Информационная безопасность предприятия
Информационная защита бизнеса

* Из Википедии

Информационная безопасность - это состояние защищённости информационной среды. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

Информационная безопасность предприятия: внутренняя угроза

Целый ряд серьёзных специалистов по информационной безопасности организации называет внутреннюю угрозу важнейшей, отдавая ей до 80% от общего числа потенциальных рисков. Действительно, если рассмотреть средний ущерб от хакерских атак, то он будет близиться к нулю, ввиду большого числа попыток взлома и весьма низкой их результативности. Единичный же случай ошибки персонала или успешного злодеяния инсайдера может стоить компании многомиллионных убытков (прямых и косвенных), судебных разбирательств и дурной славы в глазах клиентов. По факту, под угрозой может оказаться само существование фирмы и это, увы, реальность. Как обеспечить ? Как защититься от утечек информации? Как вовремя распознать и предотвратить внутреннюю угрозу? Какие методы борьбы с ней наиболее эффективны сегодня?

Враг внутри

Внутренним злоумышленником, или инсайдером, может стать практически любой сотрудник, имеющий доступ к конфиденциальной информации компании. Мотивация действий инсайдера не всегда очевидна, что влечёт за собой значительные трудности в его идентификации. Недавно уволенный сотрудник, затаивший обиду на работодателя; нечистый на руку работник, желающий подзаработать на продаже данных; современный Герострат; специально внедрённый агент конкурента или преступной группы – вот лишь несколько архетипов инсайдера.

Корень всех бед, которые могут принести злоумышленные действия инсайдеров, кроется в недооценке важности этой угрозы. Согласно исследованию проведённому компанией Perimetrix, утечка более 20% конфиденциальной информации фирмы в большинстве случаев ведёт за собой её крах и банкротство. Особенно частой, но до сих пор наиболее уязвимой жертвой инсайдеров становятся финансовые учреждения, причём любого размера – со штатом от сотни до нескольких тысяч работников. Несмотря на то, что в большинстве случаев компании стараются скрыть или существенно занизить реальные цифры ущерба от действий инсайдеров, даже официально оглашаемые суммы убытков поистине впечатляют. Гораздо больнее финансовых потерь по компании бьёт ущерб репутации фирмы и резкое снижение доверия клиентов. Зачастую, непрямые потери могут многократно превышать фактический прямой ущерб. Так, широко известен случай с лихтенштейнским банком LGT, когда в 2008 году сотрудник банка передал базу данных по вкладчикам спецслужбам Германии, США, Великобритании и других стран. Как оказалось, огромное количество иностранных клиентов банка использовали особый статус LGT для проведения транзакций в обход действующих в их странах налоговых законов. По миру прокатилась волна финансовых расследований и связанных с ними судебных разбирательств, а банк LGT растерял всех своих значимых клиентов, понёс критические потери и вверг весь Лихтенштейн в тяжелый экономический и дипломатический кризис. За совсем свежими примерами тоже не нужно ходить далеко – в начале 2011 года факт утечки персональных данных клиентов признал такой финансовый гигант, как Bank of America. В результате мошеннических действий, из банка утекла информация с именами, адресами, номерами социального страхования и телефонов, номерами банковских счетов и водительских прав, адресами электронной почты, PIN-кодами и прочими личными данными вкладчиков. Едва ли удастся точно определить реальный масштаб потерь банка, если только официально было заявлено о сумме «более 10 миллионов долларов». Причина утечки данных – действия инсайдера, который передавал информацию организованной преступной группе. Впрочем, под угрозой инсайдерских атак не только банки и фонды, достаточно будет вспомнить целый ряд громких скандалов, связанных с публикаций конфиденциальных данных на ресурсе WikiLeaks – по оценке специалистов, изрядная доля информации была получена именно через инсайдеров.

Проза жизни

Непредумышленное причинение вреда конфиденциальным данным компании, их утечка или потеря – вещь куда более частая и прозаическая, чем вред, наносимый инсайдерами. Безалаберность персонала и отсутствие должного технического обеспечения информационной безопасности может стать причиной прямой утечки корпоративных секретов. Такая халатность несёт не только серьёзные убытки бюджету и репутации компании, но и может вызывать широкий общественный диссонанс. Вырвавшись на волю, секретная информация становится достоянием не узкого круга злоумышленников, а всего информационного пространства – утечку обсуждают в интернете, на телевидении, в прессе. Вспомним громкий скандал с публикацией SMS-сообщений крупнейшего российского оператора сотовой связи «Мегафон». Из-за невнимательности технического персонала, смс-сообщения были проиндексированы интернет-поисковиками, в сеть попала переписка абонентов, содержащая информацию как личного, так и делового характера. Совсем недавний случай: публикация личных данных клиентов Пенсионного фонда России. Ошибка представителей одного из региональных представительств фонда привела к индексации персональной информации 600 человек – имена, регистрационные номера, подробные суммы накоплений клиентов ПФР мог прочитать любой пользователь интернета.

Очень частая причина утечек конфиденциальных данных по неосторожности связана с ежедневной ротацией документов внутри компании. Так, например, сотрудник может скопировать файл, содержащий секретные данные, на портативный компьютер, USB-носитель или КПК для работы с данными вне офиса. Также, информация может попасть на файлообменник или личную почту работника. При подобных ситуациях, данные оказываются полностью беззащитными для злоумышленников, которые могут воспользоваться непреднамеренной утечкой.

Золотые доспехи или бронежилет?

Для защиты от утечки данных в индустрии информационной безопасности создаются разнообразные системы защиты информации от утечки, традиционно обозначаемых аббревиатурой DLP от англ. Data Leakage Prevention («предотвращение утечки данных»). Как правило, это сложнейшие программные комплексы, имеющие широкий функционал по предотвращению злоумышленной или случайной утечки секретной информации. Особенностью таких систем является то, что для корректной их работы требуется строго отлаженная структура внутреннего оборота информации и документов, поскольку анализ безопасности всех действий с информацией строится на работе с базами данных. Этим объясняется высокая стоимость установки профессиональных DLP-решений: ещё перед непосредственным внедрением, компании-клиенту приходится приобретать систему управления базами данных (как правило, Oracle или SQL), заказывать дорогостоящий анализ и аудит структуры оборота информации, вырабатывать новую политику безопасности. Обычной является ситуация, когда в компании неструктурированно более 80% информации, что даёт зрительное представление о масштабе подготовительных мероприятий. Разумеется, сама DLP-система тоже стоит немалых денег. Неудивительно, что профессиональную DLP-систему могут себе позволить только крупные компании, готовые тратить миллионы на информационную безопасность организации .

Но что же делать предприятиям среднего и малого бизнеса, которым требуется обеспечить информационную безопасность бизнеса , но средств и возможностей на внедрение профессиональной DLP-системы нет? Самое важное для руководителя компании или офицера службы безопасности определить, какую информацию защищать и какие стороны информационной деятельности сотрудников подвергать контролю. В российском бизнесе до сих пор преобладает мнение, что защищать нужно абсолютно все, без классификации информации и расчета эффективности средств защиты. При таком подходе совершенно очевидно, что узнав суммы расходов на информационную безопасность предприятия , руководитель среднего и малого бизнеса машет рукой и надеется на «авось».

Существуют альтернативные способы защиты, которые не затрагивают базы данных и сложившийся жизненный цикл информации, но дают надёжную защиту от действий злоумышленников и халатности сотрудников. Это гибкие модульные комплексы, которые без проблем работают с другими средствами безопасности, как аппаратными, так и программными (например, с антивирусами). Грамотно составленная система безопасности даёт очень надёжную защиту как от внешних, так и от внутренних угроз, предоставляя идеальный баланс цены и функционала. По мнению специалистов российской компании-разработчика систем информационной безопасности SafenSoft , оптимальным является сочетание элементов защиты от внешних угроз (например, HIPS для предотвращения вторжений, плюс антивирусный сканер) со средствами мониторинга и контроля доступа пользователей и приложений к отдельным секторам информации. При таком подходе вся сетевая структура организации полностью защищена от возможного взлома или инфицирования вирусами, а средства контроля и наблюдения за действиями персонала при работе с информацией позволяют эффективно препятствовать утечкам данных. При наличии всего необходимого арсенала защитных средств, стоимость модульных систем в десятки раз меньше комплексных DLP-решений и не требует никаких затрат на предварительный анализ и адаптацию информационной структуры компании.

Итак, подведём итоги. Угрозы информационной безопасности предприятия совершенно реальны, их нельзя недооценивать. Кроме противодействия внешним угрозам особое внимание следует уделить угрозам внутренним. Важно помнить, что утечки корпоративных секретов случаются не только по злому умыслу – как правило, их причина в элементарной халатности и невнимательности работника. При выборе средств защиты не нужно пытаться охватить все мыслимые и немыслимые угрозы, на это просто не хватит денег и сил. Постройте надёжную модульную систему безопасности, закрытую от рисков вторжения извне и позволяющую осуществлять контроль и мониторинг за потоком информации внутри компании.

Компании часто пренебрегают вопросами кибербезопасности и в результате несут многомиллионные потери. В новом спецпроекте сайт эксперты расскажут, как предотвратить атаки злоумышленников, не покушаясь на свободу сотрудников.

Бизнес находится под постоянными кибератаками злоумышленников, цель которых - опустошить счета компании или похитить данные ее клиентов.

15:33 15.07.2019

Многие российские компании забывают o базовых мерах кибербезопасности своих промышленных активов и вынуждены тратить огромные суммы, чтобы справиться с последствиями атак, хотя есть более простые решения.

Год назад жертвами масштабных кибератак WannaCry и ExPetr стали многие российские и зарубежные компании. С тех пор подобных случаев не было - это значит, что бизнес стал ответственнее относиться к кибербезопасности или ситуация изменилась каким-то иным образом? Руководитель направления Kaspersky Industrial CyberSecurity рассказал о них.

Важно понимать, что эти атаки не были нацелены на промышленность, но «зацепили» ее. Обычно громкие кибератаки происходят из-за сочетания нескольких факторов. В этом случае свою роль сыграли публичное раскрытие уязвимости в очень распространенных операционных системах Windows и неготовность пользователей оперативно устранить ее в масштабе всего предприятия. Отсутствие таких случаев сейчас никак не связано с тем, что компании стали ответственнее относиться к своей безопасности.

Те предприятия, которые пострадали от WannaCry или в которых мы расследовали инциденты и давали рекомендации по усилению защиты, приняли определенные меры. С высокой долей вероятности можно сказать, что у них такая же атака не повторится.

Но в большинстве компаний ничего не изменилось, хоть они и хорошо осведомлены о рисках, а инцидентов было уже достаточно.

Хорошая новость для российских предприятий - появление №187-ФЗ «О безопасности критической информационной инфраструктуры». Он касается и систем автоматизации промышленных процессов. В России этот закон - самый мощный драйвер в построении систем реальной защиты. Он вступил в силу в начале 2018 г., и в 2019–2021 гг. мы уже увидим рост защищенности.

Какие угрозы сейчас можно назвать ключевыми?

Самая частая причина заражений в промышленных инфраструктурах - банальное вредоносное программное обеспечение. В основном это «троянцы», которые попадают туда случайно. Не нужно быть целью, чтобы стать жертвой.

Очевидно противоречие: когда принимают законы и говорят о кибербезопасности в целом, то в основном переживают из-за атак мотивированных и квалифицированных злоумышленников, боятся целевых атак. Но сейчас зрелость промышленной кибербезопасности такова, что компании допускают банальное заражение массовым вредоносным ПО.

Могли бы вы перечислить подобные курьезные атаки?

Вредоносное ПО пишут люди, и не всегда качественно - в нем есть баги.

Инциденты в промышленных сетях чаще всего происходят из-за случайного заражения: подрядчик подключил ноутбук с вирусом к защищенной сети, сотруднику предоставили удаленный доступ... Вирус может спровоцировать отказ в обслуживании, сбои в оборудовании, остановку технологических процессов, хоть это и происходит не намеренно.

Например, одна из трех версий WannaCry не могла шифровать, но была очень плохо совместима с Windows XP, в результате чего система вылетала в синий «экран смерти». В ряде случаев приходилось бороться именно с этим, а не с шифрованием в промышленной сети.

Какие меры предосторожности позволят свести вероятность таких случаев к минимуму?

Чем выше осведомленность сотрудников об определенном типе кибератак, тем проще их избежать.

8–10 лет назад, когда большинство специалистов индустриальных предприятий получали образование, промышленные системы подвергались атакам реже - как правило, они были изолированы от внешнего мира. Но в последние годы по требованию бизнеса промышленные сети интегрируются с корпоративными, например, для управления заказами и цепочкой поставок. Доступ в технологические сети получают подрядчики, чтобы быстрее оказывать сервисные услуги промышленным предприятиям. Сети становятся подвержены широкому набору киберугроз.

С этими угрозами успешно борются в корпоративном сегменте, но инженеры и метрологи с ними раньше не сталкивались.

Стоит рассказать им о базовых вопросах: как выглядит поддельное письмо или вирус на флешке, почему нельзя заряжать мобильный телефон от панели управления станком, почему надо звать «безопасника» при предоставлении удаленного доступа подрядчику...

Если бы сотрудники знали о потенциальных векторах проникновения и их последствиях, они бы просто не делали таких вещей. Это одна из первоочередных, быстрых и очень дешевых мер.

Мы в «Лаборатории Касперского» видим наше предназначение не просто в разработке продуктов, которые позволяют предотвращать атаки или обнаруживать их, но и в профессиональном образовании. Для этого мы инициируем партнерства с тренинг-центрами и университетами, которые «говорят» на языке инженеров. В России наш партнер - компания Abiroy, которая много лет профессионально занимается тренингами в промышленной среде, а сейчас еще и в сфере кибербезопасности. В Европе несколько месяцев назад мы анонсировали партнерство с институтом Fraunhofer IOSB, теперь в их портфолио доступны наши курсы по информационной безопасности, а нам они дают еще более глубокое понимание специфики промышленности.

Наконец, не надо забывать про базовые технические меры. Антивирусы, средства организации удаленного доступа, сегментирование сетей очень эффективны в защите.

Насколько затратны энергетически и финансово решения по борьбе с киберрисками в промышленности?

Проектные трудности - это действительно проблема. Представим индустриальную сеть, построенную восемь лет назад, которая подключена к корпоративной сети с целью удаленного доступа или передачи данных. Потенциально в нее можно проникнуть, попасть на уровень программируемых логических контроллеров, изменить логику управления процессами и вывести их из строя. Но часто промышленные сети на нижнем уровне построены на неуправляемом сетевом оборудовании, с которого невозможно организовать зеркалирование трафика, чтобы подключить систему обнаружения вторжений. В итоге проникнуть в такую сеть можно, а вот обнаружить такие атаки очень сложно.

Во многих случаях, чтобы реализовать все меры защиты, нужно переделать всю сеть. Но в промышленном мире свои правила: «работает - не надо лезть».

Там есть свой цикл модернизации и сеть могут построить по новым, защищенным правилам через 5–10, а то и 15 лет. Старую инфраструктуру крайне сложно защитить современными средствами: чтобы поставить средство обнаружения вторжений за $50 тыс., нужно сделать проект по модернизации сети еще на $500 тыс.

Вторая сложность - квалифицированный персонал. Специалистов по информационной безопасности АСУ ТП не так много в мире и тем более в российских регионах, где в основном расположены промышленные предприятия. Современные системы кибербезопасности достаточно сложны в использовании и требуют понимания того, как будут развиваться угрозы.

Конечно, есть и финансовые вопросы. Первые проекты по защите большого количества уже построенных инфраструктур затратны: услуги, обследование, проектирование, внедрение, новый персонал... В России много компаний с госкапиталом, которые не могут так просто повысить цены на свои услуги и товары. Например, в энергетике сверхинвестиции в кибербезопасность в конечном счете могут отразиться на наших счетах за электричество.

Но уверен, что мы преодолеем это и перейдем на новый уровень защищенности. Главное - постоянно поддерживать должный уровень кибербезопасности по мере развития своих систем.

В Европе количество компьютеров, которые подвергаются попыткам случайного заражения, гораздо меньше, чем в России. В развитых странах компании пользуются сервисной моделью обслуживания промышленных инфраструктур: поставщик систем автоматизации или интегратор постоянно обслуживает эти системы, шаг за шагом, в том числе внедряя меры по кибербезопасности. Таким образом, западные компании имеют более защищенную инфраструктуру без шоковых затрат, распределяя их на несколько лет. У нас же компании сами отвечают за свою промышленную инфраструктуру и работают по принципу «если система работает, нет нужды ее модернизировать». Так накапливается отставание, устранять которое достаточно «больно».

Как правило, заказчикам подходят готовые решения или им нужны индивидуальные проекты из-за нестандартных параметров?

Заказчикам необходимы индивидуальные проекты, которые содержат «кубики» из готовых решений. Интеграторская работа, обследование и проектирование системы защиты очень важны, но нет смысла переделывать промышленную защиту для каждой системы.

Сейчас промышленность унифицируется: стандартизованные протоколы передачи данных, одинаковые операционные системы... Да, иногда попадаются очень необычные промышленные сети, но, как правило, выясняется, что их модернизируют в ближайшие годы.

Если нужно защитить уникальную инфраструктуру, то после комплексного анализа становится ясно, что будет дешевле и правильнее сделать это через два года вместе с ее модернизацией, а до этого применить какие-либо компенсирующие меры.

Мало кто из руководителей осознает, что сотрудник - это «точка входа» в его компанию. Как поднять кибербезопасность бизнеса на новый уровень, чтобы работники не считали это ограничением свободы?

Одна из ключевых проблем информационной безопасности бизнеса - слабая осведомленность сотрудников о рисках. Как ее можно повысить простыми способами?

Ключевыми знаниями по этой теме делится , руководитель отдела региональных корпоративных продаж «Лаборатории Касперского »:

Людям, которые мало знают об угрозах, все равно приходится осваивать основы кибербезопасности, чтобы чувствовать себя защищенными. Ведь следует понимать, какие письма не надо открывать, по каким ссылкам не стоит кликать, какие программы не нужно скачивать.

При этом мало кто из руководителей осознает, что сотрудник - это «точка входа» в компанию: особенно, если у него есть доступ к документам и клиентским базам. Человек - всегда самое слабое звено.

Традиционное обучение кибербезопасности выглядит так: человек слушает тренинг, который длится от одного до трех дней, подписывает документ о пройденной учебе и идет работать. В голове откладывается в лучшем случае 10% полученных знаний, если они не применяются и не отрабатываются на практике.

Это не совсем правильный подход. Помнить о правилах кибербезопасности и применять их должен каждый сотрудник. Наш подход предполагает онлайн-обучение, так как сегодня проще всего учиться в интернете. « » разработала онлайн-курс, который можно скачать бесплатно, если у вас меньше пяти сотрудников, и приобрести по лицензии, если больше. Отслеживать прогресс можно в едином центре управления.

Всего курс содержит 32 модуля. В модуле «Почта» сотрудник видит образец письма, в котором написано о потенциальных угрозах и мерах кибербезопасности (например, нельзя сообщать PIN-код и CVV-код, даже если их запрашивает банк). После того как человек прочитает письмо, ему предлагают пройти тест в игровой форме. Если сотрудник выбирает правильный ответ, то его поощряют, а если неправильный, то объясняют, что и почему он сделал не так.

Такие практические задания требуют 15 минут в неделю и почти не отвлекают работника от его основных обязанностей.

После того как сотрудник проходит учебный модуль, на контрольный пункт поступает сообщение и через пару недель назначают проверку. Если человек не нажимает на вредоносные ссылки и не скачивает сомнительные программы, значит, он усвоил урок.

Если работник допускает те же ошибки, то в центр управления приходит сигнал о том, что сотруднику нужно повторить урок и еще раз сдать тест. Такое обучение проходит в течение года, это очень доступно и удобно.

Какая доля персонала, который нуждается в изучении азов, и какова доля тех, кто в процессе обучения успешно усваивает материал с первого раза?

По нашей статистике, 85% сотрудников усваивают все с первого раза. Полагаю, эта программа пригодится всем. Разработку тестировали на сотрудниках «Лаборатории Касперского». Я еще ни разу не прошла ни один модуль правильно на 100%, хотя работаю на рынке информационной безопасности 12 лет. Некоторые вопросы только кажутся доступными и простыми.

Открытие подозрительных ссылок - простейший пример. Не секрет, что все пользуются социальными сетями в рабочее время. Представьте, что человек получает ссылку на интересное видео от друга: 99% людей ее откроют на рабочем компьютере и вовсе не в безопасном режиме. Что скачается параллельно с видео, не знает никто.

Порядка 30% малых предприятий поручают вопросы кибербезопасности неспециалистам. Какими средствами им стоит пользоваться, чтобы повысить свою защищенность?

Уже хорошо, если такая компания купила легальный антивирус. До сих пор не все пользуются даже этим. И малому бизнесу нужен хотя бы штатный системный администратор, который бы обеспечивал работу всех компьютеров и защищал их от вирусов и возможных атак.

К антивирусу часто относятся как к панацее: раз он есть, то можно толком и не думать о безопасности, мол, он все сделает сам.

К сожалению, это не так. Антивирус можно сравнить с пуленепробиваемой железной дверью. От нее есть ключи, и если вы их потеряли или кому-то отдали, то защита не сработает. Для компаний, которые действительно озабочены сохранностью своей информации, есть решения более высокого уровня - для защиты от целевых атак. Когда злоумышленник целенаправленно хочет вскрыть защиту, он обычно не применяет громкие методы, а работает очень тихо: тайно подбирается к месту, где может взять нужную информацию. Ему невыгодно быть обнаруженным, пока он не добился своей цели. Очень похожая ситуация наблюдается и в киберпространстве. В крупных компаниях злоумышленники могут ждать месяцами.

Чаще встречаются преднамеренные или непреднамеренные атаки?

Мы предполагаем, что высококвалифицированные атаки занимают 1% от всех угроз. Но они очень значительные: например, вирус ExPetr был направлен на определенные компании и параллельно зацепил тысячи других предприятий. Мир насыщен информационными технологиями, и между собой общаются и взаимодействуют люди из разных структур.

Какие еще меры могут быть действенны при борьбе с намеренным вмешательством? Всегда ли реально обнаружить этот процесс или бывает, что о нем узнают месяцы и годы спустя?

Процесс реально обнаружить, если этим заниматься. Есть специальные сервисы по проверке корпоративной сети. В среднем высококвалифицированная атака занимает полгода: сначала злоумышленник проникает в компанию, осматривается, а несколько месяцев спустя, например, шифрует все компьютеры и одновременно выводит деньги со счетов.

Для защиты от таргетированных атак наши специалисты при желании клиента просматривают трафик в онлайн-режиме, сообщают о подозрительных активностях и спрашивают, что с ними делать: можно заблокировать действия злоумышленника, а можно создать внутри системы имитацию инфраструктуры, чтобы узнать намерения злоумышленника. Параллельно специалисты ведут расследование и ищут источник атаки.

Целью подобных атак чаще становятся малые или крупные компании?

Происходит и то, и другое. Но для атаки на крупную компанию нужно привлечь профессионалов, работа которых стоит дорого. И у большого бизнеса есть целая система кибербезопасности. У малого бизнеса зачастую предел защиты - это антивирус. Иногда, чтобы добраться до крупной организации, злоумышленники атакуют их поставщиков.

Нередко атаки, необязательно громкие, происходят со стороны чем-то обиженных бывших сотрудников или, возможно, подрядчиков. Вероятно, даже непреднамеренно.

Если в компании выстроена система безопасности, такие случаи можно минимизировать. Но на практике есть примеры, когда уволенному сисадмину не блокировали доступ. Например, в крупном логистическом центре бывший сотрудник заблокировал все принтеры: почти сутки в центре не могли отправить и принять товар, так как не могли распечатать ни одного документа.

В мерах безопасности необходимо прописать, что при увольнении сотрудника у него блокируется доступ к системе, меняются пароли важных систем.

Бывают уникальные случаи: на одном финансовом предприятии пароль требовали менять раз в месяц. Для простых сотрудников это лишнее телодвижение, и 95% человек вводили пароль по схеме «месяц и год». Это и позволило бывшему работнику воспользоваться лазейкой и проникнуть во внутреннюю сеть компании.

Кстати, один из модулей онлайн-курса «Лаборатории Касперского» - не устанавливать пароли наподобие «12345», как до сих пор делают многие.

Необходимо помнить об основах кибербезопасности: не пользоваться социальными сетями с рабочего компьютера, если они не требуются по работе. Менять пароли, возможно, ограничивать доступ к интернету тем сотрудникам, которым он не нужен напрямую. Запретить использование флешек и других съемных устройств.

Но обычные офисные сотрудники воспринимают все эти меры как ограничение личной свободы. С одной стороны, эти меры правильные, с другой - информационные технологии так быстро развиваются, что мы никогда не сможем контролировать все полностью. Нельзя закрыть все предприятие под коробочку - тогда ничего не будет работать. Даже на оборонных предприятиях, где есть закрытые сети и нельзя использовать Wi-Fi, Bluetooth и флешки, есть люди, которые следят за системой и со­ответствием всех параметров. Им скучно сидеть по 12 часов и они умудряются запустить фильм или сидеть в интернете.

Человек всегда найдет, как обойти ограничения, поэтому оптимальный вариант - повышать компьютерную грамотность.

Бизнес находится под постоянными кибератаками злоумышленников, цель которых - опустошить счета компании или похитить данные ее клиентов. Компании, особенно небольшие, часто экономят на информационной безопасности (ИБ), и половина директоров по ИБ уверены: расплатой за это станут финансовые потери.

Как можно предотвратить атаки и на что обратить внимание для защиты бизнеса? Рассказывает , руководитель отдела продаж клиентам малого и среднего бизнеса «Лаборатории Касперского».

Зачастую руководители в сфере информационной безопасности понимают неминуемость угроз, но сталкиваются с нехваткой бюджетов. Насколько велики масштабы этой проблемы и как бизнесу с ней справляться?

К сожалению, кибербезопасность в России действительно недофинансирована.

Вероятно, это связано с тем, что многие руководители и собственники бизнеса недооценивают масштабы потерь, к которым могут привести киберинциденты.

Важно трезво оценивать, какие убытки понесет компания при простое в течение нескольких дней - если перестанет работать сайт или все корпоративные компьютеры. Конечно, для продавца цветов, ведущего бухгалтерию в тетрадке, двухдневная блокировка компьютера не станет серьезной проблемой. Но доступ к данным критически важен для турагентства, страховой компании, ритейлера, который ведет бухгалтерию в электронном виде, поставляет товар в кредит, делает записи о будущих платежах и долгах. Это все реальные случаи из нашей практики.

Объем предстоящих платежей и средств, которые еще не поступили на счета компании, может составлять 20-30% от годового оборота.

Когда предприниматель понимает, сколько может потерять, то примерно представляет, сколько готов инвестировать в бесперебойную работу, сохранение интеллектуальной собственности компании и ее репутации - то есть обеспечение кибер и ИТ-безопасности. С одной стороны, это немного эфемерные расчеты - как оценить стоимость репутации? С другой стороны, они вполне очевидны. Например, если авиакомпания не сможет продавать билеты онлайн, клиенты не будут долго ждать и просто купят билеты у другого перевозчика.

Утеря данных приведет к сложностям, как минимум с доступом к 20-30% годового оборота средств компании

Обычно бюджет на кибербезопасность и информационную безопасность составляет 10–15% от всего ИТ-бюджета. Затраты на мобильные устройства, компьютеры, картриджи, интернет в среднем составляют 30–50 тыс. руб. на одного сотрудника в год. А качественная защита одного рабочего места в малом и среднем бизнесе - от 1 тыс. до 3,5 тыс. руб.

Поэтому экономия на ИТ-безопасности - это экономия на спичках. Офисные траты на кофе, туалетную бумагу и канцелярские принадлежности могут быть выше.

Важно понимать, что защита информации - это критически важная статья расходов, которой не стоит пренебрегать.

Малый и средний бизнес сейчас находится под пристальным вниманием злоумышленников - в некоторых случаях кибератаки даже приводили к банкротству предприятий.

Киберпреступники выискивают пути, как проникнуть в организацию. Чаще всего для этого рассылаются письма в бухгалтерию, а затем - в юридический, кадровый и маркетинговый отделы.

В электронных сообщениях может содержаться вредоносное ПО или предложение перейти на фишинговую страницу. После заражения злоумышленники начинают собирать различные данные: отслеживают нажатия клавиш на клавиатуре, перемещение мышки, изучают переписку, контакты и должности отправителей писем и т.д.

Изучив процессы в компании, злоумышленники могут составить целевое фишинговое письмо, направленное на конкретного сотрудника.

К примеру, работнику отдела кадров написать с просьбой рассмотреть резюме, приложив файл в формате Word.

Подобными документами сотрудники компаний пользуются каждый день, однако они могут содержать исполняемый скрипт, который запустит вирус и начнет шифровать данные внутри компании - на всех локациях, куда имеет доступ данный сотрудник. Обычные антивирусы, работающие только сигнатурным методом, не могут отследить подобную программу-вымогатель.

Шифровальщики - это бич текущего времени. Их активность увеличивается в четвертом квартале года, когда идут наиболее активные продажи, и с конца марта до июня, когда компании подают налоговую отчетность за прошедший период. Какие угрозы со стороны компетентных органов могут быть, если не подать налоговую декларацию вовремя?

Теперь представьте, что все данные на серверах были зашифрованы, и доступа к бухгалтерским и учетным программам просто нет.

Компания вынуждена заплатить злоумышленникам, либо сообщить налоговой, что не может сдать отчетность. Поэтому сумма выкупа в пиковые периоды растет.

Есть статистика, какая часть атакованных компаний соглашается заплатить, а какая пытается расшифровать данные и бороться со злоумышленниками?

Восстановить данные без ключа шифрования после атаки современного шифровальщика невозможно. Если раньше был один универсальный ключ на все пострадавшие компьютеры, то современное вредоносное ПО создает ключи для каждой отдельной машины.

Защитой от шифровальщиков будет использование не обычных антивирусов, а многослойной системы кибербезопасности. Она должна включать мониторинг активности программ, пользователей, эвристический поведенческий анализ, возможность 100-процентного предотвращения запуска шифровальщика.

Если проверять входящие сообщения на почтовых серверах, то вложения с вредоносными файлами даже не дойдут до компьютера работника

Второй рубеж обороны - на рабочем месте сотрудника: контроль запуска программ проверяет все используемые файлы. Третий барьер - веб-контроль: администратор сети составляет «белые» списки сайтов, где перечисляются разрешенные ресурсы, а все остальные считаются запрещёнными.

Максимальное внимание в вопросах кибербезопасности надо уделить защите рабочих станций бухгалтера, юриста, финансового и генерального директоров - людей, имеющих доступ к деньгам компании. Чаще всего они и подвержены целевым атакам злоумышленников.

Следующий уровень защиты от шифровальщиков - антикриптор или мониторинг системы. Антикриптор отслеживает поведение пользователя: если он вдруг начинает шифровать данные, чего никогда раньше не делал, то подозрительная деятельность будет приостановлена, а компьютер отсечен от всей остальной сети. Часть данных поместят в бэкап для последующего восстановления. Таким образом мы предотвращаем развитие атак шифровальщиков на наших заказчиков.

- Один из самых нашумевших зловредов - Buhtrap. Как можно с ним бороться?

Buhtrap - это вредоносная программа, позволяющая получить доступ к электронному банку, к возможности проводить финансовые трансакции в компании.

Попытки злоумышленников найти людей, которые могут проводить такие операции, становятся все изощреннее. Заражаются сайты специализированных СМИ, которые чаще всего посещают бухгалтеры и финансовые директора, сайты, на которые заходят руководители компаний, собственники бизнеса.

В некоторых случаях хакеры даже создают ресурсы с интересным контентом, чтобы привлечь к себе больше специализированных пользователей.

- Каковы последствия заражения Buhtrap?

Сумма ущерба российских компаний от подобных вредоносных программ только за прошлый год оценивается в десятки миллионов долларов. Справиться с Buhtrap можно, но нужно бороться не с последствиями атаки, а с ее первоисточником.

Квалифицированные решения, как у «Лаборатории Касперского», позволяют обнаружить вредоносные новостные ресурсы, с помощью которых Buhtrap попадает на рабочие станции, и полностью их заблокировать вместе со зловредом.

Иногда кибербезопасностью в компаниях малого и среднего бизнеса занимаются неспециалисты. Как руководителю бизнеса осознать важность этой задачи и передать ее в правильные руки?

Специализированные решения для компаний среднего и малого бизнеса, например, Kaspersky Small Office Security, позволяют защитить компании, у которых менее 25-ти рабочих станций. Этот продукт включает защиту финансовых трансакций, менеджер паролей, защиту мобильных устройств, серверов и рабочих станций. В программе использованы технологии, которые разрабатывались с том числе и для защиты крупных компаний.

В более крупном сегменте будет интересно решение Kaspersky Security Cloud. Оно подойдет компаниям, в которых работает до 250 сотрудников.

При этом управлять защитой можно не только с рабочего места, а из любой точки мира, где есть доступ в интернет.

То есть сотрудник может уехать в отпуск на Бали и оттуда следить за кибербезопасностью компании. Консоль интуитивно понятна и адаптирована для неспециалистов - разобраться с настройками сможет даже главный бухгалтер или руководитель бизнеса.

- Может ли бизнес положиться на бесплатные решения по защите от финансовых угроз?

Как и решения для домашних устройств, они не подходят для корпоративных пользователей, потому что не предназначены для защиты организаций. А злоумышленники совершенствуются в своих методах работы. В основном бесплатные версии включают только базовую защиту от вредоносного ПО, они не могут обеспечить безопасность финансовых операций онлайн, не блокируют мошеннические ссылки, не помогают контролировать использования ресурсов и программ и т.д.

Сможете ли вы защитить свои данные от программы-вымогателя? Интерактивная игра

Как малому бизнесу защитить себя от атак злоумышленников и предотвратить распространение «зловреда» еще до того, как он станет проблемой?

Мы слишком малы, чтобы быть целью для атаки» так считают многие руководители в малом бизнесе. По статистике «Лаборатории Касперского», 58% жертв киберпреступников – организации малого бизнеса, а средний ущерб от успешной атаки для компаний из сегмента СМБ – 4,3 млн рублей.

Как малому и среднему бизнесу обезопасить своих сотрудников от атак со стороны злоумышленников? Какие средства защиты стоит использовать? Рассказывает , старший менеджер по продуктовому маркетингу «Лаборатории Касперского».

Когда руководство предприятия понимает, что необходимо предпринять какие-либо меры защиты?

В большинстве случаев после первого инцидента. К сожалению, в малом бизнесе приоритет ИТ-безопасности становится очень высоким только после того, как компанию впервые атаковал вирус-шифровальщик. Владелец бизнеса будет по максимуму откладывать дополнительные расходы, если он не продвинутый пользователь.

Цена ошибки очень велика. Крупная организация может перераспределить свою инфраструктуру и продолжить работу. Но если в малом бизнесе от атаки «вредоноса» падает вся сеть, он просто перестает оказывать услуги - работа компании останавливается целиком. А конкуренция очень высока: по статистике половина компаний малого бизнеса, ставших жертвами атаки, через полгода вылетают с рынка, потому что не смогли вовремя восстановить свои ресурсы.

В моей практике был очень сложный случай. Злоумышленники знали о бреши в кибербезопасности предприятия, заточили «зловреда» под воровство данных организации и постепенно уводили у нее клиентов. Скорее всего, они действовали «по наводке». Но у компании нашлись продвинутые люди, которые смогли распознать целенаправленную атаку и спасти фирму - такое встречается крайне редко.

В большинстве случаев атаки носят массовый характер, а сотрудники - всегда слабое звено. Они ищут информацию с рабочих компьютеров, скачивают программу, которая нужна для работы, и могут ошибиться. Если нет специалиста, который за этим следит, то ситуацию в компании не контролирует никто.

Минимальная защита для малого бизнеса помогает избежать негативных последствий именно от таких ошибок. Представьте, что вы столкнулись с фишинговой атакой. Если у вас в организации 50-100 человек, неважно, сколько из них перешли по ссылке - даже одного клика достаточно, чтобы инфицировать сеть. Решения для малого бизнеса призваны предотвратить распространение «зловреда» еще до того, как он станет проблемой.

Как правило, крупные компании обучают сотрудников выявлять в электронной почте файлы и ссылки от злоумышленников. Ограждают ли малые компании своих работников от подобных угроз?

Малый бизнес очень много времени и усилий тратит на свою профильную деятельность. Основные средства всегда вкладываются в те направления, которые потенциально могут увеличить доходы компании. На поддерживающие процессы остается минимум ресурсов, поэтому финансирование ИТ и ИТ-безопасности не является приоритетным, а при выборе этих услуг важны простота в обращении и автоматическая работа. То есть решения должны требовать минимум внимания.

Кроме того, в малом бизнесе всегда остро стоят кадровые вопросы. В небольшой фирме зачастую работает приходящий системный администратор, а не штатный сотрудник. В компаниях чуть крупнее один специалист может отвечать и за ИТ, и за информационную безопасность.

Руководители малого и среднего бизнеса уделяют внимание ИТ-безопасности в зависимости от своего неприятного опыта в этой сфере. Если они в целом представляют спектр угроз, сталкивались с такими инцидентами раньше или осознают необходимость обезопасить компанию после массовых кибератак, то будут искать защиту, работающую в автоматическом режиме.

«Лаборатория Касперского» как раз предлагает такие решения - Kaspersky Endpoint Security для бизнеса. Мы называем такие продукты «Install and Forget», то есть установил и забыл. Они предоставят максимум автоматической защиты - у малого бизнеса зачастую нет специальных сотрудников в штате для настройки программы.

Защита от фишинговых писем тоже должна быть автоматической, чтобы такие рассылки в принципе не доходили до пользователей.

Вероятность того, что работники малых компаний получат такие письма, выше, чем в крупном бизнесе?

У руководителей малого бизнеса есть опасное заблуждение, что они не являются целью киберпреступников и «лакомым кусочком» для них. Но по статистике жертвами организованных криминальных группировок в 50% случаев оказываются малые и средние компании. В случае глобальных веерных атак типа WannaCry достается всем: корпорациям, небольшим фирмам и частным пользователям.

Целенаправленные атаки больше касаются крупных предприятий, когда злоумышленники понимают размер своей потенциальной «добычи». Но на моей памяти были случаи, когда такие атаки проводились на интернет-магазины и средние компании в сфере оптовой торговли.

Шанс атаки возрастает, если злоумышленники каким-то образом узнают, что компания не занимается информационной и кибербезопасностью - в малом бизнесе часто надеются на авось.

Такие предприниматели отдают ИТ-безопасность на откуп приходящим сотрудникам или единственному сотруднику или же возрастает роль автоматической защиты?

В микробизнесе вопросами ИТ зачастую занимается самый продвинутый человек, чья основная работа заключается в другом - иногда даже в логистике и продажах. Но если выяснилось, что человек разбирается в информационных системах, то он берет на себя в том числе защиту компьютеров и кибербезопасность. Минимум, который ему нужно сделать, - установить антивирусы. Причем ему нужны решения для бизнеса, а не домашняя защита.

Они ставят решения, в которых обычный человек не разбирается. Ему достаточно продвинутого ИТ-уровня, чтобы установить эту защиту.

В более крупной компании, где есть приходящий или даже собственный админ, появляется еще требование контроля. То есть на предприятии осознают, что им нужно внедрить минимальные политики безопасности, чтобы понимать происходящее, сократить спектр рисков и угроз. Мы готовы по мере созревания компании предлагать все более продвинутые решения.

Пользоваться облачной защитой выгоднее, чем услугами обычного приходящего специалиста?

Айтишнику все равно нужны инструменты: это решение не заменяет его, а становится средством, с помощью которого он защитит организацию. Kaspersky Small Office - это решение из разряда «do it yourself». С ним организация сможет защитить себя от актуальных угроз и пока что не прибегать к помощи профессионала.

В чем ключевое отличие Endpoint Security Cloud и каковы преимущества облачного решения?

Необлачная защита устанавливается на сервер - для этого нужен узкопрофильный специалист. Нужно быть технически грамотным человеком, чтобы развернуть Endpoint-решение на сервере, установить агенты, подключить все это, настроить политику безопасности и так далее. Облачное решение позволяет получить быструю защиту: не нужно покупать сервер и поддерживать его - то есть нет затрат на содержание «железа». Вы экономите деньги и время штатных сотрудников.

Облачное решение скачивается и устанавливается за несколько минут, вся задача занимает не более часа. Основное преимущества такого метода - это скорость: защита начинает действовать в течение нескольких минут.

Наши решения для малого бизнеса максимально облегчены с точки зрения управления. Small Office Security вообще не требует заходить в веб-консоль. В Kaspersky Endpoint Security Cloud консоль сильно облегчена: все настройки автоматически применяются к новым устройствам, подключенным к защите. Хотя при желании админ может что-то добавить вручную. При этом оба решения - облачные и не требуют «железа», сервера.

Как правило, к подобным решениям прибегают более продвинутые организации, или необязательно?

Здесь важны степень зрелости организации, руководителя и ИТ-специалиста, если он есть. В целом в России уровень ИТ-компетентности достаточно высокий. Организация в целом может стремиться к современной инфраструктуре: некоторые компании отказываются от собственного «железа», чтобы быть более гибкими и динамичными.

Облачные решения очень легкое масштабировать. Если у вас открывается новая точка продаж или новый офис, то с помощью Kaspersky Endpoint Security Cloud ее можно защитить за считанные минуты. Скорость масштабирования и роста вашего бизнеса не привязана к собственной инфраструктуре. Офисы могут быть разбросаны по стране, а вы все делаете удаленно, потому что все решения в облаке. Компании, которые настроены на рост и понимают вопросы, связанные с масштабированием, изначально выбирают «облака», потому что традиционные решения не позволят им так быстро меняться.

Какой еще важный тренд вы видите в области безопасности малого бизнеса?

Еще один тренд - работа на мобильных устройствах. В крупных организациях есть корпоративные программы мобильности: устройства закупают централизованно, устанавливают на них средства совместной работы, средства защиты и так далее. Все это контролирует «безопасник», и подключиться к инфраструктуре компании в принципе нельзя.

А в малом бизнесе никто не разбирается, личное это устройство или нет. Человек выбирает самый удобный гаджет, чтобы быстрее и эффективнее справляться со своей работой. Мы готовы поддерживать такие предприятия и предоставляем защиту в том числе для мобильных устройств. Если компания пока что не пользуется облачной защитой, ее можно подключить позже. И неважно, где находится человек - всю защиту можно установить удаленно.

«Мобильное устройство превращается в инструмент слежки, и эта слежка по сути дозволена компанией». Как личные смартфоны и ноутбуки сотрудников создают брешь в информационной безопасности бизнеса?

Небольшие компании не всегда могут позволить себе приобрести для сотрудников все необходимые гаджеты, например, рабочие смартфоны и ноутбуки. При этом использование личных девайсов в рабочих целях приветствуется, чтобы сотрудник всегда мог быть на связи.

Так возник тренд, который получил название BYOD (bring your own device или «принеси собственное устройство»), и он все сильнее распространяется в среднем и малом бизнесе.

«За счет BYOD компания сильно экономит деньги на покупке и обслуживании железа, снимает с себя риски утраты и порчи мобильных устройств. А это существенные деньги», - комментирует Виктор Чебышев , антивирусный эксперт «Лаборатории Касперского ».

Однако концепция BYOD сама по себе противоречива. Доступ личного устройства сотрудника к внутреннему периметру компании удобен для самого работника, но создает риски утечки данных и неконтролируемого доступа к информации.

В этом случае BYOD-подход является осложняющим фактором и может стать «точкой входа» в компанию для злоумышленников. Поэтому организации необходимо так настроить доступ и контролировать вход, что это далеко не всегда будет удобно для пользователя.

Чтобы снизить риски при BYOD-подходе, необходимо предпринять множество мер по защите данных. Личные гаджеты персонала, как правило, защищены хуже корпоративных и более подвержены киберугрозам и потере. Согласно исследованию «Лаборатории Касперского», 35% компаний в сфере МСБ (со штатом от 1 до 249 сотрудников) сталкивались с тем, что гаджеты сотрудников, которые те использовали в том числе в рабочих целях, заражались вредоносным ПО. Работники 28% организаций теряли личные устройства и носители с корпоративной информацией: смартфоны, ноутбуки, внешние жесткие диски, флешки. А средний ущерб от успешной атаки на компанию из сегмента малого и среднего бизнеса оценивался в 4,3 млн руб.

Личные устройства сотрудников в бизнесе: в чем опасность?

Степень серьезности угроз зависит от того, как ИТ-отдел компании следит за безопасностью мобильных устройств работников. Здесь можно использовать несколько решений:

1.MDM-профили. Mobile Device Management (управление мобильными устройствами) - это набор сервисов и технологий, обеспечивающих контроль и защиту гаджетов компании и её сотрудников. Одна часть MDM устанавливается на гаджет сотрудника, а другая представляет собой «контрольный центр» для удаленного управления устройством.

2.Ограничивающие политики. Далеко не всем сотрудникам нужен доступ к некоторым ресурсам. Например, зачем бухгалтеру выходить в соцсети с рабочих устройств? Это может быть опасно, если на гаджете есть конфиденциальные документы, а сотрудник случайно кликает по вредоносной интернет-ссылке. Поэтому гибкая настройка прав доступа к соцсетям или иным программам или ресурсам - очень важное и нужное решение.

3.Антивирусы с централизованным управлением, защищающие от вредоносного ПО. Эти решения позволят сразу отсечь зараженный девайс от инфраструктуры компании и провести расследование инцидента.

Если ни один из этих способов не практикуется, то у компании возникают существенные риски кибербезопасности, предупреждает Виктор Чебышев. По его словам, при заражении мобильного устройства возможны несколько вариантов развития событий:

1. Зловред собирает все данные с мобильного устройства - фактически шпионит. В этом случае можно перехватить важные файлы в памяти устройства, записать переговоры при помощи встроенного микрофона, сделать снимки камер и так далее. Мобильное устройство превращается в инструмент слежки, и эта слежка по сути дозволена компанией.

2. Зловред устанавливает так называемый туннель. У мобильного телефона есть два сетевых интерфейса - WIFI и 3G/4G/LTE. Злоумышленник, находясь в любой мира, может получить доступ к внутренней инфраструктуре компании через эти сетевые интерфейсы, так как мобильный телефон постоянно находится в сети, а внутренние WIFI-сети компании доступны для BYOD. Последствия от такого заражения могут быть сколь угодно печальными.

Контроль за данными на ноутбуках - отдельный разговор. Незащищенная информация на личном компьютере, который можно потерять в аэропорту или забыть в кафе - это типичный кошмар для ИТ-отдела.

Чтобы избежать этой угрозы, ряд компаний позволяют сотрудникам работать только на офисных компьютерах, на которых сильно ограничены возможности передачи данных и отключены USB-порты для флэшек. Но такой подход не будет работать в ориентированной на BYOD компании, предостерегает Виктор Чебышев. Защита предполагает ограничения, на которые могут пойти далеко не все пользователи.

Как предпринимателям обезопасить корпоративную информацию на личных гаджетах?

В концепции BYOD стоит применять несколько основных методов защиты данных. «Пренебрегать ими не стоит: цена халатного отношения может быть несоизмерима с ценой даже полного комплекта защиты», - говорит Виктор Чебышев.

Ни в коем случае не пренебрегайте защитой мобильных гаджетов (помимо основных рабочих устройств - компьютеров). Используйте комплексную защиту компьютеров, файловых серверов, а также планшетов и смартфонов от интернет-атак, финансового онлайн-мошенничества, программ-вымогателей и потери данных. Такую защиту предоставляет, например, программа Kaspersky Small Office Security , специально созданная для небольших компаний с числом сотрудников до 25 человек, или Kaspersky Endpoint Security Cloud , которая помогает защитить малый бизнес без дополнительной нагрузки на IT-ресурсы, время и финансы.

Активируйте специальный модуль «Анти-вор» для Android-устройств в составе комплексной защиты. Такая функция позволяет удаленно заблокировать потерянное устройство, стереть на нем данные или определить его местонахождение на карте.

Применяйте полное или частичное шифрование корпоративных данных. Тогда даже в случае утери или кражи ноутбука или USB-накопителя нельзя будет получить доступ к содержащейся на них информации без пароля.

Технологии резервного копирования спасут ваш бизнес. С помощью бэкапа у вас всегда будет запасное хранилище с самой актуальной версией ценной рабочей информации в случае, например, успешной атаки вируса-шифровальщика.

Системные администраторы всегда должны знать, какие устройства сотрудники используют для работы, и иметь дистанционный «взрыватель» (удаленный контроль) для корпоративных данных в таких устройствах на случай их утери, кражи или ухода их владельца из компании.

Но в целом нельзя позволять секретным документам утекать за пределы периметра компании, даже в облачные хранилища вроде «Яндекс.диск» и Google.drive - и тогда не придется ничего уничтожать.

Чтобы обезопасить переписку на корпоративные темы в личных мессенджерах, можно дать несколько рекомендаций. Во-первых, на мобильном устройстве должна быть установлена последняя версию операционной системы. Во-вторых, всегда использовать защитное решение - иначе устройство нельзя допускать в периметр компании.

Среди средств противодействия есть решения из линейки Kaspersky Security для бизнеса и Kaspersky Small Office Security. Они включают в себя одинаково эффективную защиту для корпоративных и личных компьютеров и для мобильных устройств, что особенно важно для малых предприятий. Kaspersky Small Office Security позволяет владельцам сосредоточиться на ведении бизнеса, потому что он прост в использовании и не требует специальных знаний IT-администрирования для защиты сети компании.

Станет ли использование личных устройств сотрудников более безопасным для компании?

Техническая сторона вопроса кибербезопасности в концепции BYOD будет совершенствоваться, и всё больше компаний будут отказываться от закупки устройств, уверен Виктор Чебышев. Вероятно, следовать старым методам будут лишь компании, в которых используют специфические мобильные устройства, например, ударопрочные и водонепроницаемые.

«Логика профилей устройств в мобильных операционных системах наверняка будет усложняться. То есть мобильное устройство само будет решать, что в данный момент владелец находится на работе, и блокировать деятельность, сопряженную с риском заражения или доступом устройства в запретные для него места. Вместе с этим эволюционируют механизмы контроля личных устройств в сети предприятия, а в обозримом будущем будут внедряться решения на основе машинного обучения, фиксирующие аномалии с BYOD-устройств. За такими системами будущее», - резюмирует антивирусный эксперт «Лаборатории Касперского».

В современных условиях информации присущи все свойства товара и собственности, которые являются основными компонентами экономики, что делает информацию объектом интересов самого различного характера (коммерческого, социального, криминального и пр.).

В настоящее время имеется большое количество работ, посвященных защите компьютерной информации, но большинство работ требуют для понимания глубоких и очень специальных знаний в области математики, радиоизмерений, программирования. Вместе с тем, у будущих экономистов и менеджеров должна быть четкая и целостная картина подхода к информационной безопасности в их будущей сфере деятельности.

Под информационной безопасностью (Information Security) понимается защищенность ресурсов информационной системы (ИС) от факторов, представляющих угрозу для конфиденциальности, целостности и доступности информации.

Политика безопасности

Интегрированной характеристикой защищаемой ИС является политика безопасности – качественная или количественная характеристика свойств защищенности в терминах, представляющих систему.

Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на это значительных ресурсов. Главная задача, которую необходимо решить на управленческом уровне – сформулировать политику безопасности.

Затраты на обеспечение информационной безопасности не должны превышать потенциальный урон от утечки защищаемых данных. Однако представляется неясным, как можно подсчитать суммарный урон от нее, включив в него не только очевидные выплаты по результатам происшествия, но и ущерб для репутации, упущенную выгоду и т.д.

Есть и другие ограничения, в числе которых – удобство пользователей. Если сервис не относится к числу корпоративных, где сотрудников можно обязать пользоваться безопасным, но неудобным механизмом, то придется иметь в виду, что пользователи не любят ситуации, вызывающие затруднения в работе – запоминать лишние пароли и использовать их и т.д. А это значит, что рост уровня безопасности с какого-то момента может уменьшить оборот сервиса.

Именно этот баланс призвана поддерживать политика безопасности, разрабатываемая СIO каждой организации.

Политика безопасности – совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. Политика безопасности должна отражать подход организации к защите своих информационных активов. С практической точки зрения политику безопасности можно подразделить на три уровня.

К верхнему уровню можно отнести решения, затрагивающие организацию в целом (вопросы использования компьютерной техники и информационных систем).

Средний уровень касается отдельных важных вопросов (например, доступ к Интернету или использование домашних компьютеров на рабочем месте).

Политика безопасности нижнего уровня относится к конкретным сервисам и описывает цели и правила их достижения, поэтому ее порой трудно отделить от вопросов реализации. Вместе с тем решения, относящиеся к безопасности информационных сервисов, должны приниматься на управленческом, а не на техническом уровне. Для надлежащего проведения политики безопасности следует знать виды угроз и методы защиты.

• СIO (Chief information Officer) – сотрудник корпорации, исполнитель высшего ранга, отвечающий за приобретение и внедрение новых технологий, управление информационными ресурсами. Наиболее точно данному понятию на русском языке соответствуют "IT-директор", "Директор департамента информационных технологий", "Заместитель генерального директора по ИТ". Материал из Википедии – свободной энциклопедии.

Конфиденциальная информация представляет огромный интерес для конкурирующих фирм. Именно она становится причиной посягательств со стороны злоумышленников.

Многие проблемы связаны с недооценкой важности угрозы, в результате чего для предприятия это может обернуться крахом и банкротством. Даже единичный случай халатности рабочего персонала может принести компании многомиллионные убытки и потерю доверия клиентов.

Угрозам подвергаются данные о составе, статусе и деятельности компании. Источниками таких угроз являются её конкуренты, коррупционеры и преступники. Особую ценность для них представляет ознакомление с охраняемой информацией, а также ее модификация в целях причинения финансового ущерба.

К такому исходу может привести утечка информации даже на 20%. Иногда потеря секретов компании может произойти случайно, по неопытности персонала или из-за отсутствия систем защиты.

Для информации, являющейся собственностью предприятия, могут существовать угрозы следующих видов.

Угрозы конфиденциальности информации и программ. Могут иметь место после нелегального доступа к данным, каналам связи или программам. Содержащие или отправленные данные с компьютера могут быть перехвачены по каналам утечки.

Для этого используется специальное оборудование, производящее анализ электромагнитных излучений, получаемых во время работы на компьютере.

Опасность повреждения. Незаконные действия хакеров могут повлечь за собой искажение маршрутизации или потерю передаваемой информации.

Угроза доступности. Такие ситуации не позволяют законному пользователю использовать службы и ресурсы. Это происходит после их захвата, получения по ним данных или блокировки линий злоумышленниками. Подобный инцидент может искажать достоверность и своевременность передаваемой информации.

Существует три важных условия, которые позволят российскому гражданину : идеальный бизнес-план, продуманная учётная и кадровая политика и наличие свободных денежных средств.

Подготовка документов для открытия ООО требует определённого времени. На открытие расчётного счёта в банке уходит примерно 1-2 дня. О том какие документы понадобятся для открытия ООО читайте здесь.

Риск отказа от исполнения транзакций. Отказ пользователя от передаваемой им же информации с тем, чтобы избежать ответственности.

Внутренние угрозы. Такие угрозы несут для предприятия большую опасность. Они исходят от неопытных руководителей, некомпетентного или неквалифицированного персонала.

Иногда сотрудники предприятия могут провоцировать специально внутреннюю утечку информации, показывая этим своё недовольство зарплатой, работой или коллегами. Они запросто могут преподнести всю ценную информацию предприятия его конкурентам, попытаться уничтожить её, или умышленно внести в компьютеры вирус.

Обеспечение информационной безопасности предприятия

Важнейшие процессы бухгалтерского учёта и автоматизируются соответствующим классом систем, защищенность которых достигается целым комплексом технических и организационных мер.

В их составе антивирусная система, защита межсетевого экранирования и электромагнитного излучения. Системы защищают информацию на электронных носителях, передаваемые по каналам связи данные, разграничивают доступ к разноплановым документам, создают запасные копии и восстанавливают конфиденциальную информацию после повреждений.

Полноценное обеспечение информационной безопасности на предприятии должно быть и находиться под полным контролем круглогодично, в реальном времени в круглосуточном режиме. При этом система учитывает весь жизненный цикл информации, начиная с момента появления и до полного её уничтожения или потери значимости для предприятия.

Для сохранности и для предотвращения потери данных в индустрии информационной безопасности разрабатываются системы защиты. Их работа основана на сложных программных комплексах с широким набором опций, предотвращающих любые утраты данных.

Спецификой программ является то, что для правильного их функционирования требуется разборчивая и отлаженная модель внутреннего оборота данных и документов. Анализ безопасности всех шагов при использовании информации основывается на работе с базами данных.

Обеспечение информационной безопасности может осуществляться с помощью онлайновых средств, а также продуктов и решений, предлагаемых на всевозможных Интернет-ресурсах.

Разработчикам некоторых таких сервисов удалось грамотно составить систему информационной безопасности, защищающую от внешних и внутренних угроз, обеспечивая при этом идеальный баланс цены и функциональности. Предлагаемые гибкие модульные комплексы совмещают работу аппаратных и программных средств.

Виды

Логика функционирования систем информационной безопасности предполагает следующие действия.

Прогнозирование и быстрое распознавание угроз безопасности данных, мотивов и условий, способствовавших нанесению ущерба предприятию и обусловивших сбои в его работе и развитии.

Создание таких рабочих условий, при которых уровень опасности и вероятность нанесения ущерба предприятию сведены к минимуму.

Возмещение ущерба и минимизация влияния выявленных попыток нанесения ущерба.

Средства защиты информации могут быть:

• техническими;
• программными;
• криптографическими;
• организационными;
• законодательными.

Организация информационной безопасности на предприятии

Все предприниматели всегда стремятся обеспечить информации доступность и конфиденциальность. Для разработки подходящей защиты информации учитывается природа возможных угроз, а также формы и способы их возникновения.

Организация информационной безопасности на предприятии производится таким образом, чтобы хакер мог столкнуться с множеством уровней защиты. В результате злоумышленнику не удаётся проникать в защищённую часть.

К наиболее эффективному способу защиты информации относится криптостойкий алгоритм шифрования при передаче данных. Система зашифровывает саму информацию, а не только доступ к ней, что актуально и для .

Структура доступа к информации должна быть многоуровневой, в связи с чем к ней разрешается допускать лишь избранных сотрудников. Право полного доступа ко всему объему информации должны иметь только достойные доверия лица.

Перечень сведений, касающихся информации конфиденциального характера, утверждается руководителем предприятия. Любые нарушения в этой области должны караться определенными санкциями.

Модели защиты предусматриваются соответствующими ГОСТами и нормируются целым рядом комплексным мер. В настоящее время разработаны специальные утилиты, круглосуточно отслеживающие состояние сети и любые предупреждения систем информационной безопасности.

Следует иметь ввиду, что недорогие беспроводные сети не могут обеспечить необходимого уровня защиты.

Во избежание случайных потерь данных по неопытности сотрудников, администраторы должны проводить обучающие тренинги. Это позволяет предприятию контролировать готовность сотрудников к работе и дает руководителям уверенность в том, что все работники способны соблюдать меры информационной безопасности.

Атмосфера рыночной экономики и высокий уровень конкуренции заставляют руководителей компаний всегда быть начеку и быстро реагировать на любые трудности. В течение последних 20 лет информационные технологии смогли войти во все сферы развития, управления и ведения бизнеса.

Из реального мира бизнес уже давно превратился в виртуальный, достаточно вспомнить как стали популярны , у которого имеются свои законы. В настоящее время виртуальные угрозы информационной безопасности предприятия могут насести ему огромный реальный вред. Недооценивая проблему, руководители рискуют своим бизнесом, репутацией и авторитетом.

Большинство предприятий регулярно терпят убытки из-за утечки данных. Защита информации предприятия должна занимать приоритетное место в ходе становления бизнеса и его ведения. Обеспечение информационной безопасности – залог успеха, прибыли и достижения целей предприятия.

Министерство образования и науки Российской Федерации

федеральное государственное бюджетное образовательное учреждение

высшего профессионального образования

"ПЕРМСКИЙ НАЦИОНАЛЬНЫЙ ИССЛЕДОВАТЕЛЬСКИЙ

ПОЛИТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ"

Контрольная работа

по дисциплине

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ПРЕДПРИЯТИЯ

Тема "Информационная безопасность в бизнесе на примере ОАО "Альфа-банк"

Выполнила студентка

группа ФК-11Б:

Смышляева Мария Сергеевна

Проверил преподаватель:

Шабуров Андрей Сергеевич

Пермь - 2013

Введение

Заключение

Список литературы

Введение

Информационные ресурсы большинства компаний являются одними из наиболее ценных ресурсов. По этой причине коммерческая, конфиденциальная информация и персональные данные должны быть надежно защищены от неправомерного использования, но в то же время легко доступны субъектам, участвующим в обработке данной информации или использующим ее в процессе выполнения возложенных задач. Использование для этого специальных средств способствует устойчивости бизнеса компании и его жизнеспособности.

Как показывает практика, вопрос организации защиты бизнеса в современных условиях стал наиболее актуальным. "Вскрываются" интернет-магазины и опустошаются кредитные карточки покупателей, казино и тотализаторы подвергаются шантажу, корпоративные сети попадают под внешнее управление, компьютеры "зомбируются" и включаются в бот-сети, а мошенничество с использованием похищенных персональных данных приобретает характер бедствия национального масштаба.

Поэтому руководители компаний должны осознавать важность информационной безопасности, научиться прогнозировать тенденции в этой области и управлять ими.

Целью данной работы является выявление достоинств и недостатков системы обеспечения информационной безопасности бизнеса на примере банка "Альфа-банк".

Характеристика деятельности ОАО "Альфа-Банк"

Альфа-Банк основан в 1990 году. Альфа-Банк является универсальным банком, осуществляющим все основные виды банковских операций, представленных на рынке финансовых услуг, включая обслуживание частных и корпоративных клиентов, инвестиционный банковский бизнес, торговое финансирование и управление активами.

Головной офис Альфа-Банка располагается в Москве, всего в регионах России и за рубежом открыто 444 отделений и филиалов банка, в том числе дочерний банк в Нидерландах и финансовые дочерние компании в США, Великобритании и на Кипре. В Альфа-Банке работает около 17 тысяч сотрудников.

Альфа-Банк является крупнейшим российским частным банком по размеру совокупных активов, совокупному капиталу и размеру депозитов. В банке имеется большая клиентская база как корпоративных клиентов, так и физических лиц. Альфа-Банк развивается как универсальный банк по основным направлениям: корпоративный и инвестиционный бизнес (включая малый и средний бизнес (МСБ), торговое и структурное финансирование, лизинг и факторинг), розничный бизнес (включая систему банковских филиалов, автокредитование и ипотеку). Особое внимание оказывается развитию банковских продуктов корпоративного бизнеса в массовом и МСБ сегментах, а также развитию удаленных каналов самообслуживания и интернет-эквайринга. Стратегическими приоритетами Альфа-Банка являются поддержание статуса лидирующего частного банка в России, укрепление стабильности, повышение прибыльности, установление отраслевых стандартов технологичности, эффективности, качества обслуживания клиентов и слаженности работы.

Альфа-Банк является одним из самых активных российских банков на мировых рынках капитала. Ведущие международные рейтинговые агентства присваивают Альфа-Банку одни из самых высоких рейтингов среди российских частных банков. Четыре раза подряд он занял первое место по результатам исследования "Индекс впечатления клиента". Сектор розничных банковских услуг после финансового кризиса", проведенного компанией Senteo совместно с PricewaterhouseCoopers. Также в 2012 году Альфа-Банк был признан лучшим интернет банком по версии журнала GlobalFinance, награжден за лучшую аналитику Национальной Ассоциацией Участников Фондового Рынка (НАУФОР), стал лучшим российским частным банком по индексу доверия, рассчитанным исследовательским холдингом Ромир.

Сегодня Банк располагает сетью федерального масштаба, включающей 83 точки продаж. Альфа Банк обладает одной из самых крупных сетей среди коммерческих банков, состоящей из 55 офисов и охватывающей 23 города. В результате увеличения сети у Банка появились дополнительные возможности по увеличению клиентской базы, расширению спектра и качества банковских продуктов, реализации межрегиональных программ, комплексному обслуживанию системообразующих клиентов из числа крупнейших предприятий.

Анализ теоретической базы вопроса информационной безопасности бизнеса

Актуальность и важность проблемы обеспечения информационной безопасности обусловлена следующими факторами:

·Современные уровни и темпы развития средств информационной безопасности значительно отстают от уровней и темпов развития информационных технологий.

·Высокие темпы роста парка персональных компьютеров, применяемых в разнообразных сферах человеческой деятельности. Согласно данным исследований компании Gartner Dataquest в настоящее время в мире более миллиарда персональных компьютеров.

информационная безопасность бизнес банк

·Резкое расширение круга пользователей, имеющих непосредственный доступ к вычислительным ресурсам и массивам данных;

В настоящее время значение информации, хранимой в банках, значительно увеличилось, сосредотачивалась важная и зачастую секретная информация о финансовой и хозяйственной деятельности многих людей, компаний, организаций и даже целых государств. Банк хранит и обрабатывает ценную информацию, затрагивающую интересы большого количества людей. Банк хранит важную информацию о своих клиентах, что расширяет круг потенциальных злоумышленников, заинтересованных в краже или порче такой информации.

Свыше 90% всех преступлений связана с использованием автоматизированных систем обработки информации банка. Следовательно, при создании и модернизации АСОИБ банкам необходимо уделять пристальное внимание обеспечению ее безопасности.

Основное внимание нужно уделять компьютерной безопасности банков, т.е. безопасности автоматизированных систем обработки информации банка, как наиболее актуальной, сложной и насущной проблеме в сфере банковской информационной безопасности.

Стремительное развитие информационных технологий открыло новые возможности для бизнеса, однако привело и к появлению новых угроз. Современные программные продукты из-за конкуренции попадают в продажу с ошибками и недоработками. Разработчики, включая в свои изделия всевозможные функции, не успевают выполнить качественную отладку создаваемых программных систем. Ошибки и недоработки, оставшиеся в этих системах, приводят к случайным и преднамеренным нарушениям информационной безопасности. Например, причинами большинства случайных потерь информации являются отказы в работе программно-аппаратных средств, а большинство атак на компьютерные системы основаны на найденных ошибках и недоработках в программном обеспечении. Так, например, за первые полгода после выпуска серверной операционной системы компании Microsoft Windows было обнаружено 14 уязвимостей, 6 из которых являются критически важными. Несмотря на то, что со временем Microsoft разрабатывает пакеты обновления, устраняющие обнаруженные недоработки, пользователи уже успевают пострадать от нарушений информационной безопасности, случившихся по причине оставшихся ошибок. Пока не будут решены эти многие другие проблемы, недостаточный уровень информационной безопасности будет серьезным тормозом в развитии информационных технологий.

Под информационной безопасностью понимается защищённость информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

В современном деловом мире происходит процесс миграции материальных активов в сторону информационных. По мере развития организации усложняется ее информационная система, основной задачей которой является обеспечение максимальной эффективности ведения бизнеса в постоянно меняющихся условиях конкуренции на рынке.

Рассматривая информацию как товар, можно сказать, что обеспечение информационной безопасности в целом может привести к значительной экономии средств, в то время как ущерб, нанесенный ей, приводит к материальным затратам. Например, раскрытие технологии изготовления оригинального продукта приведет к появлению аналогичного продукта, но от другого производителя, и как следствие нарушения информационной безопасности, владелец технологии, а может быть и автор, потеряют часть рынка и т.д. С другой стороны, информация является субъектом управления, и ее изменение может привести к катастрофическим последствиям в объекте управления.

Согласно ГОСТ Р 50922-2006, обеспечение информационной безопасности - это деятельность, направленная на предотвращение утечки информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Информационная безопасность актуальна как для предприятий, так и для госучреждений. С целью всесторонней защиты информационных ресурсов и осуществляются работы по построению и разработке систем информационной безопасности.

Существует множество причин, которые могут серьёзно повлиять на работу локальных и глобальных сетей, привести к потере ценной информации. Среди них можно выделить следующие:

Несанкционированный доступ извне, копирование или изменение информации случайные или умышленные действия, приводящие к:

искажению либо уничтожению данных;

ознакомление посторонних лиц с информацией, составляющей банковскую, финансовую или государственную тайну.

Некорректная работа программного обеспечения, приводящая к потере или порче данных из-за:

ошибок в прикладном или сетевом ПО;

заражения систем компьютерными вирусами.

Технические сбои оборудования, вызванные:

отключением электропитания;

отказом дисковых систем и систем архивации данных;

нарушением работы серверов, рабочих станций, сетевых карт, модемов.

Ошибки обслуживающего персонала.

Конечно, универсального решения, исключающего все перечисленные причины, нет, однако во многих организациях разработаны и применяются технические и административные меры, позволяющие риск потери данных или несанкционированного доступа к ним свести к минимуму.

На сегодняшний день существует большой арсенал методов обеспечения информационной безопасности, который применяется и в "Альфа-Банке":

·средства идентификации и аутентификации пользователей (так называемый комплекс 3А);

·средства шифрования информации, хранящейся на компьютерах и передаваемой по сетям;

·межсетевые экраны;

·виртуальные частные сети;

·средства контентной фильтрации;

·инструменты проверки целостности содержимого дисков;

·средства антивирусной защиты;

·системы обнаружения уязвимостей сетей и анализаторы сетевых атак.

"Комплекс 3А" включает аутентификацию (или идентификацию), авторизацию и администрирование. Идентификация и авторизация - это ключевые элементы информационной безопасности. При попытке доступа к какой - либо программе функция идентификации дает ответ на вопрос: "Кто вы?" и "Где вы?", являетесь ли вы авторизованным пользователем программы. Функция авторизации отвечает за то, к каким ресурсам конкретный пользователь имеет доступ. Функция администрирования заключается в наделении пользователя определенными идентификационными особенностями в рамках данной сети и определении объема допустимых для него действий. В "Альфа-Банке" при открытии программ запрашивается пароль и логин каждого сотрудника, а при осуществлении каких-либо операций в некоторых случаях нужна авторизация руководителя или его заместителя в отделении.

Межсетевой экран представляет собой систему или комбинацию систем, образующую между двумя или более сетями защитный барьер, предохраняющий от несанкционированного попадания в сеть или выхода из нее пакетов данных. Основной принцип действия межсетевых экранов. проверка каждого пакета данных на соответствие входящего и исходящего IP_адреса базе разрешенных адресов. Таким образом, межсетевые экраны значительно расширяют возможности сегментирования информационных сетей и контроля за циркулированием данных.

Говоря о криптографии и межсетевых экранах, следует упомянуть о защищенных виртуальных частных сетях (Virtual Private Network - VPN). Их использование позволяет решить проблемы конфиденциальности и целостности данных при их передаче по открытым коммуникационным каналам.

Эффективное средство защиты от потери конфиденциальной информации. Фильтрация содержимого входящей и исходящей электронной почты. Проверка самих почтовых сообщений и вложений в них на основе правил, установленных в организации, позволяет также обезопасить компании от ответственности по судебным искам и защитить их сотрудников от спама. Средства контентной фильтрации позволяют проверять файлы всех распространенных форматов, в том числе сжатые и графические. При этом пропускная способность сети практически не меняется.

Современные антивирусные технологии позволяют выявить практически все уже известные вирусные программы через сравнение кода подозрительного файла с образцами, хранящимися в антивирусной базе. Кроме того, разработаны технологии моделирования поведения, позволяющие обнаруживать вновь создаваемые вирусные программы. Обнаруживаемые объекты могут подвергаться лечению, изолироваться (помещаться в карантин) или удаляться. Защита от вирусов может быть установлена на рабочие станции, файловые и почтовые сервера, межсетевые экраны, работающие под практически любой из распространенных операционных систем (Windows, Unix - и Linux_системы, Novell) на процессорах различных типов. Фильтры спама значительно уменьшают непроизводительные трудозатраты, связанные с разбором спама, снижают трафик и загрузку серверов, улучшают психологический фон в коллективе и уменьшают риск вовлечения сотрудников компании в мошеннические операции. Кроме того, фильтры спама уменьшают риск заражения новыми вирусами, поскольку сообщения, содержащие вирусы (даже еще не вошедшие в базы антивирусных программ) часто имеют признаки спама и отфильтровываются. Правда, положительный эффект от фильтрации спама может быть перечеркнут, если фильтр наряду с мусорными удаляет или маркирует как спам и полезные сообщения, деловые или личные.

Можно выделить несколько наиболее типичных видов и способов информационных угроз:

Рассекречивание и кража коммерческой тайны. Если раньше секреты хранились в потайных местах, в массивных сейфах, под надежной физической и (позднее) электронной защитой, то сегодня многие служащие имеют доступ к офисным базам данных, нередко содержащим весьма чувствительную информацию, например, те же данные о клиентах.

Распространение компрометирующих материалов. То есть умышленное или случайное использование сотрудниками в электронной переписке таких сведений, которые бросают тень на репутацию банка.

Посягательство на интеллектуальную собственность. Важно не забывать, что любой интеллектуальный продукт, производимый в банках, как и в любой организации, принадлежит ей и не может использоваться сотрудниками (в том числе генераторами и авторами интеллектуальных ценностей) иначе как в интересах организации. Между тем, в России по этому поводу часто возникают конфликты между организациями и служащими, претендующими на созданный ими интеллектуальный продукт и использующими его в личных интересах, в ущерб организации. Это нередко происходит из-за расплывчатой правовой ситуации на предприятии, когда в трудовом контракте нет четко прописанных норм и правил, очерчивающих права и обязанности служащих.

Распространение (часто неумышленное) внутренней информации, не секретной, но могущей быть полезной для конкурентов (других банках).

Посещения сайтов банков-конкурентов. Сейчас все больше компаний используют на своих открытых сайтах программы (в частности, предназначенные для CRM), которые позволяют распознавать посетителей и детально отслеживать их маршруты, фиксировать время, длительность просмотра ими страниц сайта. Сайты конкурентов были и остаются ценным источником для анализа и прогноза.

Злоупотребление офисными коммуникациями в личных целях (прослушивание, просмотр музыкального и прочего контента, не имеющего отношения к работе, загрузка офисного компьютера) не несет прямой угрозы для информационной безопасности, но создает дополнительные нагрузки на корпоративную сеть, снижает эффективность, мешает работе коллег.

И, наконец, внешние угрозы - несанкционированные вторжения и т.п.

Правила, принятые в банке, должны соответствовать как национальному, так и международно-признанным нормам защиты государственных и коммерческих тайн, персональной и приватной информации.

Организационная защита информации в "Альфа-Банке"

В ОАО "Альфа Банк" реализована политика безопасности, основанная на избирательном способе управления доступом. Такое управление в ОАО "Альфа Банк" характеризуется заданным администратором множеством разрешенных отношений доступа. Матрица доступа заполняется непосредственно системным администратором компании. Применение избирательной политики информационной безопасности соответствует требованиям руководства и требований по безопасности информации и разграничению доступа, подотчетности, а также имеет приемлемую стоимость ее организации. Реализацию политики информационной безопасности полностью возложено на системного администратора ОАО "Альфа Банк".

Наряду с существующей политикой безопасности в компании ОАО "Альфа Банк", используется специализированные аппаратные и программные средства обеспечения безопасности.

В качестве аппаратного средства обеспечения безопасности используется средство зашиты - Cisco 1605. Маршрутизатор снабжен двумя интерфейсами Ethernet (один имеет интерфейсы TP и AUI, второй - только TP) для локальной сети и одним слотом расширения для установки одного из модулей для маршрутизаторов серии Cisco 1600. В дополнение к этому программное обеспечение Cisco IOSFirewallFeatureSet делает из Cisco 1605-R идеальный гибкий маршрутизатор/систему безопасности для небольшого офиса. В зависимости от установленного модуля маршрутизатор может поддерживать соединение, как через ISDN, так и через коммутируемую линию или выделенную линию от 1200 бит/сек до 2Мбит/сек, FrameRelay, SMDS, x.25.

Для защиты информации владелец ЛВС должен обезопасить "периметр" сети, например, установив контроль в месте соединения внутренней сети с внешней сетью. Cisco IOS обеспечивает высокую гибкость и безопасность как стандартными средствами, такими как: Расширенные списки доступа (ACL), системами блокировки (динамические ACL) и авторизацией маршрутизации. Кроме того Cisco IOS FirewallFeatureSet доступный для маршрутизаторов серии 1600 и 2500 обеспечивает исчерпывающие функции системы защиты включая:

контекстное Управление Доступом (CBAC)

блокировка Java

журнал учета

обнаружение и предотвращение атак

немедленное оповещение

Кроме того, маршрутизатор поддерживает работу виртуальных наложенных сетей, туннелей, систему управления приоритетами, систему резервирования ресурсов и различные методы управления маршрутизацией.

В качестве программного средства защиты используется решение KasperskyOpenSpaceSecurity. KasperskyOpenSpaceSecurity полностью отвечает современным требованиям, предъявляемым к системам защиты корпоративных сетей:

решение для защиты всех типов узлов сети;

защита от всех видов компьютерных угроз;

эффективная техническая поддержка;

"проактивные" технологии в сочетании с традиционной сигнатурной защитой;

инновационные технологии и новое антивирусное ядро, повышающее производительность;

готовая к использованию система защиты;

централизованное управление;

полноценная защита пользователей за пределами сети;

совместимость с решениями сторонних производителей;

эффективное использование сетевых ресурсов.

Разрабатываемая система должна обеспечивать полный контроль, автоматизированный учёт и анализ защиты персональной информации, позволять уменьшить время обслуживания клиентов, получать информацию о кодах защиты информации и персональных данных.

Для формирования требования к разрабатываемой системе, необходимо сформировать требования к организации БД, информационной совместимости к разрабатываемой системе.

В основу проектирования баз данных должны быть положены представления конечных пользователей конкретной организации - концептуальные требования к системе.

В данном случае, ИС содержит данные о сотрудниках фирмы. Одной из технологий, которая существенно иллюстрирует работу информационной системы, является разработка схемы документооборота для документов.

Функции разрабатываемой системы могут быть достигнуты, за счет использования вычислительной техники и программных средств. Учитывая, что поиск информации, сведений и документов учета в деятельности специалистов банка составляют порядка 30% рабочего времени, то внедрение автоматизированной системы учета позволит существенно высвободить квалифицированных специалистов, может привести к экономии фонда заработанной платы, уменьшения штата сотрудников, однако могут привести к и введению в штат сотрудников отдела штатной единицы оператора, в обязанности которого будет входить ввод сведений о протекающих бизнес-процессах: документов учета персональных данных и кодов доступа.

Необходимо отметить, что внедрение разрабатываемой системы, позволит снизить, а в идеале, полностью исключить ошибки учета персональной и информации и кодов защиты. Таким образом, внедрение автоматизированного рабочего места менеджера приведет к значительному экономическому эффекту, сокращению штата сотрудников на 1/3, экономии фонда заработанной платы, повышению производительности труда.

В "Альфа-Банке", как и в любом другом банке разработана Политика информационной безопасности, которая определяет систему взглядов на проблему обеспечения безопасности информации и представляет собой систематизированное изложение целей и задач защиты, как одно или несколько правил, процедур, практических приемов и руководящих принципов в области информационной безопасности.

Политика учитывает современное состояние и ближайшие перспективы развития информационных технологий в Банке, цели, задачи и правовые основы их эксплуатации, режимы функционирования, а также содержит анализ угроз безопасности для объектов и субъектов информационных отношений Банка.

Основные положения и требования данного документа распространяются на все структурные подразделения Банка, включая дополнительные офисы. Основные вопросы Политика также распространяются на другие организации и учреждения, взаимодействующие с Банком в качестве поставщиков и потребителей информационных ресурсов Банка в том или ином качестве.

Законодательной основой настоящей Политики являются Конституция Российской Федерации, Гражданский и Уголовный кодексы, законы, указы, постановления, другие нормативные документы действующего законодательства Российской Федерации, документы Государственной технической комиссии при Президенте Российской Федерации, Федерального агентства правительственной связи и информации при Президенте Российской Федерации.

Политика является методологической основой для:

·формирования и проведения единой политики в области обеспечения безопасности информации в Банке;

·принятия управленческих решений и разработке практических мер по воплощению политика безопасности информации и выработки комплекса согласованных мер, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз безопасности информации;

·координации деятельности структурных подразделений Банка при проведении работ по созданию, развитию и эксплуатации информационных технологий с соблюдением требований по обеспечению безопасности информации;

·разработки предложений по совершенствованию правового, нормативного, технического и организационного обеспечения безопасности информации в Банке.

Системный подход к построению системы защиты информации в Банке предполагает учет всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, значимых для понимания и решения проблемы обеспечения безопасности информации Банка.

Обеспечение безопасности информации - процесс, осуществляемый Руководством Банка, подразделениями защиты информации и сотрудниками всех уровней. Это не только и не столько процедура или политика, которая осуществляется в определенный отрезок времени или совокупность средств защиты, сколько процесс, который должен постоянно идти на всех уровнях внутри Банка и каждый сотрудник Банка должен принимать участие в этом процессе. Деятельность по обеспечению информационной безопасности является составной частью повседневной деятельности Банка. И ее эффективность зависит от участия руководства Банка в обеспечении информационной безопасности.

Кроме того, большинству физических и технических средств защиты для эффективного выполнения своих функций необходима постоянная организационная (административная) поддержка (своевременная смена и обеспечение правильного хранения и применения имен, паролей, ключей шифрования, переопределение полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых методов и средств защиты, для внедрения специальных программных и аппаратных "закладок" и других средств преодоления защиты.

Персональная ответственность предполагает возложение ответственности за обеспечение безопасности информации и системы ее обработки на каждого сотрудника в пределах его полномочий. В соответствии с этим принципом распределение прав и обязанностей сотрудников строится таким образом, чтобы в случае любого нарушения круг виновников был четко известен или сведен к минимуму.

В "Альфа-Банке" постоянно осуществляется контроль, за деятельностью любого пользователя, каждого средства защиты и в отношении любого объекта защиты должен осуществляться на основе применения средств оперативного контроля и регистрации и должен охватывать как несанкционированные, так и санкционированные действия пользователей.

В банке разработаны следующие организационно-распорядительные документы:

·Положение о коммерческой тайне. Указанное Положение регламентирует организацию, порядок работы со сведениями, составляющими коммерческую тайну Банка, обязанности и ответственность сотрудников, допущенных к этим сведениям, порядок передачи материалов, содержащих сведения, составляющим коммерческую тайну Банка, государственным (коммерческим) учреждениям и организациям;

·Перечень сведений, составляющих служебную и коммерческую тайну. Перечень определяет сведения, отнесенные к категориям конфиденциальных, уровень и сроки обеспечения ограничений по доступу к защищаемой информации;

·Приказы и распоряжения по установлению режима безопасности информации:

·допуске сотрудников к работе с информацией ограниченного распространения;

·назначении администраторов и лиц, ответственных за работу с информацией ограниченного распространения в корпоративной информационной системе;

·Инструкции и функциональные обязанности сотрудникам:

·по организации охранно-пропускного режима;

·по организации делопроизводства;

·по администрированию информационных ресурсов корпоративной информационной системы;

·другие нормативные документы.

Заключение

Сегодня вопрос об организации информационной безопасности волнует организации любого уровня - начиная с крупных корпораций, и заканчивая предпринимателями без образования юридического лица. Конкуренция в современных рыночных отношениях далека от совершенства и часто ведется не самыми легальными способами. Процветает промышленный шпионаж. Но нередки и случаи непреднамеренного распространения информации, относящейся к коммерческой тайне организации. Как правило, здесь играет роль халатность сотрудников, непонимание ими обстановки, иными словами, "человеческий фактор".

Альфа-Банк обеспечивает защиту следующей информации:

коммерческую тайну

банковская тайна

банковские документы (отчеты Отдела безопасности, годовая смета банка, инф. о доходах сотрудников банка и др.)

Информацию в банке защищают таких угроз, как:

·Естественные

·Искусственные угрозы (непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании информационной системы и ее элементов, ошибками в действиях персонала и т.п.; преднамеренные (умышленные) угрозы, связанные с корыстными, идейными или иными устремлениями людей (злоумышленников).

Источники угроз по отношению к самой информационной системе могут быть как внешними, так и внутренними.

Список литературы

1. Указ Президента РФ "О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена" от 17.03.2008 №351;

Галатенко, В.А. Основы информационной безопасности. Интернет-университет информационных технологий. ИНТУИТ. ру, 2008;

Галатенко, В.А. Стандарты информационной безопасности. Интернет-университет информационных технологий. ИНТУИТ. ру, 2005;