Принцип комплексности. При создании защитных систем необходимо предугадывать все возможные угрозы для организации. Элементы защиты должны совпадать, и в комплексе действовать как единая система. Комплексные методы и средства обеспечения информационной безопасности организации представляют собой сложную систему взаимосвязанных между собою процессов.
Принцип многоуровневости представляет собой организацию информационной безопасности организации, при которой все границы системы безопасности будут состоять из последовательных зон безопасности, самая большая из которых будет расположена в общей системе.
Принцип надежности (равнопрочности). Стандарт организации обеспечения информационной безопасности должен касаться всех зон защиты. Все они должны быть одинаковыми, то есть иметь одинаковую степень надежной защиты с вероятностью реальной угрозы.
Принцип разумной адекватности означает разумное использование средств защиты с приемлемым уровнем безопасности без фанатизма в обеспечении абсолютной защиты. Обеспечить организацию эффективной системой безопасности дорого, поэтому выбор систем безопасности должен быть рациональным. Стоимость системы безопасности не должна превышать потенциальный ущерб и затраты на эксплуатацию и обслуживание.
Принцип непрерывности. В режиме круглосуточной готовности к работе должны работать все системы безопасности.
Из чего состоит система информационной безопасности
Система безопасности основана на работе таких подразделений, как:
- Компьютерная безопасность. Работа подразделения основана на технологических и административных мерах по обеспечению оптимального функционирования всех аппаратных систем, создавая тем самым единый, всеобъемлющий, доступный и конфиденциальный ресурс.
- Безопасность данных – это защита информации от неосторожного, случайного, несанкционированного или преднамеренного раскрытия данных или от проникновения в систему.
- Безопасное программное обеспечение – это набор прикладных программ и инструментов общего назначения, предназначенных для обеспечения безопасной работы всех систем и безопасной обработки данных.
- Безопасность связи обеспечивается аутентификацией телекоммуникационной системы, которая предотвращает несанкционированный доступ к информации, которая может быть выдана по телекоммуникационному запросу.
Вы можете защищать любую информацию, которая может быть выгодна вашей компании, если это не запрещено законодательством.
Для защиты ценной информации:
- Установите в своей компании политику в отношении коммерческой тайны.
- Договоритесь с вашими сотрудниками, что все права на разработанные продукты принадлежат вам
- Защитите интеллектуальную собственность: торговые марки, изобретения, компьютерные программы, литературные произведения и т.д.
- Договоритесь с вашими партнерами о правилах конфиденциальности.
Безопасность тесно связана с управлением ИТ-инфраструктурой: хорошо управляемую сеть сложнее взломать, чем плохо управляемую. Чтобы узнать, насколько хорошо ваша организация защищает информацию, задайте себе следующие вопросы:
- Знаете ли вы, что ваши сотрудники подключают к своим компьютерам? Какие устройства подключены в вашей локальной сети?
- Знаете ли вы, какое программное обеспечение используется в ваших информационных системах?
- Настроили ли вы свои компьютеры с учетом требований информационной безопасности?
- Контролируете ли вы доступ сотрудников к конфиденциальной информации или тех, кто имеет высокие права доступа к системам?
- Хорошо ли ваши сотрудники осведомлены о своей роли в защите организации от угроз информационной безопасности?
Если вы хотите получить ответ на эти вопросы, то ниже перечислены различные бесплатные или недорогие процедуры и процедурки для повышения уровня безопасности в организации. Перечисленные инструменты не являются исчерпывающими, но они отражают широкий спектр доступных бесплатных или дешевых инструментов для повышения уровня информационной безопасности. В данных Рекомендациях предлагается поэтапно строить систему защиты информации.
- Фаза 1 помогает понять, что находится в вашей сети, и определить основные требования информационной безопасности;
- Фаза 2 сосредоточена на обеспечении основных требований безопасности и обучении сотрудников информационной безопасности.
- Фаза 3 помогает вашей организации подготовиться к инцидентам информационной безопасности.
На каждом этапе вам будут предложены вопросы, на которые нужно ответить, а также действия и инструменты, которые помогут вам достичь своих целей.
Средства ИБ
Обычно в решении проблем информационной безопасности рядовые пользователи не участвуют. Специалисты используют следующие средства:
- Специальное программное обеспечение, обеспечивающее безопасность отдельного устройства (ПК, ноутбук, смартфон, планшет);
- Инструменты и функции безопасности, корректирующие деятельность целого комплекса информации;
- Мощное программное обеспечение, обеспечивающее безопасность и шифрование данных, используемых в банковской и финансовой деятельности;
- Отдельные инструменты, устраняющие различные уязвимости.
Методы защиты данных
Для борьбы с конкретными угрозами и защиты информации используются различные методы. Кроме того, чем больше компьютеров вовлечено в одно и то же информационное пространство, тем более сильной и универсальной должна быть защита. Для ядра данных должна быть обеспечена максимальная безопасность. Кроме того, при доступе к общим интернет-ресурсам должна быть гарантирована защита всех пользователей.
Для обеспечения ИБ эксперты должны сделать следующее
- Ограничивать уровень доступа к информации;
- Шифровать передаваемую информацию;
- Контролировать использование баз данных;
- Отслеживать поведение пользователей;
- Создавать сложные компьютерные процессы, защищенные несколькими уровнями шифрования.
Кроме того, специалисты по ИБ используют специальные устройства, которые могут быстро обнаружить манипуляции и нейтрализовать многие известные угрозы.
Защитите секретную информацию от сотрудников и сторонних партнеров
Чтобы защитить конфиденциальные данные, компания должна выполнить четыре шага:
- Ввести режим коммерческой тайны.
- Подписывать контракты с сотрудниками на создание продукции.
- Защитите интеллектуальную собственность.
- Ввести режим конфиденциальности с внешними партнерами.
Ввести режим коммерческой тайны. Это минимальная мера защиты информации. Она расскажет сотрудникам, что они не могут делиться коммерческой тайной.
Чтобы внедрить систему защиты коммерческой тайны, компания должна:
- Подготовить положение о коммерческой тайне и конфиденциальности.
- Уведомить сотрудников под роспись.
- Создайте условия для хранения секретных документов.
- Пометьте все ценные документы как “коммерческую тайну”.
- Вести учет доступа к конфиденциальной информации.
Стоит что-то сделать неправильно, и вы уже не сможете уволить или оштрафовать сотрудника.
Об этом мы поговорим в следующих статьях.
Вступить в договоры на создание продуктов. У многих компаний сотрудники что-то разрабатывают: кодируют, пишут статьи и музыку для сайтов. По общему правилу, все что сотрудник делает в рабочее время и во внерабочее время принадлежит компании. Но никто не мешает ему сказать, что он делал проект в свободное время.
Чтобы не остаться без ценной работы, когда кто-то уходит на пенсию, составляйте технические задания, заключайте договоры на создание продукции, подписывайте акты приема-передачи изобретений и оформляйте передачу исключительных прав на авторское произведение вашей компании. Более подробно мы обсудим это в следующих статьях.
- Вопросы авторского права: видео- и аудиозаписи, литературные произведения, изображения, логотипы, базы данных, программное обеспечение.
- Товарные знаки.
- Промышленная собственность: изобретения, промышленные образцы, полезные модели
- Секреты производства (ноу-хау): любая информация, имеющая потенциальную или фактическую коммерческую ценность
Если сотрудники создают интеллектуальную собственность для компании, основным элементом является контракт на создание произведения, о котором мы уже говорили. При работе с подрядчиками также важно указать в договоре, что права на продукт переходят к вам.
Если заказываете логотип в дизайнерском бюро, проверьте на сайте договор с передачей прав и авторского гонорара. Еще в договоре должны быть технические задания и акт приемки-передачи.
Ввести режим конфиденциальности с внешними партнерами. Партнеры не смогут использовать вашу информацию в своих целях. Если это произойдет, вы сможете потребовать от партнера прекратить эти действия и заплатить компенсацию.
Вы дали разработчику пароль от вашей CRM, а он скачал ее и продал конкурентам. Если по договору это конфиденциальная информация, можно обратиться в суд.
Режим конфиденциальности может сработать и в более мирных условиях.
Владельцу пекарни требуется оборудование для кухни. Он нашел поставщика, который не только предоставит нужное оборудование, но и установит его. Для пекаря важно, чтобы детали соглашения оставались в тайне, и он подробно описал в договоре то, что нельзя говорить: название оборудования, стоимость, количество и другие детали поставки.
Поставщик привлек подрядчика для установки оборудования и рассказал, какие задачи нужно решить. В таком случае хозяин пекарни может подать в суд и требовать штраф.
Чем занимается служба безопасности в организации
Служба безопасности на предприятии может быть одной из следующих форм:
- Может быть частью организации и финансироваться ею.
- Может существовать как независимое коммерческое или государственное предприятие и работать внутри организации по контракту на обеспечение безопасности отдельных объектов.
Служба безопасности, входящая во внешнюю структуру предприятия. Обычно такая форма службы безопасности свойственна крупным финансовым компаниям со стабильной экономической ситуацией. Инвесторы, коммерческие банки и финансово-промышленные группы – все они могут использовать собственные технические средства.
Служба безопасности, как отдельная коммерческая организация, предоставляющая услуги по охране и безопасности, может предоставлять комплексные или независимые услуги. Она может представлять собой полную систему безопасности или выполнять конкретные задачи: выявлять места установки подслушивающих устройств, сопровождать транзитный транспорт, обеспечивать личную охрану и другие услуги. В эту категорию могут попасть частные охранные и детективные агентства, а также некоторые государственные органы.
Для многих компаний использование коммерческих услуг безопасности гораздо более экономически выгодно, чем содержание собственной инфраструктуры безопасности.
Основой информационной безопасности в организации являются такие функциональные области, как:
- Своевременная организация защиты для предотвращения угроз жизненно важным интересам организации со стороны преступников или конкурентов. В этом случае для обеспечения защиты используются такие информационные методы, как бизнес-аналитика и аналитическое предвидение.
- Меры по предотвращению внедрения агентов и установки технических устройств для получения доступа к конфиденциальной информации и коммерческим тайнам компании. Основными гарантиями здесь являются строгий контроль доступа, наблюдение охраны и использование технических средств защиты.
- Обеспечить личную защиту руководства и персонала организации. Основными критериями для этого вида охраны являются организация превентивных мер, опыт и профессионализм сотрудников охраны и системный подход к обеспечению безопасности.
На структуру и организацию системы безопасности влияют такие факторы, как.
- Размер и уровень производственной деятельности организации, количество сотрудников и потенциал технического развития;
- Рыночное положение компании – темпы роста в отрасли, динамика продаж и процентный охват рынка, зоны стратегического влияния, конкурентоспособность товаров и услуг;
- Уровень финансовой прибыльности, платежеспособности, деловой активности и инвестиционной привлекательности;
- Наличие объектов и предметов особой охраны – обладателей коммерческой или государственной тайны, взрывчатых веществ.
Служба безопасности может состоять из типичного набора служб:
Первое направление — юридическая защита предпринимательской деятельности, которая представляет собой юридически грамотное оформление обязанностей и прав для ведения деятельностью (прав собственности на патент или лицензию. Реализация и внедрение данной защиты очевидно, поскольку нормативно-правовая база в данных условиях нестабильна и требует юридической помощи.
Вторая область – это физическая безопасность участников предпринимательской деятельности. При этом участниками или субъектами предпринимательской деятельности могут быть не только предприниматели, но и используемые ими ресурсы – материальные, финансовые и информационные. Безопасность интеллектуальных ресурсов также относится к этой категории. К ним относятся обслуживающий персонал, сотрудники компании и акционеры.
Третье направление — информационно-коммерческая безопасность, которая представляет собой защиту информационных ресурсов предпринимателя и его авторской собственности.
Четвертая область – это безопасность и охрана персонала и людей, работающих в компании. Это соблюдение безопасности, здоровья и охраны труда, экологии, санитарии, деловых отношений, личной безопасности работников.
На основании данной информации можно сделать вывод, что универсального или идеального метода защиты на сегодняшний день не существует. Хотя потребность в качественной защите очевидна и может быть критически необходима для большинства случаев:.
