Как защитить корпоративную информацию от несанкционированного доступа: 5 вопросов эксперту
На сегодняшний день основным ресурсом является информация, современные компании располагают значительными ее объемами. Серьезную угрозу для деятельности и существования компании представляет несанкционированный доступ к ее ресурсам и использование ее данных, поэтому так важно обеспечить их защиту. О том, как и какую информацию нужно защищать, нам рассказала заместитель генерального директора ОКБ САПР Конявская Светлана Валерьевна.
1. Для чего вообще нужно защищать корпоративную информацию? Насколько сейчас это важно и почему?
На этот вопрос можно дать довольно много ответов, но общий смысл таков: защищать корпоративную информацию нужно для того, чтобы избежать неприятностей. Под корпоративной информацией условимся в рамках этого интервью понимать все информационные ресурсы (данные, электронные документы, средства вычислительной техники, программное обеспечение и информационные технологии), составляющие корпоративную информационную систему.
Во всех случаях без исключения защищать корпоративную информацию нужно для того, чтобы не потерять деньги. Сделать это можно разными способами: попасть под различные наказания в связи с невыполнением требования регуляторов, потерять деньги из-за того, что случайно или специально будет уничтожен подготовленный в интересах Заказчика проект или из-за того, что кому-то из сотрудников предложили хорошие деньги за определенные материалы.
Защищать корпоративную информацию нужно для того, чтобы она хранилась, обрабатывалась, передавалась и уничтожалась в соответствии только с вашими целями. Вашим является тот инструмент, который вы полностью контролируете, и никакой другой, даже очень хороший, современный и надежный.
2. Назовите основные источники угроз, приводящие к нарушению целостности информационной системы компаний. Какая информация наиболее уязвима?
Любой безопасник в ответ на этот вопрос, не задумываясь, начнет перечислять угрозы техногенного характера, сбои и ошибки программного обеспечения и оборудования, внешних и внутренних нарушителей. Но чтобы понять, как избежать проблем, достаточно разделения на самом верхнем уровне абстракции.
Целостность системы может быть нарушена специально (то есть в чьих-то интересах) или неумышленно, в таком случае нет никого, кто был бы действующим субъектом. Проще говоря, «оно само». Но если утрачено что-то очень ценное, довольно слабым утешением может служить то, что «оно не досталось никому».
Случайно — это потеря данных из-за вируса (исключая целенаправленную вирусную атаку), или случайный сбой при недостаточном резервировании. Вопросы резервирования к задачам технической защиты информации имеют опосредованное отношение.
А вот вирусы и целенаправленные атаки — это то, противодействием чему занимаются средства защиты информации.
Наиболее уязвимы к ним пользовательские устройства, особенно такие, что могут выноситься за пределы офиса, в котором у вас есть охрана, видеонаблюдение, межсетевые экраны и все прочее. То есть — флешки, и рабочие места пользователей, особенно мобильные.
3. Как по-вашему, что нужно защищать прежде всего?
Защищать что-то сначала, а что-то потом, в последнюю очередь — не очень здравая мысль. Хотя сделать определенные выкладки о том, на что в первую очередь будут направлены атаки злоумышленника при прочих равных — можно. Скорее всего, в первую очередь он будет атаковать то, что обычно защищено хуже. То есть опять-таки флешки и пользовательские устройства. Но защищенные флешки в незащищенной системе или защищенные терминалы в сети с незащищенным сервером — тоже довольно странная мысль.
С другой стороны, можно рассуждать о том, какая атака нанесет более весомый ущерб, и защищать систему в первую очередь от такой атаки (из этих соображений более жесткие требования предъявляются к защите криптографических ключей, так как последствия их компрометации могут быть ощутимо серьезнее, чем нарушение конфиденциальности каких-либо других данных).
Если по большей части ваша информационная система обрабатывает исключительно общедоступную информацию, потери которой не так уж критичны, и конфиденциальность которой особенно не требуется, то рекомендация обеспечить и поддерживать для всей инфраструктуры высокий уровень защищенности, будет звучать довольно возмутительно. Чтобы было возможно что-то защищать «прежде всего», необходимо спроектировать вашу информационную систему так, чтобы ресурсы, требующие разных уровней защищенности, были друг от друга изолированы. То есть — вынести обработку и хранение важных данных, выполнение важных операций в отдельную систему (или несколько отдельных), и защитить прежде всего ее. А в остальном ограничиться каким-то минимумом типа антивируса, встроенных в ОС средств защиты и, разумеется, защищенных флешек.
4. Можно и стоит ли экономить при организации системы информационной безопасности?
Конечно, не стоит экономить и не защищаться — в надежде, что обойдется. Также нет смысла покупать плохие средства, только имитирующие защиту, а не действительно обеспечивающие ее. Например, пытаться защитить ДБО (дистанционное банковское обслуживание) применением токена. Это ничему не поможет. Поэтому это скорее не экономный подход, а лишняя трата денег на ненужную вещь.
В то же время есть совершенно разумные способы экономии — например, приобретать специализированные микрокомпьютеры с аппаратной защитой данных, они стоят ощутимо меньше, чем персоналки, защищенные таким же, в функциональном смысле, набором средств. Подбирать не универсальные устройства, а решающие конкретные задачи. Например, если необходимо добиться того, чтобы на флешках не уносилась информация и не приносились вирусы, то дорогостоящие DLP-системы не помогут, а помогут специализированные флешки, которые не монтируются ни к каким компьютерам, кроме явно перечисленных администратором.
Это вообще, наверное, главное правило — стараться выбирать инструмент как можно более точно подходящий к конкретной задаче, а не использовать один универсальный для всего, ведь он точно дороже и сложнее.
5. Какие решения для защиты корпоративной информации предлагает ваша компания?
Из того, о чем у нас с Вами шла речь, мы предлагаем защищенные флешки, рабочие места различного назначения на базе микрокомпьютеров с «вирусным иммунитетом» (пользовательские терминалы, криптошлюзы и прочее), решения для защиты виртуальных инфраструктур, защищенные мобильные устройства — ноутбуки, планшеты, средства защиты от несанкционированного доступа для персональных компьютеров и серверов. Мы занимаемся технической защитой информации более 30 лет и накопили значительный опыт. Поэтому, если клиент сформулирует нам задачу, обрисует свою систему, мы наверняка подберем подходящие варианты защиты.
