Защита информации в сетях

Принципы формирования системы информационной безопасности

Для максимально эффективной защиты важных для бизнеса данных информационная безопасность
компании должна строиться на 5 важных принципах:

• Комплексность. При разработке мероприятий по защите необходимо предусматривать все возможные пути
  проникновения и нанесения ущерба, в том числе удаленные и внутренние каналы. Выбор
  средств защиты должен соответствовать потенциальным угрозам, все они должны работать
  комплексно, частично перекрывая задачи друг друга. В этом случае злоумышленнику
  будет сложнее совершить кражу.
• Многоступенчатость. Информационная безопасность должна представлять собой несколько ступеней защиты,
  каждый из которых срабатывает последовательно. При этом наиболее надежной ступенью
  является то, что расположена глубже всего и защищает самую важную информацию.
• Надежность. Все ступени защиты информации должны быть одинаково надежными и соотносится с возможной
  угрозой со стороны третьих лиц.
• Разумность. При внедрении в работу компании стандартов защиты информации необходимо, чтобы они
  предотвращали возможные угрозы, но не мешали деятельности компании и доступу к данным
  легальным пользователям. Кроме того, стоимость мероприятий по защите должна быть
  такой, чтобы работа компании оставалась рентабельной.
• Постоянство. Средства защиты данных от неправомерного доступа должны работать постоянно независимо
  от режима работы компании и других факторов.

Законодательная база

Основным законодательным актом, обеспечивающим защиту информации, является Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В нем перечислен ряд понятий, с помощью которых реализуется государственный подход к охране и защите конфиденциальной информации. Определены принципы и нормы правового регулирования, даны четкие определения объектов и субъектов правовых отношений в сфере информационной безопасности. Регулируется право на различные действия с информацией:

• обладание;
• распространение;
• документирование;
• обмен;
• обработка.

Отдельно определена ответственность за действия, связанные с нарушениями в сфере информационных технологий. Для обеспечения государственной поддержки защиты информационных ресурсов создана Федеральная служба по техническому и экспортному контролю (ФСТЭК). Это государственный орган, который обеспечивает защиту информации на стратегическом уровне, в том числе выполняет множество функций:

• выдает лицензии на использование и изготовление средств защиты информации;
• выдает заключения о возможности применения импортных средств защиты данных;
• производит аккредитацию внешнеэкономических компаний;
• выдает компаниям разрешения на экспорт продукции;
• выдает разрешения на использование нетарифных методов для компаний, занятых в сфере внешнеэкономической деятельности. 

На базе ФЗ № 149 созданы ГОСТы, определяющие порядок защиты информации в организациях, сетях электросвязи и других сферах деятельности. Они являются основными нормативными документами в сфере защиты конфиденциальной информации. Действия подразделений или служб, обеспечивающих охрану данных, должны быть согласованы с этими стандартами.

Виды угроз

Система информационных угроз существенно изменилась за последние годы. Помимо хакерских группировок и террористических организаций, а также традиционно противоборствующих иностранных разведывательных организаций, генерировать угрозы начали экстремистские организации и деструктивные секты, часто также направляемые службами разведки. Угрозы усилились, участились попытки перехвата управления объектами критической инфраструктуры, посягательства на государственные информационные ресурсы и сети. Самостоятельной проблемой стали действия, направленные на подрыв авторитета России на международной арене.

Нарастание угроз национальной безопасности вызвано такими факторами, как:

• стремление отдельных государств использовать программное и технологическое преимущество для доминирования в международном информационном пространстве;
• усиление действий, направленных на манипуляцию психологическим состоянием граждан, совершение ими действий, связанных с посягательством на суверенитет, территориальную целостность и внутреннюю стабильность РФ;
• давление на российские СМИ, сознательное ухудшение образа России, создание образа врага для американской и европейской общественности.

Основы национальной информационной безопасности служат базой для дальнейшего развития научных технологий, усиления присутствия России в мире, повышения ее роли в части выработки норм международного права.

Угрозы информационной безопасности

Хакерские атаки рассматриваются на международном уровне как часть единой глобальной угрозы, связанной с цифровизацией общества. От внешних нападений не избавлены даже небольшие компании, особенно если они являются поставщиками или подрядчиками крупных корпораций и оперируют в своей деятельности данными, способными заинтересовать злоумышленников. Но и интернет магазины или небольшие поставщики интернет-услуг не избавлены от DDoS-атак, способных полностью заблокировать каналы связи и сделать сервис недоступным для клиентов. 

Среди актуальных внешних угроз информационной безопасности:

• кража конфиденциальной информации путем взлома информационной системы или подключения к плохо защищенным каналам связи. От утечек информации наилучшим способом защищают DLP-системы, но не все предприятия малого и среднего бизнеса имеют возможность использовать их ресурсы в полном объеме; 
• кража персональных данных при помощи собственных средств аутентификации и передача их посредникам на черном рынке информации. Этот тип угроз наиболее характерен для банков и организаций сферы услуг, обрабатывающих большой объем клиентской информации;  
• кража инсайдерами коммерческой тайны по запросам конкурентов, наиболее часто воруют базы данных клиентов организации;
• DDoS-атаки, направленные на обрушение каналов коммуникации. Они делают сайт предприятия недоступным, что оказывается критичным для организации, продающей товары или оказывающей услуги в Интернете; 
• вирусные заражения. В последнее время наиболее опасны вирусы-шифровальщики, делающие информацию в системе недоступной и разблокирующие ее за выкуп. Иногда, чтобы исключить возможность отслеживания, хакеры требуют выплатить им вознаграждение в криптовалютах; 
• дефейс сайта. При этом типе хакерской атаки первая страница ресурса заменяется иным контентом, иногда содержащим оскорбительные тексты; 
• фишинг. Этот способ совершения компьютерных преступлений основан на том, что злоумышленник направляет письмо с адреса, идентичного привычному для корреспондента, побуждая зайти на свою страницу и ввести пароль и иные конфиденциальные данные, в результате чего они похищаются;
• спам, блокирующий входящие каналы связи и мешающий отслеживать важную корреспонденцию;
• инструменты социальной инженерии, побуждающие сотрудников компании переводить ресурсы в пользу опытного мошенника;
• потеря данных из-за аппаратных сбоев, неисправности техники, аварий, стихийных бедствий.

Общий список угроз остается неизменным, а технические средства их реализации совершенствуются постоянно. Уязвимости в штатных компонентах информационных систем (ОС, протоколах связи) не всегда ликвидируются быстро. Так, проблемы Windows XP были устранены путем выпуска обновлений только через два года после их фиксации. Хакеры не теряют времени, оперативно реагируя на все обновления, постоянно тестируя степень безопасности информационных систем предприятия при помощи средств мониторинга. Особенностью современной ситуации на рынке компьютерной безопасности стало то, что машинные технологии усовершенствовались до того уровня, что пользование ими стало доступным даже школьнику. Заплатив небольшую сумму, иногда не превышающую 10 долларов, за подписку на сервис тестирования уязвимости, можно организовать DDoS-атаку на любой сайт, размещенный на небольшом сервере с не очень производительным каналом связи, и в считанные минуты лишить клиентов доступа к нему. В качестве ботнетов все чаще используются объекты Интернета вещей: холодильники, кофеварки и IP-камеры. Они активно включаются в информационные атаки, так как производители управляющего ими программного обеспечения в целях экономии средств не встроили в них механизм защиты от перехвата управления. 

Но не менее опасны и угрозы информационной безопасности, исходящие от сотрудников компании, заинтересованных не в краже, а в манипуляции информацией. Отдельным риском становится такое нарушение целостности информации в базах данных, которое облегчает хищение материальных ресурсов организации. Примером может служить изменение температуры хранения топлива в сторону повышения, при котором его объем в цистернах увеличивается и небольшую откачку датчики безопасности не заметят. Для такого изменения нужно иметь несанкционированный доступ к каналам связи с устройствами, управляющими выставлением температуры на складе.

Правовая основа

В декабре 2017 года в России принята новая редакция Доктрины информационной безопасности. В документ ИБ определена как состояние защищенности национальных интересов в информационной сфере. Под национальными интересами в данном случае понимается совокупность интересов общества, личности и государства, каждая группа интересов необходима для стабильного функционирования социума.

Доктрина – концептуальный документ. Правоотношения, связанные с обеспечением информационной безопасности, регулируются федеральными законами «О государственной тайне», «Об информации», «О защите персональных данных» и другими. На базе основополагающих нормативных актов разрабатываются постановления правительства и ведомственные нормативные акты, посвященные частным вопросам защиты информации.

Защита информации как законное требование

Большинство организаций сталкиваются с необходимостью обеспечения безопасности информации только в части персональных данных сотрудников клиентов, охранять которые от утечек предписывают законы РФ. Но даже в этом, относительно легком, случае вопросы ее сохранности данных жизненно важны. Утечка фотографий из клиники эстетической медицины или историй болезни может сломать и жизнь человека, и успешную деятельность медицинского учреждения, утечка баз данных ГИБДД или Росреестра может нанести ущерб имуществу граждан. 

Но существуют и другие риски. Одним из наиболее серьезных становится риск внешнего вмешательства в системы управления стратегических объектов, например, электростанций, в системы кредитных организаций, в оборонные информационные системы. Утрата или искажение информации в этих базах может причинить ущерб десяткам тысяч людей.

Существуют следующие типы угроз безопасности информации:

• утрата конфиденциальности – утечка, перехват, съемка, неумышленная утрата, разглашение;
• нарушение целостности – модификация, искажение, отрицание подлинности достоверных данных, навязывание ложной информации, в Доктрине информационной безопасности под этим термином понимается не только изменение данных, как в случае искажения, но и включение новых в текст сообщения;
• нарушение доступности, что выражается в блокировке или уничтожении.

Узкое значение информационной безопасности

Информационная безопасность – это практическая деятельность, направленная на предупреждение неразрешенного доступа, применения, обнаружения и преобразования данных. Внутренние и внешние информационные угрозы могут причинить ущерб общегосударственным и международным отношениям, конкретным гражданам. Защита информации – совокупность юридических, технических и организационных способов предупреждения несанкционированных действий с данными. Она устанавливается в информационных системах и характеризуется комплексом мер и действий, которые направлены на защиту данных от постороннего влияния.

В информационную систему входят такие элементы:

• субъекты – владельцы информации и механизмов (инфраструктуры);
• база – компьютерные помещения, различные системы (электроснабжение), линии связи, обслуживающий персонал.

Информационная безопасность – это также наука об обеспечении сохранности ресурсов информации, неприкосновенности воли, законных прав личности и общества. 

Проникновение в информационное пространство – это открытое (иногда латентное) действие, которое специально или по стечению обстоятельств влияет на объект защиты, что приводит к утечке или раскрытию информации. 

Безопасность информационных технологий базируется на следующих вводных:

1. Зачем, кого и что защищать?
2. От каких внешних и внутренних факторов уберегать?
3. Каким способом осуществлять защиту от угрозы?

Средства криптографической защиты информации

Эти СЗИ защищают уже не доступ к информации, а ее саму — с помощью криптографии. То есть, вся она передается в зашифрованном виде и декодируется с помощью криптографических ключей. Без них злоумышленник не сможет понять смысла данных, даже если перехватит их. Вот два примера:

• КриптоПро CSP. Алгоритмы криптографии здесь отвечают требованиям ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая». Есть сертификаты соответствия ФСБ России.
• КриптоАРМ. Еще одно решение с сертификатами соответствия ФСБ России. Шифрование здесь также соответствует требованиям ГОСТ 28147-89.

Средства защиты

Средствами защиты информации называют совокупность организационных мер, технических устройств или программных продуктов, которые используются для предотвращения утечки или несанкционированного применения подконтрольных данных. 

Средства защиты условно делят на следующие группы:

• аппаратные, или технические. Это все приборы или устройства, в том числе технические, механические или электронные, призванные обеспечить контроль доступа к защищенным массивам данных. Кроме этого, аппаратные средства способны маскировать, глушить или шифровать информационные потоки, отказывая в доступе к информации посторонним лицам;
• программные средства способны работать только в компьютерной среде. Основными видами являются антивирусы, идентификаторы, приложения для текстового контроля и прочие программы. Максимальная опасность исходит из Сети, поэтому большинство программных средств ориентировано на отсечку несанкционированного внедрения в систему. Кроме этого, используются смешанные аппаратно-программные системы, одновременно выполняющие обе функции;
• организационные методы защиты представляют собой технические мероприятия по обеспечению безопасности информации. Сюда входит соблюдение технических норм при подготовке помещений, прокладке кабелей. Кроме этого, к организационным методам относятся нормы правового характера. Это рабочие правила, корпоративные регламенты, законодательные нормы Российской Федерации. Такие методы дают широкий охват всей деятельности организации (или всей отрасли), но в значительной степени зависят от человеческого фактора.

Аппаратные методы преимущественно являются средствами контроля. Они ориентированы на идентификацию личности, шифрование данных и периодическую проверку подлинности адреса при передаче сведений.

К аппаратным средствам относят:

• провода и кабели специальной конструкции;
• комплекты оборудования для защиты периметра охраняемой территории;
• высокочастотные фильтры на линиях связи;
• ультразвуковые излучатели на стеклах окон кабинетов или переговорных комнат;
• специальные экраны для защиты помещений ограниченного доступа и т. д.

Помимо этого, используются охранные системы. Они обеспечивают комплексную защиту периметра, включают видеонаблюдение, контроль доступа людей, пожарную охрану объекта.

Программные средства являются наиболее обширной группой, способной обеспечить комплексную защиту информации от внешних воздействий. Они могут отсекать нежелательные действия:

• попытки соединиться с системой через Интернет;
• несанкционированный доступ к чужому ПК;
• возможность использования информации, прошедшей криптографическую обработку.

Как защитить информацию при денежных переводах

Как для рядовых граждан, так и для предпринимателей актуальным остаётся вопрос защиты платёжных данных. Ведь в случае кражи будет нанесён прямой финансовый ущерб. Не всегда для защиты средств достаточно 3D-Secure. О правилах сохранности информации рассказал директор по внешним связям в Восточной Европе и Средней Азии координационного центра RIPE NCC Максим Буртиков: «Одних только фишинговых сайтов уже тысячи в одном только Рунете. Копируют сайты банков, авиакомпаний, развлекательных мероприятий

Если не хотите потерять часть сбережений, будьте внимательны, когда собираетесь отправить личную финансовую информацию в интернет, обращайте внимание на названия и ссылки. Создатели фишинговых сайтов используют доменные имена с изменениями, при этом дизайн и функциональность сайта не будет отличаться от оригинала

Эта схема рассчитана на невнимательность увлечённого пользователя.

Прежде чем воспользоваться переводом денег через онлайн-банк, закройте остальные приложения. Это нужно, чтобы исключить использование программы сканера. Её можно подцепить с недобросовестным скаченным приложением и не заметить. Выглядит сканер как прозрачный экран и ничем себя не выдаёт. До тех пор, пока не открываются банковские программы. Тогда пароли копируются в этом прозрачном экране и сохраняются. Через какое-то время приложение банка может начать жить своей жизнью уже без помощи пользователя и неприятно удивлять».

Отдельно стоит упомянуть о передаче данных при подключении к бесплатному незапароленному Wi-Fi. Если подключились к такой сети, лучше не передавайте конфиденциальную информацию (например, номер карты), не совершайте и не оплачивайте покупки – информация о карте не защищена и доступна мошенникам.

Несмотря на то, что банки блокируют подозрительные операции, лучше перестраховаться. Чтобы не переживать за сохранность информации, пользуйтесь специальным программным обеспечением. Например, бесплатным сервисом Hotspot Shield, который создан для организации виртуальной частной сети, гарантирующей безопасную передачу данных по зашифрованному соединению.

Обязанности и функции

Сотрудник, который отвечает за информационную безопасность, работает не один, а вместе с программистами, тестировщиками, системными администраторами и другими специалистами IT-сферы. Информационная безопасность на предприятии – это результат деятельности нескольких профессионалов.

Но так как специалист по кибербезопасности – это эксперт в своей области и ключевое звено группы, то на него возложена большая ответственность

Нередко он отвечает за сохранность важной информации, а иногда, если работает в госструктурах, ему приходится иметь дело с документами, в которых содержится государственная тайна

Помимо этого, он выполняет следующие обязанности:

1. Обеспечивает безопасность процесса онлайн-операций.
2. Участвует в создании и настройке системы безопасности.
3. Исследует веб-сервисы компании.
4. Выявляет ошибки, следы некорректной или неточной работы в системе.
5. Устраняет последствия от взлома или попыток взлома.
6. Пишет скрипты для автоматизации процессов.
7. Занимается администрированием средств защиты данных.
8. Определяет потенциальных киберпреступников, которые могут быть заинтересованы в атаках на конкретную организацию или систему.
9. Устанавливает и настраивает систему защиты информации.
10. Находит уязвимости в коде.
11. Составляет техническое задание по устранению поломок и уязвимостей.
12. Проводит оценку системы защиты.
13. Систематически проводит согласованные кибератаки.
14. Анализирует мониторинг системы.
15. Разрабатывает и оформляет техническую документацию, составляет отчеты.
16. Консультирует сотрудников.
17. Находит возможные каналы утечки информации, предотвращает кражу интеллектуальной собственности.

Главные задачи – это борьба с хакерами и защита частных сведений.

Более 100 крутых уроков, тестов и тренажеров для развития мозга

Начать развиваться

От кого необходимо защищаться

Модель угроз окажется индивидуальной в каждом случае. По мнению ИТ-специалистов большинства организаций, основная опасность исходит от хакеров или внешних злоумышленников. И действительно, большинство зафиксированных инцидентов происходит от того, что на информационные системы производятся атаки с внешних ресурсов. И такие риски угрожают не только конфиденциальности информации, они происходят редко и с четко поставленными целями пиара и демонстрации возможностей хакерских группировок. Большая угроза связана с тем, что внешние злоумышленники нападают на системы управления предприятий, организаций ЖКХ, сайты государственных структур с целью дестабилизации систем управления. Внешние угрозы характерны для банковской сферы, где происходят попытки воровства денег со счетов граждан. Массовые вирусные атаки также носят внешний характер, и их целью становится вымогательство средств за разблокировку ресурса, доступность которого утрачена. Любая информационная система в целях безопасности должна иметь один или несколько встроенных модулей защиты от угроз этого рода.

Но с точки зрения хищения внутренней корпоративной информации или обрабатываемых персональных данных гораздо опаснее оказываются сотрудники. В 70-80 % случаев, как показывают исследования, утечки организовывают сотрудники компании. Существует несколько психологических типов нарушителей:

• работники, недовольные организацией или руководством и желающие нанести ущерб ее интересам;
• сотрудники, финансово заинтересованные в предоставлении информации конкурентам, обычно руководители разных уровней;
• сотрудники, имеющие доступ к персональным данным или иной имеющей ценность в даркнете информации, мотивированные финансовым предложением посредников;
• не задумывающиеся о неправомерности своих действий работники, которые передают данные друзьям или знакомым по их запросам, иногда без финансовой мотивации.

Во многих случаях возможность организации утечки остается у сотрудника и после увольнения, если он сумел сохранить право на удаленный доступ к корпоративной системе. Часто служба информационной безопасности недооценивает эту степень риска. Наибольшую опасность представляет персонал ИТ-подразделений, имеющий доступ ко всем учетным записям и базам данных и способный не только похитить информацию, но и скрыть сведения о своих неправомерных шагах в системе. Даже если настроен аудит действий пользователей, большинство программных продуктов дают возможность затереть их следы в журналах регистрации.

Степень риска невозможно оценить в финансовом отношении, так как большинство компаний и банков, исходя из необходимости сохранения деловой репутации, оставляют в тайне данные о хищении ценной информации, имеющей отношение к клиентам. Чаще всего вскрытие таких инцидентов происходит случайно. В США факт утраты данных клиентов может привести к наложению многомиллионных штрафов на компанию, это служит дополнительной причиной молчания. Утрата конфиденциальных данных говорит о том, что фирма мало времени или средств уделяла работе с персоналом, позволила не менять пароли или иметь несанкционированный доступ к чужим учетным записям, а это значит, что она недостаточно заботится о клиентах.

Часто штатные средства обеспечения безопасности информационных систем не дают возможности разграничить доступ к данным различной степени конфиденциальности на уровне программных средств. Именно этот риск выявился при первом выходе на рынок Windows XP с поддержкой в ней технологии универсальной последовательной шины доступа (Universal Serial Bus, USB). После выявления уязвимости предложенный пользователям вариант обновления Service Pack 2 для Windows XP с множеством улучшений подсистемы безопасности не смог предложить средств разграничения доступа к портам USB и FireWire. Точно так же штатная система аудита действий пользователей, содержащаяся в Windows, не позволяет проводить эффективный поиск по операциям, совершаемым пользователями, и не исключает рисков того, что данные журналов регистрации действий будут удалены системными администраторами. 

Эти ситуации приводят к необходимости разрабатывать структуру безопасности, индивидуальную для каждой организации и учитывающую заявленные в модели угроз риски. Возникает необходимость приобретения более сложных, чем встроенные в операционные системы, продуктов безопасности. Часто решением для снятия рисков со стороны инсайдеров становится установка DLP-системы, комплексно решающей задачи организации утечек данных со стороны персонала.

Расшифровка свойств защиты информации

Сохранение конфиденциальной и закрытой для посторонних лиц информации требует сверки допущенных и проверенных субъектов системы. Под проверку подпадают люди, процессы и программное обеспечение. Доступ к информации открыт только определенному списку лиц. 

Целостность данных – понятие, определяющее постоянную структуру и содержание информации, особенно в момент передачи или хранения. Информационная безопасность в этом свойстве реализуется, если сведения в системе сходны с данными в документах по семантическим параметрам. В противном случае появляется случайная или преднамеренная угроза защиты информации. Выражается она в искажении данных или полном их разрушении.

Данные должны быть достоверными, проверенными. Это свойство выражается в подтверждении сведений определенным субъектом. Угроза информационной безопасности появляется, когда юридическая значимость данных не подтверждена

Это означает, что документ, описывающий их свойства, важно официально зарегистрировать

Доступ к информации выражается в возможности ее копировать, обрабатывать и удалять на свое усмотрение. Доступ бывает несанкционированным (незаконным, без разрешения на соответствующее действие) и санкционированным. Санкционированный вариант изучения сведений основан на требованиях к разграничению доступа. Регламентировать и систематизировать права доступа к составляющим системы позволяет установление правил. Если информация нужна здесь и сейчас, потребитель имеет право получить ее оперативно.

СЗИ от несанкционированного доступа

Чтобы защитить сеть и данные от посторонних, такие СЗИ идентифицируют и аутентифицируют устройства и пользователей, регистрируют работу процессов и программ, управляют информационными потоками между устройствами, сканируют носители информации и делают множество других вещей. Вот два примера таких СЗИ:

• Dallas Lock. Разработана для операционных систем Windows. Можно подключить аппаратные идентификаторы. Из возможностей — поддерживает виртуальные среды, аудит действий пользователей, контроль целостности файловой системы, программно-аппаратной среды, реестра и многое другое.
• Электронный замок «Соболь». Поддерживает доверенную загрузку и доверенную программную среду. Есть функции регистрации попыток доступа, сторожевого таймера и многого другого. Имеет сертификаты соответствия ФСТЭК и ФСБ.