Информационный актив это информация с реквизитами

Получить консультациюпо продукту Solar Dozor

Контроль информационных активов организации и их защита – одна из ключевых задач информационной безопасности в организации. Утечка, кража, модификация, уничтожение важных сведений могут иметь предсказуемые последствия для бизнеса и отрицательно сказаться на репутации компании. Необходимо заранее подобрать и реализовать грамотную стратегию управления рисками согласно специфике работы организации и уровню критичности данных.

Что такое информационные активы? Виды информационных активов

Информационные активы — это любые сведения, включающие специфическую информацию о компании, ее деятельности, которые позволяют ее идентифицировать. Такие сведения могут находиться в материальной или цифровой форме, принадлежать организации и представлять для нее большую ценность. Информационные активы включают разные группы информации, которые отличаются между собой значимостью, ценностью, критичностью.

Необходимо проводить классификацию информационных активов по категориям и создать модель управления рисками, чтобы расставить приоритеты информационной безопасности. Классификация информационных активов ведется по разным критериям. Согласно содержимому и классу ценности выделяют:

Открытые активы. Это любые данные, находящиеся в открытом доступе и не требующие соблюдения конфиденциальности. Например, информация, отражающая юридические реквизиты компании, число сотрудников, представленная в открытых источниках.
Служебные активы. Информация, которая используется внутри организации для выполнения и поддержания рабочих процессов. Это могут быть отчетность, статистика, знания. В определенных случаях подобные активы могут быть связаны с финансовыми рисками для организации.
Конфиденциальные активы. Закрытая информация, которая не может быть вынесена за пределы организации ввиду серьезных финансовых и репутационных рисков. Например, коммерческая тайна, ПДн, собственные разработки.

Согласно критериям ценности и степени ущерба, информационные активы подразделяют на:

Мало важные. Сведения, которые не несут угрозы при раскрытии. Например, сведения о размере заработной платы сотрудников организации.
Средне важные. Сведения, которые несут ощутимые угрозы при утечке. Например, хищение товарных накладных.
Высоко важные. Сведения, которые несут высокие угрозы при утечке. Например, передача ПДн третьей стороне.
Критически важные. Сведения, которые несут крайние угрозы при утечке. Например, хищение коммерческой тайны и передача ее конкуренту.

Помимо вышеперечисленной классификации информационные активы подразделяются по критериям доступности, форме представления, характеру владения и использования.

Риски, связанные с информационными активами организации

В отношении любой ценной информации всегда присутствуют множественные риски безопасности, которые связаны с разными типами угроз:

Внутренние угрозы. Наиболее широкая группа проблем, которая имеет прямое отношение к внутренним утечкам случайного и намеренного характера, действиям инсайдеров. Возникают при обходе систем защиты информации и контроля доступа. Сопровождаются разглашением конфиденциальной информации разного уровня критичности, кражей важных данных.
Внешние угрозы. Связаны с деятельностью киберпреступников, конкурентов, которые преследуют цель заполучить чужие активы, использовать их в корыстных мотивах. Это могут быть БД, коммерческая тайна, разработки. Реализуются путем кибератак на серверы и информационные системы организаций, через разные виды фишинга.
Случайные угрозы антропогенного и природного характера. Возникают в ходе форс-мажорных обстоятельств под воздействием деятельности человека или стихийных бедствий. Носят случайный и плохо прогнозируемый сценарий развития ситуации.

Средства и способы защиты информационных активов

Информационные активы организации должны защищаться комплексно и разносторонне. Немалую роль здесь играет реализация мер по обеспечению контроля и мониторинга информации, регулированию доступа. Мероприятия по защите информационных активов выполняются по двум основным направлениям:

Организационно-правовое. С учетом действующего законодательства и рекомендаций регуляторов, разрабатываются политики информационной безопасности для внедрения в работу организации. Здесь важно понимать специфику работы с теми или иными данными, их уровень критичности, частоту обработки. В рамках организационно-правовых мер также проводится обучение персонала для повышения его киберграмотности и ответственности при работе с информационными активами компании. Несмотря на тот факт, что организационно-правовые методы защиты во многом носят подготовительный и превентивный характер, их успешная реализация на практике – залог понимания у персонала компании уровня ответственности при работе с информацией и следование принципам информационной безопасности.
Программно-техническое. Реализуется по схеме с предварительно разработанной моделью рисков и индивидуальной стратегией ИБ. Сводится к внедрению программно-аппаратных решений, которые управляют доступом к информации, ведут мониторинг информационных ресурсов, отслеживают и фильтруют трафик. Зачастую требуется использование 2-3 разных категорий СЗИ, которые обеспечивают полную защиту и покрывают весь информационный периметр организации. Это могут быть CRM, DLP-системы, SWG, IdM/IGA-решения.

Контроль информационных активов организации слабо представляется без автоматизированных инструментов обнаружения и предотвращения утечек. Например, Solar Dozor позволяет вести контроль коммуникации сотрудников, выявлять группы риска, обнаруживать нежелательное поведение сотрудников, противоречащее политикам безопасности, находить и предотвращать утечки данных.

Источник

Что такое информационные активы? Примеры

Наша жизнь постоянно усложняется во всех сферах. Возникают новые и невиданные ранее подходы, технологии, активы. Для современных крупных предприятий большую роль играют информационные активы. Что они собой представляют?

Общая информация

Прежде чем приступать к основной теме, давайте затронем необходимый теоретический минимум. А именно, поговорим об информации. Она является одним из наиболее важных производственных активов, от которого в значительной мере зависит эффективность деятельности предприятия и его жизнеспособность. Это может быть как секрет создания определенного товара, так и внутренние финансовые данные. Любая более-менее крупная организация имеет свои информационные активы, относительно которых очень нежелательно, чтобы они попали в сторонние руки. Поэтому остро стоят вопросы хранения и безопасности.

Об общих понятиях

Чтобы успешно разобраться со всеми представленными данными, необходимо знать несколько моментов:

Информационный актив. Это данные с реквизитами, которые позволяют провести идентификацию. Имеют ценность для определенной организации и находятся в ее распоряжении. Представлены на любом материальном носителе в форме, которая позволяет обрабатывать ее, хранить, или передавать.
Классификация информационных активов. Это разделение имеющихся данных организации по типам, которые соответствуют степени тяжести возникающих последствий как результат потери их важных свойств.

Как можно понять, важны не только отдельные цифры и их пояснения, но и возможность оперативно использовать, защита от несанкционированного доступа и ряд других моментов. Когда выделены и сформированы информационные активы предприятия, остро встает вопрос их правильной классификации с последующим обеспечением безопасности. Почему именно так? Дело в том, что с помощью классификации можно оформить ключевые метрики для используемой информации – ее ценность, сила влияния на предприятие, требования к обеспечению/сопровождению/защите и тому подобное. Во многом от этого зависит, как данные будут обрабатываться и защищаться. Кроме этого, существует ряд нормативных стандартов, которые предусматривают проведение обязательной инвентаризации информационных активов организации. Хотя единой процедуры для этого и не существует.

Немного о классификации для предприятий

Подход к данным зависит от того, в каких условиях и с чем мы имеем дело. Рассмотрим информационные активы на примере частного предприятия. Классификация проводится с целью обеспечить дифференцированный подход к данным с учетом уровня их критичности, что влияют на деятельность, репутацию, деловых партнеров, работников и клиентов. Это позволяет определить экономическую целесообразность и приоритетность различных мероприятий по формированию информационной безопасности предприятия. В соответствии с законодательством Российской Федерации выделяют:

Общедоступную (открытую) информацию.
Персональные данные.
Информацию, содержащую сведения, что составляют банковскую тайну.
Данные, что относятся к коммерческим секретам.

Как оценить их важность? Для этого используют специальные модели. Давайте рассмотрим их более внимательно.

Классификационные модели

Чаще всего встречаются две из них:

Однофакторная классификация. Базируется на степени ущерба. Здесь во просто. Рассмотрим небольшой пример. Активы информационной системы распределяются на четыре блока в зависимости от степени вероятного нанесения ущерба при утечке данных. Как пример – минимальный, затем — средний, высокий и напоследок – критический. Если неопределенному кругу лиц будет известно, кого директор принимает сегодня в своем кабинете, то это можно классифицировать как минимальный вид ущерба. Но вот если информация о подкупе государственного чиновника утечет в прокуратуру, это критическое положение.
Многофакторная модель классификации. Базируется на трех классических параметрах. В данном случае вся информация представляет интерес с точки зрения конфиденциальности, доступности и целостности. По каждой позиции требования проставляются отдельно – высокие, средние, низкие. По совокупности они оцениваются, к примеру, как критической или базовой важности.

О классах

Чтобы оценка информационных активов была максимально эффективной и сдвинутой от количества к качеству, можно ввести классы, что будут отражать ценность данных и уровень требований к ним. В таких случаях обычно выделяют:

Открытый класс. В данном случае не предусмотрены ограничения на распространение и использование, финансовый ущерб от известности отсутствует.
Для служебного пользования. Для использования внутри организации. Финансовый ущерб отсутствует. Но могут возникнуть иные виды убытков для работников организации или всей структуры.
Конфиденциальная. Предусмотрено использование внутри организации, при работе с клиентами и контрагентами. Разглашение принесет финансовый ущерб.

О конфиденциальных данных

Такую информацию условно можно разделить на несколько категорий. Первые две используются в коммерческих структурах, остальные, как правило, исключительно государством:

С ограниченным доступом. Предусматривает использование определенным кругом сотрудников организации. Финансовый ущерб обычно оценивается в сумму до миллиона рублей.
Секретная. Предусматривает использование исключительно определенными членами руководящего состава организации. Финансовый ущерб обычно начинается от значений в миллион рублей.
Совершенно секретная. Это данные из военной, экономической, внешнеполитической, разведывательной, научно-технической сфер, оперативно-разыскной деятельности, разглашение которых может нанести ущерб министерству или отрасли экономики в одной или нескольких перечисленных областях.
Особой важности. Это данные из военной, экономической, внешнеполитической, разведывательной, научно-технической сфер, оперативно-разыскной деятельности, разглашение которых может нанести существенный ущерб Российской Федерации в одной или нескольких перечисленных областях.

Как же обрабатываются информационные активы?

Давайте рассмотрим один из возможных алгоритмов:

Выявляются информационные активы, существующие в любом виде (электронные и бумажные документы, потоки данных, флешки и тому подобное), что циркулируют между подразделениями в организации. Все это собирается, уточняется, и строится большая схема, на которой все отображено.
Делаем все то же, но уже по отношению к каждому отдельному подразделению.
Информационные активы привязываются к инфраструктуре, в которой хранятся, отмечается, по каким каналам передаются, где и в каких системах содержатся и тому подобное. Здесь есть один важный момент! Этот пункт предусматривает работу с каждым отдельным информационным активом. Для него рисуется вся среда обитания (чем более детализовано, тем лучше, ведь легче будет выявить угрозы). Нужно отобразить порты передачи, каналы и прочее.
Берем все наработки и повторно классифицируем их, используя такие характеристики, как конфиденциальность, доступность, целостность.

Жизненный цикл

Вот такой путь проходит перед своей классификацией этот ценный актив. Информационная безопасность, поверьте, играет немалую роль, и не нужно пренебрегать ею. При этом значительное внимание необходимо уделять жизненному циклу. Что это такое? Жизненный цикл – это набор определенных периодов, по истечении которых важность объекта, как правило, понижается. Условно можно выделить такие стадии:

Информация используется в операционном режиме. Это значит, что она принимает участие в производственном цикле и востребована постоянно.
Информация используется в архивном режиме. Это значит, что она не принимает непосредственного участия в производственном цикле, хотя периодически требуется для совершения аналитической или иной деятельности.
Информация хранится в архивном режиме.

Вот, пожалуй, и все. Какие данные хранятся – информационная база активов или что-то другое – это не важно. Главное – обеспечить конфиденциальность, доступность, целостность. Тогда не придется переживать за репутацию и считать убытки.

22.02.2018
Человек
Юридические тонкости

Источник

Классификация информационных активов (ИА) это важнейший процесс не только для обеспечения ИБ, но так же и построения управляемой ИТ-инфраструктуры всей компании. Классификация позволяет получить ключевые метрики для используемой информации — ценность, степень влияния на бизнес-процессы, требования к обеспечению т.д. От качества выполненной классификации во многом зависит то как будет защищаться и обрабатываться информация. Более того, многие нормативные стандарты требует проведения обязательной инвентаризации и классификации ИА. Однако, какой либо единой процедуры на этот счет не существует. В сегодняшнем материалы мы попытаемся систематизировать имеющийся опыт по методике классификации ИА, а так же рассмотрим общие подходы существующие на сегодняшний день

Если, вспомнить определения, приведенные в отраслевом стандарте Банка России СТО БР ИББС-1.0-2014, то там четко прописаны определения:

Информационный актив — Информация с реквизитами, позволяющими ее идентифицировать; имеющая ценность для организации БС РФ; находящаяся в распоряжении организации БС РФ и представленная на любом материальном носителе в пригодной для ее обработки, хранения или передачи форме.

Классификация информационных активов — Разделение существующих информационных активов организации БС РФ по типам, выполняемое в соответствии со степенью тяжести последствий от потери их значимых свойств ИБ.

Так же термин классификация упоминается в ряде отечественных и международных стандартах, например:

ISO/IEC TR 13569:2005 Финансовые услуги – Рекомендации по информационной безопасности

Классификация – это схема, разделяющая информацию на категории, такие как: возможность мошенничества, конфиденциальность или критичность информации, с целью возможности применения соответствующих защитных мер

Р Газпром 4.2.3-001. Методика классификации объектов защиты

Классификация объектов защиты выполняется с целью обеспечения дифференцированного подхода к организации их защиты с учетом уровня критичности, характеризующего влияние на деятельность и репутацию организации, ее деловых партнеров, клиентов и работников

Классификация позволяет определить приоритетность и экономическую целесообразность проведения дальнейших мероприятий по обеспечению информационной безопасности объекта защиты

Другие документы в которых так же есть отсылка к классификации ИА:

ISO/IEC 27002:2005 Информационные технологии – Свод правил по управлению защитой информации

ISO/IEC 20000-2 Информационные технологии – Управление услугами. Свод практик

Более того в Российской Федерации для обеспечения защиты конфиденциальной информации в режиме коммерческой тайны (КТ) согласно ФЗ от 29 июля 2004 г. №98-ФЗ «О коммерческой тайне», собственнику просто необходимо произвести классификацию имеющихся у него ИА.

Для проведения классификации ИА в соответствии с нормами действующего законодательства РФ определены следующие типы информации:

открытая (общедоступная) информация;

персональные данные (ПДн) ;

информация, содержащая сведения, составляющие банковскую тайну (БТ), согласно федеральному закону , в том числе неплатежная информация;

информация, содержащая сведения, составляющие коммерческую тайну (КТ)

Классификацию ИА можно выполнять основываясь по одной из следующих моделей:

1. Однофакторная классификация основанная на степени ущерба.

По сути здесь все просто, классифицируем информацию, к примеру на четыре блока по степени нанесения ущерба в случае ее утечки — минимальный, средний, высокий и критический. Так, например, если неопределенному кругу лиц станет известно о том, кого сегодня директор принимает в своем кабинете это один вид ущерба (минимальный), другое дело если утекут условия и детали сделки по какому-либо крупному проекту (высокий или критический)

2. Многофакторная модель классификации по трем классическим параметрам

Здесь вся информация рассматривается с точки зрения обеспечения ее конфиденциальности, целостности и доступности. И так для каждого отдельного ИА проставляется требования отдельно по трем описанным позициям — высокий, средний, низкий. По совокупности так можно будет качественно оценить ИА, к примеру, критичной важности или базовой важности.

Для перехода к количественной оценке информационных активов необходимо ввести классы, отражающие как ценность ИА, так и уровень требований к защите ИА.

Каждому ИА в таком случае будет присвоен соответствующий класс:

Открытый (О) – ограничения на распространение и использование не накладываются, финансовый ущерб отсутствует;

Для служебного использования (ДСП) – для использования внутри организации, финансовый ущерб отсутствует, возможно возникновения иных видов ущерба для организации или работников организации;

Конфиденциальная (КТ) – для использования как внутри организации так и при обмене с клиентами и контрагентами, финансовый ущерб реален

В свою очередь Конфиденциальную информацию (КТ) можно условно разделить на несколько подкатегорий для градации по степени ценности:

С ограниченным доступом (Д) – для использования определенным кругом работников организации, финансовый ущерб, к примеру до 1 млн. рублей;

Секретный (С) – для использования только определенными членами руководящего состава организации, финансовый ущерб, к примеру, более 1 млн. рублей.

В итоге мы можем получить следующую .таблицу

Независимо от характера самих информационных ресурсов, они обязательно обладают одной или несколькими из следующих характеристик:

Они признаются ценными для организации.

Их невозможно заменить без затрат средств, времени, иных ресурсов или их сочетания.

Они существенно влияют на деятельность организации, без этих ре- сурсов возникает угроза для основной деятельности организации.

В целом схема выполенеия классифиакции ИА может быть следующей:

Этап 1. Построение перечня ИА и схемы ИА

На данном этапе необходимо выявить ИА в любом виде (электронные документы, бумажные документы, флешки, информационный потоки и т.п.) циркулирующие между подразделениями в вашей организации, не углубляясь в документооборот внутри подразделений.

Для этого в подразделения рассылается анкета с полями вида:

Какую информацию, в каком виде и от каких подразделений вы получаете?

Какую информацию, в каком виде и в какие подразделения вы передаете?

После этого собираете данные от подразделений, уточняете её и на основе этого строите большую схему, показывающую циркуляцию информации.

В итоге на выходе получаются следующие документы:

1. Перечень ИА

2. Схема ИА

Этап 2. Построение перечня ИА и схемы ИА на уровне подразделений,

Работа та же самая, что и на 1м этапе, но уже рассматриваем каждое подразделение отдельно.

Этап 3. Начинаем привязывать ИА к инфраструктуре, где хранятся, по каким каналам передаются, в каких информационных системах содержатся и тд.

Тут уже берем один ИА и рисуем всю его среду обитания (чем подробнее, тем лучше, тк. потом будет проще выявлять угрозы. Т.е. пишем порты передачи, по каким каналам итд, думаю вам, как ИТшнику это будет проще всего).

Этап 4. Берем все, что наработали и повторно классифицируем (для окончательной ясности) ИА по характеристикам (К,Ц,Д).

Примерная модель классификации (буквено-цифровое кодирование)

Таким образом можно предложить следующую модель для классификации информационных объектов. Для удобства дальнейших ссылок на класс категории рекомендуем сразу ввести буквенно-цифровое обозначение (в приведенном примере литера «Д» означает «доступность», «Ц» — «целостность»* «К» — «конфиденциальность», цифры возрастают с убыванием значимости критерия).

По наличию (доступность)

Критическая — без нее работа субъекта останавливается (ДО).

Очень важная — без нее можно работать, но очень короткое время (Д1).

Важная — без нее можно работать некоторое время, но рано или поздно она понадобится (Д2)

Полезная — без нее можно работать, но ее использование экономит ресурсы (ДЗ).

Несущественная — устаревшая или неиспользуемая, не влияющая на работу субъекта (Д4).

Вредная — ее наличие требует обработки, а обработка ведет к расходу ресурсов, не давая результатов либо принося ущерб (Д5). (В определенных организациях может понадобиться и такой параметр.)

По несанкционированной модификации (целостность)

Критическая — ее несанкционированное изменение приведет к неправильной работе всего субъекта или значительной его части; последствия модификации необратимы (ЦО)

Очень важная — ее несанкционированное изменение приведет к неправильной работе субъекта через некоторое время, если не будут предприняты некоторые действия; последствия модификации необратимы (Ц1).

Важная — ее несанкционированное изменение приведет к неправильной работе части субъекта через некоторое время, если не будут предприняты некоторые действия; последствия модификации обратимы (Ц2).

Значимая — ее несанкционированное изменение скажется через некоторое время, но не приведет к сбою в работе субъекта; последствия модификации обратимы (ЦЗ).

Незначимая — ее несанкционированное изменение не скажется на работе системы (Ц4).

По разглашению (конфиденциальность)

Критическая — разглашение информации приведет к краху работы субъекта или к очень значительным материальным потерям (КО).

Очень важная — разглашение приведет к значительным материальным потерям, если не будут предприняты некоторые действия (К1).

Важная — разглашение приведет к некоторым материальным (может быть, косвенным) или моральным потерям, если не будут предприняты некоторые действия (К2).

Значимая — приносит скорее моральный ущерб, может быть использована только в определенных ситуациях (КЗ).

Малозначимая — может принести моральный ущерб в очень редких случаях (К4).

Незначимая — не влияет на работу субъекта (К5).

Каждая из указанных выше категорий информации имеет свой жизненный цикл, по истечении периодов которого степень важности объекта, как правило, снижается.

Жизненный цикл обычно можно обозначить следующими стадиями.

Информация используется в операционном режиме, т. е. принимает участие в производственном цикле и бывает востребована практически постоянно.

Информация используется в архивном режиме, т. е. не принимает непосредственного участия в производственном цикле, но периодически требуется для аналитической или другой деятельности.

Информация хранится в архивном режиме для обеспечения соответствия требованиям сохранения (например, вышестоящей организации), практически не нужна самому предприятию.

Источник

Информация является одним из основных производственных активов, который оказывает большое влияние на эффективную работу компании. Любое предприятие обладает собственными информационными активами и заинтересовано в их безопасности.

Информационные активы представляют собой сведения с реквизитами. Ими распоряжается компания, для которой они имеют большую ценность.

Информационные активы могут находиться на материальных носителях любого типа, которые можно использовать как для их хранения и обработки, так и для передачи. На предприятии предусмотрена классификация информационных активов. Это деление их на виды, каждый из которых соответствует важности содержащейся информации и уроню ущерба в связи с их потерей.

Общие сведения

Важность информации складывается не только из конкретных цифр и пояснений к ним, но и из возможного факта их применения и обеспечения безопасности в плане доступа к ним. Когда информационные активы на предприятии уже созданы, появляется необходимость грамотно определить к какому виду они относятся (учитывая ценность информации, возможность влияния на деятельность компании), чтобы правильно организовать их хранение и защиту. Помимо этого, существует перечень нормативных стандартов, применяемых при осуществлении инвентаризации информационных активов компании. Однако, надо сказать, что установленной процедуры для этого не предусмотрено.

Ценность данных находится в прямой зависимости от того какую деятельность ведет предприятие. При проведении классификации необходимо определить в какой мере сформированные данные могут повлиять на работу компании, деловую репутации не только ее сотрудников, но также партнеров по бизнесу и клиентов.

Подробности

Виды информации

Согласно действующему российскому законодательству информацию разделяют на:

— открытую (доступную),

— персональную,

— содержащую данные, имеющие отношение к банковской тайне,

— относящуюся к секретам коммерческого характера.

Для осуществления классификации применяют специальные модели. Наиболее распространены два вида классификации:

— Однофакторная — которая основывается на уровне ущерба. К примеру, активы делят на четыре категории (минимальная, средняя, высокая, критическая) в зависимости от уровня возможного получения ущерба в случае утечки информации. Например, информация о плане приема руководителем посетителей в течение рабочего дня относится к минимальному уровню, так как уровень возможного ущерба низок. А вот, в случае утечки информации о планируемой даче взятки должностному лицу уровень будет критический, так как могут быть последствия привлечения к уголовной ответственности.

— Многофакторная — которая основывается на трех классических факторах. Любая информация интересна с позиции конфиденциальности, открытости и полноты. Требования (высокие, средние либо низкие) применяются к каждой отдельной позиции. Соответственно, оценка определяется по базовой важности либо критической.

Для того, чтобы наглядно показать ценность сведений и степень требований к ним, представим деление информационных активов на отдельные классы:

— открытый, означающий отсутствие финансовых потерь от известности определенных данных;

— ДСП (для служебного пользования), применяемый внутри компании. Финансовых потерь не предусматривается, однако, другого рода ущерб для сотрудников компании либо всех структуры возможен;

— конфиденциальный, используемый внутри компании, а также при взаимодействии с партнерами и клиентами. Доступность информации может привести к финансовым потерям.

Группировка

Информацию подобного рода можно условно разграничить на несколько групп. Первые две находят применение в коммерческих структурах, а две другие используются в масштабах государства:

Информация с ограниченным доступом. Используется ограниченным кругом сотрудников компании, возможность финансовых потерь может составлять до миллиона рублей.

Секретная информация. Используется конкретными руководящими сотрудниками, возможность финансовых потерь может составлять от миллиона рублей и выше.

Совершенно секретная. Это информация, имеющая отношение к сферам деятельности: военной, научно-технической, экономической, разведывательной, оперативно-розыскной. Доступность таких данных может нанести ущерб конкретной отрасли и министерству в любой обозначенной области, а может быть и в нескольких одновременно.

Особой важности. Данная информация касается всех вышеперечисленных сфер деятельности, возможность ее разглашения может принести ущерб каждой области отдельно и в совокупности, а также государству в целом.

Рассмотрим варианты обработки информационных активов:

— исследуются информационные активы, выраженные в любом виде (на бумажных носителях, электронные, диски, флэшки и т.д.), осуществляющие взаимодействие между подразделениями в компании. Вся собранная информация анализируется, уточняется и создается схема, на которой все наглядно изображено;

— все вышесказанное применяется в каждом подразделении отдельно;

— информационные активы относятся к определенной инфраструктуре, где они сохраняются, отображаются посредством каких каналов, происходит передача, в каких системах находятся и т.д. Работа осуществляется с каждым отдельным активом информации. Весь процесс подробно и детально отражается, что обеспечивает оперативную возможность выявления угроз;

— осуществляется повторная классификация имеющихся информационных активов с использованием таких параметров как открытость, конфиденциальность и полнота.

Итоги

Безопасность информации чрезвычайно важна и нельзя недооценивать возможность ее утечки. При этом, нужно уделить особое внимание жизненному циклу, то есть совокупности определенных периодов времени, по истечении которых снижается важность и актуальность объекта.

Таких периодов может быть несколько, когда:

— информация актуальна для осуществления производственного этапа и постоянно востребована;

— информация находится на архивном хранении и периодически применяется для какого-либо рода деятельности (например, для анализа);

— информация находится на хранении в архиве.

Самое важное обеспечение конфиденциальности информационной базы, а также ее целостности и открытости.

Источник

Законы

Как защитить коммерческую информацию от вирусов, хакеров и конкурентов

База клиентов, бухгалтерия, бизнес-планы — всё это ценная информация: если потеряете её, попадёте на деньги. Полностью защитить ценную информацию невозможно, но можно грамотно оценить риски и защитить самое важное, сэкономив на остальном. Рассказываем, как это сделать.

В небольшой торговой компании уволили сисадмина. Он быстро нашёл работу у конкурентов, а бывший работодатель через год потерял всех заказчиков. Оказалось, обиженный сотрудник оставил себе полный доступ к сети: переписка руководства, база клиентов, договоры с поставщиками, отчёты — всё попало к конкурентам.

Работодатель обратился к специалистам по информационной безопасности — они подбирают программы и железо для защиты данных. Бизнесмену посчитали смету на 3 млн рублей: продвинутый файервол (защита сети от взлома через интернет), антивирус в максимальной комплектации, система против утечек данных, шифрование каналов связи.

Чтобы не переплатить за защиту информации, нужно оценить риски — понять, что и как защищать. Можно обратиться за оценкой к экспертам, но тогда придётся потратить на консультации 200-300 тыс. рублей. А можно оценить их самостоятельно — бесплатно, но по методике, которую используют сами эксперты.

Когда вы оцените риски по этой методике, то поймёте, на какие средства защиты нужно тратить деньги, а без каких можно обойтись. Специалисты по информационной безопасности не смогут навязать вам лишнее — вы сэкономите.

Оцените информационные активы

Информационные активы — это сведения о компании, которые представляют для неё ценность. Это финансовая информация, данные о продажах, закупках, базы данных клиентов, стратегические планы руководства, содержание корпоративного сайта. Занесите их в таблицу и оцените по трём показателям: конфиденциальность, целостность и доступность. Используйте 5-балльную шкалу.

Конфиденциальность — это то, насколько критична утечка секретной информации. Например, что будет, если база клиентов и контрактов попадёт к конкурентам? Если считаете, что это совсем не страшно, ставьте 1 балл. Если это тотальная катастрофа — 5 баллов.

Доступность — это то, насколько часто вы обращаетесь к данным. Например, ежегодный финансовый отчёт сотрудники открывают редко — ставим 1 балл. А доступ к базе товаров и цен нужен каждый день, иначе торговля остановится — 5 баллов.

Целостность — это то, насколько важно, чтобы в данных не было ошибок. Например, ошибка в архивных документах не критична, она ни на что не повлияет — ставим 1 балл. А если исказить цифры в 1С:Бухгалтерии, то можно продать товар по заниженной цене или напутать в налоговой отчётности — 5 баллов.

Теперь определите итоговую ценность каждого актива. Возьмите максимальный балл из трёх полученных. Например, у списка заказчиков конфиденциальность — 4, а целостность и доступность — по 2. Итоговый балл — 4.

1. Ценность информационных активов

Актив	Ценность актива	Итого
Конфиден-циальность	Целостность	Доступность
Списки заказчиков	4	2	2	4
Деловая переписка	3	2	2	3
Данные о зарплате	3	3	2	3
Налоговая отчётность	2	3	2	3
Содержание сайта	1	3	3	3
Данные с мобильных касс	2	5	5	5
Данные о прибылях и убытках	5	4	3	5
……
……
……

Определите информационные системы

Активы содержатся в разных информационных системах: 1С:Бухгалтерия, программа «клиент-банк», корпоративный портал, рабочие компьютеры сотрудников, файловые сервера, электронная почта, планшеты, смартфоны, ноутбуки, интернет-сайт, внешние носители информации (флешки, переносные жёсткие диски, карты памяти). Если будут защищены информационные системы, то и данные в них будут в безопасности. Чтобы понять, защищены ли ваши данные, составьте список систем, в которых хранится информация.

Информация может находиться одновременно в нескольких системах. Например, база клиентов обрабатывается в бухгалтерской программе, при этом хранится на файловом сервере. Информация одна, но системы разные, угрозы и защита для них тоже разные.

Составив список, определите ценность каждой информационной системы. Для этого возьмите значение самого ценного актива, который в ней обрабатывается или хранится. Например, на компьютерах сотрудников хранятся списки заказчиков (4) и деловая переписка (3). Их итоговая ценность — 4.

2. Ценность информационных систем

Информационные системы	Активы	Ценность системы
1С:Бухгалтерия	списки заказчиков, данные о зарплате, налоговая отчётность, данные с мобильных касс, данные о прибылях и убытках	5
ПК сотрудников	списки заказчиков, деловая переписка	4
Файловые серверы	списки заказчиков, данные о зарплате, налоговая отчётность, данные с мобильных касс, данные о прибылях и убытках	5
Мобильные устройства	деловая переписка	3
Сайт компании	содержание сайта, налоговая отчётность	3
Электронная почта	списки заказчиков, деловая переписка	4
…..
…..

Выясните, что угрожает информационным системам

Угрозы — это то, из-за чего информация может пострадать: кто-то или что-то может повредить ваши данные так, что бизнес понесёт убытки.

Определять угрозы нужно для тех информационных систем, чья ценность высока — 4 и 5 баллов. Про остальные системы можете забыть: если с ними что-то и случится, бизнес от этого не пострадает.

Сначала выясните, кто может угрожать ценным системам. Для этого разделите возможных нарушителей на группы — так будет проще понять, как они могут воздействовать. Обычно достаточно разделить нарушителей на внешних (хакеры, сотрудники конкурентов, уволенные работники) и внутренних (сотрудники компании). Когда поймёте, кто может угрожать системам — поймёте, как именно они могут это сделать.

Теперь опишите, как нарушители могут украсть, уничтожить или исказить данные в конкретной информационной системе. Способы могут быть очевидными — например, сотрудник скопирует файлы на флешку. Но бывают и сложными — хакер перехватит данные по незашифрованному каналу. Если вы не разбираетесь во всех технических тонкостях, то можете что-то упустить. Чтобы этого не случилось, подключите вашего ИТ-специалиста. Если его нет — воспользуйтесь каталогом, который разработали эксперты.

Каталог угроз

Физический доступ:

сотрудник украдёт компьютер, флешку или другой носитель информации;
посторонний украдёт компьютер, флешку или другой носитель информации;
посторонний проникнет в офис и украдёт информацию.

Утечка конфиденциальной информации:

сотрудник специально отправит конфиденциальную информацию через мессенджер, электронную почту, раскроет секреты фирмы на форумах в интернете;
сотрудник случайно передаст конфиденциальную информацию посторонним людям — лично или через интернет;
сотрудник потеряет ноутбук, флешку, жёсткий диск;
с помощью специального оборудования и программ посторонний перехватит сведения, которые вы передадите через интернет;
сотрудники фирмы, которая ремонтирует компьютеры, обслуживает 1С или настраивает интернет, получат конфиденциальную информацию.

Несанкционированный доступ:

сотрудник использует чужой пароль, чтобы получить конфиденциальную информацию;
посторонний войдёт в корпоративную сеть по чужому паролю;
сотрудник или посторонний используют чужой пароль, чтобы получить доступ к резервным копиям файло;
сотрудник или посторонний, используя чужой пароль, запустят в корпоративную сеть вирус.

Недоступность ИТ-сервисов и утрата информационных активов:

из-за аварии на электросетях не будут работать компьютеры;
пропадёт интернет;
новая программа или её обновление выведут компьютеры из строя;
сотрудник специально или случайно сотрёт важные файлы;
посторонний уничтожит важные данные;
сотрудник случайно внесёт неверные данные;
сотрудник специально исказит информацию, подменит файлы.

Нарушителей и угрозы из этого списка занесите в таблицу. Если вы детально представляете негативные сценарии, опишите их подробно. Например: вы потеряли ключевого клиента, потому что посторонний подобрал пароль к электронной почте и украл данные из деловой переписки. В остальных случаях сделайте общее описание ситуации. Например: бухгалтерия не может работать из-за того, что сотрудник стёр информацию в 1С.

В итоге таблица превратится в набор возможных негативных сценариев для компании.

3. Возможные негативные сценарии

Информационные системы	Нарушитель	Угроза	Последствия
1С:Бухгалтерия	Посторонний	Подберёт пароль и скопирует базу клиентов	Компания потеряет ключевого клиента
1С:Бухгалтерия	Посторонний	Запустит вирус, который уничтожит данные	Бухгалтер не сможет работать
1С:Бухгалтерия	Сотрудник	Скопирует данные на флешку	Конкуренты получат базу клиентов, детали сделок
1С:Бухгалтерия	Сотрудник	Случайно или специально сотрёт данные	Бухгалтер не сможет работать
1С:Бухгалтерия	Сотрудник	Скопирует данные на флешку	В случае увольнения сможет шантажировать работодателя, угрожать передать информацию конкурентам

……
ПК сотрудников	Сотрудник	Скопирует данные на флешку	Конкуренты получат детали сделок
ПК сотрудников	Посторонний	Скопирует данные при ремонте	Конкуренты получат детали сделок
…..
Файловые серверы
……
Электронная почта
…..
……
……

Переведите риски в деньги

Дальше важно понять, что защищать в первую очередь и сколько на это потратить сил и денег. Для этого оцените риски в рублях: сколько компания потеряет, если сотрудник сольёт базу клиентов конкурентам. Потом определите вероятность того, что сотрудник это сделает.

Эксперты советуют применять вербально-числовую шкалу — по ней вы вычислите вероятность. Как это сделать: из таблицы выберите утверждение, которое подходит вам больше всего. При этом подставляйте конкретный временной промежуток — например, один год. Оценивать вероятность за бесконечное время не надо — тогда она будет 100%.

4. Вербально-числовая шкала для определения вероятности того, что угроза станет реальностью

Описание	Коэффициент
Невозможно. Ничего подобного никогда не происходило — ни в вашем бизнесе, ни в отрасли. Теоретически это могут сделать крутые спецы: хакеры, агенты ЦРУ. Но смысла в этом нет.	0
Маловероятно. С этим вы ещё не сталкивались, но знаете, что такое возможно. Если это произойдет, не страшно: конкуренты на этом не заработают. Например, сотрудник попытается слить базу клиентов, а она и так у всех есть.	0,2
Возможно. С вами или кем-то другим из отрасли это происходило хотя бы раз. Если случится снова, конкуренты на этом заработают. Сценарий может быть такой: вы служба такси, и ваши компьютеры атакуют хакеры. Или произойдёт авария, исчезнет интернет. Диспетчеры не смогут принимать и распределять заказы в системе. Пока вы будете с этим разбираться, клиенты уйдут к конкурентам, бизнес понесёт убытки.	0,4
Очень даже возможно. Такое происходило с вами несколько раз. Конкурентам это на руку, и они готовы заплатить, чтобы это случилось. Сотрудники могут слить важную для бизнеса информацию легко — для этого не нужно быть продвинутым пользователем, достаточно иметь доступ к документам. Также это может произойти случайно: например, кто-то из работников или вы сами оставите важные бумаги или пароли от почты на столе с полиграфией для клиентов.	0,6
Крайне вероятно. Такое случается у вас несколько раз в год. Ваши недоброжелатели (сотрудники или конкуренты) заинтересованы в этом — это принесёт им моральное удовлетворение или прибыль. Например, сотрудники уводят клиентов в другую компанию и получают за это откат. Или сёрфят по зараженным сайтам, из-за чего постоянно летят ваши компьютеры, вы не можете работать с клиентами.	0,8

После того, как вы определили сумму ущерба в деньгах (У) и коэффициент вероятности (В), посчитайте величину риска (Р): Р=У×В.

5. Подсчёт суммы риска

Риск	Ущерб	Вероятность	Сумма риска
Риск 1	2 000 000 ₽	0,2	400 000 ₽
Риск 2	300 000 ₽	0,4	120 000 ₽
Риск 3	800 000 ₽	0,6	480 000 ₽
Риск 4	200 000 ₽	0,8	160 000 ₽
Риск 5
Риск 10			160 000 ₽
Риск 11			40 000 ₽


Итого рисков			……

В итоге ваша таблица превратится в перечень рисков, оценённых в рублях. Это деньги, которые вы как минимум не заработаете, а как максимум — их придётся вынуть из оборота и потратить на устранение последствий.

Посмотрите на итоговую сумму рисков в таблице. Готовы ли вы её принять? Если нет, остаётся только снижать риски.

Снижайте риски и расходы

В первую очередь примите меры предосторожности. Не пускайте посторонних в офис, защитите пароли, ограничьте их распространение, обучите сотрудников основам безопасности. Поможет даже простая рассылка с предупреждением об эпидемии нового вируса и призывом не открывать подозрительные вложения. ИТ-специалист может регулярно проводить семинары и инструктаж новых сотрудников. Это не требует больших затрат.

Для серьёзной защиты нужны антивирусы, программы от утечек информации, специальное железо. Оценка, которую вы провели, поможет поставить чёткую задачу специалистам по информационной безопасности. Они подберут конкретное средство защиты, а не предложат делать всё сразу — расходы уменьшатся.

Сравните смету с суммой риска — так вы поймёте, окупятся ли вложения. Например, для победы над новыми вирусами производители предлагают системы класса Sandbox. Они эффективны, но стоят не меньше двух миллионов рублей. Если сумма рисков сопоставима или меньше этой суммы, выгоднее использовать средство подешевле — даже если оно не защитит вашу информацию полностью.

Памятка

Защита информации обойдётся дешевле, если знать, что и от чего защищать. Вот как это выяснить:

Составьте список информационных активов. Оцените по 5-балльной шкале конфиденциальность, доступность и целостность каждого актива. В каждой тройке выберите самый большой балл — это итоговая ценность актива.
Определите информационные системы, в которых работаете с активами. Ценность каждой системы равна ценности самого ценного актива. Защитите системы, которым поставили 4 или 5 — они самые ценные.
Подумайте, что может угрожать ценным информационным системам. Тут нужен опыт — поручите это сисадмину или используйте каталог угроз.
Оцените, сколько денег потеряете, если что-то случится с ценной информацией. Подумайте, насколько вероятно, что это случится за год. Рассчитайте сумму риска по формуле Риск = Ущерб × Вероятность угрозы.
Покупая антивирус или файервол, сравните его стоимость с суммой риска: если потратите на них меньше, чем на восстановление ущерба берите; если больше — нет.

Получайте раз в неделю подборку лучших статей Жизы

Рассказываем истории из жизни бизнесменов, следим за льготами для бизнеса и
даём знать, если что-то срочно пора сделать.

Источник