента на предприятии может быть включена политика безопасности и планы совершенствования корпоративной системы защиты информации для достижения приемлемого уровня защищенности информационных активов компании.

С этой целью рекомендуется осуществить расчет финансовых вложений в обеспечение безопасности на основе технологий анализа рисков, произвести соотношение расходов на обеспечение безопасности с потенциальным ущербом и вероятностью его возникновения. Необходимо выявлять и проводить первоочередное блокирование наиболее опасных уязвимостей до осуществления атак на уязвимые ресурсы. Следует определить функциональные отношения и зоны ответственности при взаимодействии подразделений и лиц по обеспечению информационной безопасности предприятия, а также разработать необходимый пакет организационно-распорядительной документации. Одновременно следует осуществлять разработку и согласование со службами предприятия, надзорными органами проекта внедрения необходимого комплекса защиты, учитывающего современный уровень и тенденции развития информационных технологий. Кроме того, важным мероприятием поддержки системы безопасности информации является обеспечение поддержания внедренного комплекса защиты в соответствии с изменяющимися условиями работы предприятия, регулярными доработками организационно-распорядительной документации, модификацией технологических процессов и модернизацией технических средств защиты.

Система защиты информации на предприятии преследует такие цели как предотвращение утечки, хищения, утраты, искажения, подделки информации; предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы.

Помимо этого система информационной безопасности нацелена на обеспечение устойчивого функционирования объекта: предотвращение угроз его безопасности, защиту законных интересов владельца информации от противоправных посягательств, в том числе уголовно наказуемых деяний в рассматриваемой сфере отношений, предусмотренных Уголовным кодексом.

Обязательным условием эффективной реализации вышеупомянутых целей является непременный контроль качества предоставляемых услуг и обеспечение гарантий безопасности имущественных прав и интересов клиентов.

В связи с этим, система информационной безопасности должна базироваться на следующих принципах:

• — прогнозирование и своевременное выявление угроз безопасности информационных ресурсов, причин и условий, способствующих нанесению финансового, материального и морального ущерба, нарушению его нормального функционирования и развития;
• — создание условий функционирования с наименьшей вероятностью реализации угроз безопасности информационным ресурсам и нанесения различных видов ущерба;
• — создание механизма и условий оперативного реагирования на угрозы информационной безопасности и проявления негативных тенденций в функционировании, эффективное пресечение посягательств на ресурсы на основе правовых, организационных и технических мер и средств обеспечения безопасности;
• — создание условий для максимально возможного возмещения и локализации ущерба, наносимого неправомерными действиями физических и юридических лиц и, тем самым, ослабление возможного негативного влияния последствий нарушения информационной безопасности.

При разработке политики безопасности рекомендуется использовать модель, основанную на адаптации общих критериев (ISO 15 408) и проведении анализа риска (ISO 17 799). Эта модель соответствует специальным нормативным документам по обеспечению информационной безопасности, принятым в Российской Федерации, международному стандарт)' ISO/IEC 15 408 «Информационная технология — методы защиты — критерии оценки информационной безопасности», стандарту ISO/IEC 17 799 «Управление информационной безопасностью».

Рис. 2 Модель построения корпоративной системы защиты информации

Представленная модель описывает совокупность объективных внешних и внутренних факторов и демонстрирует их влияние на состояние информационной безопасности на объекте и на сохранность материальных или информационных ресурсов.

Данная модель включает следующие объективные факторы:

• — угрозы информационной безопасности, характеризующиеся вероятностью возникновения и вероятностью реализации;
• — уязвимости информационной системы или системы контрмер, влияющие на вероятность реализации угрозы;
• — риск — фактор, отражающий возможный ущерб организации в результате реализации угрозы информационной безопасности: утечки информации и ее неправомерного использования.

Предлагаемая методика разработки политики информационной безопасности современного предприятия позволяет полностью проанализировать и документально оформить требования, связанные с обеспечением информационной безопасности, избежать расходы на дополнительные меры безопасности, возможные при субъективной оценке рисков, оказать помощь в планировании и осуществлении защиты на всех стадиях жизненного цикла информационных систем, представить обоснование для выбора мер противодействия, оценить эффективность контрмер, сравнить различные варианты контрмер.

Приведём классификацию средств защиты информации.

Средства защиты от несанкционированного доступа (НСД):

• — Средства авторизации;
• — Мандатное управление доступом;
• — Избирательное управление доступом;
• — Управление доступом на основе ролей;
• — Журналированые (так же называется Аудит).
• — Системы анализа и моделирования информационных потоков (CASE-системы).

Системы мониторинга сетей:

• — Системы обнаружения и предотвращения вторжений (IDS/IPS);
• — Системы предотвращения утечек конфиденциальной информации (DLP-системы).
• — Анализаторы протоколов.
• — Антивирусные средства.
• — Межсетевые экраны.
• — Криптографические средства:
• — Шифрование;
• — Цифровая подпись.
• — Системы резервного копирования.
• — Системы бесперебойного питания:
• — Источники бесперебойного питания;
• — Резервирование нагрузки;
• — Генераторы напряжения.

Системы аутентификации:

• — Пароль;
• — Сертификат;
• — Биометрия.
• — Средства предотвращения взлома корпусов и краж оборудования.
• — Средства контроля доступа в помещения.

Инструментальные средства анализа систем защиты:

— Мониторинговый программный продукт Обеспечение корректной работы со сведениями конфиденциального характера осуществляется в следующей последовательности. Составляется перечень сведений, имеющих конфиденциальный характер, который затем утверждается руководителем организации. В трудовые договора вносится пункт об ответственности за некорректную работу с конфиденциальными сведениями, несоблюдение, которого влечет привлечение сотрудников-нарушителей к административной или уголовной ответственности, С помощью комплексного использования различных программно-аппаратных средств защиты информации, представленных различными производителями, можно достичь более высоких показателей их эффективности. К таким средствам относят оборудование для криптографической защиты речевой информации, программы для криптографической защиты текстовой или иной информации, программы для обеспечения аутентификации почтовых сообщений посредством электронной цифровой подписи, программы обеспечения антивирусной защиты, программы защиты от сетевых вторжений, программы выявления вторжений, программы для скрытия обратного адреса отправителя электронного письма.

Разработка регламентов информационной безопасности при использовании телекоммуникаций, соблюдение персоналом регламентов, внутренних нормативных актов, а также внедрение мероприятий по достижению конфиденциальности, целостности и доступности информации позволят не только повысить результативность системы информационной безопасности, но и будут способствовать укреплению внешних позиций предприятия.