Информационная безопасность

Главная цель ИБ – защита информации и инфраструктуры, которая ее обрабатывает, от потери или утечки данных третьим лицам.

Создание системы ИБ на объекте информатизации основывается на трех принципах.

Принципы

Первый принцип – конфиденциальность. Доступ к данным предоставляется по правилу «минимальной необходимой осведомленности». Другими словами, пользователь должен иметь право доступа только к той части информации, которая ему необходимо для выполнения своих служебных обязанностей.

Один из методов выполнения данного принципа – ранжирование (категоризация) данных. Например, внутри организации информация разделяется на 3 типа: публичная, внутренняя и строго конфиденциальная.

Второй принцип – целостность. Информация должна быть защищена от изменений или искажений. Она должна храниться, обрабатываться и передаваться по надежным каналам связи.

Для обеспечения целостности на уровне пользователей используют правило «разграничения полномочий», то есть любое изменение вносится одним пользователем, а подтверждение или отказ – другим. В обязательном порядке ведется протоколирование любых операций в информационной системе.

Третий принцип – доступность. Это значит, что информация должна быть доступна пользователю по мере необходимости. Идеальный вариант 24*7*365.

Данный пункт включает в себя не только человеческий фактор, но и природный (например, цунами или ураган). Информационная система должна обеспечивать доступность при любых условиях.

Средства

В качестве средств защиты информации используют следующее:

1. Правовые. На объекте информатизации разрабатывают специальные документы, которыми руководствуются для обеспечения ИБ. Основным является политика ИБ, на основе которого строится защита.
2. Организационные. К ним относятся рабочие места сотрудников (компьютеры, ИБП и т. д.), ЦОДы (коммутация, системы хранения данных, вычислительные мощности и т. д.), резервирование (создание дублирующих каналов связи, бэкапирование данных).
3. Программные. ПО, которое помогает контролировать действия сотрудников, хранить информацию, обеспечивать надежный доступ к данным.
4. Технические. Специализированное оборудование, которое защищает информацию от утечки или взлома. Например, шифрование, двухэтапная процедура аутентификации, виртуальные рабочие среды и т. д.

Обеспечение информационной безопасности в компании заключается в комплексном подходе к построению надежной и отказоустойчивой системы. Вышеперечисленные пункты рекомендованы к реализации на любом объекте информатизации.