Instrumente de securitate a informațiilor în afaceri. Conceptul și tipurile de amenințări la adresa securității informațiilor comerciale. Securitatea secretului comercial

Înainte de a vorbi despre ce riscuri de securitate a informațiilor vă pot aștepta la locul de muncă, vreau să mă prezint: mă numesc Kamila Iosipova. Sunt senior manager de securitate informațională al companiei IT ICL Services, lucrez în această organizație de 5 ani. Sunt, de asemenea, auditor de sisteme de informații certificate CISA (certificare ISACA, înseamnă Auditor de sisteme de informații certificate).

În 2018, volumul scurgerilor de date în companii a crescut cu 5%. Factorul uman este una dintre principalele cauze ale incidentelor de securitate a informațiilor. Neatenție, neglijență, motiv, intenție - acestea sunt motivele pentru care angajații companiilor dvs. pot aduce intenționat sau neintenționat afacerea la fund. Cum să vă protejați pe dvs. și clienții dvs., ce să faceți pentru a dezvolta o cultură a lucrului cu date în rândul angajaților și ce metode să aplicați în același timp, vă voi spune mai jos.

Plan de stabilire a muncii în domeniul securității informațiilor

Dacă priviți la nivel global, puteți vedea că un anumit tipar poate fi urmărit în domeniul securității informațiilor: atenția asupra securității informațiilor depinde în mare măsură de activitățile companiei. De exemplu, în guvern sau sectorul bancar, există cerințe mai stricte, prin urmare, se acordă mai multă atenție formării angajaților, ceea ce înseamnă că cultura lucrului cu date este mai dezvoltată. Cu toate acestea, astăzi toată lumea ar trebui să fie atentă la această problemă.

Așadar, iată câțiva pași practici care vă vor ajuta să începeți în domeniul securității informațiilor:

1 pas... Elaborați și implementați o politică generală de securitate a informațiilor, care va conține principiile principale ale companiei, obiectivele și obiectivele din domeniul managementului securității informațiilor.

Pasul 2... Introduceți politica de clasificare și nivelurile de confidențialitate.

În acest caz, este necesar nu numai să scrieți un document la care angajatul va avea acces 24 de ore pe 7, ci și să efectuați diverse activități de instruire, să vorbiți despre modificările care se fac. Respectați regula: avertismentul este prevenit. Lăsați compania să lucreze constant în această direcție.

Pasul 3... Elaborați o abordare proactivă.

Este ca prevenirea în medicină. De acord, este mult mai ieftin și mai ușor să faci un examen preventiv decât să tratezi o boală avansată. De exemplu, în compania noastră, o abordare proactivă funcționează astfel: pentru a lucra cu informații în proiecte comerciale, am dezvoltat un standard pentru managementul securității informațiilor în proiecte, care conține cerințele minime necesare de securitate a informațiilor pentru a asigura un anumit nivel de maturitate a proceselor de securitate a informațiilor într-un proiect comercial. Descrie ce trebuie făcut pentru a menține un anumit nivel de maturitate în procesul de gestionare a securității. Am implementat acest standard în proiecte și acum efectuăm audituri interne în fiecare an: verificăm modul în care proiectele îndeplinesc aceste cerințe, identificăm riscurile de securitate a informațiilor și cele mai bune practici care pot ajuta alți manageri de proiect.

În afară de audituri, partajarea cunoștințelor funcționează bine. Dacă „tunetul a lovit” într-unul dintre proiecte, este bine ca restul să știe despre asta și să aibă timp să ia măsurile necesare.

Pasul 4... Realizați toate documentele care explică regulile: structurate, ușor de înțeles și concise.

După cum arată practica, nimeni nu citește texte lungi, cu mai multe pagini. Documentul trebuie scris într-un limbaj clar. De asemenea, trebuie să fie în conformitate cu obiectivele de afaceri și sancționate de conducerea superioară - acesta va fi un argument mai puternic pentru angajați de ce ar trebui respectate aceste reguli.

Pasul 5... Organizați instruiri, conversații, jocuri de afaceri și altele asemenea.

Foarte des oamenii nu înțeleg modul în care unele reguli sunt legate de munca lor specifică, de aceea este necesar să oferim exemple, să explicăm, să arătăm cum pot aplica acest lucru. Aici este important să se arate consecințele, până la pierderea afacerii și ce consecințe specifice așteaptă angajatul, până la răspunderea penală.

Pentru a implementa toate cele de mai sus într-o companie, sunt necesare resurse, atât materiale, cât și umane. Prin urmare, în multe companii a început să apară funcția de director al securității informațiilor (CISO). Datorită acestei poziții, este posibil să se transmită liderilor de afaceri importanța promovării oricăror decizii, alocării de fonduri etc. CISO este capabil să promoveze securitatea informațiilor într-o companie la toate nivelurile.

Sarcinile pe care le întreprinde sunt extinse: comunicarea cu conducerea superioară, justificarea anumitor decizii, comunicarea cu proprietarii de procese pentru a implementa securitatea în toate domeniile. Din punctul de vedere al amenințărilor cibernetice, el este punctul de contact, în același timp gestionează, definește strategii de răspuns la amenințările cibernetice, coordonează activitatea de răspuns la atacuri.

Pregătirea angajaților: dificilă, consumatoare de timp, dar necesară

Cu toate acestea, înainte de a învăța oamenilor anumite reguli, este necesar să înțelegeți un lucru: nu vă puteți opri asupra factorului uman, poate exista altceva în spatele acestuia - o lipsă de resurse, cunoștințe sau tehnologie. Cea mai eficientă metodă aici este de a analiza cauzele adevărate, de a ajunge la cauza principală.

Când lucrați cu oameni, este necesar să selectați o cheie pentru literalmente toată lumea. Toți oamenii sunt diferiți, respectiv, și metodele trebuie folosite diferit. Într-un interviu cu un angajat, un specialist mi-a spus: Voi face ceva doar dacă știu ce voi obține pentru nerespectarea cerinței. Și invers, pentru unii, doar acțiunile pozitive de motivație, cum ar fi o bună evaluare a calității muncii, recompense pentru finalizarea cu succes a antrenamentelor.

Există opinia că specialiștii în securitatea informațiilor acționează adesea ca o frână pentru inovație, mai ales atunci când restricționează utilizarea noilor tehnologii și a modelelor de afaceri. Acesta poate fi într-adevăr cazul, totuși, este important să ne amintim următoarele: „Securitatea este ca frânele mașinii tale. Funcția lor este de a vă încetini. Dar scopul lor este să vă permită să mergeți repede. Dr. Gary Hinson "(" Siguranța este ca frânele mașinii dvs. Funcția lor este de a vă încetini. Dar scopul lor este de a vă permite să vă deplasați rapid "). Este important să înțelegeți că fără aceste reguli este imposibil să mergeți mai departe, deoarece la un moment dat pur și simplu nu veți putea să vă dezvoltați afacerea dacă nu vă protejați de amenințările cibernetice și nu gestionați riscurile de securitate a informațiilor. Pentru a obține un echilibru, compania noastră folosește o abordare bazată pe risc, care stă la baza standardului ISO 27001. Această abordare ne permite să selectăm cerințele și măsurile de securitate care ne sunt aplicabile, care sunt necesare pentru a ne proteja împotriva amenințărilor relevante pentru noi. Folosind această abordare, putem alege și dintr-un punct de vedere financiar: cât de oportună este utilizarea anumitor măsuri. De exemplu, putem pune un scaner biometric la fiecare sală de ședințe, dar cât de mult avem nevoie de el, ce valoare aduce, ce riscuri reduce? Răspunsul nu este întotdeauna evident.

La ICL Services, înțelegem că confidențialitatea informațiilor cu care lucrăm este importantă pentru noi, pentru aceasta criptăm laptopurile, deoarece chiar dacă laptopul este pierdut, informațiile nu vor cădea în mâinile intrușilor. Acest lucru este esențial și suntem gata să cheltuim bani pentru asta.

Cred că numai în acest mod se poate obține un echilibru între securitate și valoarea afacerii: alegeți, fiți conștienți de inovații și evaluați întotdeauna riscurile (cât costul implementării unui risc este comparabil cu costul achiziționării unei anumite soluții de securitate).

O abordare integrată este rețeta perfectă pentru securitatea informațiilor

În opinia mea, o abordare integrată a lucrului cu securitatea este cea mai eficientă, deoarece securitatea informațiilor este o chestiune de conștientizare umană, comportament și organizarea corectă a proceselor de afaceri, luând în considerare cerințele de securitate. Incidentele se întâmplă cel mai adesea din cauza angajaților: oamenii fac greșeli, obosesc, pot face clic pe butonul greșit, așa că aici jumătate din succes este limitarea tehnică, din incidente neintenționate aleatorii, cealaltă jumătate este cultura siguranței fiecărui angajat.

Prin urmare, este important să se desfășoare discuții preventive și instruiri. În lumea de astăzi, amenințările cibernetice se adresează oamenilor: dacă primiți un e-mail de phishing, este inofensiv până când ajungeți la link și faceți clic pe acesta. Compania noastră se concentrează pe conștiinciozitatea personalului, pe lucrul cu oamenii, pe conștientizare. Iar al treilea punct este organizatoric, oamenii trebuie să cunoască regulile, regulile trebuie să fie explicate, trebuie să existe o politică specifică pe care toată lumea trebuie să o respecte.

Amintiți-vă: amenințările cibernetice sunt foarte răspândite în lume, iar consecințele atacurilor sunt foarte grave - până la pierderea completă a afacerilor, falimentul. Firește, problema este pe ordinea de zi. Securitatea din timpul nostru este deja pur și simplu obligată să facă parte din cultura corporativă, iar managementul de vârf este primul părți interesate în această chestiune, deoarece gestionează afacerea și va răspunde în primul rând atunci când se realizează riscuri.

Iată câteva sfaturi pentru a vă ajuta angajații să evite incidentele de securitate a informațiilor:

1. Nu puteți urmări link-uri neconfirmate;
2. Nu puteți distribui informații confidențiale;
3. Nu puteți scrie parola pe o bucată de hârtie și lipiți un autocolant;
4. Nu puteți utiliza unități USB despre care nu sunteți sigur (un atacator poate lăsa un dispozitiv fizic infectat în locul în care victima îl va găsi cu siguranță);
5. Când vă înregistrați pe site-uri, indicând numărul de telefon și adresa poștală, uitați-vă cu atenție la ce sunt necesare aceste informații, poate în acest fel vă veți abona la o listă de corespondență plătită.

Sper că în timp, siguranța va deveni un element cheie al culturii corporative în fiecare companie.

Puteți stăpâni perfect abilitățile de lucru în domeniul securității informațiilor la facultate.

Companiile neglijează adesea problemele de securitate cibernetică și, în consecință, suferă pierderi de milioane de dolari. Într-un nou proiect special, experții site-ului vă vor spune cum să preveniți atacurile răufăcătorilor fără a încălca libertatea angajaților.

Afacerile sunt supuse atacurilor cibernetice constante de către infractorii cibernetici care vizează golirea conturilor companiei sau furtul datelor clienților.

15:33 15.07.2019

Multe companii rusești uită de măsurile de bază de securitate cibernetică pentru activele lor industriale și sunt nevoite să cheltuiască sume uriașe pentru a face față consecințelor atacurilor, deși există soluții mai simple.

În urmă cu un an, multe companii rusești și străine au devenit victime ale atacurilor cibernetice pe scară largă WannaCry și ExPetr. De atunci, nu au existat astfel de cazuri - înseamnă că afacerea a devenit mai responsabilă pentru securitatea cibernetică sau situația s-a schimbat în alt mod? Șeful Kaspersky Industrial CyberSecurity a vorbit despre ele.

Este important să înțelegem că aceste atacuri nu au fost îndreptate către industrie, ci au „atras-o”. Atacurile cibernetice de profil înalt apar de obicei datorită unei combinații de mai mulți factori. În acest caz, divulgarea publică a unei vulnerabilități în sistemele de operare Windows foarte frecvente și lipsa de dorință a utilizatorilor de a o repara rapid în întreaga întreprindere au jucat un rol. Absența unor astfel de cazuri nu are acum nimic de-a face cu faptul că companiile au devenit mai responsabile pentru siguranța lor.

Acele întreprinderi care au fost afectate de WannaCry sau în care am investigat incidente și am făcut recomandări pentru consolidarea protecției, au luat anumite măsuri. Putem spune cu un grad ridicat de probabilitate că nu vor repeta același atac.

Dar în majoritatea companiilor, nimic nu s-a schimbat, chiar dacă sunt conștienți de riscuri și au existat suficiente incidente.

O veste bună pentru întreprinderile rusești este apariția nr. 187-FZ „Despre securitatea infrastructurii informaționale critice”. Se aplică și sistemelor de automatizare a proceselor industriale. În Rusia, această lege este cel mai puternic motor în construirea sistemelor reale de protecție. A intrat în vigoare la începutul anului 2018 și în 2019-2021. vom vedea deja o creștere a securității.

Ce amenințări pot fi numite cheie acum?

Cea mai frecventă cauză a infecțiilor în infrastructurile industriale este malware-ul obișnuit. Practic, aceștia sunt troieni care ajung acolo accidental. Nu trebuie să fii o țintă pentru a fi victimă.

Evident, există o contradicție: atunci când legile sunt adoptate și vorbesc despre securitatea cibernetică în general, sunt îngrijorați în principal de atacurile atacatorilor motivați și calificați, se tem de atacurile vizate. Dar acum maturitatea securității cibernetice industriale este de așa natură încât companiile tolerează infecții banale cu malware-uri masive.

Ați putea enumera astfel de atacuri curioase?

Software-ul rău intenționat este scris de oameni și nu întotdeauna de înaltă calitate - conține erori.

Incidentele din rețelele industriale apar cel mai adesea din cauza unei infecții accidentale: un antreprenor a conectat un laptop cu un virus la o rețea securizată, un angajat a primit acces la distanță ... Un virus poate provoca o refuzare a serviciului, defecțiuni ale echipamentului sau oprirea proceselor tehnologice, deși acest lucru nu se întâmplă intenționat ...

De exemplu, una dintre cele trei versiuni ale WannaCry nu putea cripta, dar era foarte slab compatibilă cu Windows XP, drept urmare sistemul s-a prăbușit într-un ecran albastru al morții. În unele cazuri, a trebuit să ne ocupăm de acest lucru și nu de criptare în rețeaua industrială.

Ce măsuri de precauție pot fi luate pentru a reduce la minimum probabilitatea unor astfel de evenimente?

Cu cât angajații sunt mai conștienți de un anumit tip de atac cibernetic, cu atât este mai ușor să le evitați.

Acum 8-10 ani, când majoritatea specialiștilor în industrie primeau educație, sistemele industriale erau atacate mai rar - de regulă, erau izolate de lumea exterioară. Dar, în ultimii ani, rețelele industriale au fost integrate cu rețelele corporative la cererea companiei, de exemplu, pentru gestionarea comenzilor și gestionarea lanțului de aprovizionare. Contractorii au acces la rețele tehnologice pentru a furniza rapid servicii întreprinderilor industriale. Rețelele sunt expuse la o gamă largă de amenințări cibernetice.

Aceste amenințări sunt combătute cu succes în segmentul corporativ, dar inginerii și metrologii nu le-au mai întâlnit până acum.

Merită să le spuneți despre întrebări de bază: cum arată o scrisoare falsă sau un virus pe o unitate flash USB, de ce este imposibil să încărcați un telefon mobil de pe panoul de control al mașinii, de ce este necesar să apelați un „ofițer de securitate” atunci când acordați acces la distanță unui contractor ...

Dacă angajații ar ști despre potențialii vectori de penetrare și consecințele lor, pur și simplu nu ar face astfel de lucruri. Aceasta este una dintre măsurile prioritare, rapide și foarte ieftine.

La Kaspersky Lab, ne vedem misiunea nu numai în dezvoltarea de produse care ajută la prevenirea sau detectarea atacurilor, ci și la educația profesională. În acest scop, inițiam parteneriate cu centre de formare și universități care „vorbesc” limba inginerilor. În Rusia, partenerul nostru este Abiroy, care se angajează profesional în formarea profesională într-un mediu industrial de mai mulți ani și acum și în domeniul securității cibernetice. În Europa, în urmă cu câteva luni, am anunțat un parteneriat cu Institutul IOSB Fraunhofer, iar acum cursurile noastre de securitate cibernetică sunt disponibile în portofoliul lor și ne oferă o înțelegere și mai profundă a specificului industriei.

În cele din urmă, nu uitați de măsurile tehnice de bază. Antivirusurile, mijloacele de organizare a accesului la distanță, segmentarea rețelei sunt foarte eficiente în protecție.

Cât sunt costurile energetice și financiare pentru gestionarea riscurilor cibernetice în industrie?

Dificultățile de proiectare sunt într-adevăr o problemă. Imaginați-vă o rețea industrială construită acum opt ani, care este conectată la o rețea corporativă pentru acces la distanță sau transmisie de date. Potențial, puteți pătrunde în el, puteți ajunge la nivelul controlerelor logice programabile, puteți schimba logica controlului procesului și le puteți dezactiva. Dar de multe ori rețelele industriale de la nivelul inferior sunt construite pe echipamente de rețea neadministrate, din care este imposibil să se organizeze oglindirea traficului pentru a conecta un sistem de detectare a intruziunilor. Ca urmare, este posibil să pătrundeți într-o astfel de rețea, dar este foarte dificil să detectați astfel de atacuri.

În multe cazuri, întreaga rețea trebuie reproiectată pentru a implementa toate protecțiile. Dar lumea industrială are propriile reguli: „funcționează - nu este nevoie să urci”.

Are propriul ciclu de modernizare, iar rețeaua poate fi construită în conformitate cu reguli noi și protejate în 5-10 sau chiar 15 ani. Este extrem de dificil să protejați vechea infrastructură cu mijloace moderne: pentru a furniza un instrument de detectare a intruziunilor pentru 50 mii USD, trebuie să faceți un proiect de modernizare a rețelei pentru încă 500 mii USD.

A doua dificultate este personalul calificat. Nu există atât de mulți specialiști în securitatea informațiilor ICS în lume și cu atât mai mult în regiunile rusești, unde sunt în principal întreprinderi industriale. Sistemele moderne de securitate cibernetică sunt complexe de utilizat și necesită înțelegerea modului în care vor evolua amenințările.

Desigur, există și probleme financiare. Primele proiecte de protejare a unui număr mare de infrastructuri deja construite sunt costisitoare: servicii, inspecție, proiectare, implementare, personal nou ... Există multe companii cu capital de stat în Rusia care nu pot crește cu ușurință prețurile serviciilor și bunurilor lor. De exemplu, în sectorul energetic, suprainvestirea în securitate cibernetică poate afecta în cele din urmă facturile noastre de energie electrică.

Dar sunt sigur că vom depăși acest lucru și vom trece la un nou nivel de securitate. Principalul lucru este să mențineți în mod constant nivelul adecvat de securitate cibernetică pe măsură ce sistemele dvs. se dezvoltă.

În Europa, numărul de computere care suferă tentative de infecție accidentală este mult mai mic decât în \u200b\u200bRusia. În țările dezvoltate, companiile folosesc un model de servicii pentru deservirea infrastructurilor industriale: un furnizor de sisteme de automatizare sau un integrator întreține în mod constant aceste sisteme, pas cu pas, inclusiv introducerea măsurilor de securitate cibernetică. Astfel, companiile occidentale au o infrastructură mai sigură, fără costuri de șoc, răspândindu-le de-a lungul mai multor ani. În țara noastră, companiile în sine sunt responsabile pentru infrastructura lor industrială și funcționează conform principiului „dacă sistemul funcționează, nu este nevoie să îl modernizăm”. Așadar, restanța se acumulează și este destul de „dureros” să o elimini.

De regulă, soluțiile gata preparate sunt potrivite pentru clienți sau au nevoie de proiecte individuale datorită parametrilor non-standard?

Clienții au nevoie de proiecte individuale care să conțină „cuburi” din soluții gata făcute. Lucrările de integrare, inspecția și proiectarea sistemului de protecție sunt foarte importante, dar nu are rost să reproiectăm protecția industrială pentru fiecare sistem.

Acum industria se unifică: protocoale standardizate de transfer de date, aceleași sisteme de operare ... Da, uneori se întâlnesc rețele industriale foarte neobișnuite, dar, de regulă, se dovedește că vor fi modernizate în următorii ani.

Dacă trebuie să protejați o infrastructură unică, atunci după o analiză cuprinzătoare, devine clar că va fi mai ieftin și mai corect să faceți acest lucru în doi ani, împreună cu modernizarea acesteia, și înainte să luați orice măsuri compensatorii.

Puțini dintre lideri își dau seama că angajatul este „punctul de intrare” în compania sa. Cum putem duce securitatea cibernetică a afacerilor la un nou nivel, astfel încât angajații să nu o considere o restricție a libertății?

Una dintre problemele cheie de securitate a informațiilor de afaceri este lipsa conștientizării riscurilor în rândul angajaților. Cum poate fi mărită în moduri simple?

Împărtășește cunoștințele cheie pe acest subiect, șeful departamentului regional de vânzări corporative " Kaspersky Labs»:

Oamenii care nu știu prea multe despre amenințări trebuie să stăpânească elementele de bază ale securității cibernetice pentru a se simți protejați. La urma urmei, ar trebui să înțelegeți care litere nu trebuie deschise, ce linkuri nu trebuie să faceți clic, ce programe nu trebuie descărcate.

În același timp, puțini dintre lideri își dau seama că angajatul este „punctul de intrare” în companie, mai ales dacă are acces la documente și baze de date ale clienților. Omul este întotdeauna veriga cea mai slabă.

Pregătirea tradițională în domeniul securității cibernetice arată astfel: o persoană ascultă un antrenament care durează de la una până la trei zile, semnează un document privind studiile finalizate și merge la muncă. În cel mai bun caz, 10% din cunoștințele acumulate sunt depuse în capul meu dacă nu sunt aplicate și practicate.

Aceasta nu este chiar abordarea corectă. Fiecare angajat trebuie să fie conștient și să aplice regulile de securitate cibernetică. Abordarea noastră presupune învățarea online, deoarece astăzi cel mai simplu mod de a învăța este online. A dezvoltat un curs online care poate fi descărcat gratuit dacă aveți mai puțin de cinci angajați și licențiat dacă aveți mai mulți. Vă puteți urmări progresul într-un singur centru de control.

Cursul conține 32 de module în total. În modulul „Poștă”, un angajat vede un eșantion de scrisoare care conține informații despre potențiale amenințări și măsuri de securitate cibernetică (de exemplu, nu puteți furniza un cod PIN și CVV, chiar dacă banca le solicită). După ce o persoană citește scrisoarea, i se oferă să susțină un test într-un mod jucăuș. Dacă angajatul alege răspunsul corect, atunci el este încurajat, iar dacă este greșit, atunci ei explică ce și de ce a greșit.

Astfel de sarcini practice necesită 15 minute pe săptămână și abia îi distrag atenția pe angajat de la atribuțiile sale principale.

După ce angajatul trece modulul de instruire, un mesaj este trimis la punctul de control și o verificare este programată după câteva săptămâni. Dacă o persoană nu face clic pe linkuri rău intenționate sau nu descarcă programe dubioase, atunci și-a învățat lecția.

Dacă un angajat face aceleași greșeli, atunci se trimite la centrul de control un semnal că angajatul trebuie să repete lecția și să ia testul din nou. O astfel de instruire are loc pe tot parcursul anului, este foarte accesibilă și convenabilă.

Care este proporția personalului care trebuie să învețe elementele de bază și care este proporția celor care stăpânesc cu succes materialul pentru prima dată în procesul de învățare?

Conform statisticilor noastre, 85% dintre angajați învață totul pentru prima dată. Cred că toată lumea va găsi util acest program. Dezvoltarea a fost testată pe angajații Kaspersky Lab. Nu am trecut niciodată vreun modul 100% corect, deși lucrez pe piața securității informației de 12 ani. Unele întrebări par doar accesibile și simple.

Deschiderea legăturilor suspecte este cel mai simplu exemplu. Nu este un secret că toată lumea folosește social media în timpul orelor de lucru. Imaginați-vă că o persoană primește un link către un videoclip interesant de la un prieten: 99% dintre oameni îl vor deschide pe computerul de lucru și deloc în modul sigur. Nimeni nu știe ce va fi descărcat în paralel cu videoclipul.

Aproximativ 30% din întreprinderile mici externalizează probleme de securitate cibernetică către nespecialiști. Ce instrumente ar trebui să utilizați pentru a vă crește securitatea?

Este deja bine dacă o astfel de companie a cumpărat un antivirus legal. Până acum, nu toată lumea folosește nici măcar asta. Și întreprinderile mici au nevoie de cel puțin un administrator de sistem cu normă întreagă, care să asigure funcționarea tuturor computerelor și să le protejeze de viruși și posibile atacuri.

Antivirusul este adesea privit ca un panaceu: deoarece este acolo, atunci nu vă puteți gândi la securitate, spun ei, va face totul de la sine.

Din păcate, nu este cazul. Antivirusul poate fi comparat cu o ușă de fier antiglonț. Există chei și, dacă le-ai pierdut sau le-ai dat cuiva, atunci protecția nu va funcționa. Pentru companiile care sunt cu adevărat preocupate de siguranța informațiilor lor, există soluții la nivel superior - pentru a proteja împotriva atacurilor vizate. Atunci când un atacator dorește în mod intenționat să deschidă o securitate, de obicei nu folosește metode zgomotoase, ci lucrează foarte liniștit: ajunge în secret la locul unde poate obține informațiile de care are nevoie. Nu este profitabil pentru el să fie descoperit până când nu și-a atins scopul. O situație foarte similară se observă în spațiul cibernetic. În companiile mari, atacatorii pot aștepta luni întregi.

Există mai des atacuri intenționate sau neintenționate?

Presupunem că atacurile cu înaltă calificare reprezintă 1% din toate amenințările. Dar acestea sunt foarte semnificative: de exemplu, virusul ExPetr a fost direcționat către anumite companii și simultan a atras mii de alte companii. Lumea este saturată de tehnologii informaționale, iar oamenii din structuri diferite comunică și interacționează între ei.

Ce alte măsuri pot fi eficiente în combaterea interferențelor intenționate? Este întotdeauna realist să detecteze acest proces sau se întâmplă să afle despre el luni și ani mai târziu?

Procesul este realizabil dacă îl faceți. Există servicii speciale pentru verificarea rețelei corporative. În medie, un atac extrem de calificat durează șase luni: mai întâi, atacatorul se infiltrează într-o companie, se uită în jur și câteva luni mai târziu, de exemplu, criptează toate computerele și retrage simultan bani din conturi.

Pentru a se proteja împotriva atacurilor vizate, specialiștii noștri, dacă clientul dorește, vizualizează traficul online, raportează activități suspecte și întreabă ce să facă cu acestea: puteți bloca acțiunile atacatorului sau puteți crea o imitație a infrastructurii din interiorul sistemului pentru a afla intențiile atacatorului. În paralel, experții investighează și caută sursa atacului.

Este mai probabil ca companiile mici sau mari să țintească astfel de atacuri?

Ambele se întâmplă. Dar pentru a ataca o companie mare, trebuie să atrageți profesioniști, a căror muncă este costisitoare. Și marile afaceri au un întreg sistem de securitate cibernetică. Pentru întreprinderile mici, limita de protecție este adesea antivirus. Uneori, pentru a ajunge la o organizație mare, atacatorii își atacă furnizorii.

Adesea, atacurile, nu neapărat puternice, provin de la foști angajați resentimente sau, eventual, de la contractori. Probabil chiar neintenționat.

Dacă compania a construit un sistem de securitate, astfel de cazuri pot fi reduse la minimum. Dar, în practică, există exemple în care administratorul de sistem demis nu a fost blocat de acces. De exemplu, într-un mare centru logistic, un fost angajat a blocat toate imprimantele: timp de aproape o zi în centru nu au putut să trimită și să primească bunuri, deoarece nu au putut imprima niciun document.

În măsurile de securitate, este necesar să se prescrie că atunci când un angajat este concediat, accesul acestuia la sistem este blocat, parolele unor sisteme importante sunt schimbate.

Există cazuri unice: la o întreprindere financiară, parola trebuia schimbată o dată pe lună. Pentru angajații obișnuiți, acesta este un gest inutil, iar 95% dintre oameni au introdus parola în conformitate cu schema „lună și an”. Acest lucru i-a permis fostului angajat să profite de lacuna și să pătrundă în rețeaua internă a companiei.

Apropo, unul dintre modulele cursului online al Kaspersky Lab nu este acela de a seta parole precum „12345”, așa cum fac încă mulți oameni.

Este necesar să ne amintim noțiunile de bază ale securității cibernetice: nu utilizați rețelele sociale de pe un computer de lucru dacă nu sunt necesare pentru muncă. Schimbarea parolelor poate restricționa accesul la Internet pentru acei angajați care nu au nevoie direct de aceasta. Interziceți utilizarea unităților flash și a altor dispozitive amovibile.

Însă lucrătorii obișnuiți de birou percep toate aceste măsuri ca limitând libertatea personală. Pe de o parte, aceste măsuri sunt corecte, pe de altă parte, tehnologiile informaționale se dezvoltă atât de rapid încât nu putem controla niciodată pe deplin totul. Nu puteți închide întreaga întreprindere sub o cutie - atunci nimic nu va funcționa. Chiar și în întreprinderile de apărare, unde există rețele închise și nu puteți utiliza unități Wi-Fi, Bluetooth și flash, există persoane care monitorizează sistemul și conformitatea tuturor parametrilor. Se plictisesc să stea 12 ore și reușesc să joace un film sau să navigheze pe internet.

O persoană va găsi întotdeauna cum să rezolve restricțiile, așa că cea mai bună opțiune este îmbunătățirea cunoștințelor informatice.

Afacerile sunt supuse atacurilor cibernetice constante de către infractorii cibernetici care vizează golirea conturilor companiei sau furtul datelor clienților. Companiile, în special cele mici, economisesc adesea în securitatea informațiilor (IS), iar jumătate dintre directorii de securitate a informațiilor sunt siguri că pierderile financiare vor fi prețul de plătit pentru aceasta.

Cum pot fi prevenite atacurile și ce să căutați pentru a vă proteja afacerea? Îi spune șefului departamentului de vânzări pentru întreprinderile mici și mijlocii de la Kaspersky Lab.

Adesea, directorii de securitate cibernetică înțeleg inevitabilitatea amenințărilor, dar se confruntă cu o lipsă de bugete. Cât de mare este problema și cum pot face față companiile?

Din păcate, securitatea cibernetică în Rusia este într-adevăr subfinanțată.

Acest lucru se datorează probabil faptului că mulți lideri de afaceri și proprietari subestimează amploarea pierderilor pe care incidentele cibernetice le pot provoca.

Este important să evaluați în mod sobru ce pierderi va avea compania dacă compania este inactivă timp de câteva zile - dacă site-ul sau toate computerele corporative nu mai funcționează. Desigur, pentru un vânzător de flori care face contabilitate într-un notebook, o blocare a computerului de două zile nu va fi o problemă serioasă. Dar accesul la date este esențial pentru o agenție de turism, o companie de asigurări, un comerciant cu amănuntul care face contabilitate electronic, livrează mărfuri pe credit, înregistrează plăți și datorii viitoare. Toate acestea sunt cazuri reale din practica noastră.

Volumul plăților viitoare și al fondurilor care nu au ajuns încă în conturile companiei poate fi de 20-30% din cifra de afaceri anuală.

Când un antreprenor își dă seama cât poate pierde, își imaginează aproximativ cât de mult este gata să investească în buna funcționare, păstrând proprietatea intelectuală a companiei și reputația acesteia - adică asigurând securitatea cibernetică și IT. Pe de o parte, acestea sunt calcule puțin efemere - cum se estimează valoarea unei reputații? Pe de altă parte, sunt destul de evidente. De exemplu, dacă o companie aeriană nu poate vinde bilete online, clienții nu vor aștepta mult și vor cumpăra pur și simplu bilete de la un alt operator de transport.

Pierderea datelor va duce la dificultăți, cel puțin cu acces la 20-30% din cifra de afaceri anuală a companiei

De obicei, bugetul pentru securitatea cibernetică și securitatea informațiilor este de 10-15% din bugetul total IT. Costul dispozitivelor mobile, computerelor, cartușelor, internetul este în medie de 30-50 de mii de ruble. pe angajat pe an. Și protecție de înaltă calitate a unui singur loc de muncă în întreprinderile mici și mijlocii - de la 1.000 la 3.500 de ruble.

Prin urmare, economisirea securității IT înseamnă economisirea meciurilor. Cheltuielile de birou pentru cafea, hârtie igienică și articole de papetărie pot fi mai mari.

Este important să înțelegeți că protejarea informațiilor dvs. este un cost critic care nu trebuie neglijat.

Întreprinderile mici și mijlocii se află acum sub controlul criminalilor cibernetici - în unele cazuri, atacurile cibernetice au dus chiar la falimentul întreprinderilor.

Infractorii cibernetici caută modalități de a se infiltra în organizație. Cel mai adesea, scrisorile sunt trimise către departamentul de contabilitate pentru acest lucru, apoi către departamentele juridice, resurse umane și marketing.

E-mailurile pot conține programe malware sau o invitație de a accesa o pagină de phishing. După infecție, atacatorii încep să colecteze diverse date: urmăresc apăsările tastelor de pe tastatură, mișcările mouse-ului, studiază corespondența, contactele și pozițiile expeditorilor de scrisori etc.

Prin examinarea proceselor din companie, atacatorii pot compune un e-mail de phishing direcționat către un anumit angajat.

De exemplu, scrieți unui angajat al departamentului de personal cu o cerere de a lua în considerare un CV, atașând un fișier în format Word.

Angajații companiilor folosesc astfel de documente în fiecare zi, dar pot conține un script executabil care va lansa un virus și va începe să cripteze date în cadrul companiei - în toate locațiile unde are acces acest angajat. Antivirusurile convenționale care funcționează numai cu metoda de semnătură nu pot urmări astfel de ransomware.

Criptografii sunt flagelul vremii actuale. Activitatea lor crește în al patrulea trimestru al anului, când au loc cele mai active vânzări, și de la sfârșitul lunii martie până în iunie, când companiile depun rapoarte fiscale pentru perioada trecută. Ce amenințări din partea autorităților competente pot exista dacă nu depuneți declarația fiscală la timp?

Acum imaginați-vă că toate datele de pe servere au fost criptate și pur și simplu nu există acces la contabilitate și programe de contabilitate.

Compania este obligată să plătească infractorii cibernetici sau să informeze autoritățile fiscale că nu poate transmite rapoarte. Prin urmare, cantitatea de răscumpărare crește în perioadele de vârf.

Există statistici cu privire la ce parte a companiilor atacate sunt de acord să plătească și care parte încearcă să decripteze datele și să lupte împotriva atacatorilor?

Este imposibil să recuperați datele fără o cheie de criptare după un atac de un ransomware modern. În timp ce înainte de a exista o cheie universală pentru toate computerele afectate, malware-ul modern creează chei pentru fiecare echipament individual.

Protecția împotriva ransomware-ului va fi utilizarea nu a antivirusurilor obișnuite, ci a unui sistem de securitate cibernetică multistrat. Ar trebui să includă monitorizarea activității programelor, a utilizatorilor, analiza euristică a comportamentului, capacitatea de a preveni 100% lansarea ransomware-ului.

Dacă verificați mesajele primite pe serverele de mail, atașamentele cu fișiere rău intenționate nu vor ajunge nici măcar pe computerul angajatului

A doua linie de apărare se află la locul de muncă al angajatului: Controlul lansării aplicației verifică toate fișierele utilizate. A treia barieră este controlul web: administratorul de rețea creează liste „albe” de site-uri, unde sunt listate resursele permise, iar toate celelalte sunt considerate interzise.

O atenție maximă în problemele de securitate cibernetică ar trebui acordată protejării stațiilor de lucru ale contabilului, avocatului, directorului financiar și directorului executiv - persoanelor care au acces la banii companiei. Cel mai adesea, acestea sunt susceptibile la atacuri specifice ale criminalilor cibernetici.

Următorul nivel de protecție împotriva ransomware-ului este anticriptorul sau monitorizarea sistemului. Anticriptorul monitorizează comportamentul utilizatorului: dacă începe brusc să cripteze date, lucru pe care nu l-a mai făcut niciodată, atunci activitatea suspectă va fi suspendată, iar computerul este întrerupt de restul rețelei. O parte din date vor fi puse într-o copie de rezervă pentru recuperare ulterioară. Astfel, prevenim dezvoltarea atacurilor ransomware asupra clienților noștri.

- Unul dintre cele mai senzaționale programe malware -Buhtrap. Cum te poți descurca?

Buhtrap este un program rău intenționat care vă permite să accesați serviciile bancare electronice și să efectuați tranzacții financiare într-o companie.

Încercările intrușilor de a găsi oameni care pot efectua astfel de operațiuni devin tot mai sofisticate. Sunt infectate site-urile de mass-media specializate, care sunt cel mai adesea vizitate de contabili și CFO-uri, site-uri vizitate de lideri de companii, proprietari de afaceri.

În unele cazuri, hackerii creează chiar site-uri cu conținut interesant pentru a atrage utilizatori mai specializați.

- Care sunt consecințele unei infecții cu Buhtrap?

Cantitatea de daune companiilor rusești cauzate de astfel de programe rău intenționate doar anul trecut este estimată la zeci de milioane de dolari. Puteți face față cu Buhtrap, dar trebuie să luptați nu cu consecințele atacului, ci cu sursa sa originală.

Soluțiile calificate, precum cele ale Kaspersky Lab, pot detecta resursele de știri rău intenționate prin care Buhtrap ajunge la stațiile de lucru și le poate bloca complet împreună cu malware-ul.

Uneori, securitatea cibernetică în companiile mici și mijlocii este gestionată de nespecialiști. Cum poate un lider de afaceri să conștientizeze importanța acestei sarcini și să o pună în mâinile potrivite?

Soluțiile specializate pentru întreprinderile mici și mijlocii, de exemplu, Kaspersky Small Office Security, vă permit să protejați companiile cu mai puțin de 25 de stații de lucru. Acest produs include protecția tranzacțiilor financiare, gestionarea parolelor, protecția dispozitivelor mobile, serverelor și stațiilor de lucru. Programul folosește tehnologii dezvoltate inclusiv pentru protecția companiilor mari.

Segmentul mai mare va fi interesat de soluția Kaspersky Security Cloud. Este potrivit pentru companiile cu până la 250 de angajați.

În același timp, puteți gestiona protecția nu numai la locul de muncă, ci și de oriunde din lume unde există acces la Internet.

Adică, un angajat poate pleca în vacanță la Bali și de acolo să monitorizeze securitatea cibernetică a companiei. Consola este intuitivă și adaptată pentru nespecialiști - chiar și contabilul șef sau liderul de afaceri pot afla setările.

- Poate o afacere să se bazeze pe soluții gratuite pentru a se proteja împotriva amenințărilor financiare?

La fel ca soluțiile pentru casă, acestea nu sunt potrivite pentru utilizatorii corporativi, deoarece nu sunt concepute pentru a proteja organizațiile. Și atacatorii își îmbunătățesc metodele de lucru. Majoritatea versiunilor gratuite includ doar protecție de bază împotriva malware-ului, nu pot asigura securitatea tranzacțiilor financiare online, nu blochează legăturile frauduloase, nu ajută la controlul utilizării resurselor și programelor etc.

Îți poți proteja datele de ransomware? Joc interactiv

Cum se pot proteja întreprinderile mici de atacurile rău intenționate și de a preveni răspândirea malware-ului înainte ca acesta să devină o problemă?

Suntem prea mici pentru a fi o țintă ”, cred atât de mulți directori de afaceri mici. Conform statisticilor Kaspersky Lab, 58% dintre victimele criminalilor cibernetici sunt întreprinderi mici, iar daunele medii cauzate de un atac de succes pentru companiile din segmentul IMM sunt de 4,3 milioane de ruble.

Cum își pot proteja angajații mici și mijlocii angajații de atacurile rău intenționate? Ce remedii ar trebui să utilizați? Un manager senior de marketing pentru produse la Kaspersky Lab.

Când realizează conducerea întreprinderii că este necesar să se ia măsuri de protecție?

În majoritatea cazurilor, după primul incident. Din păcate, în întreprinderile mici, prioritatea securității IT devine foarte mare numai după ce compania este atacată pentru prima dată de un virus ransomware. Proprietarul afacerii va anula costurile suplimentare la maximum dacă nu este un utilizator avansat.

Costul unei greșeli este foarte mare. O organizație mare își poate realoca infrastructura și poate continua. Dar dacă într-o afacere mică întreaga rețea cade dintr-un atac malware, pur și simplu nu mai oferă servicii - activitatea companiei se oprește în totalitate. Și concurența este foarte mare: conform statisticilor, jumătate din companiile mici care au devenit victime ale atacului zboară de pe piață în șase luni, deoarece nu și-au putut restabili resursele la timp.

A fost un caz foarte dificil în practica mea. Infractorii cibernetici știau despre încălcarea securității cibernetice a întreprinderii, au ascuțit „malware-ul” pentru furtul datelor organizației și i-au luat treptat clienții. Cel mai probabil, au acționat pe un bacșiș. Dar compania a găsit oameni avansați care au reușit să recunoască un atac vizat și să salveze compania - acest lucru este extrem de rar.

În majoritatea cazurilor, atacurile sunt masive, iar angajații sunt întotdeauna veriga slabă. Ei caută informații de pe computerele de lucru, descarcă programul de care au nevoie pentru muncă și pot fi greșite. Dacă nu există niciun specialist care să monitorizeze acest lucru, atunci nimeni nu controlează situația din companie.

Protecția minimă pentru întreprinderile mici ajută la evitarea consecințelor negative din doar astfel de greșeli. Imaginați-vă că vă confruntați cu un atac de phishing. Dacă aveți 50-100 de persoane în organizația dvs., nu contează câte dintre ele au dat clic pe link - chiar și un singur clic este suficient pentru a infecta rețeaua. Soluțiile pentru întreprinderi mici sunt concepute pentru a preveni răspândirea „malware-ului” înainte ca acesta să devină o problemă.

De obicei, companiile mari pregătesc angajații să identifice fișierele și linkurile de la infractorii cibernetici în e-mail. Companiile mici își protejează angajații de astfel de amenințări?

Întreprinderile mici își petrec mult timp și eforturi în activitatea lor principală. Imobilizarile sunt investite întotdeauna în acele domenii care pot crește potențial veniturile companiei. Sunt lăsate resurse minime pentru susținerea proceselor, prin urmare finanțarea securității IT și IT nu este o prioritate, iar ușurința în utilizare și funcționarea automată sunt importante la alegerea acestor servicii. Adică, deciziile ar trebui să necesite o atenție minimă.

În plus, problemele de personal sunt întotdeauna acute în întreprinderile mici. O firmă mică are adesea un administrator de sistem în vizită, mai degrabă decât un angajat cu normă întreagă. În companiile puțin mai mari, un specialist poate fi responsabil atât pentru securitatea IT, cât și pentru securitatea informațiilor.

Liderii de afaceri mici și mijlocii se concentrează pe securitatea IT pe baza experiențelor lor proaste din zonă. Dacă, în general, reprezintă un spectru de amenințări, au mai întâmpinat astfel de incidente sau realizează necesitatea de a proteja compania după atacuri cibernetice masive, atunci vor căuta o protecție care să funcționeze într-un mod automat.

Kaspersky Lab oferă doar astfel de soluții - Kaspersky Endpoint Security for Business. Aceste produse le numim „Instalare și uitare”, ceea ce înseamnă instalare și uitare. Acestea vor oferi o protecție automată maximă - întreprinderile mici nu au adesea angajați speciali în personal pentru a configura programul.

Protecția împotriva e-mailurilor de phishing ar trebui să fie, de asemenea, automată, astfel încât astfel de e-mailuri, în principiu, să nu ajungă la utilizatori.

Angajații din companiile mici sunt mai predispuși să primească astfel de scrisori decât în \u200b\u200bcompaniile mari?

Există o concepție greșită periculoasă în rândul liderilor de afaceri mici că aceștia nu sunt ținta criminalilor cibernetici și nici nu sunt un pic pentru ei. Dar, potrivit statisticilor, companiile mici și mijlocii sunt victime ale grupurilor infracționale organizate în 50% din cazuri. În cazul atacurilor globale ale fanilor, cum ar fi WannaCry, toată lumea o primește: corporații, firme mici și utilizatori privați.

Atacurile vizate sunt mai relevante pentru întreprinderile mari, atunci când atacatorii înțeleg mărimea potențialului lor "pradă". Dar în memoria mea au existat cazuri în care astfel de atacuri au fost efectuate asupra magazinelor online și companiilor mijlocii din comerțul cu ridicata.

Șansa unui atac crește dacă atacatorii află cumva că compania nu este implicată în informații și securitate cibernetică - în întreprinderile mici deseori speră la asta.

Acești antreprenori lasă securitatea IT la mila angajaților care intră sau a unui singur angajat sau crește rolul protecției automate?

În microbusiness, IT este adesea cea mai avansată persoană, a cărei sarcină principală este diferită - uneori chiar și în logistică și vânzări. Dar dacă se dovedește că o persoană este versată în sistemele informaționale, atunci își asumă, printre altele, protecția computerelor și securitatea cibernetică. Minimul pe care trebuie să-l facă este să instaleze software antivirus. Și are nevoie de soluții de afaceri, nu de protecție a locuințelor.

Ele pun soluții pe care o persoană obișnuită nu le înțelege. Un nivel IT avansat îi este suficient pentru a stabili această protecție.

Într-o companie mai mare, unde există un administrator de intrare sau chiar propriul său administrator, există și o cerință de control. Adică, întreprinderea realizează că trebuie să implementeze politici minime de securitate pentru a înțelege ce se întâmplă, pentru a reduce gama de riscuri și amenințări. Suntem gata să oferim soluții din ce în ce mai avansate pe măsură ce compania se maturizează.

Este mai profitabil să folosești protecția cloud decât serviciile unui specialist obișnuit?

Un specialist IT are încă nevoie de instrumente: această decizie nu îl înlocuiește, ci devine un mijloc prin care va proteja organizația. Kaspersky Small Office este o soluție „faceți-o singur”. Cu aceasta, organizația se va putea proteja de amenințările actuale și nu va recurge încă la ajutorul unui profesionist.

Care este diferența cheie între Endpoint Security Cloud și care sunt avantajele unei soluții cloud?

Protecția non-cloud este instalată pe server - acest lucru necesită un specialist foarte specializat. Trebuie să fiți o persoană competentă din punct de vedere tehnic pentru a implementa o soluție Endpoint pe un server, a instala agenți, a conecta toate acestea, a configura o politică de securitate și așa mai departe. Soluția cloud vă permite să obțineți o protecție rapidă: nu este nevoie să cumpărați un server și să îl întrețineți - adică nu există costuri pentru întreținerea hardware-ului. Economisiți timp și bani personalului.

Soluția cloud este descărcată și instalată în câteva minute, întreaga sarcină nu durează mai mult de o oră. Principalul avantaj al acestei metode este viteza: protecția are efect în câteva minute.

Soluțiile noastre pentru întreprinderile mici sunt extrem de ușoare în ceea ce privește managementul. Small Office Security nu necesită deloc să vă conectați la consola web. În Kaspersky Endpoint Security Cloud, consola este mult simplificată: toate setările sunt aplicate automat dispozitivelor noi conectate la protecție. Deși, dacă se dorește, administratorul poate adăuga ceva manual. Mai mult, ambele soluții sunt bazate pe cloud și nu necesită hardware sau server.

De regulă, organizațiile mai avansate apelează la soluții similare sau nu neapărat?

Gradul de maturitate al organizației, al managerului și al specialistului IT, dacă există, este important aici. În general, nivelul competenței IT în Rusia este destul de ridicat. Organizația, în ansamblu, se poate lupta pentru o infrastructură modernă: unele companii își abandonează propriul hardware pentru a fi mai flexibile și dinamice.

Soluțiile cloud sunt foarte ușor de scalat. Dacă deschideți un punct de vânzare nou sau un birou nou, îl puteți proteja folosind Kaspersky Endpoint Security Cloud în câteva minute. Viteza scalării și creșterii afacerii dvs. nu este legată de propria infrastructură. Birourile pot fi împrăștiate în toată țara și faceți totul de la distanță, deoarece toate soluțiile sunt în cloud. Companiile orientate spre creștere și care înțeleg problemele implicate în scalare aleg inițial cloud-ul, deoarece soluțiile tradiționale nu le vor permite să se schimbe atât de repede.

Ce altă tendință importantă vedeți în domeniul securității întreprinderilor mici?

O altă tendință este munca pe dispozitivele mobile. Organizațiile mari au programe de mobilitate corporativă: cumpără dispozitive la nivel central, instalează instrumente de colaborare, instrumente de securitate etc. Toate acestea sunt controlate de „ofițerul de securitate” și, în principiu, este imposibil să se conecteze la infrastructura companiei.

Și într-o afacere mică, nimeni nu înțelege dacă este sau nu un dispozitiv personal. O persoană alege cel mai convenabil obiect gadget pentru a face față muncii sale mai rapid și mai eficient. Suntem gata să sprijinim astfel de întreprinderi și să oferim protecție și dispozitivelor mobile. Dacă compania nu folosește încă protecția cloud, aceasta poate fi conectată ulterior. Și indiferent unde este persoana respectivă - toată protecția poate fi instalată de la distanță.

„Dispozitivul mobil devine un instrument de supraveghere, iar supravegherea este în esență legală de către companie.” Cum creează smartphone-urile și laptopurile personale ale angajaților o încălcare a securității afacerii?

Companiile mici nu își pot permite întotdeauna să achiziționeze toate gadgeturile necesare pentru angajați, de exemplu, smartphone-uri de lucru și laptopuri. În același timp, este încurajată utilizarea dispozitivelor personale în scopuri de lucru, astfel încât angajatul să poată fi întotdeauna în contact.

Așa a apărut o tendință numită BYOD (aduceți-vă propriul dispozitiv) și se răspândește din ce în ce mai mult în întreprinderile mici și mijlocii.

„Datorită BYOD, compania economisește bani pentru achiziționarea și întreținerea hardware-ului, elimină riscul de pierdere și deteriorare a dispozitivelor mobile. Și aceștia sunt bani semnificativi ", - comentează Victor Chebyshev , expert în antivirus " Kaspersky Labs».

Cu toate acestea, conceptul BYOD în sine este controversat. Accesul dispozitivului personal al angajatului la perimetrul intern al companiei este comod pentru angajat însuși, dar creează riscuri de scurgere a datelor și acces necontrolat la informații.

În acest caz, abordarea BYOD este un factor complicat și poate deveni „punctul de intrare” în companie pentru infractorii cibernetici. Prin urmare, organizația trebuie să configureze accesul și să controleze intrarea în așa fel încât să nu fie întotdeauna convenabil pentru utilizator.

Pentru a atenua riscurile BYOD, există multe măsuri de protecție a datelor care trebuie luate. Gadgeturile personale ale personalului sunt de obicei mai puțin protejate decât cele corporative și sunt mai susceptibile la amenințări și pierderi cibernetice. Potrivit unui studiu realizat de Kaspersky Lab, 35% dintre companiile de IMM-uri (cu un personal cuprins între 1 și 249 de angajați) au întâlnit faptul că gadgeturile angajaților, pe care le-au folosit, inclusiv în scopuri de muncă, au fost infectate cu malware. Angajații a 28% dintre organizații au pierdut dispozitive personale și suporturi media cu informații corporative: smartphone-uri, laptopuri, hard diskuri externe, unități flash. Și daunele medii generate de un atac reușit asupra unei companii din segmentul afacerilor mici și mijlocii au fost estimate la 4,3 milioane de ruble.

Dispozitivele personale ale angajaților din afaceri: care este pericolul?

Gravitatea amenințărilor depinde de modul în care departamentul IT al unei companii monitorizează securitatea dispozitivelor mobile ale lucrătorilor. Mai multe soluții pot fi utilizate aici:

1. Profiluri MDM. Managementul dispozitivelor mobile (managementul dispozitivelor mobile) este un set de servicii și tehnologii care asigură controlul și protecția gadgeturilor companiei și a angajaților săi. O parte a MDM este instalată pe gadgetul angajatului, în timp ce cealaltă este un „centru de control” pentru gestionarea dispozitivelor la distanță.

2. Politici de limitare. Nu toți angajații au nevoie de acces la anumite resurse. De exemplu, de ce un contabil ar folosi rețelele sociale de pe dispozitivele de lucru? Acest lucru poate fi periculos dacă gadgetul conține documente confidențiale și un angajat face clic accidental pe o legătură de Internet rău intenționată. Prin urmare, configurarea flexibilă a drepturilor de acces la rețelele sociale sau alte programe sau resurse este o decizie foarte importantă și necesară.

3. Antivirusuri cu control centralizat care protejează împotriva malware-ului. Aceste soluții vă vor permite să întrerupeți imediat dispozitivul infectat din infrastructura companiei și să efectuați o investigație a incidentului.

Dacă nu se practică niciuna dintre aceste metode, atunci compania se confruntă cu riscuri semnificative de securitate cibernetică, avertizează Viktor Chebyshev. Potrivit acestuia, atunci când un dispozitiv mobil este infectat, sunt posibile mai multe scenarii:

1. Programul malware colectează toate datele de pe un dispozitiv mobil - de fapt, spionează. În acest caz, puteți intercepta fișiere importante din memoria dispozitivului, puteți înregistra conversații folosind microfonul încorporat, puteți face fotografii cu camere etc. Dispozitivul mobil se transformă într-un instrument de supraveghere, iar această supraveghere este în esență legală de către companie.

2. Programul malware stabilește un așa-numit tunel. Telefonul mobil are două interfețe de rețea - WIFI și 3G / 4G / LTE. Un atacator din orice lume poate obține acces la infrastructura internă a companiei prin intermediul acestor interfețe de rețea, deoarece telefonul mobil este în mod constant în rețea, iar rețelele WIFI interne ale companiei sunt accesibile pentru BYOD. Consecințele unei astfel de infecții pot fi în mod arbitrar triste.

Controlul datelor pe laptopuri este o conversație separată. Informațiile neprotejate de pe un computer personal care pot fi pierdute la aeroport sau uitate într-o cafenea sunt un coșmar IT obișnuit.

Pentru a evita această amenințare, o serie de companii permit angajaților să lucreze doar pe computere de birou, care au capacități de transfer de date extrem de limitate și porturi USB dezactivate pentru unitățile flash. Dar această abordare nu va funcționa într-o companie axată pe BYOD, avertizează Viktor Chebyshev. Protecția implică restricții la care nu pot accesa toți utilizatorii.

Cum pot antreprenorii să securizeze informațiile corporative de pe gadgeturile personale?

Există mai multe tehnici de bază de protecție a datelor care ar trebui aplicate în BYOD. „Nu ar trebui să le neglijați: prețul neglijenței poate fi incomparabil cu prețul chiar și al unui set complet de protecție”, spune Viktor Chebyshev.

În niciun caz nu trebuie să neglijați protecția gadgeturilor mobile (pe lângă principalele dispozitive de lucru - computerele). Protejați-vă computerele, serverele de fișiere și tabletele și smartphone-urile de atacuri pe Internet, fraude financiare online, ransomware și pierderi de date, cu o protecție cuprinzătoare. O astfel de protecție este asigurată, de exemplu, de program Kaspersky Small Office Security special conceput pentru companiile mici cu până la 25 de angajați sau Kaspersky Endpoint Security Cloud care ajută la protejarea întreprinderilor mici, fără a pune presiuni suplimentare asupra resurselor IT, timp și finanțe.

Activați modulul special antifurt pentru dispozitivele Android ca parte a protecției complete. Această caracteristică vă permite să blocați de la distanță un dispozitiv pierdut, să ștergeți datele de pe acesta sau să îl localizați pe o hartă.

Folosiți criptarea completă sau parțială a datelor corporative. Apoi, chiar dacă un laptop sau o unitate USB este pierdut sau furat, nu va fi posibil să accesați informațiile conținute pe ele fără o parolă.

Tehnologia de rezervă vă va salva afacerea. Cu ajutorul unei copii de rezervă, veți avea întotdeauna un spațiu de stocare de rezervă, cu cea mai actualizată versiune de informații valoroase de lucru în cazul, de exemplu, al unui atac de ransomware de succes.

Administratorii de sistem ar trebui să știe întotdeauna ce dispozitive utilizează angajații pentru muncă și să aibă o „siguranță” la distanță (telecomandă) pentru datele corporative în astfel de dispozitive în cazul în care sunt pierdute, furate sau dacă proprietarul părăsește compania.

Dar, pe ansamblu, nu ar trebui să permiteți scurgerea documentelor secrete în afara perimetrului companiei, chiar și în depozitele în cloud precum Yandex.Disk și Google.drive - și atunci nu va trebui să distrugeți nimic.

Pentru a asigura corespondența cu privire la subiectele corporative în mesagerii personali, puteți oferi mai multe recomandări. În primul rând, ultima versiune a sistemului de operare trebuie instalată pe dispozitivul mobil. În al doilea rând, utilizați întotdeauna o soluție de securitate - în caz contrar, dispozitivul nu poate fi permis în perimetrul companiei.

Contramăsurile includ soluții din linia Kaspersky Security for Business și Kaspersky Small Office Security. Acestea includ o protecție la fel de eficientă pentru computerele corporative și personale și pentru dispozitivele mobile, ceea ce este deosebit de important pentru întreprinderile mici. Kaspersky Small Office Security permite proprietarilor să se concentreze asupra conducerii afacerii, deoarece este ușor de utilizat și nu necesită cunoștințe specializate de administrare IT pentru a securiza rețeaua unei companii.

Utilizarea dispozitivelor personale ale angajaților va deveni mai sigură pentru companie?

Latura tehnică a problemei securității cibernetice din conceptul BYOD va fi îmbunătățită și tot mai multe companii vor refuza să cumpere dispozitive, este sigur Viktor Chebyshev. Este probabil ca doar companiile care utilizează dispozitive mobile specifice, precum cele rezistente la șocuri și impermeabile, să urmeze vechile metode.

„Este probabil ca logica profilurilor dispozitivelor din sistemele de operare mobile să devină mai complexă. Adică, dispozitivul mobil în sine va decide că proprietarul se află în prezent la locul de muncă și va bloca activitățile care implică riscul de infecție sau accesul dispozitivului la locurile interzise pentru el. Odată cu acest lucru, mecanismele de control al dispozitivelor personale din rețeaua întreprinderii se dezvoltă și, în viitorul previzibil, vor fi introduse soluții de învățare automată care remediază anomaliile de pe dispozitivele BYOD. Astfel de sisteme sunt viitorul ”, rezumă expertul antivirus Kaspersky Lab.

2019

Prioritățile IS ale IMM-urilor

Companiile din segmentul IMM sunt atrase de nori, către un model de consum de servicii bazat pe modelul MSSP (Managed Security Service Provider). Acest lucru îi ajută să reducă semnificativ costurile operaționale în domeniul securității informațiilor.

Acum unii furnizori oferă clienților lor servicii de securitate a informațiilor în cloud pe un model de abonament. În opinia mea, întreprinderile mijlocii și mici se vor îndrepta către un astfel de model de servicii de securitate a informațiilor, - notează Dmitry Livshits, directorul general al designului digital.

Modelul de servicii pentru consumul de securitate a informațiilor devine din ce în ce mai solicitat de către întreprinderile mici și mijlocii, deoarece aceste companii nu își pot permite un număr mare de specialiști în securitate.

Potrivit lui Vladimir Balanin, șeful departamentului de securitate a informațiilor din grupul de companii I-Teco, segmentul IMM devine principalul consumator de servicii de la furnizorii de servicii care furnizează servicii imediat cu servicii integrate de securitate a informațiilor: nu există costuri pentru administrarea, monitorizarea și întreținerea propriei infrastructuri, ci riscurile cerințele de reglementare sunt suportate chiar de furnizorul de servicii.

În același timp, piața rusă se caracterizează acum printr-o ofertă IS foarte limitată pentru IMM-uri. Potrivit lui Andrey Yankin, directorul Centrului de securitate a informațiilor Jet Infosystems, aproape toate serviciile sunt destinate clienților mari. Potrivit lui, serviciile tipice și ieftine, dar nu primitive de securitate a informațiilor pentru IMM-uri, practic nu există, deși în alte țări această piață este bine dezvoltată.

În același timp, odată cu dezvoltarea segmentului de servicii de securitate a informațiilor gestionate și perspectiva dezvoltării pieței asigurărilor de risc cibernetic, această categorie de clienți va avea la dispoziție măsuri adecvate amenințărilor moderne.

Între timp, companiile IMM implementează securitate IT de bază, ridicându-se rar la nivelul proceselor de afaceri.

Potrivit lui Dmitry Pudov, directorul general adjunct al Grupului pentru Tehnologii și Dezvoltare Angara Technologies, reprezentanții IMM-urilor, având în vedere bugetele lor, nu au practic acces la soluții de înaltă tehnologie sau complexe. Acest lucru nu se datorează numai costului soluțiilor, ci mai degrabă OPEX pe care le transportă.

Principalele soluții pe care le cumpără clienții segmentului SMB sunt antivirusurile și firewall-urile software, spune Yakov Grodzensky, șeful securității informațiilor la System Soft. În plus, companiile din acest segment încep să se intereseze în mod activ de auditul SI și de testarea penetrării, deoarece astfel de organizații nu au întotdeauna un personal separat în securitatea informațiilor în personalul lor, ca să nu mai vorbim de pentesterii.

Vyacheslav Medvedev, un analist de frunte la Doctor Web, adaugă că anchetele efectuate pe afacerile mijlocii au arătat că astfel de companii nu au fonduri pentru alte soluții de securitate decât cele de bază.

Prioritățile de securitate cibernetică ale marilor companii

Este întotdeauna important ca acționarii, proprietarii și conducerea superioară să aibă o imagine obiectivă a securității informațiilor și a proceselor tehnologice în cadrul unei organizații, prin urmare nivelul general al maturității securității informațiilor în companii crește în fiecare an. Cu toate acestea, unele organizații mari încă nu dispun de o ordine de bază în procesele de afaceri care asigură funcționarea sistemelor de informații, ceea ce poate duce la haos în securitatea informațiilor. Prin urmare, principala prioritate pentru companiile mari este rezolvarea acestor probleme, spune Nikolay Zabusov, directorul Departamentului Informației și Securității Rețelelor la Step Logic.

În plus, marile afaceri se concentrează pe îndeplinirea cerințelor autorităților de reglementare și a standardelor interne, încercând să creeze o infrastructură protejată mai mult sau mai puțin uniform. Standardele industriale din domeniul securității informațiilor sunt dezvoltate și „implementate” în multe corporații.

Marile companii comerciale s-au confruntat în esență cu o alegere: să urmeze calea transformării digitale sau să lucreze fără a schimba paradigma de a face afaceri. Dar, în al doilea caz, mai devreme sau mai târziu vor fi obligați să renunțe la pozițiile lor pe piață concurenților care au demonstrat o mare flexibilitate.

Printre prioritățile pentru segmentul de întreprinderi, pot sublinia, pe de o parte, creșterea eficienței utilizării soluțiilor clasice de securitate a informațiilor și, pe de altă parte, introducerea unui nou tip de instrumente de protecție împotriva amenințărilor ca parte a proiectelor de digitalizare. Acesta din urmă este foarte important, deoarece restricțiile de securitate sunt adesea unul dintre principalele motive pentru progresul lent pe calea transformării digitale, - notează Oleg Shaburov, șeful Departamentului de securitate a informațiilor al Softline.

Din punctul de vedere al securității practice, vectorul se schimbă din ce în ce mai mult de la prevenirea atacurilor la detectarea și răspunsul, spune Andrey Zaikin, șeful securității informațiilor la Krok. Acest lucru duce la faptul că clasele relativ tinere de soluții devin din ce în ce mai populare și mai solicitate: EDR, IRP. Sistemele de răspuns automat au seturi diferite de scripturi, scripturi și vă permit să blocați încercările de a răspândi amenințări.

Servicii de securitate cibernetică

Companiile IMM care înțeleg criticitatea securității informațiilor pentru afacerea lor urmează calea utilizării modelelor de servicii.

Introducere

Liderii de afaceri trebuie să înțeleagă importanța securității informațiilor, să învețe să prezică și să gestioneze tendințele din acest domeniu.

Afacerile de astăzi nu pot exista fără tehnologia informației. Se știe că aproximativ 70% din totalul produsului național mondial depinde într-un fel sau altul de informațiile stocate în sistemele de informații. Introducerea pe scară largă a computerelor a creat nu numai facilități bine cunoscute, ci și probleme, dintre care cea mai gravă este problema securității informațiilor.

Împreună cu elementele de control pentru calculatoare și rețele de calculatoare, standardul acordă o atenție deosebită dezvoltării politicii de securitate, colaborării cu personalul (angajare, instruire, concediere de la locul de muncă), asigurând continuitatea procesului de producție și cerințelor legale.

Fără îndoială, acest subiect, desigur, este foarte relevant în condițiile moderne.

Obiectul cursului: securitatea informațiilor despre activitățile profesionale ale organizației.

Subiectul cercetării: securitatea informațiilor.

În cadrul cursului, este planificat să se creeze un proiect al unei soluții de management pentru organizarea securității informațiilor pe baza unei organizații reale.

Capitolul 1. Securitatea informațiilor privind activitatea profesională

Securitatea informațiilor este un domeniu relativ nou al activității profesionale a specialiștilor. Principalele obiective ale acestor activități sunt:

Asigurarea protecției împotriva amenințărilor externe și interne în domeniul formării, distribuției și utilizării resurselor informaționale;

Prevenirea încălcărilor drepturilor cetățenilor și organizațiilor de a păstra confidențialitatea și secretul informațiilor;

Furnizarea de condiții care împiedică denaturarea sau ascunderea deliberată a informațiilor în absența temeiurilor legale pentru aceasta.

Clienții specialiștilor în acest domeniu sunt:

Organisme federale ale puterii de stat și ale administrației Federației Ruse;

Autoritățile de stat ale entităților constitutive ale Federației Ruse;

Agenții guvernamentale, organizații și întreprinderi;

Industria de apărare;

Organisme guvernamentale locale;

Instituții, organizații și întreprinderi neguvernamentale
proprietate.

Apariția în vânzarea gratuită, deși ilegală, a unei baze de date a clienților companiei de telefonie mobilă MTS ne obligă din nou și din nou să abordăm problema securității computerelor. Se pare că acest subiect este inepuizabil. Relevanța sa este cu atât mai mare, cu cât este mai mare nivelul de informatizare al firmelor comerciale și al organizațiilor necomerciale. Tehnologiile înalte, care joacă un rol revoluționar în dezvoltarea afacerilor și practic în toate celelalte aspecte ale societății moderne, îi fac pe utilizatorii lor foarte vulnerabili din punct de vedere al informației și, în cele din urmă, al securității economice.

Aceasta este o problemă nu numai în Rusia, ci și în majoritatea țărilor lumii, în principal în cele occidentale, deși există legi care restricționează accesul la informațiile personale și impun cerințe stricte pentru stocarea acestora. Piețele oferă diverse sisteme de protecție a rețelelor de calculatoare. Dar cum să vă protejați de propria „a cincea coloană” - angajați fără scrupule, neloiali sau pur și simplu neglijenți, care au acces la informații clasificate? Scanarea scandaloasă a bazei de date a clienților MTS nu s-ar fi putut întâmpla, aparent, fără colaborare sau neglijență penală a angajaților companiei.

Se pare că mulți antreprenori, dacă nu chiar cei mai mulți, pur și simplu nu înțeleg gravitatea problemei. Chiar și în țările cu economii de piață dezvoltate, potrivit unor studii, 80% dintre companii nu au un sistem bine gândit și planificat pentru protejarea bazelor de date operaționale și de stocare. Ce putem spune despre noi, care suntem obișnuiți să ne bazăm pe faimosul „poate”.

Prin urmare, nu este inutil să apelăm la subiectul pericolelor scurgerilor de informații confidențiale, să vorbim despre măsurile de reducere a acestor riscuri. O publicație în Legal Times (21 octombrie 2002), o publicație dedicată problemelor juridice (Mark M. Martin, Evan Wagner, „Vulnerabilitate și securitate a informațiilor”) ne va ajuta în acest sens. Autorii enumeră cele mai tipice tipuri și metode de amenințări cu informațiile. Care?

Declasificarea și furtul secretelor comerciale. Totul este mai mult sau mai puțin clar aici. Spionaj economic clasic datând din istoria antică. În timp ce secretele anterioare erau păstrate în locuri secrete, în seifuri masive, sub protecție fizică fiabilă și (ulterior) electronică, astăzi mulți angajați au acces la baze de date de birou, conținând adesea informații foarte sensibile, de exemplu, aceleași date despre clienți.

Diseminarea materialelor compromitatoare. Aici, autorii înseamnă utilizarea intenționată sau accidentală de către angajați în e-mail a unor astfel de informații care aruncă o umbră asupra reputației companiei. De exemplu, numele companiei se reflectă în domeniul corespondentului care admite defăimări, insulte, pe scurt orice poate compromite organizația în scrisorile sale.

Încălcarea proprietății intelectuale. Este important să nu uităm că orice produs intelectual produs într-o organizație aparține organizației și nu poate fi utilizat de angajați (inclusiv generatori și autori de valori intelectuale) decât în \u200b\u200binteresul organizației. Între timp, în Rusia, cu această ocazie, apar deseori conflicte între organizații și angajați, revendicând produsul intelectual pe care l-au creat și îl folosesc în interesele lor personale, în detrimentul organizației. Acest lucru se întâmplă adesea din cauza situației juridice vagi la întreprindere, când contractul de muncă nu conține reguli și reglementări clar definite care să descrie drepturile și obligațiile angajaților.

Diseminarea (adesea neintenționată) a informațiilor privilegiate care nu sunt secrete, dar pot fi utile concurenților. De exemplu, despre noile posturi vacante în legătură cu extinderea afacerii, despre călătorii de afaceri și negocieri.

Vizite pe site-urile concurenților. Acum, din ce în ce mai multe companii folosesc programe pe site-urile lor deschise (în special, cele concepute pentru CRM), care le permit să recunoască vizitatorii și să urmărească traseele în detaliu, să înregistreze timpul și durata vizionării paginilor site-ului. Este clar că, dacă vizita dvs. pe site-ul web al unui concurent este cunoscută în detaliu de către operatorul său, atunci nu este dificil pentru acesta din urmă să concluzioneze ce anume vă interesează. Acesta nu este un apel de a abandona un canal critic de informații competitive. Site-urile web ale concurenților au fost și rămân o sursă valoroasă de analiză și prognoză. Dar atunci când vizitați site-uri, trebuie să vă amintiți că lăsați urme și că sunteți, de asemenea, urmăriți.

Abuzul de comunicații de birou în scopuri personale (ascultarea, vizionarea de muzică și alt conținut care nu are legătură cu locul de muncă, încărcarea unui computer de birou) nu reprezintă o amenințare directă pentru securitatea informațiilor, ci creează încărcări suplimentare în rețeaua corporativă, reduce eficiența și interferează cu munca colegilor.

Și, în cele din urmă, amenințările externe - intruziuni neautorizate etc. Acesta este un subiect pentru o altă conversație serioasă.

Cum vă puteți proteja de amenințări interne? Pur și simplu nu există nicio garanție de 100% împotriva daunelor cauzate de proprii angajați. Acesta este un factor uman care nu se pretează controlului complet și necondiționat. În același timp, autorii menționați mai sus oferă sfaturi utile - pentru a dezvolta și implementa o politică de comunicare (sau informații) clar formulată în cadrul companiei. O astfel de politică ar trebui să traseze o linie clară între ceea ce este permis și ceea ce nu este permis în utilizarea comunicărilor de birou. Trecerea frontierei duce la pedeapsă. Ar trebui să existe un sistem pentru a monitoriza cine folosește rețelele de calculatoare și cum. Normele adoptate de companie trebuie să respecte atât standardele naționale, cât și cele internaționale recunoscute pentru protecția secretelor de stat și comerciale, a informațiilor personale și private.

Capitolul 2. Securitatea informațiilor

activitate profesională în LLC "Laspi"

2.1. Scurtă descriere a LLC "Laspi"

LLC Laspi a fost înființată în 1995 ca reprezentanță a unei companii cehe din Rusia. Compania se angajează în furnizarea de echipamente și consumabile cehe pentru producerea diferitelor produse din beton (de la dale de pavaj la garduri, ghivece de flori etc.). Echipamentul este de înaltă calitate și cost rezonabil. Clienții care contactează biroul Samara sunt organizații din diferite orașe din Rusia și CSI (Kazan, Ufa, Izhevsk, Moscova, Nijni Novgorod etc.). Bineînțeles, o astfel de activitate pe scară largă necesită o atenție specială pentru securitatea informațiilor în cadrul companiei.

Securitatea informațiilor astăzi lasă mult de dorit. Diverse documentații (tehnice, economice) se află în domeniul public, ceea ce permite aproape tuturor angajaților companiei (de la fondator la șofer) să o citească fără obstacole.

Înregistrările critice sunt păstrate în seif. Doar directorul și secretarul său au cheile seifului. Dar aici așa-numitul factor uman joacă un rol esențial. Adesea, cheile sunt uitate în biroul de pe masă și seiful poate fi deschis chiar de o doamnă de curățenie.

Documentele economice (rapoarte, facturi, facturi, facturi etc.) sunt aranjate în foldere și rafturi într-un dulap care nu poate fi blocat.

Angajații nu semnează niciun acord de nedivulgare pentru informații care sunt secrete comerciale atunci când aplică pentru un loc de muncă, ceea ce nu le interzice distribuirea acestor informații.

Recrutarea angajaților se realizează printr-un interviu, care constă din două etape: 1. comunicarea cu supraveghetorul imediat (la care sunt identificate abilitățile și abilitățile unui potențial angajat) 2. comunicarea cu fondatorul (are o natură mai personală și încheierea unui astfel de dialog poate fi fie „vom lucra împreună”, fie „ nu vom lucra împreună ”).

Toate acestea necesită o atenție mai mare din partea conducerii și a unui program competent pentru a asigura securitatea informațiilor companiei, deoarece astăzi Laspi LLC are o mulțime de concurenți care este puțin probabil să rateze oportunitatea de a utiliza, de exemplu, baza de clienți a companiei sau baza de furnizori.

2.2. Proiectul unei soluții de management pentru a asigura securitatea informațiilor despre activitățile profesionale ale Laspi LLC.

Un loc important în sistemul de măsuri organizatorice, administrative, legale și de altă natură care permite rezolvarea calitativă a problemelor de susținere a informațiilor din activitățile științifice, industriale și comerciale, siguranța fizică a materialelor purtătoare de informații clasificate, prevenirea scurgerii acestora, păstrarea secretelor comerciale este ocupat de un sistem permisiv de acces al artiștilor interpreți sau executanți la documentele și informațiile clasificate. ...

Ținând cont de Legea RSFSR „Despre întreprinderi și activitate antreprenorială”, șeful unei întreprinderi (firme), indiferent de forma de proprietate, poate stabili reguli speciale pentru accesul la informațiile care lasă un secret comercial și operatorii săi, asigurând astfel siguranța acestora.

În sistemul măsurilor de securitate, distribuția optimă a informațiilor de producție, comerciale și de credit financiar, care lasă secretul întreprinderii, între executanții specifici ai lucrării și documentelor relevante, este esențială. La distribuirea informațiilor, pe de o parte, este necesar să se asigure că unui anumit angajat i se furnizează o cantitate completă de date pentru o performanță de înaltă calitate și în timp util a muncii care i-a fost încredințată și, pe de altă parte, este necesar să se excludă cunoștința interpretului cu informații clasificate inutile de care nu are nevoie pentru muncă.

Pentru a asigura accesul legal și rezonabil al contractantului la informațiile care constituie un secret comercial al companiei, se recomandă dezvoltarea și implementarea unui sistem de licențiere adecvat la întreprinderi.

Accesul se înțelege prin obținerea permisiunii scrise de la șeful companiei (sau, cu aprobarea acestuia, de la alți directori) pentru a emite informații specifice (sau în totalitate) nepublicate unuia sau altui angajat, ținând cont de atribuțiile sale de serviciu (competențe oficiale).

Înregistrarea accesului la CT poate fi efectuată în conformitate cu Regulamentele privind sistemul de autorizare a accesului aprobat de director, acolo unde competențele oficialilor companiei pentru distribuirea și utilizarea informațiilor sunt consacrate legal. Șeful organizației poate autoriza utilizarea oricărei informații protejate oricărui angajat al acestei întreprinderi sau unei persoane care a ajuns la instalație de la o altă organizație pentru a rezolva orice problemă, dacă nu sunt impuse restricții asupra acestor informații din partea producătorului și a partenerilor comerciali pentru producția comună etc. P. Astfel, în LLC Laspi se recomandă restricționarea accesului la informații care sunt un secret comercial (contracte cu furnizori și clienți, rapoarte finale privind tranzacțiile) următorilor angajați:

1. fondator al companiei.

2. directorul companiei.

3. Secretar al directorului.

Numai fondatorul și directorul firmei pot autoriza accesul la informații altor angajați.

Toți angajații și managerii de mai sus care efectuează aceste tranzacții ar trebui să aibă acces la informații despre tranzacțiile curente cu clienții.

Informațiile inițiale privind prețurile de achiziție ale echipamentelor ar trebui să fie în mod similar limitate. La acesta au acces doar fondatorul, directorul companiei, care oferă restului angajaților doar prețurile deja elaborate (cu diferite „majorări”), precum și secretarul care menține întregul flux de documente în organizație.

Lucrarea eficientă a sistemului de autorizare este posibilă numai dacă sunt respectate anumite reguli:

1. Sistemul de autorizare, ca regulă obligatorie, include o abordare diferențiată a autorizării accesului, ținând seama de importanța informațiilor clasificate în raport cu care se decide problema accesului.

2. Este necesară o reflectare documentară a permisiunii emise pentru dreptul de a utiliza una sau alta informație protejată. Aceasta înseamnă că managerul care a acordat permisiunea pentru dreptul de utilizare trebuie să îl înregistreze în mod obligatoriu în scris pe documentul corespunzător sau în formularul contabil în vigoare la întreprindere. Orice instrucțiuni verbale și cereri de acces de la oricine (cu excepția șefului întreprinderii) nu au niciun efect juridic. Această cerință se aplică și managerilor de la toate nivelurile care lucrează cu informații clasificate și operatorilor de transport. Astfel, numai permisiunea scrisă a șefului (în limitele autorității) este o permisiune pentru emiterea informațiilor protejate unei anumite persoane.

3. Principiul controlului trebuie respectat cu strictețe. Fiecare permis trebuie să aibă data înregistrării și eliberării sale.

O astfel de formă tradițională de rezoluție ca rezoluția capului pe documentul clasificat în sine este larg răspândită. O astfel de permisiune trebuie să conțină o listă cu numele angajaților care sunt obligați să se familiarizeze cu documentele sau să le execute, termenul de executare, alte instrucțiuni, semnătura managerului și data. Managerul poate, dacă este necesar, să prevadă restricții privind accesul anumitor angajați la anumite informații.

Rezoluția, ca tip de permisiune, este utilizată în principal pentru livrarea promptă către părțile interesate a informațiilor clasificate conținute în documente și produse primite din exterior și create la întreprindere.

Șeful întreprinderii poate acorda permisiunea de acces în documentele administrative: comenzi, instrucțiuni, instrucțiuni pentru întreprindere. Acestea trebuie să conțină numele, funcțiile persoanelor, documentele de clasificare specifice și produsele la care pot fi admiși (familiarizați).

Un alt tip de permise îl constituie listele de familie ale persoanelor care au dreptul să se familiarizeze și să efectueze orice acțiuni cu documente și produse clasificate. Listele de familie sunt aprobate de directorul întreprinderii sau în conformitate cu sistemul actual de licențiere de către manageri care, de regulă, ocupă posturi nu mai mici decât șefii departamentelor relevante.

Prin familie, listele de persoane pot fi utilizate la organizarea accesului la documente și produse clasificate care sunt de o importanță deosebită pentru întreprindere, la înregistrarea accesului la zone restricționate, la diferite tipuri de evenimente închise (conferințe, întâlniri, expoziții, reuniuni ale consiliilor științifice și tehnice etc.) .). În listele de familie, pot fi identificați manageri specifici, care sunt autorizați de manager pentru toate documentele și produsele închise fără permisiunile scrise corespunzătoare. Acestea indică numele complet. antreprenor, departament, funcția ocupată, categoria de documente și produse la care este admis. În practică, este aplicabilă și opțiunea listelor de locuri de muncă, care indică: poziția contractantului, volumul de documente (categorii de documente) și tipurile de produse care trebuie utilizate de angajații întreprinderilor care ocupă funcția corespunzătoare listei. Trebuie remarcat faptul că pentru întreprinderile cu un volum mic de documente și produse clasificate, poate fi suficient să se utilizeze astfel de tipuri de permisiuni ca rezoluție a capului documentului în sine, prin liste de familie, liste de locuri de muncă.

Din punct de vedere organizațional, listele de familie ar trebui întocmite de șefii de unități structurale interesați. Lista angajaților incluși în listă este avizată de șeful Consiliului de securitate și aprobată de șeful întreprinderii, care poate delega drepturile de aprobare altor persoane de la conducere.

Sistemul de autorizare trebuie să îndeplinească următoarele cerințe:

· Se aplică tuturor tipurilor de documente și produse clasificate disponibile la întreprindere, indiferent de locația și crearea acestora;

· Determinați procedura de acces pentru toate categoriile de angajați care au primit dreptul de a lucra cu CT, precum și pentru specialiștii care au ajuns temporar la întreprindere și care au legătură cu comenzi închise comune;

· Stabiliți o procedură simplă și fiabilă pentru eliberarea autorizațiilor de acces la documente și produse protejate, care vă permite să răspundeți imediat la modificările din domeniul informațiilor la întreprindere;

· Delimitați în mod clar drepturile managerilor de la diferite niveluri de locuri de muncă în proiectarea accesului pentru categoriile relevante de interpreți;

· Excludeți posibilitatea emiterii necontrolate și neautorizate de documente și produse către oricine;

· Nu permiteți persoanelor care lucrează cu informații și obiecte clasificate să facă modificări la date uniforme, precum și să înlocuiască documentele contabile.

Atunci când se dezvoltă un sistem de autorizare, trebuie acordată o atenție specială evidențierii principalelor informații care sunt deosebit de valoroase pentru întreprindere, ceea ce va asigura un acces strict limitat la acestea. În prezența unei lucrări comune cu alte întreprinderi (organizații), firme străine sau reprezentanții lor individuali, este necesar să se prevadă procedura de acces a acestor categorii la secretele comerciale ale întreprinderii. Este recomandabil să se determine procedura de interacțiune cu reprezentanții organizațiilor de stat în serviciu: supraveghere tehnică, stație sanitară și epidemiologică etc.

În Regulamentul privind sistemul de licențiere al companiei, este necesar să se indice că transferul de documente și produse clasificate de la contractant la contractant este posibil numai în cadrul unității structurale și cu permisiunea conducătorului acesteia. Transferul, returnarea acestor documente de produs se face conform comenzii stabilite de companie și numai în timpul programului de lucru din ziua dată.

Toată documentația clasificată și produsele primite și dezvoltate de întreprindere sunt acceptate și contabilizate de către conducerea intermediară și secretar. După înregistrare, documentația este trimisă spre examinare șefului întreprinderii contra primirii.

În Regulamentul privind sistemul de licențiere al companiei, este necesar să se indice că ședințele închise pe probleme de afaceri se desfășoară numai cu permisiunea șefului companiei sau a adjuncților săi. Cerințele speciale se pot aplica reuniunilor consiliilor academice, reuniunilor pentru examinarea rezultatelor cercetării și dezvoltării și ale activităților financiare și comerciale etc. Pentru astfel de evenimente, se recomandă întocmirea fără greș a listelor permisive și includerea în ele a acelor angajați ai întreprinderii care au legătură directă cu evenimentele planificate și participarea la care este cauzată de necesitatea oficială.

După cum sa menționat mai sus, angajații altor firme pot participa la ședințe închise numai cu permisiunea personală a conducerii firmei. Pregătește liste, de regulă, este responsabil pentru organizarea ședinței în contact cu șefii de unități structurale interesați. Lista este baza pentru organizarea controlului asupra admiterii la această întâlnire. Înainte de începerea ședinței, cei prezenți sunt avertizați că informațiile discutate sunt de natură clasificată și nu pot fi distribuite în afara sferei de circulație stabilite de companie și dau instrucțiuni despre cum să țină evidența.

Este important să subliniem faptul că stabilirea la companie a unei anumite proceduri de manipulare a informațiilor și produselor clasificate crește semnificativ fiabilitatea protejării secretelor comerciale, reduce probabilitatea divulgării, pierderea operatorilor de informații.

Pentru a asigura siguranța documentelor, se propune achiziționarea mobilierului adecvat, care să permită blocarea sigură a documentelor. De asemenea, este necesar să sigilați dulapurile în fiecare zi, înainte de plecare.

Cheile seifului și dulapurilor trebuie predate serviciului de securitate contra semnăturii. De asemenea, se recomandă achiziționarea unui tub special pentru depozitarea cheilor și sigilarea acestuia.

O atenție deosebită trebuie acordată securității informațiilor computerizate. În LLC „Laspi” astăzi au fost create mai multe baze de date: clienții companiei (indicând nu numai adresele de lucru și numerele de telefon, ci și acasă, precum și informații personale); baza de date care conține prețurile și caracteristicile echipamentelor furnizate; baza de date a angajaților organizației. De asemenea, computerul stochează diverse contracte, acorduri etc.

În orice caz, obținerea acestor informații în mâinile concurenților este extrem de nedorită. Pentru a preveni o astfel de dezvoltare a evenimentelor, este recomandat să creați parole pentru accesul la fiecare bază de date (iar instrumentele software vă permit să faceți acest lucru). Când porniți computerul, se recomandă, de asemenea, să setați protecție pe două niveluri (la încărcarea BIOS-ului și la încărcarea sistemului de operare Windows'2000, care nu permite accesul fără parolă la conținutul unității de disc, spre deosebire de versiunile anterioare ale acestui sistem de operare). Bineînțeles, parolele ar trebui să fie disponibile și numai pentru angajații companiei care lucrează direct cu aceste baze de date (secretar, manageri, programatori).

În cazul oricăror probleme legate de computer și a necesității de a contacta o terță parte, este necesar să se controleze pe deplin procesul de reparare a echipamentelor. Întrucât este într-un astfel de moment când toate parolele sunt eliminate, când programatorul „din exterior” are acces gratuit și nestingherit la conținutul discului, este posibil ca acesta să retragă informațiile și să le folosească în diverse scopuri.

Este necesară actualizarea constantă a programelor antivirus pentru a preveni intrarea și răspândirea virușilor în computere.

O atenție deosebită ar trebui acordată problemelor angajării de noi angajați. Astăzi, multe organizații practică o abordare dură a acestui proces, care este asociată cu dorința de a păstra informațiile în cadrul companiei și de a nu permite acesteia să treacă dincolo de ea din cauza „factorului uman”.

În timp ce în majoritatea cazurilor recrutarea se desfășoară în două etape (acestea sunt rezumate mai sus), atunci iată patru etape.

1. Conversație cu șeful departamentului de personal. Șeful departamentului de personal face cunoștință cu candidatul, CV-ul său, pune întrebări despre activitățile sale profesionale, făcând note preliminare. Această etapă este de natură profesională. Apoi, șeful departamentului de personal analizează informațiile primite de la candidați și le transferă șefului.

2. Să supravegheze pentru a face cunoștință cu CV-ul candidaților și notele despre aceștia ale șefului departamentului de personal, alegându-i pe cei mai potriviți și invitându-i la un interviu. Interviul are un caracter personal și implică întrebări non-standard (de exemplu, ce îi place persoanei să mănânce, care este hobby-ul său etc.) Astfel, managerul primește informații pentru a lua o decizie cu privire la cât de potrivită este această persoană pentru el, prezice posibile probleme cu care el poate întâlni când are de-a face cu acest candidat.

3. Testarea. Aici nivelul de inteligență al angajatului este deja determinat, portretul său psihologic este întocmit pe baza diferitelor teste. Dar mai întâi, trebuie să determinați modul în care managerul și colegii vor să vadă noul angajat.

4. Serviciul de securitate. Aici sunt propuse două etape: a) verificarea candidaților în diferite situații (dacă a fost adus în judecată, a executat timp în locurile de detenție, dacă este înregistrat într-un dispensar narcologic, sunt adevărate informațiile pe care le-a furnizat despre locurile de muncă anterioare); b) verificarea echipamentului special, care este cel mai adesea numit „detector de minciuni”. În cea de-a doua etapă, se determină cât de loial este angajatul față de companie, ce reacții are la întrebări provocatoare (de exemplu, ce va face dacă va afla că unul dintre colegii săi ia documente acasă) etc.

Și numai după ce candidatul a trecut toate aceste patru etape, este posibil să luați o decizie - dacă îl angajați sau nu.

După ce se ia o decizie pozitivă, se stabilește o perioadă de probă pentru angajat (conform legislației Federației Ruse, aceasta poate varia de la 1 lună la trei, dar se recomandă nu mai puțin de 2 luni și, de preferință, 3). În perioada de probă, conducerea și serviciul de securitate trebuie să urmărească noul angajat, să-și observe activitățile.

În plus, imediat după angajare, este necesară, împreună cu încheierea unui contract de muncă, semnarea unui acord privind nedivulgarea secretelor comerciale. Clauzele recomandate ale acestui acord:

Aceasta nu este o listă completă a ceea ce poate fi inclus în acord.

Concluzie

Astăzi, problema organizării securității informațiilor este o preocupare pentru organizațiile de orice nivel - de la corporații mari la antreprenori fără o persoană juridică. Concurența în relațiile de piață moderne este departe de a fi perfectă și de multe ori nu se desfășoară în cele mai legale moduri. Spionajul industrial este înfloritor. Există însă și cazuri de diseminare neintenționată a informațiilor legate de secretul comercial al unei organizații. De regulă, neglijența angajaților, lipsa lor de înțelegere a situației, cu alte cuvinte, „factorul uman”, joacă un rol aici.

Cursul de lucru prezintă un proiect al unei soluții de management pentru organizarea securității informațiilor în LLC „Laspi”. Proiectul atinge trei domenii principale ale organizării securității: 1. zona de documentare (acces la materialele prezentate pe hârtie, cu delimitarea acestui acces); 2. securitatea computerului; 3. securitate în ceea ce privește angajarea de noi angajați.

Trebuie avut în vedere faptul că, deși acest proiect a fost dezvoltat pentru o anumită organizație, prevederile sale pot fi utilizate și pentru a organiza securitatea în alte firme care aparțin categoriei celor mijlocii.

Ministerul Educației și Științei din Federația Rusă

instituție de învățământ bugetar de stat federal

studii superioare profesionale

"PERM CERCETARE NAȚIONALĂ

UNIVERSITATEA POLITEHNICĂ "

Test

prin disciplină

SIGURANȚA INFORMATIVĂ A ÎNTREPRINDERII

Tema „Securitatea informației în afaceri pe exemplul OJSC„ Alfa-Bank ”

Completat de un student

grupul FK-11B:

Smyshlyaeva Maria Sergeevna

Verificat de profesor:

Shaburov Andrey Sergeevich

Perm - 2013

Introducere

Concluzie

Bibliografie

Introducere

Resursele informaționale ale majorității companiilor se numără printre cele mai valoroase resurse. Din acest motiv, informațiile comerciale, confidențiale și datele cu caracter personal trebuie să fie protejate în mod fiabil împotriva utilizării neautorizate, dar în același timp ușor accesibile pentru subiecții implicați în prelucrarea acestor informații sau utilizarea acestora în procesul de îndeplinire a sarcinilor atribuite. Utilizarea instrumentelor speciale pentru aceasta contribuie la stabilitatea afacerii companiei și la viabilitatea acesteia.

După cum arată practica, problema organizării protecției afacerilor în condiții moderne a devenit cea mai urgentă. Magazinele online sunt „deschise”, iar cardurile de credit ale clienților sunt golite, cazinourile și loteriile sunt șantajate, rețelele corporative sunt sub control extern, computerele sunt „spălate pe creier” și sunt incluse în botnet-urile, iar frauda folosind datele personale furate devine un dezastru național.

Prin urmare, liderii companiei trebuie să înțeleagă importanța securității informațiilor, să învețe să prezică și să gestioneze tendințele din acest domeniu.

Scopul acestei lucrări este de a identifica avantajele și dezavantajele unui sistem de securitate a informațiilor comerciale folosind exemplul Alfa-Bank.

Caracteristicile activităților OJSC "Alfa-Bank"

Alfa-Bank a fost fondată în 1990. Alfa-Bank este o bancă universală care desfășoară toate tipurile principale de operațiuni bancare pe piața serviciilor financiare, inclusiv deservirea clienților privați și corporativi, operațiunile bancare de investiții, finanțarea comerțului și administrarea activelor.

Sediul central al Alfa-Bank este situat la Moscova; în total, 444 de sucursale și sucursale ale băncii au fost deschise în regiunile Rusiei și în străinătate, inclusiv o bancă subsidiară în Olanda și filiale financiare în Statele Unite, Marea Britanie și Cipru. Alfa-Bank are aproximativ 17 mii de angajați.

Alfa-Bank este cea mai mare bancă privată rusă în ceea ce privește activele totale, capitalul total și depozitele. Banca are o bază mare de clienți, atât de clienți corporativi cât și de persoane fizice. Alfa-Bank se dezvoltă ca o bancă universală în principalele domenii: afaceri corporative și de investiții (inclusiv întreprinderi mici și mijlocii (IMM-uri), comerț și finanțare structurată, leasing și factoring), afaceri cu amănuntul (inclusiv un sistem de sucursale bancare, împrumuturi auto și credite ipotecare). O atenție deosebită este acordată dezvoltării de produse bancare pentru afaceri corporative în segmentele de masă și IMM-uri, precum și dezvoltarea de canale de autoservire la distanță și achiziționarea de Internet. Prioritățile strategice ale Alfa-Bank sunt menținerea statutului de bancă privată de frunte din Rusia, consolidarea stabilității, creșterea profitabilității, stabilirea standardelor din industrie pentru productivitate, eficiență, calitatea serviciilor pentru clienți și lucrul în echipă.

Alfa-Bank este una dintre cele mai active bănci rusești de pe piețele de capital mondiale. Agențiile internaționale de rating lider atribuie Alfa-Bank unele dintre cele mai mari ratinguri dintre băncile private rusești. A fost clasat pe primul loc în Indexul experienței clienților de patru ori la rând. Sectorul bancar cu amănuntul după criza financiară ", deținut de Senteo împreună cu PricewaterhouseCoopers. Tot în 2012, Alfa-Bank a fost recunoscută drept cea mai bună bancă de Internet de revista GlobalFinance, premiată pentru cea mai bună analiză de către Asociația Națională a Participanților la Bursă (NAUFOR), a devenit cea mai bună banca conform indicelui de încredere calculat de către holdingul de cercetare Romir.

Astăzi Banca are o rețea la scară federală de 83 de puncte de vânzare. Alfa Bank are una dintre cele mai mari rețele dintre băncile comerciale, formată din 55 de birouri și acoperă 23 de orașe. Ca urmare a extinderii rețelei, Banca a câștigat oportunități suplimentare de a-și crește baza de clienți, de a extinde gama și calitatea produselor bancare, de a implementa programe interregionale și de a oferi servicii cuprinzătoare clienților din cadrul celor mai mari întreprinderi.

Analiza bazei teoretice a problemei securității informațiilor în afaceri

Relevanţă și importanța problemei asigurării securității informațiilor se datorează următorilor factori:

· Nivelurile și ratele actuale de dezvoltare a instrumentelor de securitate a informațiilor rămân semnificativ față de nivelurile și ratele de dezvoltare a tehnologiilor informaționale.

· Ratele de creștere ridicate ale parcului de computere personale utilizate în diferite sfere ale activității umane. Potrivit cercetărilor efectuate de Gartner Dataquest, în prezent există în lume peste un miliard de computere personale.

banca de afaceri de securitate a informațiilor

· O extindere accentuată a cercului de utilizatori cu acces direct la resurse de calcul și matrice de date;

În prezent, importanța informațiilor stocate în bănci a crescut semnificativ, au fost concentrate informații importante, deseori secrete despre activitățile financiare și economice ale multor oameni, companii, organizații și chiar state întregi. Banca stochează și procesează informații valoroase care afectează interesele unui număr mare de oameni. Banca stochează informații importante despre clienții săi, ceea ce extinde cercul potențialilor intruși interesați de furt sau deteriorare a acestor informații.

Peste 90% din toate infracțiunile sunt asociate cu utilizarea sistemelor automatizate de prelucrare a informațiilor ale băncii. În consecință, atunci când creează și modernizează ASOIB, băncile trebuie să acorde o atenție deosebită asigurării securității sale.

Ar trebui acordată atenția principală securității computerului băncilor, adică securitatea sistemelor automatizate de prelucrare a informațiilor ale băncii, ca fiind cea mai urgentă, complexă și presantă problemă în domeniul securității informațiilor bancare.

Dezvoltarea rapidă a tehnologiei informației a deschis noi oportunități de afaceri, dar a dus la apariția unor noi amenințări. Datorită concurenței, produsele software moderne sunt vândute cu erori și defecte. Dezvoltatorii, inclusiv toate tipurile de funcții din produsele lor, nu au timp să efectueze o depanare de înaltă calitate a sistemelor software create. Erorile și defectele rămase în aceste sisteme duc la încălcări accidentale și intenționate ale securității informațiilor. De exemplu, cea mai mare parte a pierderii accidentale de informații este cauzată de eșecuri în funcționarea software-ului și hardware-ului, iar majoritatea atacurilor asupra sistemelor informatice se bazează pe erori și defecte găsite în software. De exemplu, în primele șase luni de la lansarea sistemului de operare server Microsoft Windows, au fost descoperite 14 vulnerabilități, dintre care 6 sunt critice. În ciuda faptului că, în timp, Microsoft dezvoltă pachete de servicii care elimină deficiențele identificate, utilizatorii suferă deja de încălcări ale securității informațiilor care au avut loc din cauza erorilor rămase. Până la rezolvarea acestor multe alte probleme, nivelul insuficient de securitate a informațiilor va fi o frână serioasă pentru dezvoltarea tehnologiilor informaționale.

Sub securitatea informațiilor înseamnă securitatea informațiilor și infrastructura de sprijin împotriva influențelor accidentale sau intenționate de natură naturală sau artificială care pot provoca daune inacceptabile subiecților relațiilor de informații, inclusiv proprietarii și utilizatorii de informații și infrastructura de sprijin.

În lumea modernă a afacerilor, există un proces de migrare a activelor corporale către active informaționale. Pe măsură ce organizația se dezvoltă, sistemul său informațional devine mai complex, sarcina principală a căreia este asigurarea eficienței maxime a afacerilor în condițiile în continuă schimbare a concurenței de pe piață.

Având în vedere informațiile ca pe o marfă, putem spune că asigurarea securității informațiilor în general poate duce la economii semnificative de costuri, în timp ce daunele cauzate acesteia duc la costuri materiale. De exemplu, divulgarea tehnologiei de fabricație a produsului original va duce la apariția unui produs similar, dar de la un alt producător și, ca urmare a unei încălcări a securității informațiilor, proprietarul tehnologiei și poate autorul vor pierde o parte din piață etc. Pe de altă parte, informațiile fac obiectul controlului, iar schimbarea lor poate duce la consecințe catastrofale în obiectul de control.

Conform GOST R 50922-2006, securitatea informațiilor este o activitate menită să prevină scurgerea informațiilor, influențele neautorizate și neintenționate asupra informațiilor protejate. Securitatea informațiilor este relevantă atât pentru întreprinderi, cât și pentru agențiile guvernamentale. Pentru a proteja în mod cuprinzător resursele informaționale, se lucrează la construirea și dezvoltarea sistemelor de securitate a informațiilor.

Există multe motive care pot afecta serios funcționarea rețelelor locale și globale, ducând la pierderea informațiilor valoroase. Printre acestea se numără următoarele:

Acces neautorizat din exterior, copierea sau modificarea informațiilor acțiuni accidentale sau deliberate care duc la:

distorsionarea sau distrugerea datelor;

familiarizarea persoanelor neautorizate cu informații care constituie un secret bancar, financiar sau de stat.

Funcționarea incorectă a software-ului care duce la pierderea sau corupția datelor din cauza:

erori în aplicații sau software de rețea;

infectarea sistemelor cu viruși de computer.

Defecțiuni tehnice ale echipamentelor cauzate de:

pana de curent;

defectarea sistemelor de discuri și a sistemelor de arhivare a datelor;

întreruperea serverelor, stațiilor de lucru, a plăcilor de rețea, a modemurilor.

Erori de personal de întreținere.

Desigur, nu există nicio soluție unică care să excludă toate aceste motive, dar multe organizații au dezvoltat și au aplicat măsuri tehnice și administrative pentru a minimiza riscul pierderii datelor sau accesului neautorizat la acestea.

Astăzi există un mare arsenal de metode de securitate a informațiilor, care sunt utilizate și la Alfa-Bank:

· mijloace de identificare și autentificare a utilizatorilor (așa-numitul complex 3A);

· instrumente de criptare pentru informații stocate pe computere și transmise prin rețele;

· firewall-uri;

· rețele private virtuale;

· instrumente de filtrare a conținutului;

· instrumente pentru verificarea integrității conținutului discului;

· mijloace de protecție antivirus;

· sisteme de detectare a vulnerabilității în rețea și analizoare de atacuri în rețea.

„Complexul 3A” include autentificarea (sau identificarea), autorizarea și administrarea. Identificare și autorizarea sunt elemente cheie ale securității informațiilor. Când încercați să accesați orice program, funcția de identificare răspunde la întrebarea: „Cine sunteți?” și „Unde ești?” dacă ești un utilizator autorizat al programului. Funcția de autorizare este responsabilă pentru ce resurse are acces un anumit utilizator. Funcția de administrare este de a înzestra utilizatorul cu anumite caracteristici de identificare într-o anumită rețea și de a determina sfera acțiunilor permise pentru acesta. În Alfa-Bank, la deschiderea programelor, se solicită parola și autentificarea fiecărui angajat, iar la efectuarea oricăror operațiuni, în unele cazuri, este necesară autorizarea șefului sau a adjunctului său din departament.

Sisteme de criptare permite minimizarea pierderilor în caz de acces neautorizat la datele stocate pe un hard disk sau alt mediu, precum și interceptarea informațiilor atunci când acestea sunt trimise prin e-mail sau transmise prin protocoale de rețea. Scopul acestei protecții este de a asigura confidențialitatea. Principalele cerințe pentru sistemele de criptare sunt un nivel ridicat de putere criptografică și legalitatea utilizării pe teritoriul Rusiei (sau al altor state).

Paravan de protecție este un sistem sau o combinație de sisteme care formează o barieră de protecție între două sau mai multe rețele pentru a preveni intrarea sau ieșirea din rețea a pachetelor de date neautorizate. Principiul de bază al firewall-urilor. verificarea fiecărui pachet de date pentru respectarea bazei de adrese IP intrate și ieșite a adreselor permise. Astfel, firewall-urile extind semnificativ capacitățile de segmentare a rețelelor de informații și de control al circulației datelor.

Când vorbim despre criptografie și firewall-uri, ar trebui să menționăm rețelele private virtuale sigure (VPN). Utilizarea lor face posibilă rezolvarea problemelor de confidențialitate și integritate a datelor în timpul transmiterii lor pe canale deschise de comunicare.

Un mijloc eficient de protecție împotriva pierderii informațiilor confidențiale. Filtrarea conținutului e-mailurilor primite și expediate. Validarea mesajelor de e-mail și a atașamentelor acestora pe baza regulilor organizaționale poate ajuta, de asemenea, la menținerea companiilor răspunzătoare pentru revendicările legale și la protejarea angajaților lor de spam. Instrumentele de filtrare a conținutului vă permit să scanați fișiere de toate formatele obișnuite, inclusiv comprimate și grafice. În același timp, lățimea de bandă a rețelei rămâne practic neschimbată.

Modern antivirus tehnologiile permit detectarea aproape a tuturor programelor de virus cunoscute prin compararea codului unui fișier suspect cu probele stocate în baza de date antivirus. În plus, au fost dezvoltate tehnologii de modelare comportamentală pentru a detecta programe virus create recent. Obiectele descoperite pot fi dezinfectate, izolate (plasate în carantină) sau șterse. Protecția împotriva virușilor poate fi instalată pe stații de lucru, servere de fișiere și poștă, firewall-uri care rulează sub aproape oricare dintre sistemele de operare obișnuite (Windows, Unix - și Linux_systems, Novell) pe diferite tipuri de procesoare. Filtrele antispam reduc semnificativ cheltuielile asociate cu analiza spamului, reduc traficul și încărcarea serverului, îmbunătățesc sănătatea echipei și reduc riscul implicării angajaților în tranzacții frauduloase. În plus, filtrele de spam reduc riscul infectării cu viruși noi, deoarece mesajele care conțin viruși (chiar și cei care nu au fost încă incluși în bazele de date antivirus) prezintă deseori semne de spam și sunt filtrate. Este adevărat, efectul pozitiv al filtrării spamului poate fi eliminat dacă filtrul, împreună cu junk-ul, șterge sau marchează ca spam și mesaje utile, de afaceri sau personale.

Există mai multe dintre cele mai tipice tipuri și metode. amenințări cu informații:

Declasificarea și furtul secretelor comerciale. În timp ce secretele anterioare erau păstrate în locuri secrete, în seifuri masive, sub protecție fizică fiabilă și (ulterior) electronică, astăzi mulți angajați au acces la baze de date de birou, conținând adesea informații foarte sensibile, de exemplu, aceleași date despre clienți.

Diseminarea materialelor compromitatoare. Adică, utilizarea deliberată sau accidentală de către angajați în corespondența electronică a unor astfel de informații care pătează reputația băncii.

Încălcarea proprietății intelectuale. Este important să nu uităm că orice produs intelectual produs în bănci, ca în orice organizație, îi aparține și nu poate fi utilizat de angajați (inclusiv generatori și autori de valori intelectuale) decât în \u200b\u200binteresul organizației. Între timp, în Rusia, cu această ocazie, apar deseori conflicte între organizații și angajați, revendicând produsul intelectual pe care l-au creat și îl folosesc în interesele lor personale, în detrimentul organizației. Acest lucru se întâmplă adesea din cauza situației juridice vagi la întreprindere, când contractul de muncă nu conține reguli și reglementări clar definite care să descrie drepturile și obligațiile angajaților.

Diseminarea (adesea neintenționată) a informațiilor privilegiate care nu sunt secrete, dar pot fi utile concurenților (altor bănci).

Vizite pe site-urile web ale băncilor concurente. Acum, din ce în ce mai multe companii folosesc programe pe site-urile lor deschise (în special, cele concepute pentru CRM), care le permit să recunoască vizitatorii și să urmărească traseele în detaliu, să înregistreze timpul și durata vizionării paginilor site-ului. Site-urile web ale concurenților au fost și rămân o sursă valoroasă de analiză și prognoză.

Abuzul de comunicații de birou în scopuri personale (ascultarea, vizionarea de muzică și alt conținut care nu are legătură cu locul de muncă, încărcarea unui computer de birou) nu reprezintă o amenințare directă pentru securitatea informațiilor, ci creează încărcări suplimentare în rețeaua corporativă, reduce eficiența și interferează cu munca colegilor.

Și, în cele din urmă, amenințările externe - intruziuni neautorizate etc.

Normele adoptate de bancă trebuie să respecte atât standardele naționale, cât și cele recunoscute internațional pentru protecția secretelor de stat și comerciale, a informațiilor personale și private.

Protecția organizațională a informațiilor în Alfa-Bank

Alfa Bank a implementat o politică de securitate bazată pe o metodă selectivă de control al accesului. O astfel de gestionare în OJSC „Alfa Bank” este caracterizată de un set de relații de acces permise specificate de administrator. Matricea de acces este completată direct de administratorul de sistem al companiei. Aplicarea unei politici selective de securitate a informațiilor îndeplinește cerințele de gestionare și cerințele privind securitatea informațiilor și controlul accesului, responsabilitatea și are, de asemenea, un cost acceptabil pentru organizația sa. Implementarea politicii de securitate a informațiilor este complet încredințată administratorului de sistem al OJSC „Alfa Bank”.

Alături de politica de securitate existentă, Alfa Bank OJSC folosește instrumente specializate de securitate hardware și software.

Hardware-ul de securitate este Cisco 1605. Ruterul este echipat cu două interfețe Ethernet (una cu interfețe TP și AUI, cealaltă numai cu TP) pentru LAN și un slot de expansiune pentru instalarea unuia dintre modulele pentru routerele din seria Cisco 1600. În plus, software-ul Cisco IOS FirewallFeatureSet face din Cisco 1605-R routerul flexibil ideal / sistemul de securitate pentru biroul mic. În funcție de modulul instalat, routerul poate suporta o conexiune atât prin ISDN, cât și printr-o linie dial-up sau o linie închiriată de la 1200 bps la 2 Mbps, FrameRelay, SMDS, x.25.

Pentru a proteja informațiile, proprietarul rețelei LAN trebuie să securizeze „perimetrul” rețelei, de exemplu, stabilind controlul la joncțiunea rețelei interne cu rețeaua externă. Cisco IOS oferă flexibilitate și securitate ridicate prin instrumente standard precum: liste de acces extins (ACL), sisteme de blocare (ACL dinamice) și autorizare de rutare. În plus, FirewallFeatureSet Cisco IOS, disponibil pentru routerele din seria 1600 și 2500, oferă caracteristici de securitate cuprinzătoare, inclusiv:

controlul accesului contextual (CBAC)

blocare Java

jurnal de bord

detectarea și prevenirea atacurilor

alertă imediată

În plus, routerul acceptă rețele virtuale de suprapunere, tuneluri, controlul priorității, rezervarea resurselor și diverse metode de control al rutei.

Soluția Kaspersky OpenSpaceSecurity este utilizată ca instrument de protecție software. Kaspersky OpenSpaceSecurity îndeplinește pe deplin cerințele moderne pentru sistemele de securitate pentru rețelele corporative:

soluție pentru protejarea tuturor tipurilor de noduri de rețea;

protecție împotriva tuturor tipurilor de amenințări informatice;

suport tehnic eficient;

tehnologii „proactive” combinate cu protecția tradițională a semnăturii;

tehnologii inovatoare și un nou motor antivirus care crește productivitatea;

sistem de protecție gata de utilizare;

management centralizat;

protecție completă a utilizatorilor din afara rețelei;

compatibilitate cu soluții terțe;

utilizarea eficientă a resurselor rețelei.

Sistemul dezvoltat ar trebui să ofere un control complet, contabilitate automată și analiză a protecției informațiilor personale, să permită reducerea timpului serviciului pentru clienți, să primească informații despre codurile de protecție a informațiilor și a datelor personale.

Pentru a formula cerințe pentru sistemul în curs de dezvoltare, este necesar să se formuleze cerințe pentru organizarea bazei de date, compatibilitatea informațiilor pentru sistemul în curs de dezvoltare.

Proiectarea bazei de date ar trebui să se bazeze pe vizualizările utilizatorului final ale unei anumite organizații - cerințe de sistem conceptuale.

În acest caz, IS conține date despre angajații firmei. Una dintre tehnologiile care ilustrează în mod semnificativ activitatea unui sistem informațional este dezvoltarea unei scheme de flux de lucru pentru documente.

Funcțiile sistemului dezvoltat pot fi realizate prin utilizarea tehnologiei și software-ului computerului. Având în vedere că căutarea informațiilor, informațiilor și documentelor contabile în activitățile specialiștilor în bănci reprezintă aproximativ 30% din timpul de lucru, introducerea unui sistem automatizat de contabilitate va elibera semnificativ specialiști calificați, poate duce la economii în fondul de salarii, o scădere a numărului de angajați, dar poate duce și la introducerea personalului departamentului de personal al operatorului, ale cărui responsabilități vor include introducerea de informații despre procesele comerciale în desfășurare: documente pentru contabilitatea datelor cu caracter personal și coduri de acces.

Trebuie remarcat faptul că implementarea sistemului dezvoltat va reduce și, în mod ideal, va elimina complet erorile în contabilitatea codurilor personale și de informații și de securitate. Astfel, introducerea locului de muncă al unui manager automat va duce la un efect economic semnificativ, o reducere a personalului cu 1/3, economii în salarizare și o creștere a productivității muncii.

Alfa-Bank, ca orice altă bancă, a dezvoltat o politică de securitate a informațiilor, care definește un sistem de opinii cu privire la problema asigurării securității informațiilor și este o declarație sistematică a obiectivelor și obiectivelor protecției, ca una sau mai multe reguli, proceduri, practici și orientări în domeniul securității informațiilor.

Politica ia în considerare starea actuală și perspectivele imediate pentru dezvoltarea tehnologiilor informaționale în bancă, obiectivele, obiectivele și baza legală pentru funcționarea acestora, modurile de operare și conține, de asemenea, o analiză a amenințărilor la adresa securității pentru obiectele și subiectele relațiilor informaționale ale băncii.

Principalele dispoziții și cerințe ale acestui document se aplică tuturor diviziilor structurale ale Băncii, inclusiv birourilor suplimentare. Principalele aspecte ale politicii se aplică și altor organizații și instituții care interacționează cu Banca în calitate de furnizori și consumatori de resurse informaționale ale băncii într-o calitate sau alta.

Baza legislativă a acestei politici este Constituția Federației Ruse, Codurile civile și penale, legile, decretele, rezoluțiile, alte documente normative ale legislației actuale ale Federației Ruse, documentele Comisiei tehnice de stat sub președintele Federației Ruse, Agenția Federală pentru Comunicații și Informații Guvernamentale sub președintele Federației Ruse.

Politica este baza metodologică pentru:

· formarea și implementarea unei politici unificate în domeniul securității informațiilor în bancă;

· luarea deciziilor de management și dezvoltarea de măsuri practice pentru punerea în aplicare a politicii de securitate a informațiilor și dezvoltarea unui set de măsuri coordonate care vizează identificarea, reflectarea și eliminarea consecințelor implementării diferitelor tipuri de amenințări la adresa securității informațiilor;

· coordonarea activităților diviziilor structurale ale Băncii atunci când se desfășoară lucrări privind crearea, dezvoltarea și operarea tehnologiilor informaționale în conformitate cu cerințele pentru asigurarea securității informațiilor;

· elaborarea de propuneri pentru îmbunătățirea securității juridice, de reglementare, tehnice și organizaționale a informațiilor în bancă.

O abordare sistematică a construirii unui sistem de securitate a informațiilor în bancă implică luarea în considerare a tuturor elementelor, condițiilor și factorilor care sunt interconectați, care interacționează și care schimbă timpul, care sunt semnificativi pentru înțelegerea și rezolvarea problemei asigurării securității informațiilor băncii.

Asigurarea securității informațiilor - un proces desfășurat de conducerea băncii, unitățile de protecție a informațiilor și angajații de toate nivelurile. Aceasta nu este numai și nu atât o procedură sau o politică care este pusă în aplicare într-o anumită perioadă de timp sau un set de remedii, ci un proces care trebuie să se desfășoare în mod constant la toate nivelurile din cadrul Băncii și fiecare angajat al Băncii trebuie să ia parte la acest proces. Activitățile de securitate a informațiilor fac parte integrantă din activitățile zilnice ale Băncii. Iar eficacitatea acestuia depinde de participarea conducerii băncii la asigurarea securității informațiilor.

În plus, majoritatea mijloacelor fizice și tehnice de protecție pentru îndeplinirea eficientă a funcțiilor lor necesită suport organizatoric (administrativ) constant (schimbarea la timp și asigurarea stocării și utilizării corecte a numelor, parolelor, cheilor de criptare, redefinirea puterilor etc.). Întreruperile în funcționarea instrumentelor de securitate pot fi utilizate de intruși pentru a analiza metodele și mijloacele de protecție utilizate, pentru a introduce „file” software și hardware speciale și alte mijloace de depășire a protecției.

Responsabilitate personalaimplică atribuirea responsabilității pentru asigurarea securității informațiilor și a sistemului de prelucrare a fiecărui angajat în limitele autorității sale. În conformitate cu acest principiu, distribuirea drepturilor și obligațiilor angajaților este structurată astfel încât, în cazul oricărei încălcări, cercul vinovaților să fie clar cunoscut sau minimizat.

Alfa-Bank monitorizează constant activitățile oricărui utilizator, fiecare mijloc de protecție și în legătură cu orice obiect de protecție ar trebui să fie efectuat pe baza utilizării controalelor operaționale și a înregistrării și ar trebui să acopere atât acțiunile neautorizate, cât și acțiunile autorizate ale utilizatorilor.

Banca a elaborat următoarele documente organizaționale și administrative:

· Reglementări privind secretele comerciale. Regulamentul menționat reglementează organizarea, procedura de lucru cu informații care constituie un secret comercial al Băncii, atribuțiile și responsabilitățile angajaților admiși la aceste informații, procedura de transfer a materialelor care conțin informații care constituie un secret comercial al Băncii către instituțiile și organizațiile de stat (comerciale);

· Lista informațiilor care constituie un secret oficial și comercial. Lista definește informațiile clasificate ca confidențiale, nivelul și condițiile de asigurare a restricțiilor privind accesul la informațiile protejate;

· Comenzi și instrucțiuni pentru stabilirea unui regim de securitate pentru informații:

· admiterea angajaților la muncă cu informații restricționate;

· numirea administratorilor și a persoanelor responsabile pentru lucrul cu informații restricționate în sistemul informațional corporativ;

· Instrucțiuni și responsabilități pentru angajați:

· privind organizarea securității și controlului accesului;

· privind organizarea muncii de birou;

· administrarea resurselor informaționale ale sistemului informațional corporativ;

· alte documente de reglementare.

Concluzie

Astăzi, problema organizării securității informațiilor este o preocupare pentru organizațiile de orice nivel - de la corporații mari la antreprenori fără o persoană juridică. Concurența în relațiile de piață moderne este departe de a fi perfectă și de multe ori nu se desfășoară în cele mai legale moduri. Spionajul industrial este înfloritor. Există însă și cazuri frecvente de diseminare accidentală a informațiilor legate de secretul comercial al unei organizații. De regulă, neglijența angajaților, lipsa lor de înțelegere a situației, cu alte cuvinte „factorul uman”, joacă un rol aici.

Alfa-Bank protejează următoarele informații:

secret comercial

date cu caracter personal (clienți, angajați ai băncii)

secretul bancar

documente bancare (rapoarte ale Departamentului de securitate, estimare anuală a băncii, informații despre veniturile angajaților băncii etc.)

Informațiile din bancă sunt protejate de amenințări precum:

Natural

· Amenințări artificiale (amenințări neintenționate (neintenționate, accidentale) cauzate de erori în proiectarea sistemului informațional și a elementelor sale, erori în acțiunile personalului etc .; amenințări deliberate (intenționate) asociate cu aspirații egoiste, ideologice sau de altă natură ale oamenilor (atacatori).

Sursele de amenințări legate de sistemul informațional în sine pot fi atât externe, cât și interne.

Bibliografie

1. Decretul președintelui Federației Ruse „Cu privire la măsurile de asigurare a securității informațiilor din Federația Rusă la utilizarea rețelelor de informații și telecomunicații pentru schimbul internațional de informații” din 17.03.2008 nr. 351;

Galatenko, V.A. Bazele securității informațiilor. Internet University of Information Technologies. INTUI. ru, 2008;

Galatenko, V.A. Standarde de securitate a informațiilor. Internet University of Information Technologies. INTUI. ru, 2005;

Lopatin, V.N. Securitatea informațiilor din Rusia: om, societate, stat. Seria: Siguranța umană și a societății. M.: 2000. - 428 s;

Shangin, V.F. Protecția informațiilor computerizate. Metode și mijloace eficiente. M.: DMK Press, 2008. - 544 p.

Șerbakov, A. Yu. Securitate modernă a computerului. Baza teoretica. Aspecte practice. M.: Knizhnyi mir, 2009. - 352 p.

Revistă Legal Times , ediție din 21.10.2013

Instrucțiuni pentru lucrul cu documente confidențiale la bancă

Tutorat

Aveți nevoie de ajutor pentru a explora un subiect?

Experții noștri vă vor sfătui sau vor oferi servicii de îndrumare cu privire la subiecte care vă interesează.
Trimite o cerere cu indicarea subiectului chiar acum pentru a afla despre posibilitatea obținerii unei consultații.

 

Ar putea fi util să citiți:

• Turn de ventilator portabil de birou Usb Tower Fan Light Metode și condiții de prelucrare a informațiilor personale;
• Vedeți ce este „ADSL” în alte dicționare;
• Instrucțiuni pas cu pas pentru instalarea unei prize duble;
• Cum să găsiți configurația optimă pentru computerul dvs.?;
• TC "Spectrum" ("Tyoply Stan"): magazine, program;
• Testarea unui magazin cu amănuntul de echipamente informatice al companiei f-center pe transportul public Babushkinskaya;
• Toate cărțile despre: „colorarea unei eșarfe pentru copii ...;
• Urmărirea materialului de spectacole amatori pe tema spectacolelor amatori pentru copii;