Лекція №14. Інформація та ризик (2 год.)

План

1. Порушення у сфері інформаційних технологій

2. Впровадження систем захисту інформаційної безпеки

3. Напрямки створення ефективної системи інформаційної безпеки бізнесу

4. Етапи формування системи інформаційної безпеки

1. Порушення у сфері інформаційних технологій

         Від 70 до 80% втрат від порушень у сфері інформаційних технологій відносяться до атак із середини компанії. При цьому топ менеджери компанії досить часто недооцінюють збитки, які можуть бути нанесені бізнесу їх власними співробітниками.

         Для того, щоб вибудувати ефективну систему інформаційної безпеки, необхідні три складові:

1.     Чітке розуміння того, що підлягає захисту;

2.     Обізнаність про існуючі й потенційні загрози;

3.     Можливість попередження виникнення загроз інформаційній безпеці.

Якщо раніше зловмисники атакували у переважній більшості випадків малі й середні компанії з слабкою системою інформаційної безпеки, то тепер в поле зору їхньої уваги попадають дедалі частіше потужні організації, які володіють великими інформаційними базами. Дрібних зловмисників замінили професіонали, чия мета – інформація. Вони використовують не прогалини у технологіях, а слабкі місця у бізнес-процесах.  

До цих пір системи ІТ-безпеки були схожі на «глухі фортечні стіни» з чіткою охороною всіх входів. Алу в сьогоднішніх умовах такий захист недостатній – ворог змінив тактику. Для того щоб залишатися захищеною, компанія повинна бути прозорою – так щоб жоден процес не залишався за рамками моніторингу та контролю.

Корпоративні скандали та масові витоки конфіденційної інформації призводять до прийняття нових законодавчих норм та правил і керівництво компаній повинно чітко відслідковувати зміни у вітчизняному та міжнародному правовому полі.  Якщо компанія не застосовує необхідних дій для забезпечення безпеки інформації своїх замовників, то результатом може бути втрата довіри, підрив репутації, зниження вартості акцій, штрафи, і, можливо, кримінальна відповідальність для відповідальних керівних осіб.

2. Впровадження систем захисту інформаційної безпеки

Організації, які ефективно впроваджують систему захисту інформаційної безпеки, відповідно до міжнародних стандартів (Міжнародний стандарт ISО 17799. Інформаційні технології - практичні правила управління інформаційною безпекою, Стандарт BS ISO/IEC 27001:2005 (BS 7799-2:2005), Стандарт BS ISO/IEC 17799:2005 (BS 7799-1:2005), Стандарт BS ISO/IEC 17799:2005 (BS 7799-1:2005) та інші) та національного законодавства, мають вагому перевагу перед інвесторами. Інформаційна безпека вийшла за рамки процесу управління ризиками, тепер вона має статус фундаментального елементу ведення бізнесу.

Кількість внутрішніх атак у компаніях різних сфер бізнесу на сьогоднішній день перевищує кількість зовнішніх. Причому ріст кількості внутрішніх атак за останній рік більше ніж у два рази: з 14% від загальної кількості порушень інформаційної безпеки у минулому році до 35% у поточному році [2].    

Найбільш поширеними із внутрішніх загроз є:

-  неавторизований доступ у систему (сервер, персональний комп’ютер, база даних);

-  неавторизований пошук чи перегляд конфіденційних даних;

-  спроби обійти або зламати систему безпеки чи аудиту;

-  зміни чи знищення конфіденційних даних;

-  зберігання або обробка конфіденційної інформації в системі, не призначеній для такої роботи.

Внутрішні атаки на інформаційні системи наносять велику шкоду  не тільки фінансовому стану компанії – витік конфіденційних даних це серйозний удар по репутації компанії. Технічно витік інформації може відбутися по декільком каналам:

▪ через поштовий сервер – за допомогою електронної пошти;

▪ через проксі-сервер – при використанні відкритих поштових систем;

▪ через принтер – при фізичному друку документів;

 ▪ через мобільні накопичувачі різного роду – дискети, диски, переносні

 ▪ пристрої з флеш-пам’яттю і вмонтованим жорстким диском.

Загрози зі сторони власного персоналу не можливо попередити зі 100% гарантією, але ними потрібно управляти і зводити до мінімуму. При створення повномасштабної системи інформаційної безпеки слід брати до уваги всі можливі способи здійснення внутрішніх атак та шляхів витоку інформації. Необхідними є системи захисту, які дозволяють контролювати інформацію через кожен вузол мережі і блокувати всі спроби несанкціонованого доступу до конфіденційних даних.

Захист кожної окремо взятої робочої станції та інформаційної системи в цілому повинна будуватися на двох основних принципах:

1.     Відключення серверів, надлишкових для користувачів;

2.     Постійний моніторинг ситуації в активних серверах.

Дотримання балансу між цими принципами – постійний компроміс, але тільки так можна створити прозору та гнучку систему безпеки, однаково ефективно захищаючу від зовнішніх та внутрішніх загроз. 

Забезпечення безпеки конфіденційної інформації – не тільки частина управління ризиками, але й фундаментальний елемент ведення бізнесу.