что такое информационные активы

Что такое информационные активы? Примеры

Наша жизнь постоянно усложняется во всех сферах. Возникают новые и невиданные ранее подходы, технологии, активы. Для современных крупных предприятий большую роль играют информационные активы. Что они собой представляют?

Общая информация

Прежде чем приступать к основной теме, давайте затронем необходимый теоретический минимум. А именно, поговорим об информации. Она является одним из наиболее важных производственных активов, от которого в значительной мере зависит эффективность деятельности предприятия и его жизнеспособность. Это может быть как секрет создания определенного товара, так и внутренние финансовые данные. Любая более-менее крупная организация имеет свои информационные активы, относительно которых очень нежелательно, чтобы они попали в сторонние руки. Поэтому остро стоят вопросы хранения и безопасности.

Об общих понятиях

Чтобы успешно разобраться со всеми представленными данными, необходимо знать несколько моментов:

Как можно понять, важны не только отдельные цифры и их пояснения, но и возможность оперативно использовать, защита от несанкционированного доступа и ряд других моментов. Когда выделены и сформированы информационные активы предприятия, остро встает вопрос их правильной классификации с последующим обеспечением безопасности. Почему именно так? Дело в том, что с помощью классификации можно оформить ключевые метрики для используемой информации – ее ценность, сила влияния на предприятие, требования к обеспечению/сопровождению/защите и тому подобное. Во многом от этого зависит, как данные будут обрабатываться и защищаться. Кроме этого, существует ряд нормативных стандартов, которые предусматривают проведение обязательной инвентаризации информационных активов организации. Хотя единой процедуры для этого и не существует.

Немного о классификации для предприятий

Подход к данным зависит от того, в каких условиях и с чем мы имеем дело. Рассмотрим информационные активы на примере частного предприятия. Классификация проводится с целью обеспечить дифференцированный подход к данным с учетом уровня их критичности, что влияют на деятельность, репутацию, деловых партнеров, работников и клиентов. Это позволяет определить экономическую целесообразность и приоритетность различных мероприятий по формированию информационной безопасности предприятия. В соответствии с законодательством Российской Федерации выделяют:

Как оценить их важность? Для этого используют специальные модели. Давайте рассмотрим их более внимательно.

Классификационные модели

Чаще всего встречаются две из них:

О классах

Чтобы оценка информационных активов была максимально эффективной и сдвинутой от количества к качеству, можно ввести классы, что будут отражать ценность данных и уровень требований к ним. В таких случаях обычно выделяют:

О конфиденциальных данных

Такую информацию условно можно разделить на несколько категорий. Первые две используются в коммерческих структурах, остальные, как правило, исключительно государством:

Как же обрабатываются информационные активы?

Давайте рассмотрим один из возможных алгоритмов:

Жизненный цикл

Вот такой путь проходит перед своей классификацией этот ценный актив. Информационная безопасность, поверьте, играет немалую роль, и не нужно пренебрегать ею. При этом значительное внимание необходимо уделять жизненному циклу. Что это такое? Жизненный цикл – это набор определенных периодов, по истечении которых важность объекта, как правило, понижается. Условно можно выделить такие стадии:

Вот, пожалуй, и все. Какие данные хранятся – информационная база активов или что-то другое – это не важно. Главное – обеспечить конфиденциальность, доступность, целостность. Тогда не придется переживать за репутацию и считать убытки.

Источник

Как защитить коммерческую информацию от вирусов, хакеров и конкурентов

База клиентов, бухгалтерия, бизнес-планы — всё это ценная информация: если потеряете её, попадёте на деньги. Полностью защитить ценную информацию невозможно, но можно грамотно оценить риски и защитить самое важное, сэкономив на остальном. Рассказываем, как это сделать.

В небольшой торговой компании уволили сисадмина. Он быстро нашёл работу у конкурентов, а бывший работодатель через год потерял всех заказчиков. Оказалось, обиженный сотрудник оставил себе полный доступ к сети: переписка руководства, база клиентов, договоры с поставщиками, отчёты — всё попало к конкурентам.

Работодатель обратился к специалистам по информационной безопасности — они подбирают программы и железо для защиты данных. Бизнесмену посчитали смету на 3 млн рублей: продвинутый файервол (защита сети от взлома через интернет), антивирус в максимальной комплектации, система против утечек данных, шифрование каналов связи.

Чтобы не переплатить за защиту информации, нужно оценить риски — понять, что и как защищать. Можно обратиться за оценкой к экспертам, но тогда придётся потратить на консультации 200-300 тыс. рублей. А можно оценить их самостоятельно — бесплатно, но по методике, которую используют сами эксперты.

Когда вы оцените риски по этой методике, то поймёте, на какие средства защиты нужно тратить деньги, а без каких можно обойтись. Специалисты по информационной безопасности не смогут навязать вам лишнее — вы сэкономите.

Оцените информационные активы

Информационные активы — это сведения о компании, которые представляют для неё ценность. Это финансовая информация, данные о продажах, закупках, базы данных клиентов, стратегические планы руководства, содержание корпоративного сайта. Занесите их в таблицу и оцените по трём показателям: конфиденциальность, целостность и доступность. Используйте 5-балльную шкалу.

Конфиденциальность — это то, насколько критична утечка секретной информации. Например, что будет, если база клиентов и контрактов попадёт к конкурентам? Если считаете, что это совсем не страшно, ставьте 1 балл. Если это тотальная катастрофа — 5 баллов.

Доступность — это то, насколько часто вы обращаетесь к данным. Например, ежегодный финансовый отчёт сотрудники открывают редко — ставим 1 балл. А доступ к базе товаров и цен нужен каждый день, иначе торговля остановится — 5 баллов.

Целостность — это то, насколько важно, чтобы в данных не было ошибок. Например, ошибка в архивных документах не критична, она ни на что не повлияет — ставим 1 балл. А если исказить цифры в 1С:Бухгалтерии, то можно продать товар по заниженной цене или напутать в налоговой отчётности — 5 баллов.

Теперь определите итоговую ценность каждого актива. Возьмите максимальный балл из трёх полученных. Например, у списка заказчиков конфиденциальность — 4, а целостность и доступность — по 2. Итоговый балл — 4.

1. Ценность информационных активов

Определите информационные системы

Активы содержатся в разных информационных системах: 1С:Бухгалтерия, программа «клиент-банк», корпоративный портал, рабочие компьютеры сотрудников, файловые сервера, электронная почта, планшеты, смартфоны, ноутбуки, интернет-сайт, внешние носители информации (флешки, переносные жёсткие диски, карты памяти). Если будут защищены информационные системы, то и данные в них будут в безопасности. Чтобы понять, защищены ли ваши данные, составьте список систем, в которых хранится информация.

Информация может находиться одновременно в нескольких системах. Например, база клиентов обрабатывается в бухгалтерской программе, при этом хранится на файловом сервере. Информация одна, но системы разные, угрозы и защита для них тоже разные.

Составив список, определите ценность каждой информационной системы. Для этого возьмите значение самого ценного актива, который в ней обрабатывается или хранится. Например, на компьютерах сотрудников хранятся списки заказчиков (4) и деловая переписка (3). Их итоговая ценность — 4.

2. Ценность информационных систем

Выясните, что угрожает информационным системам

Угрозы — это то, из-за чего информация может пострадать: кто-то или что-то может повредить ваши данные так, что бизнес понесёт убытки.

Определять угрозы нужно для тех информационных систем, чья ценность высока — 4 и 5 баллов. Про остальные системы можете забыть: если с ними что-то и случится, бизнес от этого не пострадает.

Сначала выясните, кто может угрожать ценным системам. Для этого разделите возможных нарушителей на группы — так будет проще понять, как они могут воздействовать. Обычно достаточно разделить нарушителей на внешних (хакеры, сотрудники конкурентов, уволенные работники) и внутренних (сотрудники компании). Когда поймёте, кто может угрожать системам — поймёте, как именно они могут это сделать.

Теперь опишите, как нарушители могут украсть, уничтожить или исказить данные в конкретной информационной системе. Способы могут быть очевидными — например, сотрудник скопирует файлы на флешку. Но бывают и сложными — хакер перехватит данные по незашифрованному каналу. Если вы не разбираетесь во всех технических тонкостях, то можете что-то упустить. Чтобы этого не случилось, подключите вашего ИТ-специалиста. Если его нет — воспользуйтесь каталогом, который разработали эксперты.

Каталог угроз

Физический доступ:

Утечка конфиденциальной информации:

Несанкционированный доступ:

Недоступность ИТ-сервисов и утрата информационных активов:

Нарушителей и угрозы из этого списка занесите в таблицу. Если вы детально представляете негативные сценарии, опишите их подробно. Например: вы потеряли ключевого клиента, потому что посторонний подобрал пароль к электронной почте и украл данные из деловой переписки. В остальных случаях сделайте общее описание ситуации. Например: бухгалтерия не может работать из-за того, что сотрудник стёр информацию в 1С.

В итоге таблица превратится в набор возможных негативных сценариев для компании.

3. Возможные негативные сценарии

Переведите риски в деньги

Дальше важно понять, что защищать в первую очередь и сколько на это потратить сил и денег. Для этого оцените риски в рублях: сколько компания потеряет, если сотрудник сольёт базу клиентов конкурентам. Потом определите вероятность того, что сотрудник это сделает.

Эксперты советуют применять вербально-числовую шкалу — по ней вы вычислите вероятность. Как это сделать: из таблицы выберите утверждение, которое подходит вам больше всего. При этом подставляйте конкретный временной промежуток — например, один год. Оценивать вероятность за бесконечное время не надо — тогда она будет 100%.

4. Вербально-числовая шкала для определения вероятности того, что угроза станет реальностью

После того, как вы определили сумму ущерба в деньгах (У) и коэффициент вероятности (В), посчитайте величину риска (Р): Р=У×В.

5. Подсчёт суммы риска

В итоге ваша таблица превратится в перечень рисков, оценённых в рублях. Это деньги, которые вы как минимум не заработаете, а как максимум — их придётся вынуть из оборота и потратить на устранение последствий.

Посмотрите на итоговую сумму рисков в таблице. Готовы ли вы её принять? Если нет, остаётся только снижать риски.

Снижайте риски и расходы

В первую очередь примите меры предосторожности. Не пускайте посторонних в офис, защитите пароли, ограничьте их распространение, обучите сотрудников основам безопасности. Поможет даже простая рассылка с предупреждением об эпидемии нового вируса и призывом не открывать подозрительные вложения. ИТ-специалист может регулярно проводить семинары и инструктаж новых сотрудников. Это не требует больших затрат.

Для серьёзной защиты нужны антивирусы, программы от утечек информации, специальное железо. Оценка, которую вы провели, поможет поставить чёткую задачу специалистам по информационной безопасности. Они подберут конкретное средство защиты, а не предложат делать всё сразу — расходы уменьшатся.

Сравните смету с суммой риска — так вы поймёте, окупятся ли вложения. Например, для победы над новыми вирусами производители предлагают системы класса Sandbox. Они эффективны, но стоят не меньше двух миллионов рублей. Если сумма рисков сопоставима или меньше этой суммы, выгоднее использовать средство подешевле — даже если оно не защитит вашу информацию полностью.

Памятка

Защита информации обойдётся дешевле, если знать, что и от чего защищать. Вот как это выяснить:

Источник

Классификация информационных активов

Построение системы информационной безопасности как целостного решения или внедрение отдельных ее частей, направленных на работу с одной или несколькими угрозами информационной безопасности, должно всегда начинаться с самого главного с понимания ценности той информации, защищать которую признана система.

Классификация информационных активов, это возможность понять:

с какой информацией мы имеем дело;

где она находится, хранится, модифицируется;

кто имеет доступ к информации и как с ней работает;

какую ценность эта информация для нас представляет;

сколько вы готовы инвестировать, чтобы защитить эту информацию.

Все эти знания важны как оценка возможностей и потребностей в системах информационной безопасности, их уровня и полноты.

Классификация информационных активов позволяет получить:

разделение информации по классам, согласно выбранной методике;

представление для формирования правил работы с информацией;

основу для управления активами и развития системы информационной безопасности компании.

Компания IT Task предоставляет своим клиентам услугу по классификации информационных активов, нацеленную на выполнение требований законодательства РФ и/или как подготовительный этап построение системы информационной безопасности или отдельных ее решений в соответствии с международными стандартами.

В рамках проведения классификации информационных активов мы производим:

Сбор первичных сведений о компании и ее бизнес процессах.

Анализ документации по бизнес процессам.

Обследование бизнес-процессов в реальных условиях.

Идентификация и документирование информационных активов.

Определение критериев и методики классификации информационных активов.

Проведение классификации информационных активов.

Формирование требований по защите информационных активов в соответствие с классификацией.

Опыт наших специалистов позволяет нам обеспечивать выполнение работ по классификации информационных активов в компаниях различной области экономической деятельности и географического местоположения. За более детальной информацией по данному предложению обращайтесь по телефону в Москве +7 (495) 972-98-26

Источник

Обзор закона о цифровых финансовых активах

31 июля был опубликован Федеральный закон № 259-ФЗ «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации».

Законопроект был внесен в Госдуму еще в начале 2018 года — и изначально предполагалось, что он будет регулировать только порядок выпуска и оборота цифровых финансовых активов — «токенов». Он очень быстро был принят в первом чтении и после этого «завис» — в какой-то момент депутаты говорили, что они вообще хотят отказаться от регулирования оборота токенов и криптовалют.

Однако через некоторое время рассмотрение законопроекта вновь вернулось в повестку Госдумы.

Параллельно вопрос оборота токенов и криптовалют рассматривала FATF, в результате чего появились рекомендации по внесению изменений в национальное регулирование в сфере финансового мониторинга.

В результате в начале этого года законопроект был принят во втором чтении с существенными изменениями в части регулирования криптовалют. Предлагалось в принципе запретить выпуск и оборот криптовалют с установлением административной и уголовной ответственности за любое прямое или косвенное участие в такой деятельности.

Но такие жесткие меры вызвали критику со стороны экспертов и бизнеса, и в итоговую версию закона они не вошли (что не исключает того, что эти меры будут впоследствии установлены отдельным федеральным законом в отношении криптовалют).

Закон вступает в силу с 1 января 2021 года, за исключением отдельных изменений в Федеральный закон «О противодействии отмыванию доходов, полученных преступным путем, и финансированию терроризма», которые вступают в силу на 9 дней позже.

Ниже — краткий обзор основных положений закона.

Цифровая валюта и цифровые финансовые активы

Законом регулируются отношения, связанные с выпуском и оборотом двух объектов — цифровых финансовых активов и цифровой валюты.

Под цифровыми финансовыми активами в соответствии с законом понимаются «цифровые права, включающие денежные требования, возможность осуществления прав по эмиссионным ценным бумагам, права участия в капитале непубличного акционерного общества, право требовать передачи эмиссионных ценных бумаг, которые предусмотрены решением о выпуске цифровых финансовых активов в порядке, установленном настоящим Федеральным законом, выпуск, учет и обращение которых возможны только путем внесения (изменения) записей в информационную систему на основе распределенного реестра, а также в иные информационные системы».

Другими словами, закон определяет цифровые финансовые активы как цифровые права, удостоверяющие одно из следующих прав (их перечень закрыт):

Цифровую валюту закон определяет как

«совокупность электронных данных (цифрового кода или обозначения), содержащихся в информационной системе, которые предлагаются и (или) могут быть приняты в качестве средства платежа, не являющегося денежной единицей Российской Федерации, денежной единицей иностранного государства и (или) международной денежной или расчетной единицей, и (или) в качестве инвестиций и в отношении которых отсутствует лицо, обязанное перед каждым обладателем таких электронных данных, за исключением оператора и (или) узлов информационной системы, обязанных только обеспечивать соответствие порядка выпуска этих электронных данных и осуществления в их отношении действий по внесению (изменению) записей в такую информационную систему ее правилам».

То есть, если изложить данное определение простым языком, к цифровой валюте будет относиться любая информация в информационной системе, которая:

Какой-либо привязки к использованию криптографии, распределенного реестра или иных связанных с криптовалютой технологий, в определении нет.

Определение очень размытое и теоретически под него могли бы попасть вполне традиционные электронные деньги и иные электронные средства платежа. Во избежание этого в законе сделана специальная оговорка о том, что его положения не распространяются на «обращение безналичных денежных средств, электронных денежных средств, а также на выпуск, учет и обращение бездокументарных ценных бумаг».

Если сравнить закрепленные в законе определения с терминами криптовалютного рынка, то можно сделать вывод, что положения принятого закона распространяются на отдельные виды «токенов», попадающие под определение цифровых финансовых активов, в первую очередь на токены-акции и кредитные токены, а также на классические, необеспеченные криптовалюты.

Положения закона также распространяются на определенные виды «стейлбкоинов» (криптовалют, обеспеченные другими активами, например, денежными средствами, золотом или товарами), например, на стейблкоины, обеспеченные реальной валютой — такие стейблкоины могут быть отнесены к цифровым финансовым активам.

За пределами регулирования данного закона остаются токены и стейблкоины, не удостоверяющие права на какой-либо из объектов, перечисленных в определении цифровых финансовых активов, что не исключает того, что оборот таких объектов будет урегулирован другими законами.

Например, вопросы выпуска и оборота отдельных видов утилитарных токенов уже урегулированы Федеральным законом «О привлечении инвестиций с использованием инвестиционных платформ и о внесении изменений в отдельные законодательные акты Российской Федерации» (известным также как «Закон о краудфандинге»).

Регулирование в отношении цифровых финансовых активов

Особенностям выпуска и оборота цифровых финансовых активов посвящена большая часть закона. Основные положения:

Регулирование в отношении цифровой валюты

Основное нововведение, касающееся цифровой валюты — запрет на прием цифровой валюты в качестве встречного предоставления за любые товары, работы, услуги или иные объекты. Запрет распространяется на юридических лиц, личным законом которых является российское право, филиалы, представительства и иные подразделения иностранных лиц, а также физических лиц, находящихся на территории РФ не менее 183 дней в течение следующих 12 месяцев.

Кроме того, на указанных лиц распространятся требование декларировать имеющуюся цифровую валюту. При этом требования, связанные с незадекларированной цифровой валютой, не подлежат судебной защите.

Также для любых лиц запрещается в принципе распространять какую-либо информацию о предложении или приеме цифровой валюты в качестве встречного предоставления.

Отношения, касающиеся выпуска и оборота цифровой валюты, будут, судя по всему, урегулированы отдельным федеральным законом. При этом такое регулирование распространяется на деятельность по организации выпуска и обращения цифровых валют, а также непосредственно на выпуск цифровой валюты, совершаемые с использованием российской информационной инфраструктуры, оборудования, расположенного на территории РФ, доменных имен и сетевых адресов, находящихся в российской доменной зоне.

Еще один интересный момент — отнесение цифровой валюты к тому или иному виду объектов гражданских прав. Законодатель не стал разрешать этот вопрос в целом, а вместо этого внес отдельные точечные изменения в Федеральный закон «О несостоятельности (банкротстве), Федеральный закон «Об исполнительном производстве», Федеральный закон «О противодействии коррупции» указание на то, что цифровая валюта признается имуществом для целей указанных федеральных законов.

Источник