Информационная безопасность: как обезопасить себя и клиентов. Информационная безопасность предприятия информационная защита бизнеса профессиональной деятельности в ООО «Ласпи»

10.02.2022 Дом

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Хованскова В.С., Румянцев К.Е., Ховансков С.А. Метод повышения защиты работоспособности распределенных вычислений в компьютерных сетях // Известия ЮФУ. Технические науки. - 2012. - № 4 (129). - С. 102-107.

2. Ховансков С.А., Норкин О.Р. Алгоритм повышения производительности распределенных сетевых вычислений // Информатизация и связь. - 2011. - № 3. - С. 96-98.

3. Литвиненко В.А., Ховансков С.А. Решения задач путем организации распределенных вычислений в сети // Известия ЮФУ. Технические науки. - 2008. - № 3 (80). - С. 16-21.

4. Ховансков С.А., Норкин О.Р. Алгоритмическая оптимизация конфигурации системы децентрализованных вычислений // Телекоммуникации. - 2012. - № 11. - С. 2-5.

5. Ховансков С.А. Организация распределенных вычислений с иерархической структурой связей // Информационное противодействие угрозам терроризма. - 2007. - № 9. - С. 170-178.

6. Литвиненко В.А., Ховансков С.А. Алгоритм оптимизации параметров компьютерной сети для уменьшения времени решения задачи на основе мультиагентной системы // Известия ЮФУ. Технические науки. - 2007. - № 2 (77). - С. 186-190.

7. Ховансков С.А., Литвиненко В.А., Норкин О.Р. Организация распределенных вычислений для решения задач трассировки // Известия ЮФУ. Технические науки. - 2010.

- № 12 (113). - С. 48-55.

8. Калашников В.А., Трунов И.Л., Ховансков С.А. Параллельный алгоритм размещения на многопроцессорной вычислительной системе // Известия ЮФУ. Технические науки.

1997. - № 3 (6). - С. 181-184.

Румянцев Константин Евгеньевич - Федеральное государственное автономное образовательное учреждение высшего профессионального образования «Южный федеральный университет»; e-mail: [email protected]; 347900, г. Таганрог, ул. Чехова, 2; тел.: 88634328725; кафедра ИБТКС; зав. кафедрой; д.т.н.; профессор,

Ховансков Сергей Андреевич - e-mail: [email protected]; тел.: 88634642530; кафедра ИБТКС; к.т.н.; доцент.

Хованскова Вера Сергеевна - e-mail: [email protected]; тел.: 88634676616; студентка.

Rumyantsev Constantine Evgen’evich - Federal State-Owned Autonomy Educational Establishment of Higher Vocational Education “Southern Federal University”; e-mail: [email protected]; 2, Chekhov street, Taganrog, 347900, Russia; phone: +78634328725; the department of IBTKS; head the department; dr. of eng. sc.; professor.

Khovanskov Sergey Andreevich - e-mail: [email protected]; phone: 88634642530; the department of ISTCN; cand. of eng. sc.; associate professor.

Khovanskovа Vera Sergeevna - e-mail: [email protected]; phone: +78634676616; student.

Е.Н. Ефимов, Г.М. Лапицкая

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И БИЗНЕС-ПРОЦЕССЫ

КОМПАНИИ

Цель исследования показать, что информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компании. При этом бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

При разработке стратегии управления информационной безопасностью предложена комплексная диагностика состояния компании с помощью SWOT-анализа с условной количественной оценкой результатов, полученной с помощью метода анализа иерархий.

Идентификация рисков необходима для оценки значимости угроз и построения системы безопасности. Анализ показал, что риски бизнес-процессов компании группируются в следующие категории: риски при проектировании, риски при реинжиниринге и риски в процессе использования бизнес-процессов.

Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которые сегодня рассматриваются как один из эффективных способов управления информационными технологиями и информационной безопасностью. Систему GRC при этом целесообразно комплексировать с системами класса Business Process Management, предназначенных для управления бизнес-процессами компании.

Бизнес-цели; информационная безопасность; бизнес-процессы.

E.N. Efimov, G.M. Lapitskaya

INFORMATION SECURITY AND BUSINESS PROCESSES OF THE COMPANY

The Purpose of the study to show that information safety must be created and exist within the framework of achievement business-integer to companies. At business-processes are a firsthand given for organization of information safety to companies.

At development of the strategies of management information safety is offered complex diagnostics of the condition to companies by means of SWOT-analysis with conditional quantitative estimation result, got by means of method of the analysis hierarchy.

The Identification risk required for estimation of value of the threats and buildings of the system to safety. The Analysis has shown that risks business-processes to companies are grouped in the following categories: risks when designing, risks under reengineering and risks in process of the use business-processes.

Automate the processes to safety to companies reasonable by means of systems of the class GRC (Governance, Risk management and Compliance), which are today considered as one of the efficient ways of management information technology and information safety. The Systems GRC herewith necessary complex with system of the class Business Process Management, intended for governing business-process to companies.

Business-purposes; information safety; business-processes.

Постановка проблемы. Информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компаний. Эффективное ведение бизнеса невозможно без использования современных информационных технологий (ИТ), которые используются для поддержки практически всех бизнес-процессов современной компании. Однако сегодня очевидна тенденция: информационная безопасность из защиты конкретных сетей, серверов, информационных ресурсов, превращается в безопасность бизнес-процессов компаний, поддерживаемых ИТ. Это предполагает наличие двух взаимозависимых направлений обеспечения безопасности компании: с одной стороны - эффективная работа бизнеса в части функционирования бизнес-процессов; с другой - нормальное функционирование поддерживающей ИТ-инфраструктуры. В настоящее время не сложилось единого подхода к информационной безопасности именно в данном контексте.

Для понимания основных проблем безопасности компании целесообразно выполнить тщательный анализ внешней и внутренней среды бизнеса, выделить те компоненты, которые действительно имеют значение, провести сбор и отслеживание информации по каждому компоненту и на основе оценки реального положения выяснить состояние компании и причины этого положения. Точная, комплексная, своевременная диагностика состояния компании - первый этап в разработке стратегии управления безопасной деятельностью.

Самый распространенный способ оценки стратегического положения компании - SWOT-анализ1. Матрица SWOT-анализа может быть представлена в виде следующей совокупности:

SWOT = ,

где St (Strengths) - множество сильных сторон организации, St = (St1, St2, ..., Stmt); W (Weaknesses) - множество слабых сторон организации, W = (W1, W2, ..., Wnw); Op (Opportunities) - множество возможностей организации, Op = (Op1, Op2, ., Opnop); Th (Threats) - множество угроз организации, Th = (Th1, Th2, ..., Thnth).

При этом важно понимать, что сильные St = (St1, St2, ..., Stnst) и слабые W = (W1, W2, ..., Wnw) стороны - это те составные части деятельности компании, которые она может контролировать, а возможности Op = (Op1, Op2, ., Opnop) и угрозы Th = (Th1, Th2, ..., Thnth) - это те факторы, которые находятся вне контроля компании и могут повлиять на процесс ее развития .

Результаты SWOT-анализа позволяют сформулировать стратегию безопасности компании на данном этапе развития. Эта задача вряд ли может быть формализована, однако на основе этих данных может быть разработано множество стратегий организации S = (S1, S2, ., Sn).

Для условной количественной оценки SWOT-матрицы возможно использовать, например, метод анализа иерархий (МАИ). Данный метод обеспечивает реализацию наиболее эффективного способа оценки количественно неизмеримых, но вместе с тем важных, факторов для принятия обоснованных решений. Кроме того, метод работает с несогласованными суждениями и не требует, чтобы предпочтения потребителей или лица принимающего решение (ЛПР) соответствовали аксиомам полезности. МАИ позволяет сводить исследования сложных проблем к простой процедуре проведения последовательно парных сравнений .

В качестве примера рассматривались результаты SWOT-анализа действующего предприятия телекоммуникационной отрасли (ОАО «Телеком»), предоставляющего полный спектр услуг связи (проводная и беспроводная телефония, доступ в сеть Интернет, услуги радиосвязи, информационные услуги) на территории города и области (в статье не приводится). Вариант последующей оценки SWOT-матрицы с помощью МАИ представлен в табл. 1.

Таблица 1

Оценка SWOT-матрицы

St W Op Th Вектор приоритетов Нормализованный вектор

St 1 1 0,33 0,33 0,58 0,10

W 1 1 0,2 0,14 0,41 0,07

Op 3 5 1 0,2 1,32 0,24

Th 3 7 5 1 3,20 0,58

Индекс согласованности ИС = 0,14 и отношение согласованности ОС = 15,58 < 20 % показывают удовлетворительную согласованность оценок ЛПР.

Значения нормализованного вектора лежат в пределах , поэтому результаты экспертных расчетов могут трактоваться следующим образом: “угрозы” организации значительны (П = 0,58), “возможности” организации для решения проблем удовлетворительны (Op = 0,24), “силы” организации для преодоления проблем посредственны ^ = 0,1), “слабости” организации незначительны ^ = 0,07).

1 SWOT - это аббревиатура, включающая начальные буквы четырёх английских слов: strength («сила»), weakness («слабость»), opportunities («возможности»), и threats («угрозы»)

Такой взгляд на проблему безопасности компании позволяет конкретизировать ее цель и задачи, объекты и угрозы, выработать план мероприятий по снижению рисков бизнес-процессов и произвести оценку эффективности проведенных мероприятий.

В связи с определенной спецификой исследования информационной безопасности с точки зрения безопасности бизнес-процессов компании необходимо вначале выполнить идентификацию рисков бизнес-процессов. Целью идентификации рисков является оценка подверженности компании угрозам, которые могут нанести существенный ущерб. Для сбора информации о рисках производится анализ бизнес-процессов компании и опрос экспертов предметной области. Результатом данного процесса является классифицированный перечень всех потенциальных рисков.

Идентификация рисков бизнес-процессов. Бизнес-процесс можно представить как преобразование:

Р (X, Я, Я, I О) ^ У, где Р - процесс, имеющий вид множества действий Р = {Бх, Б2, ..., Бр};X = {Хх, Х2,..., Х} - входные потоки бизнес-процесса и их поставщики; У = { Ух, У2,..., У} -выходные потоки бизнес-процесса и их потребители; Я = {Ях, Я2,..., Я/} - множество ресурсов, используемых для выполнения бизнес-процесса (технические, материальные, информационные); Я = {Я1, Я2,..., Яп} - множество функций, реализуемых в бизнес-процессе; I = { 2Ь 12,..., 1т} - множество участников и исполнителей бизнес-процесса; О = {Ох, О2,..., О} - границы и интерфейсы процесса.

Из данного определения видно, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

Вначале необходимо определить объекты защиты, т.е. что и от каких угроз следует защищать. К объектам защиты, безусловно, относятся информация, бизнес-процессы и материальные ресурсы компании.

Очевидным началом работ по информационной безопасности сегодня признается классификации данных компании. Классификация - процесс сложный, требующий немало времени и средств. Для того, чтобы классификация была эффективной, ее необходимо постоянно поддерживать и актуализировать. Целесообразность классификации заключается в том, что она позволяет определить все места хранения информации и выявить ту информацию, которую следует защищать. Это позволяет минимизировать количество конфиденциальной информации. При проведении классификации выявляются документы, бывшие когда-то секретными, но теперь уже потерявшие свою актуальность. Их можно отправить в архив или безвозвратно удалить.

Информационные активы (ИА) как объекты защиты требуют поддержания целостности, доступности и, если требуется, конфиденциальности информации в бизнес-системах. Проведенный анализ возможных угроз показал, что информационная инфраструктура должна обладать свойством защищенности информации, используемой в бизнес-процессах, т.е. обеспечивать защиту от несанкционированного (преднамеренного или случайного) получения, изменения, уничтожения или использования коммерческой, служебной или технологической информации. С учетом наличия компонентов бизнес-процесса, а также их взаимосвязей, к потенциально опасным ситуациям относятся: несанкционированный доступ нарушителей (не владельцев и участников процессов) к информации, хранящейся и обрабатываемой в средствах автоматизации, с целью ознакомления, искажения или уничтожения. При этом, точками входа могут быть интерфейсы и границы процесса, а также информация, необходимая для реализации функций (операций, процедур) процесса; перехват информации при ее приеме (передаче) по каналам связи

(сети) функциями процесса, а также за счет хищения носителей информации; уничтожение (изменение, искажение) информации за счет случайных помех, сбоев технических (программных) средств при передаче, хранении и обработке информации; несанкционированное влияние на бизнес-процесс нарушителей из числа владельцев и (или) участников процесса .

Анализ предметной области показал, что целесообразно идентифицировать риски бизнес-процессов компании на всех основных стадиях их жизненного цикла: на этапах проектирования, реинжиниринга и в процессе использования бизнес-процессов.

Идентификация рисков при проектировании и реинжиниринге бизнес-процессов. Даже первоначальное описание основных бизнес-процессов компании приносит как ощутимые результаты повышения эффективности работы, так и возможные потери (риски). Это, прежде всего, риски из-за ошибок при проектировании процессов: ошибки незавершенности (наличие пробелов в описании процесса); ошибки несоответствия (неадекватного использования информационных ресурсов в различных частях процесса, что приводит к искаженному восприятию информации или к неясности указаний); ошибки иерархической или «наследственной» несовместимости (наличие конфликта между основными и последующими процессами). Очевидно, следует допустить и наличие иных видов ошибок.

Следующий ряд рисков возникает из-за ошибок в методологии описания процессов (или парадигмы «.методология - модель - нотация - средства»): при отображении функций системы; процессов, обеспечивающих выполнение функций; данных и организационных структур, обеспечивающих выполнение функций; материальных и информационных потоков в ходе выполнения функций.

Далее следует отметить риски, возникающие из-за несоответствия топологии процесса, не позволяющие добиться максимально понятного течения процесса, отражающего при этом либо реальное положение вещей, либо оптимальное с учетом загрузки исполнителей, доступности ресурсов или других обстоятельств. Анализ ошибок топологии процесса может проводиться в несколько итераций. В результате анализируемый процесс может кардинально измениться. Например, функции, которые раньше выполнялись последовательно друг за другом, будут выполняться параллельно. Безусловно, что при этом не должна исказиться логика процесса и получаемый результат.

Идентификация рисков при использовании бизнес-процессов. Операционный риск можно определить как риск прямых или косвенных убытков в результате неверного исполнения бизнес-процессов, неэффективности процедур внутреннего контроля, технологических сбоев, несанкционированных действий персонала или внешнего воздействия. Операционный риск критичен для процессов, характеризующихся значимостью для деятельности организации в целом, большим числом транзакций в единицу времени, сложной системой технической поддержки. Выделяемые обычно риск-факторы аналогичны показателям состояния внутренней операционной среды и бизнес-процессов - объем операций, оборот, процент ошибочных действий. Управление операционными рисками осуществляется построением прозрачных и управляемых бизнес-процессов, правильной организационной структурой с опорой на экспертное знание .

Для решения задач устранения операционных рисков бизнес-процессов может быть использована система lean production (бережливое производство) - концепция менеджмента, созданная на основе производственной системы Toyota. Цель lean - идентифицировать, проанализировать и устранить потери в производственных процессах . В соответствии с концепцией lean в бизнес-процессах возникает восемь видов потерь: неиспользование потенциала сотрудников; потери

от перепроизводства; потери на транспортировку; потери от брака, излишних отходов и переделок; потери на обслуживание запасов; потери на перемещениях и движениях персонала; потери от простоев; потери из-за чрезмерной обработки. Потери в этом случае рассматриваются как операции, на которые затрачиваются временные и материальные ресурсы, без добавления ценности товару или услуге для конечного потребителя.

Так, к примеру, необходима защита от противоправных действий персонала, выполняющего бизнес-процессы, несанкционированного воздействия на поставщиков, объемы и сроки поставки ресурсов; регламент выполнения бизнес-процессов, в т.ч. регламент внутренних и внешних интерфейсов; технологию выполнения бизнес-процессов и прочее.

Описание бизнес-процессов, их моделирование, последующий контроль и анализ выполнения - постоянная и последовательная деятельность по устранению операционных рисков, а следовательно и потерь.

Автоматизировать процессы информационной безопасности компании можно с помощью систем класса GRC (Governance, Risk management and Compliance), которые рассматриваются сегодня как один из эффективных способов управления информационными технологиями и информационной безопасностью.

GRC это взгляд на управление чем-либо с трёх точек зрения: высшего руководства (Governance), управления рисками (Risk management) и соответствия требованиям (Compliance). Результатом обработки информации о деятельности всех подразделений компании становятся наглядные отчеты, сформулированные в терминах бизнеса.2

Например, модуль Enterprise Management продукта RSA Archer eGRC позволяет выполнить инвентаризацию и классификацию активов компании, создать единый реестр взаимоувязанных между собой активов, включая информационные и технологические активы, бизнес-процессы, товары и услуги, подразделения и отдельные бизнес-единицы, производственные помещения и оборудование, контакты с ответственными работниками компании, партнерами и поставщиками. Для каждого актива определяется его владелец и ценность для компании. Результаты данной работы могут использоваться при дальнейшем проведении процедуры оценки рисков информационной безопасности. Интеграция с системами управления уязвимостями SIEM или DLP позволяет установить приоритет устранения уязвимостей и нейтрализации инцидентов в отношении каждого конкретного актива.3

Однако реализовать все функции GRC в контексте безопасности бизнес-процессов с помощью одного, пусть даже хорошего, ИТ-решения практически невозможно. Система, которая может помочь в решении задач этой концепции, должна быть такая же комплексная, как и сами задачи GRC.4 Для комплексирова-ния с GRC-системой целесообразно использовать системы класса Business Process Management (ВРМ), Business" Performance Management и Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами. Диаграмма взаимосвязи бизнес-процессов и основных субъектов информационной безопасности компании в нотации UML приведена на рис. 1.

2 Евгений Безгодов Что такое ОЯС и чем это может быть полезно для информационной безопасности? [Электронный ресурс] http://ru.deiteriy.com/what_is_grc_and_its_ ^аЬИ-ityJnJnformation_security/.

3 ОЯС - путь к оптимизации процессов управления ИБ //Банковское обозрение №9 (176) Сентябрь 2013 [электронный ресурс] http://www.bosfera.ru/bo/put-k-optimizatsii-protsessov

4 Концепция ОЯС стала очередным этапом развития рынка ИБ [Электронный ресурс] http://www.cnews.ru/reviews/free/security2008/articles/grc.shtml.

Рис. 1. Взаимосвязь бизнес-процессов и основных субъектов информационной

безопасности компании

Взаимодействие бизнес-процессов компании и среды, создающей угрозы, прежде всего для бизнес-процессов, в рамках системы информационной безопасности приведено на диаграмме ниже (рис. 2).

Рис. 2. Взаимодействие бизнес-процессов и среды, создающей угрозы

Основные выводы.

Комплексная диагностика состояния компании - первый этап в разработке стратегии управления информационной безопасностью, которую лучше всего выполнить с помощью SWOT-анализа с предлагаемой условной количественной оценкой.

Анализ показал, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

Обеспечение информационной безопасности бизнес-процессов следует начинать с разработки классификации данных, которая позволяет выявить информацию для защиты, минимизировать количество конфиденциальной информации, определить все места хранения информации, что может быть использовано для оптимизации бизнес-процессов в компании.

Анализ возможных рисков бизнес-процессов позволил установить следующие группы: риски при проектировании, реинжиниринге и в процессе использования бизнес-процессов.

Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которая должна комплексироваться с системами класса Business Process Management, Business Performance Management или Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Каменнова М.С., Громов А.И., Ферапонтов М.М., Шматалюк А.Е. Моделирование бизнеса. Методология ARIS. - М.: Весть-МетаТехнология, 2001.

2. Саати Т. Принятие решений. Метод анализа иерархий. - М.: Радио и связь, 1993.

3. Стельмашонок Е.В. Организация информационной защиты-бизнес-процессов // Прикладная информатика. - 2006. - № 2. - C. 42-57.

4. Тимохин А. Как найти все потери: практика применения методологии lean в НПО «ЭЛСИБ» // "БОСС" № 9, 2012.

5. Ханова А.А. Структурно-функциональная модель сбалансированной системы показателей при принятии управленческих решений // Вестник АГТУ Сер.: Управление, вычислительная техника и информатика. - 2012. - № 1. - C. 200-208.

Ефимов Евгений Николаевич - Ростовский государственный экономический университет (РИНХ); e-mail: [email protected]; 344002, г. Ростов-на-Дону, Б. Садовая, 69, комн. 306 а; тел.: 89525721917; кафедра информационных технологий и защиты информации; д.э.н.; профессор.

Лапицкая Галина Мелконовна - e-mail: [email protected]; тел.: 89286050143; кафедра информационных технологий и защиты информации; к.э.н.; профессор.

Efimov Evgeniy Nikolayevich - Rostov State Economic University; e-mail: [email protected]; 69, B. Sadovaya street, room 306 a, Rostov-on-Don, 344002, Russia; phone: +79525721917; the department information technologies and information security; dr.ec. sc.; professor.

Lapickaya Galina Melkovna - e-mail: [email protected]; phone: +79286050143; the department information technologies and information security; cand.ec. sc.; professor.

2019

ИБ-приоритеты СМБ

Компании СМБ-сегмента тянутся в облака, к сервисной модели потребления услуг по модели MSSP (Managed Security Service Provider). Это помогает им существенно сокращать операционные затраты в области ИБ.

Сейчас некоторые вендоры предлагает своим клиентам облачные ИБ-сервисы по подписной модели. На мой взгляд, средний и малый бизнес будет уходить именно к такой, сервисной модели ИБ, - отмечает Дмитрий Лившиц , генеральный директор «Диджитал Дизайн ».

Сервисная модель потребления ИБ становится все более востребованной субъектами малого и среднего предпринимательства, поскольку эти компании не могут себе позволить многочисленный штат специалистов по безопасности.

По словам Владимира Баланина, руководителя Департамента информационной безопасности ГК «Ай-Теко », СМБ-сегмент становится основным потребителем услуг сервис-провайдеров, которые предоставляют услуги сразу с интегрированными сервисами информационной безопасности: нет издержек на администрирование, мониторинг и содержание собственной инфраструктуры, а риски регуляторных требований несет сам сервис-провайдер.

В то же время для российского рынка сейчас характерно очень ограниченное предложение по ИБ для СМБ. Как отмечает Андрей Янкин, директор Центра информационной безопасности компании «Инфосистемы Джет», почти все сервисные услуги направлены на крупных заказчиков. Типовых и недорогих, но не примитивных ИБ-сервисов для СМБ, по его словам, практически не существует, хотя в ряде других стран этот рынок неплохо развит.

Вместе с тем, с развитием сегмента управляемых сервисов ИБ и перспективой развития рынка страхования киберрисков, эта категории заказчиков получит в свое распоряжение адекватные современным угрозам меры.

Пока же СМБ-компании реализуют базовую ИТ-безопасность, редко поднимаясь на уровень бизнес-процессов .

По словам Дмитрия Пудова, заместителя гендиректора Angara Technologies Group по технологиям и развитию, представителям СМБ, при их бюджетах, доступ к высокотехнологичным или сложным решениям практически закрыт. Это не обусловлено исключительно стоимостью решений, скорее причина в OPEX, которую они несут.

Основные решения, которые приобретают заказчики СМБ-сегмента – антивирусы и программные межсетевые экраны, говорит Яков Гродзенский, руководитель направления информационной безопасности компании «Системный софт». Кроме того, компании данного сегмента активно начинают интересоваться вопросами аудита ИБ и проведения пентестов, ведь такие организации не всегда держат в штате отдельного специалиста по информационной безопасности, не говоря уже о пентестерах.

Вячеслав Медведев, ведущий аналитик компании «Доктор Веб», добавляет, что опросы среднего бизнеса показали отсутствие у таких компаний средств на защитные решения, отличные от базовых.

ИБ-приоритеты крупного бизнеса

Для акционеров, собственников и топ-менеджмента всегда важно иметь объективную картину ИБ и технологических процессов внутри организации, поэтому общий уровень зрелости ИБ в компаниях растет с каждым годом. Однако некоторым крупным организациям по-прежнему не хватает элементарного порядка в бизнес-процессах, обеспечивающих работу информационных систем, что может привести к хаосу в ИБ. Поэтому основной приоритет для крупных компаний – в решении этих задач, считает Николай Забусов , директор департамента информационной и сетевой безопасности «Стэп Лоджик ».

Кроме того, крупный бизнес делает акцент на выполнении требований регуляторов и внутренних стандартов, пытаясь создать более-менее равномерно защищенную инфраструктуру. Отраслевые стандарты в области информационной безопасности разработаны и «внедрены» во многих корпорациях.

Крупные коммерческие компании по сути оказались перед выбором: идти по пути цифровой трансформации, либо работать, не меняя парадигму ведения бизнеса. Но во втором случае они рано или поздно будут вынуждены уступить свои позиции на рынке конкурентам, проявившим большую гибкость.

Среди приоритетов для сегмента enterprise могу отметить с одной стороны повышение эффективности использования классических ИБ-решений, и с другой – внедрение средств защиты от угроз нового типа в рамках реализации проектов по диджитализации. Последнее очень важно, так как ограничения с точки зрения безопасности зачастую являются одной из главных причин медленного прохождения по пути цифровой трансформации, - отмечает Олег Шабуров , руководитель департамента информационной безопасности компании Softline.

С точки зрения практической безопасности вектор все больше смещается с предотвращения атак к их обнаружению и реагированию, считает Андрей Заикин , руководитель направления информационной безопасности компании «Крок ». Это приводит к тому, что становятся все более популярны и востребованы относительно молодые классы решений: EDR, IRP. Автоматизированные системы реагирования имеют разные наборы скриптов, сценариев и позволяют блокировать попытки распространения угроз.

ИБ-сервисы

СМБ-компании, которые понимают критичность обеспечения информационной безопасности для своего бизнеса, идут по пути использования сервисных моделей.

Конфиденциальная информация представляет огромный интерес для конкурирующих фирм. Именно она становится причиной посягательств со стороны злоумышленников.

Многие проблемы связаны с недооценкой важности угрозы, в результате чего для предприятия это может обернуться крахом и банкротством. Даже единичный случай халатности рабочего персонала может принести компании многомиллионные убытки и потерю доверия клиентов.

Угрозам подвергаются данные о составе, статусе и деятельности компании. Источниками таких угроз являются её конкуренты, коррупционеры и преступники. Особую ценность для них представляет ознакомление с охраняемой информацией, а также ее модификация в целях причинения финансового ущерба.

К такому исходу может привести утечка информации даже на 20%. Иногда потеря секретов компании может произойти случайно, по неопытности персонала или из-за отсутствия систем защиты.

Для информации, являющейся собственностью предприятия, могут существовать угрозы следующих видов.

Угрозы конфиденциальности информации и программ. Могут иметь место после нелегального доступа к данным, каналам связи или программам. Содержащие или отправленные данные с компьютера могут быть перехвачены по каналам утечки.

Для этого используется специальное оборудование, производящее анализ электромагнитных излучений, получаемых во время работы на компьютере.

Опасность повреждения. Незаконные действия хакеров могут повлечь за собой искажение маршрутизации или потерю передаваемой информации.

Угроза доступности. Такие ситуации не позволяют законному пользователю использовать службы и ресурсы. Это происходит после их захвата, получения по ним данных или блокировки линий злоумышленниками. Подобный инцидент может искажать достоверность и своевременность передаваемой информации.

Существует три важных условия, которые позволят российскому гражданину : идеальный бизнес-план, продуманная учётная и кадровая политика и наличие свободных денежных средств.
Подготовка документов для открытия ООО требует определённого времени. На открытие расчётного счёта в банке уходит примерно 1-2 дня. О том какие документы понадобятся для открытия ООО читайте здесь.

Риск отказа от исполнения транзакций. Отказ пользователя от передаваемой им же информации с тем, чтобы избежать ответственности.

Внутренние угрозы. Такие угрозы несут для предприятия большую опасность. Они исходят от неопытных руководителей, некомпетентного или неквалифицированного персонала.

Иногда сотрудники предприятия могут провоцировать специально внутреннюю утечку информации, показывая этим своё недовольство зарплатой, работой или коллегами. Они запросто могут преподнести всю ценную информацию предприятия его конкурентам, попытаться уничтожить её, или умышленно внести в компьютеры вирус.

Обеспечение информационной безопасности предприятия

Важнейшие процессы бухгалтерского учёта и автоматизируются соответствующим классом систем, защищенность которых достигается целым комплексом технических и организационных мер.

В их составе антивирусная система, защита межсетевого экранирования и электромагнитного излучения. Системы защищают информацию на электронных носителях, передаваемые по каналам связи данные, разграничивают доступ к разноплановым документам, создают запасные копии и восстанавливают конфиденциальную информацию после повреждений.

Полноценное обеспечение информационной безопасности на предприятии должно быть и находиться под полным контролем круглогодично, в реальном времени в круглосуточном режиме. При этом система учитывает весь жизненный цикл информации, начиная с момента появления и до полного её уничтожения или потери значимости для предприятия.

Для сохранности и для предотвращения потери данных в индустрии информационной безопасности разрабатываются системы защиты. Их работа основана на сложных программных комплексах с широким набором опций, предотвращающих любые утраты данных.

Спецификой программ является то, что для правильного их функционирования требуется разборчивая и отлаженная модель внутреннего оборота данных и документов. Анализ безопасности всех шагов при использовании информации основывается на работе с базами данных.

Обеспечение информационной безопасности может осуществляться с помощью онлайновых средств, а также продуктов и решений, предлагаемых на всевозможных Интернет-ресурсах.

Разработчикам некоторых таких сервисов удалось грамотно составить систему информационной безопасности, защищающую от внешних и внутренних угроз, обеспечивая при этом идеальный баланс цены и функциональности. Предлагаемые гибкие модульные комплексы совмещают работу аппаратных и программных средств.

Виды

Логика функционирования систем информационной безопасности предполагает следующие действия.

Прогнозирование и быстрое распознавание угроз безопасности данных, мотивов и условий, способствовавших нанесению ущерба предприятию и обусловивших сбои в его работе и развитии.

Создание таких рабочих условий, при которых уровень опасности и вероятность нанесения ущерба предприятию сведены к минимуму.

Возмещение ущерба и минимизация влияния выявленных попыток нанесения ущерба.

Средства защиты информации могут быть:

техническими;
программными;
криптографическими;
организационными;
законодательными.

Организация информационной безопасности на предприятии

Все предприниматели всегда стремятся обеспечить информации доступность и конфиденциальность. Для разработки подходящей защиты информации учитывается природа возможных угроз, а также формы и способы их возникновения.

Организация информационной безопасности на предприятии производится таким образом, чтобы хакер мог столкнуться с множеством уровней защиты. В результате злоумышленнику не удаётся проникать в защищённую часть.

К наиболее эффективному способу защиты информации относится криптостойкий алгоритм шифрования при передаче данных. Система зашифровывает саму информацию, а не только доступ к ней, что актуально и для .

Структура доступа к информации должна быть многоуровневой, в связи с чем к ней разрешается допускать лишь избранных сотрудников. Право полного доступа ко всему объему информации должны иметь только достойные доверия лица.

Перечень сведений, касающихся информации конфиденциального характера, утверждается руководителем предприятия. Любые нарушения в этой области должны караться определенными санкциями.

Модели защиты предусматриваются соответствующими ГОСТами и нормируются целым рядом комплексным мер. В настоящее время разработаны специальные утилиты, круглосуточно отслеживающие состояние сети и любые предупреждения систем информационной безопасности.

Следует иметь ввиду, что недорогие беспроводные сети не могут обеспечить необходимого уровня защиты.

Во избежание случайных потерь данных по неопытности сотрудников, администраторы должны проводить обучающие тренинги. Это позволяет предприятию контролировать готовность сотрудников к работе и дает руководителям уверенность в том, что все работники способны соблюдать меры информационной безопасности.

Атмосфера рыночной экономики и высокий уровень конкуренции заставляют руководителей компаний всегда быть начеку и быстро реагировать на любые трудности. В течение последних 20 лет информационные технологии смогли войти во все сферы развития, управления и ведения бизнеса.

Из реального мира бизнес уже давно превратился в виртуальный, достаточно вспомнить как стали популярны , у которого имеются свои законы. В настоящее время виртуальные угрозы информационной безопасности предприятия могут насести ему огромный реальный вред. Недооценивая проблему, руководители рискуют своим бизнесом, репутацией и авторитетом.

Большинство предприятий регулярно терпят убытки из-за утечки данных. Защита информации предприятия должна занимать приоритетное место в ходе становления бизнеса и его ведения. Обеспечение информационной безопасности – залог успеха, прибыли и достижения целей предприятия.

Обеспечение информационной безопасности бизнеса Андрианов В. В.

1.3. Модель информационной безопасности бизнеса

1.3.1. Мотивация

Российская и мировая практика регулирования информационной безопасности (ИБ) недавнего прошлого состояла из обязательных требований национальных уполномоченных органов, оформляемых в виде руководящих документов РД. Поэтому для топ-менеджмента и владельцев организаций существовала только одна проблема соответствия им (комплаенс) и только один способ ее решения - как с минимальными затратами выполнить предлагаемые требования. Для уполномоченных органов существовала своя проблема - как в силу невозможности охвата всех возможных видов деятельности и условий их реализации, а также существенных различий в целях деятельности предложить универсальный набор требований. Для этого проблема ИБ рассматривалась как самодостаточная сущность, инвариантная к деятельности, целям, условиям, а также существенно обуживалась в содержательности в угоду универсальности.

Оба подхода (организаций и регуляторов) неадекватны существующей реальности и представляют ее в существенно искаженном виде. Так, основные содержательные ограничения на деятельность по обеспечению ИБ связаны с традиционной моделью ИБ, предполагающей обязательное наличие злоумышленника, стремящегося нанести ущерб активам (информации), и, соответственно, ориентированной на защиту информации от действий такого субъекта (группы субъектов). При этом инциденты, связанные, например, со штатными изменениями прикладного софта, не могут быть отнесены к злоумышленнику. Их возможные причины - слабо развитый менеджмент и слабая технологическая база. Собственная неадекватность организации (менеджмента, процессов основной деятельности) сложившимся условиям вообще представляет собой очень мощный источник проблем, который игнорируется в силу невозможности его привязки к злоумышленнику.

Дальнейшая эволюция моделей ИБ была связана с усилением роли собственника (владельца) и сводилась к тому, что он сам выбирал (на свой страх и риск) из предложенного ему стандартного набора защитных мер те, которые ему необходимы, т. е. такие, которые, по его мнению, могут обеспечить приемлемый уровень безопасности. Это был существенный шаг вперед, так как он обеспечивал привязку ИБ к конкретному объекту с конкретными условиями его существования, частично разрешая противоречия, связанные с самодостаточностью проблемы ИБ. Однако конструктивного механизма для владельца предложить не удалось, кроме как создания каталога объектов с выбранными типовыми защитными мерами (профилей защиты). Сами профили создавались при этом экспертно-эвристическим методом. При этом какой все-таки риск принимал на себя владелец, оставалось неизвестным и определялось на практике.

Дальнейшая эволюция свелась к тезису о том, что ИБ может создавать (порождать) ущербы для целей деятельности и поэтому риски ИБ (которая оставалась самодостаточной) должны быть согласованы (увязаны) с рисками организации. Оставалось только указать, как их увязывать, и интегрировать систему менеджмента ИБ (СМИБ) в общекорпоративный менеджмент не как изолированную и независимую систему процессов, а как неотъемлемую, сильно связанную составную часть менеджмента. Этого не удалось сделать. Однако этот подход хорошо продвинул ряд оценочных категорий ИБ, включая риски ИБ.

Известны также прагматичные модели ИБ, основанные на оценке совокупной стоимости владения (применительно к ИБ) и «возврате» инвестиций в ИБ. В рамках этого подхода группа близких по целям и условиям деятельности организаций периодически производит оценку по направлениям реализации ИБ и формирует модель, состоящую из лучших практик по группе. Далее каждая из организаций в соответствии со своими отставаниями от лучших практик и своих условий (произошедших инцидентов) определяет направление и объем инвестиций. Эффективность инвестиций оценивается в следующем периоде по снижению ущербов от инцидентов, оказавшихся в области произведенных инвестиций и не повлекших поэтому больших ущербов.

Однако этот подход при многих своих достоинствах требует широкого обмена чувствительной информацией, а конфликт интересов участников обмена исключает создание сколько-нибудь качественных мер доверия, поэтому он не имеет широкого распространения.

Модель ИБ, предложенная в стандарте ЦБ РФ, еще более продвинула проблему как в части ее интеграции (связала с целями деятельности), так и в части расширения толкования сущности «злоумышленник». Под злоумышленником понимается лицо, способное вести противоборство с собственником и имеющее свою цель, которую он реализует, достигая контроля над активами организации.

Такой подход существенно расширяет виды и источники ущербов организации, попадающих в область рассмотрения ИБ, где их решение наиболее рационально. Он, однако, был во многом компромиссным подходом и настоятельно требует дальнейшего приближения проблем ИБ к конечному результату деятельности (производимому продукту). Нужна модель, которая реально помогает бизнесу, напрямую способствует его результативности и необходимому улучшению посредством создания и поддержания безопасной и доверенной информационной сферы, в том числе через борьбу со злоумышленником. Только такая модель может восприниматься бизнесом. Любая другая будет им отторгаться.

Данный текст является ознакомительным фрагментом. Из книги Применение технологий электронного банкинга: риск-ориентированный подход автора Лямин Л. В.

5.4. Адаптация обеспечения информационной безопасности Базовая причина усугубления проблемы ОИБ в условиях перехода к ДБО заключается в принципиальном изменении состава угроз надежности банковской деятельности в связи с формированием ИКБД, т. е. возникновении их новых

автора Андрианов В. В.

1. Философия информационной безопасности бизнеса