Конфиденциальная информация: как защитить корпоративные данные

Информация стала одним из важнейших активов бизнеса. Об этом свидетельствуют данные по тратам компаний на ее защиту: согласно прогнозам Gartner, в 2019 году на информационную безопасность в мире будет потрачено свыше $124 млрд. Большие бюджеты на безопасность оправданы, достаточно вспомнить, к каким последствиям привело недавнее заражение вирусами-шифровальщиками Petya и Misha корпоративных бизнес-сетей. Тогда была нарушена работа сотен компаний из разных отраслей по всему миру. Вирусы распространялись через фишинговые письма, которые получали сотрудники организаций.

Рассмотрим основные источники утечек и меры по предотвращению потерь конфиденциальных данных.

Источники конфиденциальной информации

• Люди (сотрудники, клиенты, посетители, обслуживающий персонал).

• Документы материальные и представленные в электронном виде.

• Технические средства носителей информации и их обработки.

• Выпускаемая продукция.

• Производственные и промышленные отходы и т.д.

Угрозы конфиденциальной информации

• Утечка информации.

• Искажение информации.

• Утеря информации.

• Отсутствие доступа к информации.

Каналы утечки конфиденциальной информации (через организацию деятельности)

• Деятельность с контрагентами на основе гражданско-правовых договоров.

• Запросы из государственных органов.

• Проведение переговоров с потенциальными контрагентами.

• Посещения территории предприятия.

• Документооборот.

• Реклама, выставки, публикации в печати, интервью для прессы.

Каналы утечки конфиденциальной информации (через технические средства)

По данным исследования Infowatch, порядка 70% утечек данных происходит через сеть.

• Акустический канал утечки информации.

• Визуальный канал.

• Доступ к компьютерной сети.

• Побочные электромагнитные излучения и наводки.

Каналы утечки конфиденциальной информации (через человеческий фактор)

• Через сотрудников компании (умысел, неосторожность, методы социальной инженерии и т.д.).

• Через уволившихся сотрудников.

7 важных мер по защите информации

1. Правовые меры (создание режимов, например коммерческой тайны, патентов, авторских прав и т.д.).
2. Меры, связанные с кадровой работой (подбор, обучение, увольнение, контроль, действие в нештатных ситуациях, подбор ИТ специалиста и т.д.).
3. Создание конфиденциального делопроизводства (создание, хранение, уничтожение, передача документов и т.д.).
4. Режимные мероприятия (пропускной режим, внос-вынос документов, использование гаджетов на территории, удаленный доступ, охрана, доступ к информации и т.д.).
5. Организационные мероприятия (деление информации на части, дублирование на ключевых точках, использование облачных систем хранения, банковских ячеек, резервное копирование, аудит и т.д.).
6. Мероприятия по инженерно-технической защите (защита помещений, мест хранения информации, сигнализации, видеонаблюдение и т.д.).
7. Мероприятия по применению технических средств защиты информации (DLP – системы, шифрование, правильная настройка оборудования, защищенное программное обеспечение и т.д.).

Подготовительные мероприятия: что нужно сделать для настройки системы защиты

• Определить, какая информация подлежит или нуждается в защите.

• Оптимизировать защищаемые информационные потоки.

• Определить формы представляемой информации.

• Установить виды угроз защищаемой информации и варианты их реализации.

• Установить, кому может быть интересна защищаемая информация.

• Ответить на вопрос: чего вы хотите добиться — реально защитить информацию или формально выполнить требования законодательства по ее защите?

• Определить, будете ли вы защищать информацию и информационные системы или только информационные системы.

• Определить сроки актуальности защищаемой информации.

На что обратить внимание

• Использование гаджетов на территории предприятия.

• Удаленный доступ к информации.

• Сочетание трудовых отношений с ИТ-специалистом и гражданского договора с внешней организацией; работа с Wi-Fi.

• Настройка программного оборудования (особенно после обновления).

• Надежность и порядочность ИТ-специалиста, бухгалтера, секретаря и иных лиц.

• Разграничение доступа к информации.

• Дробление информации на части.

5 принципов информационной безопасности

1. «Принцип системности». К безопасности нужно подходить системно: с отбора и обучения персонала до создания регламентов работы офиса (речь идет не о технических регламентах, а о бытовых, например, о таком правиле как «Важные документы не должны лежать на рабочих столах “лицом” вверх)». В компании нужны регламенты работы со звонками, идентификации личности посетителей и звонящих. И только потом информационная безопасность — это компьютеры, сеть и технологии.

2. «Принцип информационного шума». Никогда не чувствуйте себя защищенным. Не доверяйте информацию чему-либо — носителям, шифрам, хранилищам. Всегда помните, что ваша информация может быть получена третьими лицами, и старайтесь представить её в таком виде, чтобы непосвященному человеку было труднее разобраться в данных.

3. «Принцип разделяй и властвуй». Кроме руководителя в компании не должно быть человека, владеющего всей полнотой информации. Поэтому похитителю придется собирать ее из разных источников.

4. «Принцип разных корзин». Храните информацию и пересылайте её по разным каналам. Например, никогда не посылайте вместе логин и пароль. Если вы отправляете пароль по защищенной корпоративной почте, отправьте логин по смс, или назовите его в телефонном разговоре.

5. «Принцип паранойи». Здоровая паранойя поможет минимизировать утечки. Подозревайте всех, не верьте в абсолютные возможности новых технологий, всегда помните, что данные могут украсть. Можно даже спровоцировать кражу, проследить за процессом и выявить виновника.

Запомнить

• Информация — бизнес-актив, на ее защиту компании тратят миллиарды долларов.
• Источниками конфиденциальной информации в компании являются сотрудники, документация, технические носители, продукция и даже отходы.
• Каналами утечки могут стать технические средства, человеческий фактор и организационные аспекты деятельности компании.
• Существует как минимум 7 важных мер и 5 принципов, а также подготовительные мероприятия, о которых важно помнить при создании системы защиты конфиденциальной информации.