Какие меры защиты информации применяют в настоящее время

Способы защиты информации

Система предотвращения утечек информации (DLP). Блокирует передачу конфиденциальных документов, помогает выявлять признаки корпоративного мошенничества, позволяет заниматься профилактикой инцидентов безопасности.

25 января | 11:00 МСК

Контроль ВКС: против тех, кто демонстрирует запретное. Апгрейд Solar Dozor

Получить консультацию по продукту Solar Dozor

Информация конфиденциального вида представляет повышенную ценность и не может быть общедоступной по определению. В информационной системе всегда присутствует риск потери, модификации, кражи, уничтожения данных. Для противодействия этому применяют разнообразные способы защиты информации, реализованные посредством внедрения специализированного ПО и комплексных систем защиты.

неправомерный доступ к информации

Способы неправомерного доступа к информации

Доступ к закрытой информации осуществляется через определенные каналы коммуникации. Знание этих каналов и понимание методов работы злоумышленников – ключевой фактор при организации информационной защиты и выборе средств. Неправомерный доступ к данным осуществляется с помощью:

Прямого доступа к информации. Реализуется посредством действий инсайдера, либо при перехвате данных во время их передачи по каналам и компьютерным сетям.
Использования вредоносного ПО. В информационную систему внедряется ПО, которое наделено недекларированными возможностями или распространяет вредоносный код, что приводит к утечке данных.
Использования средств шпионского перехвата информации. Это всевозможные жучки, камеры, микрофоны, которые считывают информацию из мест ее хранения или рабочих мест сотрудников, и передают злоумышленникам.

Методы защиты информации

Создание физических препятствий на пути злоумышленников. Сюда относятся изолированные помещения, кодовые двери, пропускная система доступа.
Управление информацией и регламентация работы с данными. Создание регламентов, правил, ограничений доступа и использования данных.
Маскировка. Включает методы шифрования данных, что препятствует их использованию без ключа шифрования.
Принуждение. Создание условий работы с данными, в которых исключено использование варианта, кроме единственно правильного.
Стимулирование. Создание условий работы с данными, когда работника мотивируют соблюдать правила, условия, меры защиты при обработке сведений.

виды защиты информации

Виды защиты информации

Согласно ГОСТ Р 50922-2006 выделяют следующие виды защиты данных:

Правовая. Связана с использованием федерального законодательства и собственных регламентов организации при обработке данных. Ключевыми законами здесь являются 98, 149, 152, 187-ФЗ.
Физическая. Связана с ограничением контакта, доступа к информации с помощью СКУД и физических средств блокировки доступа.
Криптографическая. Способы и средства защиты информации, связанные с шифрованием сведений при их хранении, передачи по сети.
Техническая. Это оборудование, приборы, ПО вроде сканеров уязвимостей, SIEM, DLP-систем, которые обеспечивают защиту и управление информацией.

Организационные способы защиты информации

Разработка и внедрение регламентов по обработке сведений внутри организации.
Проведение инструктажа персонала по основам кибербезопасности и правилам работы с информацией.
Установление зон ответственности. Руководитель назначает конкретных персон, ответственных за исполнение правил и норм информационной безопасности.
Разработка плана по восстановлению информации при чрезвычайных ситуациях.

технические способы защиты информации

Технические способы защиты информации

Регулярное создание бэкапов наиболее важных и ценных информационных массивов.
Выполнение резервирования, дублирования вспомогательных компонентов информационной системы, которые связаны с хранением информации.
Проработка возможности проведения экстренного перераспределения сетевых ресурсов при возникновении проблем, потери работоспособности отдельных компонентов.
Планирование резервных источников питания для системы.
Создание защиты информационных ресурсов от ЧС.
Использование ПО, отвечающего за управление доступом к информации, ведение мониторинга, предотвращение утечек информации.

Аутентификация и идентификация

Два этих подхода к обеспечению информационной безопасности построены на ограничении доступа к информационным ресурсам. Идентификация связана с получением уникального идентификатора пользователя в системе, что позволяет взаимодействовать с данными. Аутентификация связана с выполнением проверки пользователя на истинность с известным образом или идентификатором в системе. Благодаря аутентификации и идентификации гибко регулируется управление доступом к информации: запрет, разрешение. Для выполнения поверки может использоваться триада – пользователь, аппарат, ПО. Тем самым снижается риск обхода ограничений доступа.

средства для защиты информации

Средства для защиты информации

Аппаратные. Представлены электронными, электрическими, лазерными приспособлениями и устройствами, большинство из которых использует в своей работе токены. Например, генераторы кодов, электронные регистры.
Программные. ПО для ограничения доступа, проверки, блокировки трафика, управления сетью. Например, антивирусы, брандмауэры.
Криптографические. Различные программы, службы для кодирования, шифрования информации, препятствующие ее использованию без наличия ключа шифрования. Например, электронная подпись.
Физические. Сюда относятся преграды физического характера, препятствующие свободному доступу к данным. Например, сейф, изолированное помещение под замком.

Методы и способы защиты информации должны соответствовать персональной модели угроз, включать комплекс СЗИ. Одной из типичных проблем безопасности является утечка данных. Для своевременного выявления подобных инцидентов, обнаружения внутренних нарушителей и расследования инцидентов используют DLP-системы, например, Solar Dozor. Она защитит от утечек информации, предоставит детальную статистику по рабочим процессам и действиям пользователей и их аномальному поведению.

Меры защиты конфиденциальной информации: правовые, организационные, технические и способы их реализации

25 января | 11:00 МСК

Контроль ВКС: против тех, кто демонстрирует запретное. Апгрейд Solar Dozor

Получить консультацию по продукту Solar Dozor

10 000 000 000 долларов за 5 лет. Таков урон компаний в мировом масштабе от хищения данных согласно исследованиям Cyentia Institute. Во многих случаях потери компаний из-за таких инцидентов — в 100 раз больше их годового дохода. Уберечься от подобных рисков помогут правильно выбранные и реализованные меры защиты конфиденциальной информации.

В п.1 ст.16 Федерального закона 149-ФЗ от 27.07.2006 в редакции от 29.12.2020 упоминаются 3 вида мер. Согласно этому документу «защита информации представляет собой принятие правовых, организационных и технических мер, направленных на»:

Защиту важной для компании информации от несанкционированного доступа и модифицирования, блокирования, умышленного или неумышленного уничтожения, распространения и других действий.
Соблюдение конфиденциальности для данных, которые отнесены к категории имеющих ограниченный доступ.
Реализацию для заинтересованных (и допущенных) лиц прав на доступ к защищаемым конфиденциальным данным.

Давайте рассмотри эти 3 вида мер, и разберемся, как они реализуются.

Правовые меры

Под правовыми мерами стоит понимать международные и местные законы, указы, а также иные нормативные акты. Это — основа для построения системы информационной безопасности в компании, на предприятии или в государственном учреждении. Они регламентируют обращение с конфиденциальной и другими видами информации, дают рекомендации по организации системы защиты данных и другим вопросам. На основе этой группы мер разрабатываются мероприятия в рамках двух других групп.

При выработке мер по защите конфиденциальной информации рекомендуем опираться на следующие нормативные акты:

Закон 149-ФЗ. Опираясь на него, вы сможете определить, какая информация считается конфиденциальной и требует соответствующего обращения. Закон дает рекомендации по безопасному обмену данными, ограничению доступа к ним, определяет требования по защите информации, а также меры ответственности, применяемые за нарушение порядка обращения с важными данными.
152-ФЗ. Касается практически любой компании, которая хранит и обрабатывает информацию о сотрудниках и клиентах. Если вы собираетесь работать на западный рынок, потребуется изучить аналог 152-ФЗ, действующий на территории Евросоюза, — GDPR.
17, 21 приказы ФСТЭК, а также методические рекомендации ведомства «Меры защиты информации в государственных информационных системах». Касается в большей степени государственных учреждений, но и коммерческие организации (особенно использующие ГИС) смогут почерпнуть отсюда массу полезных сведений.
Приказ 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Информация из него актуальна для компаний, работающих в сферах, которые могут влиять на безопасность, здоровье и комфорт граждан. К этой категории можно отнести здравоохранение (в т.ч. работу частных клиник), транспортные услуги, услуги по предоставлению связи, банковскую, финансовую деятельность.
98-ФЗ. Здесь вы найдете критерии, по которым информацию можно отнести к коммерческой тайне, и сможете принять эффективные меры к ее защите.

Организационные меры защиты конфиденциальной информации

Разрабатываются внутри компании на основе правовых норм (мер), а также с учетом эффективных практик, методологий, исследований, отчетов и других документов по защите данных (например, OWASP TOP10).

Организационная защита конфиденциальной информации — это меры процедурного и административного характера, которые регламентируют процессы работы с важными данными: их хранение, передачу, обработку и т.д.

К этой категории мер стоит отнести:

Подготовку политики безопасности (информационной безопасности). Она строится на основе анализа рисков и включает в себя вопросы экономической, информационной, технической, кадровой, юридической безопасности компании. Еще одна функция ПБ — обоснование применяемых защитных мер. Причем политика должна включать только цели информационной безопасности, методы их достижения и ответственность. Детализация — в других мерах (см. ниже).
Регламентацию допуска сотрудников к информации, документам и ресурсам информационной системы.
Разработку системы и мероприятий по допуску посторонних лиц на объект, к элементам IT-инфраструктуры, документации.
Создание системы учета средств вычислительной техники, носителей информации, средств аутентификации, авторизации.
Разработку и планирование мероприятий по обучению персонала, аттестации и контроля знаний в области работы с конфиденциальной информацией.
Определение ответственности за нарушение правил работы с важной информацией и порядка привлечения к ней сотрудников.

Получается, что организационные меры — это набор внутренних документов (приказов, регламентов, инструкций) регулирующих вопросы работы с конфиденциальной информацией и ее защиту.

Технические меры защиты конфиденциальной информации

Эта категория мер дополняет организационные и устраняет их недостатки. Реализуются путем использования технических решений.

Для их реализации могут использоваться такие решения, как:

Антивирусы для защиты отдельных компьютеров и целых сетей.
Межсетевые экраны для фильтрации трафика.
Системы предотвращения вторжений (IPS).
Системы обнаружения вторжений (IDS).
Системы предотвращения утечек (DLP).
Решения для мониторинга IT-инфраструктур.
VPN.
SIEM-системы для сбора и анализа сведений от различных компонентов системы информационной безопасности.
СКУД и их отдельные компоненты (видеонаблюдение, сигнализация и т.д.).
Аппаратные и программные средства для аутентификации и авторизации пользователей.

В некоторых источниках встречается упоминания про морально-этические меры защиты конфиденциальной информацию. К ним относят устоявшиеся в обществе нормы поведения. Понятно, что об эффективности таких мер говорить не приходится, ведь здесь все держится, можно сказать, на доверии и принятии человеком сложившихся общественных норм. Но все равно, некоторые компании умудряются использовать их в своей работе, даже оформляя в письменном виде (например, в форме кодекса чести и подобных документов).

Способы защиты информации: какие бывают и как внедрить

О чем речь? Существуют различные способы защиты информации, но все они необходимы для одного – ограничить доступ к данным и не допустить их утечку. Нет какого-то одного универсального метода, поэтому всегда лучше использовать несколько подходов.

На что обратить внимание? Защита информации – это не только технические решения, хотя и без них не обойтись. В этой сфере важны и неформальные подходы, такие как разработка документов, внедрение правил и организация работы по ним.

В статье рассказывается:

Цели защиты информации
Принципы защиты информации
Виды угроз для информации
Неформальные способы защиты информации
Технические способы защиты информации
Криптографические способы защиты информации
Сетевые способы защиты информации
Способы защиты информации в интернете

Пройди тест и узнай, какая сфера тебе подходит:
айти, дизайн или маркетинг.
Бесплатно от Geekbrains

Цели защиты информации

Информационная безопасность и защита информации неразрывно связаны между собой. Существует большое количество значений этих терминов.

В самом упрощённом понимании защита информации определяется как комплекс операций, основной целью которых является обеспечение её безопасности (то есть сохранение целостности и секретности) во время сбора, переработки, хранения и передачи. Безопасность информации в самом узком значении рассматривается как одна из характеристик информации, означающая уровень её защищённости от разрушительного воздействия окружающих факторов (действий человека и природных явлений) и внутренних опасностей.

Безопасность включает в себя такие свойства информационных данных, как конфиденциальность (смысловая секретность), скрытность (энергетическая и структурная сохранность) и целостность (способность оставлять свою конструкцию нерушимой даже при негативном воздействии разрушающих угроз и факторов).

В расширенном понимании защита информации означает совокупность организационных, законодательных и технический мероприятий, направленных на нивелирование и минимизирование потенциальных опасностей для информационной безопасности, а также ликвидацию негативных последствий от них. Суть защиты информационных данных сводится к нахождению, определению и устранению возможных угроз, вредоносных источников, угрожающих условий и критических причин, способных повредить информацию.

Прежде чем рассмотреть способы и средства защиты информации, необходимо определиться с основными направлениями защиты информационных данных. К ним относятся:

предупредительные меры с целью минимизации рисков появления вредоносных условий, ситуаций и влияний со стороны внешних и внутренних факторов;
идентификация потенциальных опасностей на основе постоянного отслеживания и анализа возможности образования угроз для обеспечения принятия мер по их устранению в максимально короткие сроки;
оперативное выявление противозаконных действий, направленных на искажение, кражу, повреждение, нарушение целостности и конфиденциальности информационных данных;
определение локализации преступных и незаконных действий с целью устранения опасности;
восстановление статус-кво, нивелирование последствий, причинённых противозаконными действиями и появившимися угрозами.

Принципы защиты информации

Существует три базовых принципа защиты информационных данных:

Конфиденциальность

Она обеспечивается ограничением доступа к информации: то есть взаимодействовать с ней могут только лица, которые без неё не могут осуществлять свою рабочую деятельность и выполнять свои должностные обязанности.

Узнай, какие ИТ — профессии
входят в ТОП-30 с доходом
от 210 000 ₽/мес
Павел Симонов
Исполнительный директор Geekbrains

Команда GeekBrains совместно с международными специалистами по развитию карьеры подготовили материалы, которые помогут вам начать путь к профессии мечты.

Подборка содержит только самые востребованные и высокооплачиваемые специальности и направления в IT-сфере. 86% наших учеников с помощью данных материалов определились с карьерной целью на ближайшее будущее!

Скачивайте и используйте уже сегодня:

Павел Симонов - исполнительный директор Geekbrains

Павел Симонов
Исполнительный директор Geekbrains

Топ-30 самых востребованных и высокооплачиваемых профессий 2023

Поможет разобраться в актуальной ситуации на рынке труда

Подборка 50+ бесплатных нейросетей для упрощения работы и увеличения заработка

Только проверенные нейросети с доступом из России и свободным использованием

ТОП-100 площадок для поиска работы от GeekBrains

Список проверенных ресурсов реальных вакансий с доходом от 210 000 ₽

Получить подборку бесплатно
Уже скачали 26129

В качестве инструментария для реализации данного принципа можно использовать ранжирование информации: к примеру, поделить всю информацию на предприятии на несколько типов с различным уровнем доступа к ней (общедоступная, внутренняя, строго конфиденциальная).

Целостность

Этот принцип предполагает обеспечение защищённости информационных данных от изменений и нарушений их структуры в процессе их сбора, обработки, передачи и хранения.

Для гарантирования целостности информации применяется метод разделения должностных полномочий: то есть изменение осуществляются одним работников, а их подтверждение или отклонение – другим, при этом ведётся строгий учёт всех совершаемых внутри системы операций.

Доступность

Она предполагает то, что информация доступна для пользователей по мере возникновения у них необходимости в ней.

Идеальный вариант – полная доступность информации в любое время без каких-либо перерывов, сбоев и пауз при любых условиях и обстоятельствах. Однако данный принцип включает в себя не только человеческий фактор, но и окружающую среду – от природных катаклизмов не застрахован никто, в том числе и информация.

Виды угроз для информации

Прежде чем перейти к рассмотрению видов способов защиты информации, необходимо также разобраться с понятием угроз и их разновидностями.

Угроза представляет собой потенциальную или реальную опасность, способную нанести урон информационной безопасности. Атака – это опасная ситуация, противоправные действия в отношении информационных данных. Злоумышленник – это лицо, совершающее атаку.

Рассмотрим основные виды угроз для информации.

Угрозы доступности

Самая распространённая разновидность угроз. Она возникает из-за непредумышленных ошибочных операций, совершаемых лицами, взаимодействующими с информационными данными.

Например, к угрозе доступности могут привести системные ошибки или ввод неправильных данных. Результатом подобных действий является появление уязвимых мест в системе, доступных для совершения противоправных действий со стороны злоумышленников. Главными способами защиты являются системная автоматизация и постоянный административный контроль.

Среди основных источников угроз доступности можно выделить следующие:

отсутствие у персонала намерения обучаться работе с информационными системами;
недостаточная подготовка сотрудников;
отсутствие качественной технической поддержки;
преднамеренное или непреднамеренное нарушение установленных правил работы с системой;
выход вспомогательной системы из стандартного рабочего режима;
ошибки, возникающие в процессе переконфигурирования информации;
сбои в работе программного обеспечения;
механические повреждения оборудования.

С одной стороны, практически все угрозы относятся к самим информационным данным. С другой стороны, нельзя также забывать о том, что угрозы могут возникнуть и со стороны работы инфраструктуры, поддерживающей функционирование системы (например, неполадки со связью, пожар в помещении).

Угрозы целостности

Основными причинами возникновения угроз целостности информации являются кража и подлоги.

К главным источникам подобных опасностей можно отнести следующие:

ввод недостоверных сведений;
неправомерное изменение информационных данных;
преднамеренная замена заголовка;
злоумышленное изменение всего текста сообщения или письма;
отказ от совершённых операций;
дублирование информации;
несанкционированное введение дополнительных данных.

Угрозы целостности относятся как к самим информационным сведениям, так и к программному обеспечению и техническим устройствам.

Угрозы конфиденциальности

Данные угрозы подразумевают использование паролей злоумышленниками: обладание секретными кодами, защищающими информацию, позволяет им получить полный либо частичный доступ к ней.

Среди основных источников угроз конфиденциальности можно выделить следующие:

применение многоразовых паролей с хранением их в источниках, которые легко могут быть взломаны злоумышленниками;
использование одинаковых паролей для различных информационных систем;
хранение сведений в среде, которая не может гарантировать их полную конфиденциальность;
применение злоумышленниками вредоносного программного обеспечения для получения доступа к информации;
хранение секретных информационных данных на запасных носителях и источниках;
размещение и распространение сведений с использованием большого числа документов, площадок и систем, что в значительной степени упрощает перехват данных;
оставление компьютеров и ноутбуков без присмотра;
умышленное превышение должностных полномочий (особенно часто это встречается среди программистов и системных администраторов).

Самая главная опасность угрозы конфиденциальности состоит в том, что злоумышленники получают доступ к информационным сведениям в ситуации, когда они максимально незащищены.

Неформальные способы защиты информации

К неформальным методам и способам защиты информации относятся законодательные, административные и морально-этические инструменты и средства.

Законодательная база, обеспечивающая информационную безопасность со стороны правовой системы, гарантируется государством. Защита данных регулируется множеством законодательных проектов и регламентирующих документов, а именно: Конституцией Российской Федерации, ФЗ «О безопасности», ФЗ «О связи», ФЗ «О государственной тайне», ФЗ «Об информации, информационных технологиях и защите информации», а также международными конвенциями.

Для вас подарок! В свободном доступе до 04.02 —>
Скачайте ТОП-10 нейросетей, которые помогут облегчить
вашу работу
Чтобы получить подарок, заполните информацию в открывшемся окне

Несоблюдение указанных выше федеральных законов и нормативно-правовых актов создаёт реальные угрозы для нарушения информационной безопасности, что, в свою очередь, может привести к самым разным последствиям. За некоторые нарушения действующего законодательства в области обеспечения защиты информации предусмотрено даже наказание в виде лишения свободы.

Административные, или их ещё называют организационные, меры составляют фундаментальную основу для формирования действующих механизмов защиты информационных данных, потому что большая часть угроз связана не с проблемами на стороне технического оборудования и программного обеспечения, а с противоправными действиями злоумышленников, а также умышленным превышением должностных полномочий.

Для минимизирования потенциальных и реальных опасностей, угрожающих информационной безопасности, должна быть создана устойчивая база из законодательно-правовых и организационно-технических мероприятий.

Административный инструментарий по организации защиты сведений включает в себя широкий набор используемых методов и средств. Сюда относятся и специальные архитектурные решения с целью защиты переговорных кабинетов, и установка технических средств для прослушивания, и ограничение доступа к информации для определённых сотрудников.

Также можно отнести оформление и учёт запросов на общий доступ к Интернету, к корпоративной электронной почте и сторонним онлайн ресурсам, применение отдельными категориями работников электронной подписи для усиления защиты финансовой и прочей документальной информации, передаваемой в государственные контролирующие органы по сетевым каналам связи.

К морально-этическим методам обеспечения информационной безопасности относятся сформированные в обществе или рабочем коллективе моральные и этические нормы и правила, соблюдение которых гарантирует сохранность информационных данных. Они не закреплены в законодательных актах на уровне государственной правовой системы, однако их несоблюдение ведёт к подрыву авторитета и потере доверия к конкретной персоне или компании.

Технические способы защиты информации

Физические способы защиты информации

В защитном программном обеспечении нет абсолютно никакого смысла, если злоумышленники без труда могут получить доступ к серверной комнате и украсть жёсткие диски с хранящейся на них информацией. Поэтому, прежде всего, необходимо обеспечить физическую защиту для технических устройств и помещений.

Дарим скидку от 60%
на курсы от GeekBrains до 04 февраля
Уже через 9 месяцев сможете устроиться на работу с доходом от 150 000 рублей

Офисные кабинеты следует снабжать оконными решётками, дверями с кодовыми замками, сигнализацией и камерами круглосуточного видеонаблюдения. Важно также защитить помещения от природных катаклизмов и чрезвычайных происшествий с помощью пожарной сигнализации, датчиков воды и дыма.

Разумеется, физические средства обеспечения информационной безопасности не уберегают от получения доступа к сведениям через сеть, однако надёжно защищают компьютерное оборудование и прочие носители информационных данных.

Программные способы защиты информации

Данный инструментарий, используемый для защиты сведений, подразумевает комплекс программных компонентов, которые устанавливаются на компьютеры, ноутбуки и серверные машины.

Среди самых распространённых программных методов защиты информации можно выделить следующие:

антивирусные программы, которые идентифицируют и удаляют потенциально опасные вирусные программы, способные нанести вред информации либо открыть доступ к ней противозаконным способом;
ограничение доступа к информационной системе посторонним лицам с помощью отдельных личных кабинетов и паролей;
инструменты для виртуализации, с помощью которых создаются так называемые «песочницы» для работы непроверенных программ и приложений в них без задействования основных рабочих серверов;
специализированные межсетевые брандмауэры, которые контролируют входящий трафик и сигнализируют о подозрительных и потенциально опасных для системы сигналах и операциях из непроверенных источников;
DLP-системы, которые не позволяют копировать или переносить сведения из локальной информационной системы на сторонние площадки или внешние носители;
SIEM-системы, отслеживающие подозрительные активности.

Важно всегда помнить о том, что отдельные программные продукты обеспечивают защиту только от ограниченного числа опасностей и атак. Чтобы обеспечивать информации максимальный уровень защиты и безопасности, необходимо организовать систему, состоящую из взаимосвязанных между собой программ и технических средств, в которой каждый из используемых программных компонентов «прикрывает тылы» другого.

Аппаратные способы защиты информации

Такие методы обеспечения информационной безопасности составляют промежуточное звено между физическими и программными:

Со стороны физической защиты такие средства способны блокировать сторонние, потенциально опасные сигналы и атаки, осуществлять постоянный контроль за доступом в сеть и входящим трафиком, создавать шумы и пр.
Со стороны программной защиты такие устройства внедряются в саму информационную систему и обеспечивают её неуязвимость для атак и недоступность для злоумышленников.

Аппаратные технические способы защиты информации включают в себя:

специализированные генераторы цифрового шума: техническое оборудование, шифрующее данные и создающее информационный шум для маскировки используемых в системе каналов связи;
аппаратные регистры паролей: специальные дополнительные устройства, на которых хранятся пароли и без которых невозможно получить доступ к информационным данным;
аппаратные системы доверенной загрузки: программные системы, запрещающие установку сторонних операционных систем, программного обеспечения и приложений для получения доступа к жёсткому диску и информации, хранящейся на нём.

Может показаться, что аппаратные способы защиты дублируют функционал программных. Это не совсем так. Да, их принцип работы имеет множество схожих моментов со стороны организации работы ПО, однако аппаратные методы существенно производительнее и надёжнее, так как обладают самой низкой уязвимостью и повышенной стойкостью перед атаками и взломами.

Поэтому для обеспечения максимального уровня информационной безопасности программные инструменты следует в обязательном порядке совмещать с аппаратными. Следует также отдавать предпочтение сертифицированным и лицензионным программным продуктам, так как их надёжность гарантируется контролирующими органами со стороны государства.

Криптографические способы защиты информации

Криптография предполагает использование специальных способов шифрования данных, кодирования сведений и преобразования информации для защиты от любых изменений. Это делает информацию защищённой от обратного преобразования без применения подходящего криптографического ключа.

Криптография относится к одному из самых надёжных способов защиты данных, так как она направлена на обеспечение сохранности самой информации, а не на ограничение доступа к ней. Это означает, что даже если злоумышленники украдут сведения, закодированные с помощью криптографического шифрования, они не смогут их прочитать.

Только до 8.02
Скачай подборку материалов, чтобы гарантированно найти работу в IT за 14 дней
Список документов:

ТОП-100 площадок для поиска работы от GeekBrains

20 профессий 2023 года, с доходом от 150 000 рублей

Чек-лист «Как успешно пройти собеседование»

Чтобы зарегистрироваться на бесплатный интенсив и получить в подарок подборку файлов от GeekBrains, заполните информацию в открывшемся окне

Криптографические системы защиты информации делятся на четыре группы:

симметричные криптосистемы (для кодирования и раскодирования информации используется один и тот же ключ: при шифровании текстовые и графические данные заменяются на шифр, который в ходе обратного преобразования превращается в исходные сведения);
криптосистемы с открытым ключом (при шифровании информации используется два связанных между собой ключа – открытый и закрытый: кодирование осуществляется при использовании открытого ключа, доступ к которому есть у всех сотрудников, а раскодирование может быть сделано только держателями закрытого ключа);
криптосистемы на основе электронной подписи (применяются для подтверждения достоверности содержащихся в документе сведений и его авторства);
системы управления ключами (взаимодействие с информационными данными осуществляется на основе составления и распределения ключей между работниками).

Криптографические инструменты обеспечения информационной безопасности применяются при передаче конфиденциальных сведений по открытым и общедоступным каналам связи, в случае необходимости подтверждения подлинности и авторства, а также для хранения закодированных данных на внешних носителях в течение длительного времени.

Для криптографического шифрования применимы как аппаратные способы обеспечения информационной безопасности, так и программные компоненты. Аппаратные инструменты, как правило, самые дорогие, однако они обладают такими неоспоримыми преимуществами, как повышенная производительность, высокая степень защиты и простота в использовании.

Все криптографические системы подчиняются следующим требованиям:

открыть закодированный документ можно только при наличии открытого или закрытого ключа;
количество операций, необходимых для идентификации ключа кодирования по определённому фрагменту, должно быть не меньше, чем общее число потенциальных ключей;
общее количество операций путём последовательного перебора возможных комбинаций должно существенно превышать мощности современных вычислительных машин и иметь конкретную нижнюю оценку;
знание алгоритма кодирования информации не должно приводить к уменьшению степени её защищённости;
даже в случае применения единого ключа шифрования любое (даже самое несущественное) изменение должно вызывать значительную перемену вида закодированного документа или текста;
структурные компоненты алгоритма, с помощью которого кодируется информация, должны всегда оставаться неизменными;
если при шифровании в документ добавляются дополнительные информационные биты, они должны быть надёжно замаскированы или спрятаны в закодированном тексте;
длина оригинального и закодированного сообщения должна быть одинаковой;
любой применяемый для шифрования информации ключ должен быть в достаточной мере надёжным для того, чтобы обеспечить её сохранность и безопасность;
независимо от того, применяются ли для шифрования данных аппаратные или программные инструменты, изменение исходной длины ключа не должно приводить к качественному ухудшению используемого алгоритма кодирования.

Сетевые способы защиты информации

Для обеспечения информационной безопасности сведений, хранящихся в компьютерных сетях, применяют специализированные программно-технические продукты. Для защиты системы и организации доступа к ней можно использовать следующие компоненты:

фильтрующие пакетные средства, которые запрещают установку подключений, выходящих за установленные границы сети;
маршрутизаторы, оснащённые функцией фильтрации и контроля за адресами отправления и назначения пакетов внутри сети;
программные шлюзы, осуществляющие проверку прав доступа к установленным внутри сети программам.

Основным средством защиты от получения злоумышленниками доступа к сети и информации, расположенной в ней, является Firewall. Это специальное устройство, которое устанавливается между локальной сетевой системой и Интернетом для организации внешней защиты от несанкционированных атак и потенциальных угроз.

Такой программный продукт способен отражать атаки, ограничивать входящий трафик при обнаружении в нём возможных угроз, ограничивать доступ к ресурсам, расположенным внутри сети, фильтровать нежелательную корреспонденцию, получаемую посредством электронного почтового ящика.

Ещё один сетевой инструмент для обеспечения информационной безопасности – маршрутизатор. Такое устройство способно фильтровать пакеты передаваемых сведений, ограничивать либо полностью запрещать доступ к определённым адресам и хостам для отдельных категорий пользователей, а также контролировать адреса отправителей и получателей. С помощью маршрутизаторов можно полностью закрыть доступ к ресурсам, осуществляющим распространение пропагандистской, противозаконной и антисоциальной информации.

Защищать данные с помощью сетевых средств можно как в рамках глобальной сети Интернет, так и внутри корпоративной системы, и даже на отдельных компьютерных устройствах. Для этих целей необходимо организовывать программно-аппаратные комплексы.

Способы защиты информации в Интернете

С целью обеспечения защиты информационного контента, размещаемого компанией в сети Интернет необходимо разработать внутренний регламентирующий документ, в котором следует отразить определение и разновидности информации, относящейся к конфиденциальной и не разглашаемой, какие этапы должен пройти контент перед получением разрешения на размещение в открытых источниках сети, когда и где его можно опубликовать и каким категориям пользователей он будет доступен.

В обязательном порядке следует разделить информацию на конфиденциальную, то есть доступную очень узкому кругу сотрудников, и общую, работать с которой могут абсолютно все работники предприятия.

Обеспечение информационной безопасности – важнейший вопрос для любой организации. Под защиту, прежде всего, должны попадать конфиденциальные корпоративные данные.

Если у компании функционирует веб-сайт, отдельное внимание следует уделить проработке нескольких уровней доступа к сведениям, хранящимся на нём. Например, должностные инструкции, локальные нормативные документы, регламентирующие акты, личные контактные данные персонала не должны быть доступны для общего пользования всем посетителям сайта.

Ищете идеальный старт в мире IT? Познакомьтесь с основами программирования, базами данных, системами аналитики и многим другим. Научитесь основам машинного обучения и глубокого обучения, созданию нейронных сетей и анализу данных с интенсивным курсом разработчика искусственного интеллекта. В будущем ваше умение создавать умные и интуитивно понятные решения поможет улучшить мир.

Самый лучший вариант – деление всех сотрудников организации на группы и предоставление каждой из них соответствующего доступа. Например, высший административный аппарат должен иметь доступ абсолютно ко всей информации; руководители подразделений могут взаимодействовать с общими и профильными сведениями; для рядовых специалистов доступна только общая информация.

Для клиентов предприятия в обязательном порядке должна быть открыта информация о текущей стоимости товаров и услуг, действующих скидках и специальных предложениях. Если вы желаете скрыть эти сведения от конкурирующих фирм, следует сделать так, чтобы эти данные могли видеть только зарегистрированные на сайте пользователи.

В заключение можно сказать, что обеспечение информационной безопасности представляет собой комплекс из различных программных и технических способов защиты от утечки информации. При его организации следует, по возможности, задействовать все доступные инструменты, компьютерные устройства и программное оборудование. Сочетание аппаратных методов со специализированными программными компонентами обеспечивает самый надёжный уровень защиты.

Методы и средства защиты информации: коммерческой тайны и персональных данных

Почти у любой компании есть закрытая информация: конфиденциальные данные, база клиентов и сотрудников. Эту информацию можно защищать по-разному, например, ограничить к ней доступ, шифровать сообщения и закрыть серверы с данными на замок.

Разберем разные способы и конкретные средства защиты информации, которые сейчас применяют чаще всего.

Как можно защищать корпоративную информацию

Есть два основных способа защиты информации:

Установить четкие правила и регламенты работы с информацией, назначить наказания за их нарушение. Такие меры защиты объясняют, что можно, а что нельзя делать с информацией, как и от кого ее нужно защищать, чем грозит несанкционированный доступ к данным.

Эти меры — первый рубеж обороны. Они остановят тех, кто не готов ради информации игнорировать правила, нарушать законы и нести наказание.

Закрыть информацию от несанкционированного доступа с помощью технических инструментов: аппаратуры или специального программного обеспечения. Это средства защиты конфиденциальной информации, направленные против:

тех, кто пытается нарушить правила и законы;
тех, кто может случайно удалить или повредить важную информацию, раскрыть секретные сведения, например, в силу неумения управлять доступом к информации. Проще запретить или ограничить нежелательные действия, чем следить за каждым шагом сотрудников, которые могут быть не в курсе всех тонкостей информационной безопасности.

Такие средства защищают саму информацию — не дают получить к ней доступ, прочитать данные, изменить их или повредить.

Разберем разные виды защиты информации подробнее.

Нетехнические способы защиты: правовые и организационные

Правовые методы защиты информации. Законы, связанные с информацией, которые государство устанавливает и обязывает соблюдать. Например, в России к таким правовым методам относится 152-ФЗ, устанавливающий правила работы с персональными данными, или статья 272 УК РФ, описывающая ответственность за неправомерный доступ к информации.

Правовые методы не защищают информацию сами по себе — закон не помешает злоумышленнику взломать сервер. Но он устанавливает наказание, которое злоумышленник за это понесет, а значит, убережет конфиденциальную информацию от тех, кто не хочет платить штраф или садиться в тюрьму.

Кроме того, законы устанавливают меры защиты, которые компании обязаны обеспечить при работе с информацией. Например, государство может ввести лицензирование и сертификацию средств защиты информации — проверять, действительно ли программы и физические инструменты безопасны. В России этим занимается ФСТЭК.

Например, то, какую защиту нужно обеспечить персональным данным, зависит от уровня защищенности (УЗ), установленного законом. Его определяют с учетом того, какие данные вы храните и что может им угрожать. Всего уровней защищенности четыре: данные с УЗ-3 и УЗ-4 можно без проблем хранить в публичном облаке, аттестованном по 152-ФЗ, для УЗ-2 и УЗ-1 нужны особые условия, не все провайдеры могут их предоставить.

В публичном облаке VK можно хранить персональные данные в соответствии с УЗ-2, 3 и 4. Для хранения данных с УЗ-2 и УЗ-1 также есть возможность сертификации, как в формате частного облака, так и на изолированном выделенном гипервизоре в ЦОДе VK. При построении гибридной инфраструктуры для хранения персональных данных на платформе Mail.ru Cloud Solutions вы получаете облачную инфраструктуру, уже соответствующую всем требованиям законодательства. При этом частный контур нужно аттестовать, в этом могут помочь специалисты VK, что позволит быстрее пройти необходимые процедуры.

Подробнее об уровнях защищенности персональных данных можно прочитать в двух других наших статьях: «Как соблюсти 152-ФЗ» и «Защита персональных данных в облаке».

Организационные методы защиты информации. Это методы, которые предпринимает тот, кто хранит информацию. Обычно сюда относится работа с сотрудниками и внутренними регламентами компании:

Подбор надежных и ответственных сотрудников.
Составление и подписание договоров о неразглашении информации.
Разграничение уровней доступа для сотрудников, чтобы определенная информация была доступна только узкому кругу лиц.

Организационные средства защиты информации — это почти то же самое, что правовые, только правила работы с информацией устанавливает не страна, а отдельная компания.

Но правовых и организационных мер недостаточно — информация все еще может быть повреждена из-за системных сбоев или похищена теми, кто игнорирует закон и правила компании. Поэтому существует четыре вида технических средств защиты информации: физические, аппаратные, программные и криптографические.

Техническая защита информации

Физические средства защиты информации

От шифрования, антивирусов, межсетевых экранов и другого защитного ПО не будет толку, если злоумышленник сможет просто прийти в серверную и похитить жесткие диски с данными. Поэтому информационные системы нужно в первую очередь защищать снаружи, с помощью простых физических средств защиты: дверей, решеток, сигнализаций, камер наблюдения и замков.

Данным на серверах угрожают не только посторонние люди, но и разные стихийные бедствия, например пожар. Поэтому пожарные сигнализации и системы пожаротушения тоже относят к физическим средствам защиты информации.

Такая техническая защита конфиденциальной информации не мешает получить доступ к информации через сеть. Они защищают носители информации на месте, предотвращая физические кражи и поломки.

Программные средства защиты информации

Когда мы говорим о защите данных, то в первую очередь вспоминаем пароли или антивирусы. Это как раз программные средства защиты информации — простое или комплексное программное обеспечение, которое устанавливают непосредственно на компьютеры и серверы.

К программным средствам защиты относят, например:

Антивирусы, которые распознают, изолируют и удаляют вредоносные программы, способные украсть или повредить информацию.
Средства разграничения доступа, системы аккаунтов и паролей, которые закрывают посторонним доступ к информации.
Инструменты виртуализации, которые позволяют создавать «песочницы» для работы недоверенных приложений в виртуальных пространствах, не подвергая опасности основные серверы.
Программные межсетевые экраны (или файерволы, брандмауэры), которые отслеживают трафик и уведомляют, если из сети на компьютер поступают подозрительные сигналы из неизвестных источников.
DLP-системы, которые предотвращают утечку информации, например, помешают сотруднику скопировать секретную базу данных на флешку.
SIEM-системы, которые фиксируют подозрительную активность, например, слишком частые запросы к базе данных.

«Ни одно программное решение не защищает информацию полностью — оно блокирует одни возможности атаки, но оставляет пространство для других. Для построения эффективной системы защиты информации нужно подбирать несколько программных средств и выстраивать комплекс, где каждое средство “прикрывает тылы” другого. Только в этом случае ваша информация будет полностью защищена».

Федор Музалевский, RTM Group

Аппаратные средства защиты информации

Аппаратные средства занимают промежуточное положение между физическими и программными:

Как физические средства, это устройства, которые защищают информацию физическими методами, например, генерируют шумы, блокируют посторонние сигналы или контролируют доступ в сеть.
Как и программные средства, аппаратные встроены в саму систему и способны защитить информацию.

К аппаратным средствам защиты относят, например:

Аппаратные межсетевые экраны. Они установлены между сегментами сети, например там, где локальные сети подключены к интернету, и обеспечивают межсетевое экранирование. Соединения серверов с внешними сетями проходят через эти экраны и фильтруются — система не пропускает посторонние соединения, например от неизвестных источников.
Генераторы шума. Эти устройства создают информационный шум, маскируют беспроводные каналы связи и шифруют данные.
Аппаратные регистры паролей — физические устройства, которые хранят и передают пароли. Например, специальная флешка, которую нужно обязательно вставить в компьютер, чтобы получить доступ к информации. Даже если хакер подберет пароль, без этой флешки он ничего не сможет сделать.
Аппаратные модули доверенной загрузки. Они не позволяют загрузить на компьютер, например, постороннюю операционную систему, из которой можно получить доступ к информации на жестком диске.

Часто программные средства умеют делать почти то же самое, что аппаратные. Но аппаратные обычно производительнее и надежнее — их сложнее взломать, у них меньше уязвимостей.

К примеру, взломщик может попытаться заставить компьютер загрузить стороннюю операционную систему с флешки и получить доступ к базе данных на жестком диске в обход основной системы и антивируса. Аппаратный модуль доверенной загрузки не позволит это сделать, а любые программные средства будут бессильны.

Поэтому для максимальной защиты программные средства важно дополнять аппаратными, выстраивая несколько уровней защиты информации, даже если кажется, что их функции дублируют друг друга. Также стоит использовать сертифицированные средства защиты информации — их надежность подтверждена контролирующими государственными органами.