Политика обеспечения технической защиты информации

Политики информационной безопасности компании

Политикой информационной безопасности (ИБ) называется комплекс мер, правил и принципов, которыми в своей повседневной практике руководствуются сотрудники предприятия/организации в целях защиты информационных ресурсов.

За время, прошедшее с возникновения самого понятия ИБ, наработано немало подобных политик – в каждой компании руководство само решает, каким образом и какую именно информацию защищать (помимо тех случаев, на которые распространяются официальные требования законодательства Российской Федерации). Политики обычно формализуются: разрабатывается соответствующий регламент. Такой документ сотрудники предприятия обязаны соблюдать. Хотя не все из этих документов в итоге становятся эффективными. Ниже мы рассмотрим все составляющие политики информационной безопасности и определим основные аспекты, которые необходимы для ее эффективности.

Для чего нужна формализация защиты информации

Положения о политике информационной безопасности чаще всего в виде отдельного документа появляются во исполнение требования регулятора – организации, регламентирующей правила работы юридических лиц в той или иной отрасли. Если положения об информационной безопасности нет, то не исключены определенные репрессии в отношении нарушителя, которые могут вылиться даже в приостановку деятельности последнего.

Также политика безопасности является обязательной составляющей определенных стандартов (местных или международных). Необходимо соответствие конкретным требованиям, которые обычно выдвигают внешние аудиторы, изучающие деятельность организации. Отсутствие политики безопасности порождает отрицательные отклики, а подобные оценки негативно влияют на такие показатели, как рейтинг, уровень надежности, инвестиционная привлекательность и т. д.

Материалы об информационной безопасности появляются на свет, когда высший менеджмент сам приходит к пониманию необходимости структурированного подхода к теме защиты информации.

Зачастую ИБ включает в себя и проблематику взаимоотношений с персоналом (сотрудник может рассматриваться не только как лицо, подлежащее защите, но и как объект, от которого информация должна быть защищена), иные аспекты и факторы, выходящие за рамки исключительно защиты компьютерной сети и предотвращения несанкционированного доступа к ней.

Наличие соответствующих положений говорит о состоятельности организации в вопросах информационной безопасности, ее зрелости. Четкая формулировка правил обеспечения информационной безопасности является свидетельством того, что в данном процессе достигнут существенный прогресс.

В DLP-системах политика безопасности – алгоритм проверки перехвата на соблюдение внутренних ИБ-правил. Для «СёрчИнформ КИБ» разработано 250+ готовых политик безопасности, которые предназначены компаниям из разных сфер.

Несостоявшиеся политики

Одно лишь наличие документа с названием «Положение об информационной безопасности» не является залогом информационной безопасности как таковой. Если он рассматривается лишь в контексте соответствия каким-то требованиям, но без применения на практике эффект будет нулевым.

Неэффективная политика безопасности, как показывает практика, встречается двух видов: грамотно сформулированная, но не реализуемая, и реализуемая, но внятно не сформулированная.

Первая, как правило, достаточно распространена в организациях, в которых ответственный за защиту информации просто скачивает аналогичные документы из Интернета, вносит минимальные правки и выносит общие правила на утверждение руководства. На первый взгляд, такой подход кажется прагматичным.

Принципы безопасности в разных организациях, даже если направленность их деятельности разнится, зачастую похожи. Но проблемы с защитой информации могут возникнуть при переходе от общей концепции информационной безопасности к повседневной работе с такими документами, как процедуры, методики, стандарты и т. д.

Так как политику безопасности изначально формулировали для другой структуры, возможны определенные сложности с адаптацией повседневных документов.

К неэффективной политике второго типа относится попытка решить задачу не принятием общих стратегических планов, а путем сиюминутных решений. Например, системный администратор, устав от того, что пользователи своими неосторожными манипуляциями нарушают работу сети, предпринимает следующие действия: берет лист бумаги и за десять минут набрасывает правила (что можно, а что нельзя, кому разрешен доступ к данным определенного свойства, а кому – нет) и озаглавливает это «Политикой».

Если руководство такую «Политику» утверждает, то она впоследствии может годами служить основой деятельности структуры в сфере информационной безопасности, создавая ощутимые проблемы: например, с внедрением новых технологий не всегда поставишь и необходимое программное обеспечение.

В итоге начинают допускаться исключения из правил (например, нужна какая-то программа, она дорогостоящая, и работник убеждает руководство использовать нелицензионную версию вопреки ранее установленным правилам безопасности), что сводит на нет всю защиту.

Разработка эффективной системы информационной безопасности

Для создания эффективной системы информационной безопасности должны быть разработаны:

• концепция информационной безопасности (определяет в целом политику, ее принципы и цели);
• стандарты (правила и принципы защиты информации по каждому конкретному направлению);
• процедура (описание конкретных действий для защиты информации при работе с ней: персональных данных, порядка доступа к информационным носителям, системам и ресурсам);
• инструкции (подробное описание того, что и как делать для организации информационной защиты и обеспечения имеющихся стандартов).

Все вышеприведенные документы должны быть взаимосвязаны и не противоречить друг другу.

Также для эффективной организации информационной защиты следует разработать аварийные планы. Они необходимы на случай восстановления информационных систем при возникновении форс-мажорных обстоятельств: аварий, катастроф и т. д.

Структура концепции защиты

Сразу заметим: концепция информационной защиты не тождественна стратегии. Первая статична, в то время как вторая – динамична.

Основными разделами концепции безопасности являются:

• определение ИБ;
• структура безопасности;
• описание механизма контроля над безопасностью;
• оценка риска;
• безопасность информации: принципы и стандарты;
• обязанности и ответственность каждого отдела, управления или департамента в осуществлении защиты информационных носителей и прочих данных;
• ссылки на иные нормативы о безопасности.

Помимо этого не лишним будет раздел, описывающий основные критерии эффективности в сфере защиты важной информации. Индикаторы эффективности защиты необходимы, прежде всего, топ-менеджменту. Они позволяют объективно оценить организацию безопасности, не углубляясь в технические нюансы. Ответственному за организацию безопасности также необходимо знать четкие критерии оценки эффективности ИБ, дабы понимать, каким образом руководство будет оценивать его работу.

Перечень основных требований к документации по безопасности

Политику безопасности надо формулировать с учетом двух основных аспектов:

1. Целевая аудитория, на которую рассчитана вся информация по безопасности – руководители среднего звена и рядовые сотрудники не владеют специфической технической терминологией, но должны при ознакомлении с инструкциями понять и усвоить предоставляемую информацию.
2. Инструкция должна быть лаконичной и при этом содержать всю необходимую информацию о проводимой политике. Объемный «фолиант» никто подробно изучать не будет, а тем более запоминать.

Из выше перечисленного вытекают и два требования к методическим материалам по безопасности:

• они должны быть составлены простым русским языком, без использования специальных технических терминов;
• текст по безопасности должен содержать цели, пути их достижения с указанием назначения меры ответственности за несоблюдение ИБ. Все! Никакой технической или иной специфической информации.

Организация и внедрение ИБ

После того, как документация по информационной безопасности готова, необходима плановая организация работы по ее внедрению в повседневную работу. Для этого необходимо:

• ознакомить коллектив с утвержденной политикой обработки информации;
• знакомить с данной политикой обработки информации всех новых работников (например, проводить информационные семинары или курсы, на которых предоставлять исчерпывающие разъяснения);
• тщательно изучить имеющиеся бизнес-процессы ради обнаружения и минимизации рисков;
• активно участвовать в продвижении новых бизнес-процессов, дабы не стать безнадежно отстающим в сфере ИБ;
• составить подробные методические и информационные материалы, инструкции, дополняющие политику обработки информации (например, правила предоставления доступа к работе в Интернете, порядок входа в помещения с ограниченным доступом, перечень информационных каналов, по которым можно передавать конфиденциальные данные, инструкция по работе с информсистемами и т. д.);
• раз в три месяца пересматривать и корректировать доступ к информации, порядок работы с ней, актуализировать принятую по ИБ документацию, постоянно мониторить и изучать существующие угрозы ИБ.

Развертывание DLP-системы в компании также требует бумажной подготовки. Чтобы ускорить процесс внедрения системы компании, у которых нет выделенной ИБ-службы, могут воспользоваться аутсорсингом информационной безопасности. 

Лица, пытающиеся получить несанкционированный доступ к информации

В заключение мы классифицируем тех, кто может или хочет получить несанкционированный доступ к информации.

Потенциальные внешние нарушители:

1. Посетители офиса.
2. Ранее уволенные сотрудники (особенно те, кто ушел со скандалом и знает, как получить доступ к информации).
3. Хакеры.
4. Сторонние структуры, в том числе конкуренты, а также криминальные группировки.

Потенциальные внутренние нарушители:

1. Пользователи компьютерной техники из числа сотрудников.
2. Программисты, системные администраторы.
3. Технический персонал.

Для организации надежной защиты информации от каждой из перечисленных групп требуются свои правила. Если посетитель может просто забрать с собой какой-то листок с важными данными, то человек из техперсонала – создать незарегистрированную точку входа и выхода из ЛВС. Каждый из случаев – утечка информации. В первом случае достаточно выработать правила поведения персонала в офисе, во втором – прибегнуть к техническим средствам, повышающим информационную безопасность, таким как DLP-системы и SIEM-системы, предотвращающие утечки из компьютерных сетей.

При разработке ИБ надо учитывать специфику перечисленных групп и предусмотреть действенные меры предотвращения утечки информации для каждой из них.

Мы уверены в своих продуктах и предоставляем для тестирования полнофункциональные версии ПО.

Источник: https://searchinform.ru/products/kib/politiki-informatsionnoj-bezopasnosti/

Политика обеспечения технической защиты информации

Физическая безопасность предприятия обеспечивается круглосуточной охраной объектов предприятия с использованием автоматизированной системы доступа СУДОС. СУДОС – это интегрированная система, обеспечивающая доступ сотрудников предприятия на его объекты с использованием карточек идентификации (с подтверждением подлинности владельца PIN-кодом) и системой видеонаблюдения, мониторы которой выведены на пульт круглосуточной оперативно-диспетчерской службы.

Для обеспечения законных интересов государства и Государственной корпорации по атомной энергии «Росатом» в сфере защиты информации ограниченного доступа (государственной тайны, сведений конфиденциального характера) и открытой информации (разрешенной для публикации), а также с целью сохранения интеллектуальных и материальных ресурсов в Ситуационно-кризисном центре функционирует служба защиты информации.

По данному направлению деятельности ФГУП «СКЦ Росатома» основными задачами службы являются:

• организация, координация и контроль эффективности работ по обеспечению защиты информации ограниченного доступа, а также анализ эффективности проводимых мероприятий;
• защита информации при ее обработке и хранении с использованием средств вычислительной техники;
• закрытие информации ограниченного доступа при ее передаче по каналам связи с использованием средств
• криптографической защиты и электронно-цифровой подписи;
• противодействие техническим средствам разведки и техническая защита информации.

В сфере организации ведомственных защищенных каналов связи ФГУП «СКЦ Росатома» выступает как отраслевой Удостоверяющий Центр, обслуживающий свыше 150 предприятий и более 2 500 пользователей.

По данному направлению деятельности ФГУП «СКЦ Росатома» основными задачами являются:

• организация, координация и контроль эффективности работ по обеспечению защиты информации ограниченного доступа, а также анализ эффективности проводимых мероприятий;
• защита информации при ее обработке и хранении с использованием средств вычислительной техники;
• закрытие информации ограниченного доступа при ее передаче по каналам связи с использованием средств криптографической защиты и электронно-цифровой подписи;
• противодействие техническим средствам разведки и техническая защита информации.

Обеспечение информационной безопасности обеспечивается решением триединой задачи обеспечения конфиденциальности, целостности и доступности информации, обрабатываемой в процессе деятельности предприятия.

Для обеспечения адекватного уровня защиты информации, обрабатываемой в ИКС Госкорпорации, реализован комплекс организационных и технических мер, гарантирующих соответствие системы информационной безопасности современным требованиям.

Основной целью функционирования системы информационной безопасности является защита субъектов информационных отношений от возможного нанесения им материального, физического, морального или иного ущерба посредством случайного или преднамеренного несанкционированного вмешательства в информационную инфраструктуру предприятия или несанкционированного доступа к циркулирующей в ней информации и ее незаконного использования.

Имеющийся перечень угроз безопасности информации предприятия является основой для поддержания режима информационной безопасности, реализуемого на предприятии. Под режимом информационной безопасности понимается совокупность способов и мер защиты циркулирующей в ИКС информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, влекущих за собой нанесение ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.

Комплекс мер по формированию режима информационной безопасности информации включает:

• установление организационно-правового режима безопасности информации (нормативные документы, работа с персоналом, делопроизводство);
• выполнение организационно-технических мероприятий по защите информации ограниченного распространения от утечки по техническим каналам (аттестация объектов информатизации);
• организационные и программно-технические мероприятия по предупреждению несанкционированных действий (доступа) к информационным ресурсам предприятия;
• комплекс мероприятий по контролю функционирования средств и систем защиты информационных ресурсов ограниченного распространения после случайных или преднамеренных воздействий.

Реализованная и поддерживаемая на предприятии система информационной безопасности обеспечивает:

• обеспечение целостности данных – защиты от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;
• обеспечение конфиденциальности информации и, одновременно ее доступности для всех авторизованных пользователей, включая организацию разграничения доступа к эксплуатируемым базам данных;
• организацию юридически значимого электронного документооборота на базе «Деловой почты» комплекса «ViPNet»;
• организацию защищенной сети передачи данных на технологии канального шифрования комплекса «ViPNet».

«Периметр безопасности»

Учитывая необходимость поддержания информационного обмена с другими локальными сетями (например: ОАО «Концерн Росэнергоатом», НПО «Тайфун»), а также получения информации из глобальной сети Интернет, особое внимание уделяется защите ИКС ЯРБ от внешних атак (создание «периметра безопасности»). Реализация защиты от внешних атак осуществляется применением сертифицированных по требованиям безопасности информации межсетевых экранов и других специализированных средств. Кроме этого, реализованный ФГУП «СКЦ Росатома» комплекс технических средств обеспечения информационной безопасности ИКС ЯРБ включает:

• применение межсетевых экранов (Cisco PIX Firewall) и выделение зон безопасности;
• использование протоколов безопасной передачи данных (SSL, VIPNet);
• контроль всего входящего трафика с помощью детекторов вторжений (Cisco Intrusion Detection System), разделение его с помощью виртуальных сетей (VLAN), построенных с использованием коммутаторов Cisco;

• использование корпоративной защищенной электронной почтовой системы на базе сертифицированных средств «ViPNet» для организации обмена конфиденциальной информацией между пользователями Госкорпорации «Росатом» и предприятиями отрасли;
• применение средств криптографической защиты информации для обмена данными в ФИС УК ЯМ;
• постоянный централизованный антивирусный мониторинг в ИКС ЯРБ и на персональных компьютерах пользователей;
• применение средств защиты информации от утечки по техническим каналам за счет различных физических полей;
• использование изолированной кабельной системы для управления средствами ИКС ЯРБ, систем электропитания и заземления, находящихся на территории Госкорпорации «Росатом».

Электронная цифровая подпись

Для подтверждения подлинности и юридической значимости электронных документов применяются средства электронной цифровой подписи. Оперативный обмен служебной информацией, не содержащей сведений, составляющих государственную тайну, осуществляется с помощью ведомственной защищенной электронной почтовой системы «Деловая почта» VipNet. Защита информации от случайной или преднамеренной модификации осуществляется за счет использования средств электронной цифровой подписи (ЭЦП), встроенных в систему ViPNet.

Источник: http://www.skc.ru/info/supply

Политика информационной безопасности — опыт разработки и рекомендации

В данном топике я попытаюсь составить манул по разработке нормативной документации в области информационной безопасности для коммерческой структуры, опираясь на личный опыт и материалы из сети. Здесь вы сможете найти ответы на вопросы:

• для чего нужна политика информационной безопасности;
• как ее составить;
• как ее использовать.

Необходимость наличия политики ИБ

В этом разделе описана необходимость внедрения политики ИБ и сопутствующих ей документов не на красивом языке учебников и стандартов, а на примерах из личного опыта.

Понимание целей и задач подразделения информационной безопасности

Прежде всего политика необходима для того, чтобы донести до бизнеса цели и задачи информационной безопасности компании. Бизнес должен понимать, что безопасник это не только инструмент для расследования фактов утечек данных, но и помощник в минимизации рисков компании, а следовательно — в повышении прибыльности компании.

Требования политики — основание для внедрения защитных мер

Политика ИБ необходима для обоснования введения защитных мер в компании. Политика должна быть утверждена высшим административным органом компании (генеральный директор, совет директоров и т.п.)

Любая защитная мера есть компромисс между снижением рисков и удобством работы пользователя. Когда безопасник говорит, что процесс не должен происходить каким-либо образом по причине появления некоторых рисков, ему всегда задают резонный вопрос: «А как он должен происходить?» Безопаснику необходимо предложить модель процесса, в которой эти риски снижены в какой-то мере, удовлетворительной для бизнеса.

Источник: https://rutd-ksk.com/politika-obespecheniya-tehnicheskoy-zaschity-informatsii/