На сегодняшний день основным ресурсом является информация, современные компании располагают значительными ее объемами. Серьезную угрозу для деятельности и существования компании представляет несанкционированный доступ к ее ресурсам и использование ее данных, поэтому так важно обеспечить их защиту. О том, как и какую информацию нужно защищать, нам рассказала заместитель генерального директора ОКБ САПР Конявская Светлана Валерьевна.
Конявская Светлана
к.ф.н., заместитель генерального директора ОКБ САПР
1. Для чего вообще нужно защищать корпоративную информацию? Насколько сейчас это важно и почему?
На этот вопрос можно дать довольно много ответов, но общий смысл таков: защищать корпоративную информацию нужно для того, чтобы избежать неприятностей. Под корпоративной информацией условимся в рамках этого интервью понимать все информационные ресурсы (данные, электронные документы, средства вычислительной техники, программное обеспечение и информационные технологии), составляющие корпоративную информационную систему.
Во всех случаях без исключения защищать корпоративную информацию нужно для того, чтобы не потерять деньги. Сделать это можно разными способами: попасть под различные наказания в связи с невыполнением требования регуляторов, потерять деньги из-за того, что случайно или специально будет уничтожен подготовленный в интересах Заказчика проект или из-за того, что кому-то из сотрудников предложили хорошие деньги за определенные материалы.
Защищать корпоративную информацию нужно для того, чтобы она хранилась, обрабатывалась, передавалась и уничтожалась в соответствии только с вашими целями. Вашим является тот инструмент, который вы полностью контролируете, и никакой другой, даже очень хороший, современный и надежный.
2. Назовите основные источники угроз, приводящие к нарушению целостности информационной системы компаний. Какая информация наиболее уязвима?
Любой безопасник в ответ на этот вопрос, не задумываясь, начнет перечислять угрозы техногенного характера, сбои и ошибки программного обеспечения и оборудования, внешних и внутренних нарушителей. Но чтобы понять, как избежать проблем, достаточно разделения на самом верхнем уровне абстракции.
Целостность системы может быть нарушена специально (то есть в чьих-то интересах) или неумышленно, в таком случае нет никого, кто был бы действующим субъектом. Проще говоря, «оно само». Но если утрачено что-то очень ценное, довольно слабым утешением может служить то, что «оно не досталось никому».
Случайно — это потеря данных из-за вируса (исключая целенаправленную вирусную атаку), или случайный сбой при недостаточном резервировании. Вопросы резервирования к задачам технической защиты информации имеют опосредованное отношение.
А вот вирусы и целенаправленные атаки — это то, противодействием чему занимаются средства защиты информации.
Наиболее уязвимы к ним пользовательские устройства, особенно такие, что могут выноситься за пределы офиса, в котором у вас есть охрана, видеонаблюдение, межсетевые экраны и все прочее. То есть — флешки, и рабочие места пользователей, особенно мобильные.
3. Как по-вашему, что нужно защищать прежде всего?
Защищать что-то сначала, а что-то потом, в последнюю очередь — не очень здравая мысль. Хотя сделать определенные выкладки о том, на что в первую очередь будут направлены атаки злоумышленника при прочих равных — можно. Скорее всего, в первую очередь он будет атаковать то, что обычно защищено хуже. То есть опять-таки флешки и пользовательские устройства. Но защищенные флешки в незащищенной системе или защищенные терминалы в сети с незащищенным сервером — тоже довольно странная мысль.
С другой стороны, можно рассуждать о том, какая атака нанесет более весомый ущерб, и защищать систему в первую очередь от такой атаки (из этих соображений более жесткие требования предъявляются к защите криптографических ключей, так как последствия их компрометации могут быть ощутимо серьезнее, чем нарушение конфиденциальности каких-либо других данных).
Если по большей части ваша информационная система обрабатывает исключительно общедоступную информацию, потери которой не так уж критичны, и конфиденциальность которой особенно не требуется, то рекомендация обеспечить и поддерживать для всей инфраструктуры высокий уровень защищенности, будет звучать довольно возмутительно. Чтобы было возможно что-то защищать «прежде всего», необходимо спроектировать вашу информационную систему так, чтобы ресурсы, требующие разных уровней защищенности, были друг от друга изолированы. То есть — вынести обработку и хранение важных данных, выполнение важных операций в отдельную систему (или несколько отдельных), и защитить прежде всего ее. А в остальном ограничиться каким-то минимумом типа антивируса, встроенных в ОС средств защиты и, разумеется, защищенных флешек.
4. Можно и стоит ли экономить при организации системы информационной безопасности?
Конечно, не стоит экономить и не защищаться — в надежде, что обойдется. Также нет смысла покупать плохие средства, только имитирующие защиту, а не действительно обеспечивающие ее. Например, пытаться защитить ДБО (дистанционное банковское обслуживание) применением токена. Это ничему не поможет. Поэтому это скорее не экономный подход, а лишняя трата денег на ненужную вещь.
В то же время есть совершенно разумные способы экономии — например, приобретать специализированные микрокомпьютеры с аппаратной защитой данных, они стоят ощутимо меньше, чем персоналки, защищенные таким же, в функциональном смысле, набором средств. Подбирать не универсальные устройства, а решающие конкретные задачи. Например, если необходимо добиться того, чтобы на флешках не уносилась информация и не приносились вирусы, то дорогостоящие DLP-системы не помогут, а помогут специализированные флешки, которые не монтируются ни к каким компьютерам, кроме явно перечисленных администратором.
Это вообще, наверное, главное правило — стараться выбирать инструмент как можно более точно подходящий к конкретной задаче, а не использовать один универсальный для всего, ведь он точно дороже и сложнее.
5. Какие решения для защиты корпоративной информации предлагает ваша компания?
Из того, о чем у нас с Вами шла речь, мы предлагаем защищенные флешки, рабочие места различного назначения на базе микрокомпьютеров с «вирусным иммунитетом» (пользовательские терминалы, криптошлюзы и прочее), решения для защиты виртуальных инфраструктур, защищенные мобильные устройства — ноутбуки, планшеты, средства защиты от несанкционированного доступа для персональных компьютеров и серверов. Мы занимаемся технической защитой информации более 30 лет и накопили значительный опыт. Поэтому, если клиент сформулирует нам задачу, обрисует свою систему, мы наверняка подберем подходящие варианты защиты.
ОКБ САПР — это компания, разрабатывающая программно-аппаратные средства защиты информации от несанкционированного доступа. ОКБ САПР существует на рынке вот уже 30 лет, за это время компании удалось разработать множество решений, ставшими образцами в сфере защиты информации. Вся продукция ОКБ САПР имеет необходимые сертификаты соответствия по требованиям безопасности информации ФСТЭК России, ФСБ России, Минобороны России, а также сертификаты Госстандарта России и государственной санитарно-эпидемиологической службы Российской Федерации.