что такое классификация данных в информационной безопасности

Основы информационной безопасности. Часть 1: Виды угроз

Безопасность виртуального сервера может быть рассмотрена только непосредственно как «информационная безопасность». Многие слышали это словосочетание, но не все понимают, что же это такое?

«Информационная безопасность» — это процесс обеспечения доступности, целостности и конфиденциальности информации.

Под «доступностью» понимается соответственно обеспечение доступа к информации. «Целостность» — это обеспечение достоверности и полноты информации. «Конфиденциальность» подразумевает под собой обеспечение доступа к информации только авторизованным пользователям.

Исходя из Ваших целей и выполняемых задач на виртуальном сервере, необходимы будут и различные меры и степени защиты, применимые по каждому из этих трех пунктов.

Для примера, если Вы используете виртуальный сервер, только как средство для серфинга в интернете, то из необходимых средств для обеспечения безопасности, в первую очередь будет использование средств антивирусной защиты, а так же соблюдение элементарных правил безопасности при работе в сети интернет.

В другом случае если у Вас размещен на сервере продающий сайт или игровой сервер, то и необходимые меры защиты будут совершенно различными.

Знание возможных угроз, а также уязвимых мест защиты, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее оптимальные средства обеспечения безопасности, для этого рассмотрим основные моменты.

Под «Угрозой» понимается потенциальная возможность тем или иным способом нарушить информационную безопасность. Попытка реализации угрозы называется «атакой», а тот, кто реализует данную попытку, называется «злоумышленником». Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем.

Рассмотрим наиболее распространенные угрозы, которым подвержены современные информационные системы.

Угрозы информационной безопасности, которые наносят наибольший ущерб

Рассмотрим ниже классификацию видов угроз по различным критериям:

Применимо к виртуальным серверам, угрозы, которые Вам как администратору сервера, необходимо принимать во внимание это — угроза доступности, конфиденциальности и целостность данных. За возможность осуществления угроз направленных на конфиденциальность и целостность данных, не связанные с аппаратной или инфраструктурной составляющей, Вы несете прямую и самостоятельную ответственность. В том числе как и применение необходимых мер защиты, это Ваша непосредственная задача.

На угрозы направленные на уязвимости используемых Вами программ, зачастую Вы как пользователь не сможете повлиять, кроме как не использовать данные программы. Допускается использование данных программ только в случае если реализация угроз используя уязвимости этих программ, либо не целесообразна с точки зрения злоумышленника, либо не имеет для Вас как для пользователя существенных потерь.

Обеспечением необходимых мер безопасности от угроз направленных на аппаратуру, инфраструктуру или угрозы техногенного и природного характера, занимается напрямую та хостинг компания, которую Вы выбрали и в которой арендуете свои сервера. В данном случае необходимо наиболее тщательно подходить к выбору, правильно выбранная хостинг компания на должном уровне обеспечит Вам надежность аппаратной и инфраструктурной составляющей.

Вам как администратору виртуального сервера, данные виды угроз нужно принимать во внимание только в случаях при которых даже кратковременная потеря доступа или частичная или полная остановка в работоспособности сервера по вине хостинг компании могут привести к не соизмеримым проблемам или убыткам. Это случается достаточно редко, но по объективным причинам ни одна хостинг компания не может обеспечить Uptime 100%.

Угрозы непосредственно информационной безопасности

К основным угрозам доступности можно отнести

Основные угрозы целостности

Можно разделить на угрозы статической целостности и угрозы динамической целостности.

Так же стоит разделять на угрозы целостности служебной информации и содержательных данных. Под служебной информацией понимаются пароли для доступа, маршруты передачи данных в локальной сети и подобная информация. Чаще всего и практически во всех случаях злоумышленником осозхнанно или нет, оказывается сотрудник организации, который знаком с режимом работы и мерами защиты.

С целью нарушения статической целостности злоумышленник может:

Основные угрозы конфиденциальности

Конфиденциальную информацию можно разделить на предметную и служебную. Служебная информация (например, пароли пользователей) не относится к определенной предметной области, в информационной системе она играет техническую роль, но ее раскрытие особенно опасно, поскольку оно чревато получением несанкционированного доступа ко всей информации, в том числе предметной.

Даже если информация хранится в компьютере или предназначена для компьютерного использования, угрозы ее конфиденциальности могут носить некомпьютерный и вообще нетехнический характер.

К неприятным угрозам, от которых трудно защищаться, можно отнести злоупотребление полномочиями. На многих типах систем привилегированный пользователь (например системный администратор) способен прочитать любой (незашифрованный) файл, получить доступ к почте любого пользователя и т.д. Другой пример — нанесение ущерба при сервисном обслуживании. Обычно сервисный инженер получает неограниченный доступ к оборудованию и имеет возможность действовать в обход программных защитных механизмов.

Для наглядности данные виды угроз так же схематично представлены ниже на рис 1.

Рис. 1. Классификация видов угроз информационной безопасности

Для применения наиболее оптимальных мер по защите, необходимо провести оценку не только угроз информационной безопасности но и возможного ущерба, для этого используют характеристику приемлемости, таким образом, возможный ущерб определяется как приемлемый или неприемлемым. Для этого полезно утвердить собственные критерии допустимости ущерба в денежной или иной форме.

Каждый кто приступает к организации информационной безопасности, должен ответить на три основных вопроса:

Основные методы и средства защиты, а так же минимальные и необходимые меры безопасности применяемые на виртуальных серверах в зависимости от основных целей их использования и видов угроз, нами будут рассмотрены в следующих статьях под заголовком «Основы информационной безопасности».

Источник

Классификация данных как аспект информационной безопасности

Разрабатывая проекты по информационной безопасности (ИБ), компании часто забывают об одном немаловажном аспекте — классификации данных. На первый взгляд классификация к безопасности и отношения-то не имеет. Однако практика показывает, что классификация — это не просто процесс, связанный c защитой информации, а основа для построения полноценной системы безопасности.

В помощь информационной безопасности

И все-таки — как классификация помогает безопасности? Рассмотрим простейшую систему защиты данных, которая обеспечивает разграничение прав доступа. При запуске такой системы в эксплуатацию в ней регистрируются пользователи, работники предприятия. Далее каждого из пользователей или группу пользователей необходимо наделить правами на доступ к. некоторой информации. Но вот к какой именно информации? Не раздавать же права на отдельные файлы, создавая списки километровой длины! В крайнем случае права могут быть предоставлены на доступ к директориям. При этом директории должны различаться по каким-либо критериям, например по принадлежности содержащихся в них документов какому-то лицу или подразделению компании. Кроме того, необходимо убедиться, что в этих директориях лежат именно «правильные» документы, соответствующие тому признаку, который был выбран для папки.

Вот пример довольно примитивной и жесткой классификации, лежащей в основе внедрения простейшей системы защиты. Не проведя даже такую относительно простую классификацию, невозможно будет назначить права пользователям.

Разумеется, в реальной корпоративной сети информация хранится не только в папках файловых хранилищ и файлах офисных приложений. Есть еще масса программного обеспечения корпоративного уровня, ERP-, CRM- и HRM-системы, базы данных. Но и данные, хранящиеся в этих системах, могут быть классифицированы. Кстати, чуть отвлекаясь от темы, стоит заметить, что внутри этих самых корпоративных систем данные уже классифицированы, упорядочены, а нередко и защищены. А вот на выходе из систем информация становится одновременно деклассифицированной и уязвимой.

Чем еще хороша классификация, и зачем она нужна? Прежде всего, классификация позволяет выявить ту информацию, которую следует защищать. То есть буквально отделить зерна от плевел. Это позволяет минимизировать количество конфиденциальной информации. Очевидно, что чем ее меньше, тем легче контролировать ее использование и перемещение.

Кроме того, при проведении классификации выявляются документы, бывшие когда-то секретными, но теперь уже потерявшие свою актуальность. Их можно отправить в архив или безвозвратно удалить.

Помимо этого классификация позволяет определить все места хранения информации, что может быть использовано для оптимизации бизнес-процессов в компании.

Ложки дегтя

О важности классификации данных в корпоративной среде, в том числе и для целей защиты информации, известно давно. В исследовании аналитического центра Perimetrix «Инсайдерские угрозы в России 2008» 77% респондентов сошлись во мнении, что классификация помогает поднять эффективность защиты от утечек. Тем не менее по состоянию на начало 2008 года почти половина (41%) компаний вообще никогда не проводила классификацию. И только 13% фирм классифицировали корпоративные данные в течение последнего года. Спустя год в отчете «Инсайдерские угрозы в России 2009» была опубликована информация о значительном росте числа компаний, которые занимались проблемой классификации. В течение 2008 года уже 25% фирм провели классификацию, а доля проигнорировавших ее снизилась до 33%. Тем не менее даже свежие цифры весьма скромны в абсолютном значении.

Почему же, признавая важность классификации данных, на практике компании ею не занимаются? Причин тому несколько. Прежде всего, классификация — процесс сложный, требующий немало времени и средств, а в противном случае — не отличающийся эффективностью. Еще одна проблема — поддержание актуальности. Чтобы классификация была эффективной, действительно помогала в деле защиты информации, ее необходимо постоянно поддерживать и актуализировать. А этот процесс может оказаться даже более трудоемким, нежели первоначальная классификация «с нуля». Получается, что нужно разработать специальные механизмы, позволяющие автоматически поддерживать актуальность классификации, либо начинать очередную итерацию классификации сразу же по окончании текущей. В противном случае естественный жизненный цикл данных в корпоративной среде очень скоро приведет к размытию правильных категорий. Именно поэтому многие компании даже не берутся за классификацию.

Выбирай на вкус

Существует множество мнений, как и какими средствами проводить классификацию. И выбор приходится делать уже с самого начала. Например, что лучше: раскидать документы с определенными признаками (классами) по директориям или создать некую электронную метку, куда записывать класс документа? Очевидно, что первый способ и проще и быстрее. Но что если документ относится к нескольким классам-папкам? Поместить по копии в каждую? И как затем отследить производные такого документа? Вариант с метками гораздо более гибкий, но и более сложный в реализации. В зависимости от выбранного варианта будет изменяться и ключевой аспект классификации, коим стоит признать, пожалуй, набор признаков, по которым затем разделят документы, — так называемый классификатор.

А вот методы, с помощью которых будет производиться проверка документов на соответствие признакам-классам (рис. 1), являются общими и справедливы для любого процесса классификации. Кратко рассмотрим каждый из них.

Классификация вручную — это самый надежный и точный метод. Но кто этим будет заниматься? Никто лучше человека — автора или заказчика документа (назовем его владельцем документа) — не разбирается в сущности информации. Однако пересмотреть и классифицировать сотни (тысячи, десятки тысяч. ) документов, имеющихся в корпоративной среде, очень трудно. Задача титаническая, явно не осуществимая в реальные сроки в большинстве организаций. Такой поход реализуем только в случае, если компания молодая и небольшая, иначе необходима автоматизация, упрощение.

Методы первичной классификации данных (источник: Perimetrix, 2009)

Количество документов, которые требуется классифицировать, может быть уменьшено посредством отсеивания ненужных объектов. Например, можно игнорировать давно не изменявшиеся файлы. А это уже полноценный этап классификации. Разумеется, слепо откинуть старые документы, содержание которых может оказаться до сих пор актуальным, нельзя. Но как бы мы процесс ни автоматизировали, сколько бы признаков ни использовали, все равно финальный результат будет во многом вероятностным, неточным, требующим подтверждения со стороны человека.

Автоматизированная классификация. Как уже упоминалось, один из простейших способов автоматизации — это учет некоторых формальных признаков документов, например таких, как название или тип файла, автор изменений, размер документа и т.д. Очевидно, что такой метод является крайне неточным, зато он достаточно быстрый и простой для реализации. Содержимое документов, несущее основную смысловую нагрузку, вообще не учитывается.

Чуть более точной может быть классификация, учитывающая места размещения информации. В большинстве компаний имеются определенные правила, регламентирующие места хранения информации. Например, информация о компаниях-контрагентах располагается на некотором сетевом диске U:, а на сервере c IP-адресом 192.168.1.17 лежат личные файлы сотрудников, фотографии с последней вечеринки и другая информация, некритичная к утечке.

Методы поддержания актуальной классификации (источник: Perimetrix, 2009)

Тем не мене метод будет хорош, только если сотрудники действительно соблюдают правила размещения информации. Опять же метод никак не учитывает несоответствие задекларированного содержимого документа его реальному наполнению. Если пользователь по ошибке или преднамеренно разместит в открытой директории конфиденциальный финансовый отчет, классификация по месту хранения также определит отчет как несекретный документ.

Другие типы автоматизированной классификации (морфологический анализ и анализ по цифровым отпечаткам) также являются вероятностными, однако, в отличие от описанных ранее, предполагают проверку внутреннего содержания. Впрочем, определенные ограничения налагают и данные методы. Так, морфологический анализ применим только к документам с текстовым содержанием, то есть к обычным «плоским» текстовым файлам либо к файлам, из которых можно изъять текстовую составляющую (например, файлы MS Office, Adobe Acrobat и др.). Посредством лингвистических методов, основанных на поиске заданных слов, словосочетаний и их взаимного расположения в тексте, компьютерная система может определить смысловую нагрузку документа. Помимо требований к формату классифицируемых файлов, морфологический анализ также предполагает серьезную предварительную работу по выделению морфологических признаков для каждого класса информации.

Наиболее точным и универсальным из всех методов стоит, пожалуй, признать анализ по цифровым отпечаткам. В ходе анализа по цифровым отпечаткам происходит сравнение проверяемых файлов и некоторых эталонных файлов, с которых отпечатки уже были сняты ранее. В основе определения собственно цифровых отпечатков лежат механизмы, схожие со снятием контрольных сумм с файлов. В результате если цифровые отпечатки проверяемых файлов или их частей схожи с эталонными отпечатками, то это указывает на близость их содержания и соответственно классов содержащейся информации.

Универсальность цифровых отпечатков заключается в том, что они могут сниматься с любого типа файлов в бинарном представлении. Таким образом могут быть классифицированы и графические, и аудио-, и другие типы файлов. Кроме того, если из файла может быть извлечен текст (как для морфологического анализа), цифровые отпечатки могут быть сняты и с самого текста, что повысит качество распознавания класса информации. Из недостатков метода цифровых отпечатков следует назвать солидную предварительную работу, необходимость создания базы данных эталонных отпечатков, чувствительность к изменениям файлов.

Замолвим слово об актуализации

Как уже говорилось, сама классификация — это еще полбеды. Помимо этого необходимо решить задачу по поддержанию классификации в актуальном состоянии. Тем не менее, проведя классификацию однажды, компании имеют достаточно возможностей поддерживать ее актуальность на протяжении некоторого времени. Доступные методы поддержания классификации приведены на рис. 2.

Помимо перечисленных ранее (см. рис. 1) методов появились опции:

Особенности практического применения

Чтобы провести классификацию данных на предприятии, вовсе не обязательно применять все описанные нами методики. Тем не менее, сочетая различные методики, можно добиться приемлемого качества классификации при разумных финансовых и временных затратах. Кроме того, некоторые методы могут вообще не помочь. Например, самый точный способ — цифровые отпечатки — не даст никакого результата, если в базе не обнаружатся схожие эталонные документы.

Понятно, что такие методы, как классификация по местам хранения и формальным признакам, являются очень неточными, а потому рекомендуются для использования только в редких случаях.

В любом случае выбор всегда остается за человеком. Это относится как к методике, так и к результатам работы средств автоматизации. Если оператор не согласен с предложенным результатом по итогам, например, классификации по формальным признакам, то он должен применять какой-то другой метод либо провести проверку содержимого вручную.

Источник

Что такое информационная безопасность и какие данные она охраняет

Если компания хранит бухгалтерскую информацию, клиентскую базу, анкеты сотрудников или корпоративные тайны, то важно, чтобы эти данные не попали не в те руки, то есть были защищены. Защитой данных занимается информационная безопасность. Разобрались, что это и какие именно данные она защищает.

Что такое информационная безопасность

Информационная безопасность — это различные меры по защите информации от посторонних лиц. В доцифровую эпоху для защиты информации люди запирали важные документы в сейфы, нанимали охранников и шифровали свои сообщения на бумаге.

Сейчас чаще защищают не бумажную, а цифровую информацию, но меры, по сути, остались теми же: специалисты по информационной безопасности создают защищенные пространства (виртуальные «сейфы»), устанавливают защитное ПО вроде антивирусов («нанимают охранников») и используют криптографические методы для шифрования цифровой информации.

За что отвечает информационная безопасность

Она отвечает за три вещи: конфиденциальность, целостность и доступность информации. В концепции информационной безопасности их называют принципами информационной безопасности.

Конфиденциальность означает, что доступ к информации есть только у того, кто имеет на это право. Например, ваш пароль от электронной почты знаете только вы, и только вы можете читать свои письма. Если кто-то узнает пароль или другим способом получит доступ в почтовый ящик, конфиденциальность будет нарушена.

Целостность означает, что информация сохраняется в полном объеме и не изменяется без ведома владельца. Например, на вашей электронной почте хранятся письма. Если злоумышленник удалит некоторые или изменит текст отдельных писем, то это нарушит целостность.

Доступность означает, что тот, кто имеет право на доступ к информации, может ее получить. Например, вы в любой момент можете войти в свою электронную почту. Если хакеры атакуют серверы, почта будет недоступна, это нарушит доступность.

Какая бывает информация и как ее защищают

Информация бывает общедоступная и конфиденциальная. К общедоступной имеет доступ любой человек, к конфиденциальной — только отдельные лица.

Может показаться, что защищать общедоступную информацию не надо. Но на общедоступную информацию не распространяется только принцип конфиденциальности — она должна оставаться целостностной и доступной. Поэтому информационная безопасность занимается и общедоступной информацией.

Главная задача информационной безопасности в IT и не только — защита конфиденциальной информации. Если доступ к ней получит посторонний, это приведет к неприятным последствиям: краже денег, потере прибыли компании, нарушению конституционных прав человека и другим неприятностям.

Защита конфиденциальных данных — главная задача специалистов по информационной безопасности. Сама конфиденциальная информация бывает разной. Например, у оборонной компании это стратегическое расположение средств ПВО. А у ресторана — рецепт секретного соуса.

Баранников Андрей, руководитель отдела ИБ ИТ-компании «Рексофт»

Если с общедоступной информацией все понятно, то о конфиденциальной информации стоит поговорить отдельно, так как у нее есть несколько разновидностей.

Основные виды конфиденциальной информации

Персональные данные. Информация о конкретном человеке: ФИО, паспортные данные, номер телефона, физиологические особенности, семейное положение и другие данные. В России действует 152-ФЗ — закон, который обязывает охранять эту информацию. Мы подробно рассказывали об этом в статье «Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать».

Тот, кто работает с персональными данными, обязан защищать их и не передавать третьим лицам. Информация о клиентах и сотрудниках относится как раз к персональным данным.

Коммерческая тайна. Внутренняя информация о работе компании: технологиях, методах управления, клиентской базе. Если эти данные станут известны посторонним, компания может потерять прибыль.

Компания сама решает, что считать коммерческой тайной, а что выставлять на всеобщее обозрение. При этом не вся информация может быть коммерческой тайной — например, нельзя скрывать имена учредителей юрлица, условия труда или факты нарушения законов. Подробнее о коммерческой тайне рассказывает закон 98-ФЗ.

Профессиональная тайна. Сюда относятся врачебная, нотариальная, адвокатская и другие виды тайны, относящиеся к профессиональной деятельности. С ней связано сразу несколько законов.

Служебная тайна. Информация, которая известна отдельным службам, например, налоговой или ЗАГСу. Эти данные обычно хранят государственные органы, они отвечают за их защиту и предоставляют только по запросу.

Государственная тайна. Сюда относят военные сведения, данные разведки, информацию о состоянии экономики, науки и техники государства, его внешней политики. Эти данные самые конфиденциальные — к безопасности информационных систем, в которых хранится такая информация, предъявляют самые строгие требования.

Источник

Основы информационной безопасности. Часть 2. Информация и средства её защиты

В первой части «Основ информационной безопасности» нами были рассмотрены основные виды угроз информационной безопасности. Для того чтобы мы могли приступить к выбору средств защиты информации, необходимо более детально рассмотреть, что же можно отнести к понятию информации.

Информация и ее классификация

Существует достаточно много определений и классификаций «Информации». Наиболее краткое и в тоже время емкое определение дано в федеральном законе от 27 июля 2006 года № 149-ФЗ (ред. от 29.07.2017 года) «Об информации, информационных технологиях и о защите информации», статья 2: Информация – это сведения (сообщения, данные) независимо от формы их представления».

Информацию можно классифицировать по нескольким видам и в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен – конфиденциальные данные и государственная тайна.

Информация в зависимости от порядка ее предоставления или распространения подразделяется на информацию:

Согласно закона РФ от 21.07.1993 N 5485-1 (ред. от 08.03.2015) «О государственной тайне» статья 5. «Перечень сведений составляющих государственную тайну» относится:

Конфиденциальные данные – это информация, доступ к которой ограничен в соответствии с законами государства и нормами, которые компании устанавливаются самостоятельно. Можно выделит следующие виды конфиденциальных данных:

Персональные данные

Отдельно стоит уделить внимание и рассмотреть персональные данные. Согласно федерального закона от 27.07.2006 № 152-ФЗ (ред. от 29.07.2017) «О персональных данных», статья 4: Персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Оператором персональных данных является — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Права на обработку персональных данных закреплено в положениях о государственных органах, федеральными законами, лицензиями на работу с персональными данными, которые выдает Роскомнадзор или ФСТЭК.

Компании, которые профессионально работают с персональными данными широкого круга лиц, например, хостинг компании виртуальных серверов или операторы связи, должны войти в реестр, его ведет Роскомнадзор.

Для примера наш хостинг виртуальных серверов VPS.HOUSE осуществляет свою деятельность в рамках законодательства РФ и в соответствии с лицензиями Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций №139322 от 25.12.2015 (Телематические услуги связи) и №139323 от 25.12.2015 (Услуги связи по передаче данных, за исключением услуг связи по передаче данных для целей передачи голосовой информации).

Исходя из этого любой сайт, на котором есть форма регистрации пользователей, в которой указывается и в последствии обрабатывается информация, относящаяся к персональным данным, является оператором персональных данных.

Учитывая статью 7, закона № 152-ФЗ «О персональных данных», операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Соответственно любой оператор персональных данных, обязан обеспечить необходимую безопасность и конфиденциальность данной информации.

Для того чтобы обеспечить безопасность и конфиденциальность информации необходимо определить какие бывают носители информации, доступ к которым бывает открытым и закрытым. Соответственно способы и средства защиты подбираются так же в зависимости и от типа носителя.

Основные носители информации:

Классификация средств защиты информации

В соответствии с федеральным законом от 27 июля 2006 года № 149-ФЗ (ред. от 29.07.2017 года) «Об информации, информационных технологиях и о защите информации», статья 7, п. 1. и п. 4:

1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

Средства защиты информации

Средства защиты информации принято делить на нормативные (неформальные) и технические (формальные).

Неформальные средства защиты информации

Неформальными средствами защиты информации – являются нормативные(законодательные), административные(организационные) и морально-этические средства, к которым можно отнести: документы, правила, мероприятия.

Правовую основу (законодательные средства) информационной безопасности обеспечивает государство. Защита информации регулируется международными конвенциями, Конституцией, федеральными законами «Об информации, информационных технологиях и о защите информации», законы Российской Федерации «О безопасности», «О связи», «О государственной тайне» и различными подзаконными актами.

Так же некоторые из перечисленных законов были приведены и рассмотрены нами выше, в качестве правовых основ информационной безопасности. Не соблюдение данных законов влечет за собой угрозы информационной безопасности, которые могут привести к значительным последствиям, что в свою очередь наказуемо в соответствии с этими законами в плоть до уголовной ответственности.

Государство также определят меру ответственности за нарушение положений законодательства в сфере информационной безопасности. Например, глава 28 «Преступления в сфере компьютерной информации» в Уголовном кодексе Российской Федерации, включает три статьи:

Для снижения влияния этих аспектов необходима совокупность организационно-правовых и организационно-технических мероприятий, которые исключали бы или сводили к минимуму возможность возникновения угроз конфиденциальной информации.

В данной административно-организационной деятельности по защите информационной для сотрудников служб безопасности открывается простор для творчества.

Это и архитектурно-планировочные решения, позволяющие защитить переговорные комнаты и кабинеты руководства от прослушивания, и установление различных уровней доступа к информации.

С точки зрения регламентации деятельности персонала важным станет оформление системы запросов на допуск к интернету, внешней электронной почте, другим ресурсам. Отдельным элементом станет получение электронной цифровой подписи для усиления безопасности финансовой и другой информации, которую передают государственным органам по каналам электронной почты.

К морально-этическим средствам можно отнести сложившиеся в обществе или данном коллективе моральные нормы или этические правила, соблюдение которых способствует защите информации, а нарушение их приравнивается к несоблюдению правил поведения в обществе или коллективе. Эти нормы не являются обязательными, как законодательно утвержденные нормы, однако, их несоблюдение ведет к падению авторитета, престижа человека или организации.

Формальные средства защиты информации

Формальные средства защиты – это специальные технические средства и программное обеспечение, которые можно разделить на физические, аппаратные, программные и криптографические.

Физические средства защиты информации – это любые механические, электрические и электронные механизмы, которые функционируют независимо от информационных систем и создают препятствия для доступа к ним.

Замки, в том числе электронные, экраны, жалюзи призваны создавать препятствия для контакта дестабилизирующих факторов с системами. Группа дополняется средствами систем безопасности, например, видеокамерами, видеорегистраторами, датчиками, выявляющие движение или превышение степени электромагнитного излучения в зоне расположения технических средств для снятия информации.

Аппаратный средства защиты информации – это любые электрические, электронные, оптические, лазерные и другие устройства, которые встраиваются в информационные и телекоммуникационные системы: специальные компьютеры, системы контроля сотрудников, защиты серверов и корпоративных сетей. Они препятствуют доступу к информации, в том числе с помощью её маскировки.

К аппаратным средствам относятся: генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, «перекрывающих» потенциальные каналы утечки информации или позволяющих их обнаружить.

Программные средства защиты информации – это простые и комплексные программы, предназначенные для решения задач, связанных с обеспечением информационной безопасности.

Примером комплексных решений служат DLP-системы и SIEM-системы.

DLP-системы («Data Leak Prevention» дословно «предотвращение утечки данных») соответственно служат для предотвращения утечки, переформатирования информации и перенаправления информационных потоков.

SIEM-системы («Security Information and Event Management», что в переводе означает «Управление событиями и информационной безопасностью») обеспечивают анализ в реальном времени событий (тревог) безопасности, исходящих от сетевых устройств и приложений. SIEM представлено приложениями, приборами или услугами, и используется также для журналирования данных и генерации отчетов в целях совместимости с прочими бизнес-данными.

Программные средства требовательны к мощности аппаратных устройств, и при установке необходимо предусмотреть дополнительные резервы.

Математический (криптографический) – внедрение криптографических и стенографических методов защиты данных для безопасной передачи по корпоративной или глобальной сети.

Криптография считается одним из самых надежных способов защиты данных, ведь она охраняет саму информацию, а не доступ к ней. Криптографически преобразованная информация обладает повышенной степенью защиты.

Внедрение средств криптографической защиты информации предусматривает создание программно-аппаратного комплекса, архитектура и состав которого определяется, исходя из потребностей конкретного заказчика, требований законодательства, поставленных задач и необходимых методов, и алгоритмов шифрования.

Сюда могут входить программные компоненты шифрования (криптопровайдеры), средства организации VPN, средства удостоверения, средства формирования и проверки ключей и электронной цифровой подписи.

Средства шифрования могут поддерживать алгоритмы шифрования ГОСТ и обеспечивать необходимые классы криптозащиты в зависимости от необходимой степени защиты, нормативной базы и требований совместимости с иными, в том числе, внешними системами. При этом средства шифрования обеспечивают защиту всего множества информационных компонент в том числе файлов, каталогов с файлами, физических и виртуальных носителей информации, целиком серверов и систем хранения данных.

В заключение второй части рассмотрев вкратце основные способы и средства защиты информации, а так же классификацию информации, можно сказать следующее: О том что еще раз подтверждается давно известный тезис, что обеспечение информационной безопасности — это целый комплекс мер, который включает в себя все аспекты защиты информации, к созданию и обеспечению которого, необходимо подходить наиболее тщательно и серьезно.

Необходимо строго соблюдать и ни при каких обстоятельствах нельзя нарушать «Золотое правило» — это комплексный подход.

Для более наглядного представления средства защиты информации, именно как неделимый комплекс мер, представлены ниже на рисунке 2, каждый из кирпичиков которого, представляет собой защиту информации в определенном сегменте, уберите один из кирпичиков и возникнет угроза безопасности.

Рисунок 2. Классификация средства защиты информации.

Источник