Подпишитесь на рассылку
Оставьте нам свой e-mail, и мы будем присылать Вам полезные и интересные статьи. Это абсолютно бесплатно и без спама.
Спасибо, что подписались на нас!
Мы пишем о великих руководителях прошлого, значимых персонах настоящего, о саморазвитии, личностном росте, позитивном мышлении, о путешествиях, досуге.
- Главная
- Бизнес
- Технологии
- Информационная безопасность бизнеса
Подписка на новости
Спасибо, что подписались на нас!
Подписавшись на нас, Вы сможете получать каждую неделю самые интересные и полезные статьи себе на почту.
Информационная безопасность бизнеса
- Бизнес
- Технологии
02.04.2016 2752 
Ничто не дается бизнесу столь дешево и не обходится столь дорого, как ошибки в системе защиты корпоративной информации. Лучше учиться на чужих ошибках безопасности.
Кибератаки и DLP-системы
В 2010 году сотрудник HSBC- банка, входящего в полусотню самых надежных банков мира при увольнении прихватил с собой реквизиты 15 тыс. клиентов (преимущественно из Швейцарии и Франции). Этот обошлось банку в $94 млн, потраченных на замену неэффективной системы безопасности.
Куда больший ущерб нанесли добропорядочным гражданам киберпреступники, взломавшие Twitter-аккаунт Associated Press. Взломщики кратко «прощебетали»: «Два взрыва в Белом доме, Барак Обама ранен». Индекс Dow Jones упал на 150 пунктов, а голубые фишки сократили свою суммарную капитализацию на $200 млрд. Правда, после того как появилось опровержение, паника прекратилась, и индекс вернулся к прежнему значению. Но те, кто поспешили сбросить акции по ползущим вниз ценам, изрядно прогорели. Ответственность за взлом взяла на себя некая «Сирийская электронная армия». Однако утверждать наверняка, что это была не чисто экономическая диверсия, нельзя. Уж слишком точно было выбрано время: сразу же после теракта на Бостонском марафоне.
На Всемирном экономическом форуме в числе глобальных рисков для мировой экономики, таких как коррупция, демографический кризис, истощение природных ресурсов, были впервые в истории названы и кибератаки. Угрозы, подстерегающие и компании, и государственные структуры, могут быть как внешними, так и внутренними. Собственно кибератаки – это внешняя угроза. Внутренние угрозы – необязательно результат злого умысла. Вполне лояльные, но некомпетентные в области IT сотрудники могут случайно запустить вложенную в электронное письмо вредоносную программу, по ошибке стереть нужную папку, забрести на сайт, нашпигованый троянами. В результате важная для компании информация может либо бесследно исчезнуть, либо попасть в руки конкурентов или каких-нибудь «борцов за справедливость», одержимых идеями спасения человечества от глобализма и прочих язв капитализма, тоталитаризма etc. Статистика показывает, что наибольший вред компании терпят от своего же персонала.
Проблема компьютерной безопасности возникла сразу, как только американская компания Eckert-Mauchly Computer Corporation в 1951 году выпустила первый серийный компьютер UNIVAC I. Долгое время эта проблема носила скорее теоретический характер. Все изменилось после изобретения Интернета и лавинообразного разрастания Всемирной паутины.
Для противодействия киберпреступности понадобилась целая новая индустрия. Каждый год российские и иностранные компании выпускают все новые и новые антивирусы, криптографические программы, продукты, предотвращающие фишинг и ddos-атаки и т. п. Программы постоянно совершенствуются, возникают новые их разновидности. В частности, сравнительно недавно на рынок средств информационной безопасности вышли DLP-системы (Data Leak Prevention), предотвращающие утечку информации из корпоративных сетей.
Полноценная и полнофункциональная DLP-система обладает следующими функциями:
- тотальный и постоянный контроль всех каналов потенциальной утечки информации;
- анализ всего трафика, выходящего за пределы корпоративной сети на предмет наличия конфиденциальной информации;
- блокирование передачи конфиденциальной информации, под которой понимаются не только корпоративные секретные данные, но и оскорбительные высказывания, непристойные видеоролики, а также почтовые рассылки, по той или иной причине негативно влияющие на корпоративный имидж;
- блокирование приема нежелательной и вредоносной информации;
- архивирование перехваченного несанкционированного трафика с целью расследования возникших инцидентов.
Необходимо отметить, что DLP-системы не отменяют актуальность прежних категорий продуктов, таких как антивирусы, криптографические программы, электронные замки с повышенной степенью идентификации пользователей и прочее. Однако весь этот инструментарий за последние 2–3 года стал более уязвимым. Причиной тому два глобальных IT-тренда: экспансия мобильных устройств и облачные вычисления.
Новые уязвимости
В настоящий момент на руках у россиян находится около 50 млн мобильных устройств – смартфонов, планшетов, нетбуков, ноутбуков и т. д. В этом году показатель увеличится еще на 12 млн, а к 2015-му превысит 70 млн. Согласно прогнозу аналитической компании International Data Corporation, мобильные устройства по частоте выхода в Интернет превзойдут персональные компьютеры уже в ближайшие месяцы.
И все эти устройства создают потенциальные уязвимости как для самой корпоративной сети, так и для хранящейся в ней конфиденциальной информации. У хакеров сейчас в большой моде вредоносные программы для смартфонов, работающих под управлением ОС Android. И поскольку сотрудники пользуются смартфонами и на работе, и дома, и на отдыхе, и в транспорте, вероятность инфицирования серверов, входящих в состав корпоративной сети, резко повышается.
Есть угроза и иного рода. Известны как минимум три случая, когда либо подгулявшие, либо перетрудившиеся сотрудники британской контрразведки MI-5, теряли свои ноутбуки с секретной информацией в самых неподходящих местах – в метро, такси, кафе. А смартфон, согласитесь, потерять куда легче, чем ноутбук.
Бороться с «тотальной мобилизацией» офиса бесполезно. Да и невыгодно: ведь сотрудники благодаря смартфонам и планшетам могут работать и дома или на отдыхе. По данным «Лаборатории Касперского», сейчас категорически запрещено использовать на работе мобильные устройства лишь четвертой части сотрудников всех компаний. Полный доступ к корпоративным ресурсам имеют 34% владельцев смартфонов, 38% – планшетов, 45% – ноутбуков. Для остальных введены ограничения различных уровней доступа.
Как же обеспечить информационную безопасность в эпоху мобильного Интернета и облачных вычислений? Задача непростая. Ведь рабочие станции и сервера корпоративных сетей работают под управлением одних ОС (Windows или Unix), их безопасность поддерживается встроенными в систему средствами. А мобильные устройства мало того, что используют свои ОС, так еще и не располагают эффективными средствами защиты, потому что они задумывались как устройства индивидуального, а не корпоративного пользования. Ситуация усугубляется еще и тем, что контролировать местонахождение мобильного устройства и источник подключения, а также то, в чьих руках оно находится, организационными методами невозможно.
Как правило, эти проблемы решаются программными средствами за счет усиления защитного контура системы, адаптирования корпоративной системы безопасности ко всему многообразию мобильных устройств и установки на них необходимых защитных приложений. Однако возможен и иной способ – выдать сотрудникам корпоративные защищенные планшеты и смартфоны.
Отечественный производитель средств компьютерной безопасности «Код Безопасности» выпустил планшет «Континент Т-10», работающий под управлением ОС Android 4 и оснащенный всеми необходимыми средствами для безопасной удаленной работы как самого планшета, так и приложений корпоративной системы, к которым он подключается через защищенный шлюз. Этот мобильный девайс полностью интегрирован в корпоративную систему безопасности и не требует никаких дополнительных адаптационных мероприятий.
Серьезные проблемы создают и облачные вычисления. Российский рынок облачных услуг уже превысил годовой оборот в $150 млн и растет ежегодно на 50%. При этом большая часть рынка приходится на частные облака, то есть создаваемые внутри корпорации. Частные облака существенно отличаются от корпоративных сетей жесткой конфигурации с точки зрения информационной безопасности. И требуют собственных средств защиты.
По линейке
Российский рынок информационной безопасности стремительно развивается и уже превысил объем в $600 млн. 15% рынка контролируют пять крупнейших игроков: «Астерос», «Крок», «Информзащита», Leta и «Инфосистемы Джет». Что же касается мирового рынка, то при ежегодном приросте в 30%, его объем приблизился к $1 млрд. Среди международных лидеров значатся такие гиганты, как Symantec, McAffee, TrendMicro, Check Point, Cisco Systems.
И российские, и западные производители, решая общие задачи, выпускают схожие продукты. Для того чтобы гарантированно защитить информацию от всего спектра существующих угроз, необходим комплексный подход, учитывающий все аспекты функционирования корпоративных сетей, не только технические, но и психологические, связанные с человеческим фактором. Наилучшие результаты достигаются при использовании всей линейки продуктов, обеспечивающих защиту информации: антивирусов, межсетевых экранов, антиспамов, криптографических средств, систем предотвращения потери данных и т. п. Одна единственная брешь в защитном контуре системы способна привести к непредсказуемому ущербу.
Но каждый отдельный отечественный производитель предлагают не всю продуктовую линейку. Возникает ситуация, получившая название «зоопарка систем», когда использование различных продуктов, имеющих различную идеологию, требует создания сложных схем управления. В исключительных случаях это может привести к отказу системы.
Поэтому при выборе системы безопасности следует руководствоваться не только полнотой функционала и масштабируемостью, но и управляемостью, зависящей от единства концепции всех ее компонентов. Из российских вендоров, этому требованию удовлетворяет, например, компания «Код Безопасности», имеющая самую широкую продуктовую линейку. Ее продукты, инсталлированные по «бесшовной» технологии, позволяют оперативно отслеживать происходящие события из единой точки контроля всех защитных систем.
Информационная безопасность в бизнесе (стр. 1 из 3)
Руководители компаний должны осознать важность информационной безопасности, научиться прогнозировать тенденции в этой области и управлять ими.
Сегодняшний бизнес не может существовать без информационных технологий. Известно, что около 70% мирового совокупного национального продукта зависят тем или иным образом от информации, хранящейся в информационных системах. Повсеместное внедрение компьютеров создало не только известные удобства, но и проблемы, наиболее серьезной из которых является проблема информационной безопасности.
Наряду с элементами управления для компьютеров и компьютерных сетей стандарт уделяет большое внимание вопросам разработки политики безопасности, работе с персоналом (прием на работу, обучение, увольнение с работы), обеспечению непрерывности производственного процесса, юридическим требованиям.
Несомненно, данная тема курсовой работы очень актуальна в современных условиях.
Объект курсовой работы: информационная безопасность профессиональной деятельности организации.
Предмет исследования: обеспечение информационной безопасности.
В курсовой работе планируется создать проект управленческого решения по организации информационной безопасности на базе реально существующей организации.
Глава 1. Информационная безопасность профессиональной деятельности
Обеспечение информационной безопасности является сравнительно новой областью профессиональной деятельности специалистов. Основными целями такой деятельности являются:
— обеспечение защищенности от внешних и внутренних угроз в сфере формирования, распространения и использования информационных ресурсов;
— предотвращение нарушений прав граждан и организаций на сохранение конфиденциальности и секретности информации;
— обеспечение условий, препятствующих преднамеренному искажению или сокрытию информации при отсутствии для этого законных оснований.
Заказчиками специалистов в данной области являются:
— федеральные органы государственной власти и управления РФ;
— органы государственной власти субъектов РФ;
— государственные учреждения, организации и предприятия;
— органы местного самоуправления;
— учреждения, организации и предприятия негосударственной формы
собственности.
Появление в свободной, хотя и нелегальной продаже базы данных клиентов компании сотовой связи МТС вновь и вновь вынуждает обращаться к проблеме компьютерной безопасности. Похоже, эта тема неисчерпаема. Ее актуальность тем больше, чем выше уровень компьютеризации коммерческих фирм и некоммерческих организаций. Высокие технологии, играя революционную роль в развитии бизнеса и практически всех других сторон современного общества, делают их пользователей весьма уязвимыми с точки зрения информационной, а в конечном счете экономической безопасности.
Это проблема не только России, но большинства стран мира, в первую очередь западных, хотя там и действуют законы, ограничивающие доступ к персональной информации и предъявляющие жесткие требования к ее хранению. На рынках предлагают различные системы защиты компьютерных сетей. Но как защититься от собственной “пятой колонны” — недобросовестных, нелояльных, или просто безалаберных сотрудников, имеющих доступ к закрытой информации? Скандальная утечка клиентской базы данных МТС не могла, видимо, произойти без сговора, либо преступной халатности служащих компании.
Такое впечатление, что многие, если не большинство предпринимателей просто не осознают всей серьезности проблемы. Даже в странах развитой рыночной экономики, согласно некоторым исследованиям, 80% компаний не имеют продуманной, спланированной системы защиты хранилищ, операционных баз данных. Что же говорить о нас, привыкших полагаться на знаменитое “авось”.
Поэтому не бесполезно обратиться к теме опасностей, которыми грозят утечки конфиденциальной информации, поговорить о мерах по снижению таких рисков. В этом нам поможет публикация в “Legal Times” (October 21, 2002) — издании, посвященном правовым вопросам (Марк М. Мартин, Эван Вагнер, “Уязвимость и защита информации”). Авторы перечисляют наиболее типичные виды и способы информационных угроз. Какие именно?
— Рассекречивание и кража коммерческой тайны. Тут все более или менее понятно. Классический, уходящий в древнюю историю, экономический шпионаж. Если раньше секреты хранились в потайных местах, в массивных сейфах, под надежной физической и (позднее) электронной защитой, то сегодня многие служащие имеют доступ к офисным базам данных, нередко содержащим весьма чувствительную информацию, например, те же данные о клиентах.
— Распространение компрометирующих материалов. Здесь авторы имеют в виду умышленное или случайное использование сотрудниками в электронной переписке таких сведений, которые бросают тень на репутацию фирмы. К примеру, название компании отражено в домене корреспондента, допускающего в своих письмах диффамацию, оскорбления, короче все, что может скомпрометировать организацию.
— Посягательство на интеллектуальную собственность. Важно не забывать, что любой интеллектуальный продукт, производимый в организации, принадлежит организации и не может использоваться сотрудниками (в том числе генераторами и авторами интеллектуальных ценностей) иначе как в интересах организации. Между тем, в России по этому поводу часто возникают конфликты между организациями и служащими, претендующими на созданный ими интеллектуальный продукт и использующими его в личных интересах, в ущерб организации. Это нередко происходит из-за расплывчатой правовой ситуации на предприятии, когда в трудовом контракте нет четко прописанных норм и правил, очерчивающих права и обязанности служащих.
— Распространение (часто неумышленное) внутренней информации, не секретной, но могущей быть полезной для конкурентов. Например, о новых вакансиях в связи с расширением бизнеса, о командировках и переговорах.
— Посещения сайтов конкурентов. Сейчас все больше компаний используют на своих открытых сайтах программы (в частности, предназначенные для CRM), которые позволяют распознавать посетителей и детально отслеживать их маршруты, фиксировать время, длительность просмотра ими страниц сайта. Понятно, что если ваш заход на сайт конкурента в подробностях известен его оператору, то последнему не трудно сделать вывод, что именно вас интересует. Это не призыв отказаться от важнейшего канала конкурентной информации. Сайты конкурентов были и остаются ценным источником для анализа и прогноза. Но, посещая сайты, надо помнить, что вы оставляете следы и за вами тоже наблюдают.
— Злоупотребление офисными коммуникациями в личных целях (прослушивание, просмотр музыкального и прочего контента, не имеющего отношения к работе, загрузка офисного компьютера) не несет прямой угрозы для информационной безопасности, но создает дополнительные нагрузки на корпоративную сеть, снижает эффективность, мешает работе коллег.
— И, наконец, внешние угрозы — несанкционированные вторжения и т.п. Это тема отдельного серьезного разговора.
Как защититься от внутренних угроз? 100% гарантии от ущерба, который могут нанести собственные работники, просто не существует. Это человеческий фактор, который не поддается полному и безусловному контролю. Вместе с тем, упомянутые выше авторы дают полезный совет — разрабатывать и внедрять внутри компании четко сформулированную коммуникационную (или информационную) политику. Такая политика должна провести четкую границу между дозволенным и недозволенным в использовании офисных коммуникаций. Переход границы ведет к наказанию. Должны быть система мониторинга, кто и как использует компьютерные сети. Правила, принятые в компании, должны соответствовать как национальному, так и международно-признанным нормам защиты государственных и коммерческих тайн, персональной, приватной информации.
Глава 2. Обеспечение информационной безопасности
профессиональной деятельности в ООО «Ласпи»
2.1. Краткая характеристика ООО «Ласпи»
ООО «Ласпи» было создано в 1995 году как представительство чешской компании в России. Фирма занимается поставкой чешского оборудования и расходных материалов для производства различных бетонных изделий (начиная с тротуарной плитки и заканчивая заборами, вазонами и т.п.). Оборудование отличается высоким качеством и приемлемой стоимостью. Заказчиками, обращающимися в Самарский офис, являются организации из различных городов России и СНГ (Казань, Уфа, Ижевск, Москва, Нижний Новгород и т.д.). Естественно, такая широкомасштабная деятельность требует особого отношения к информационной безопасности внутри фирмы.
На сегодняшний день информационная безопасность оставляет желать лучшего. Различная документация (техническая, экономическая) находится в открытом доступе, что позволяет практически любому сотруднику фирмы (начиная с учредителя и заканчивая водителем) беспрепятственно с ней ознакомиться.
Особо важная документация хранится в сейфе. Ключи от сейфа есть только у директора и у его секретаря. Но здесь существенную роль играет так называемый человеческий фактор. Нередко ключи забываются в кабинете на столе и сейф может быть вскрыт даже уборщицей.
Экономическая документация (отчеты, накладные, счета, счета-фактуры и т.п.) разложены по папкам и полкам в шкафу, который не запирается.
Сотрудники не подписывают при устройстве на работу никаких соглашений о неразглашении сведений, которые относятся к коммерческой тайне, что не запрещает им распространять подобную информацию.
Набор сотрудников производится посредством собеседования, состоящего из двух этапов: 1. общение с непосредственным начальником (на котором выявляются умения и способности потенциального работника) 2. общение с учредителем (носит более личностный характер и выводом подобного диалога может быть либо «сработаемся», либо «не сработаемся»).
Бизнес-идея агентства по защите информации
Всем доброго дня! Сегодняшняя бизнес-идея будет отличаться своей новизной и интересом .
Дело в том, что технологии не стоят на месте, а главным критерием для людей в сети становится защита их личной информации.
Не открою Америку если скажу, что сегодняшним хакерам не составит труда взломать любой работающий компьютер.
Хорошо если этот компьютер будет домашним и без всякой сенсационной информации, а если Вы крупное новостное агентство? Представляете последствия.
Мы сегодня не станем делать что-то вроде лаборатории Касперского, а создадим свое агентство по предоставлению безопасного соединения в сети интернет для любых пользователей.
Бизнес на агентстве по защите информации
Основателями данного дела или лучше сказать идейными представителями стали два молодых программиста- Девид Городянский и Евгений Молобродский.
Честно сказать я не знаю из какой страны эти ребята, но фамилии точно не американские:).
В общем то эти два молодых человека, немного поразмыслив над ситуацией в мире, пришли к выводу, что в настоящее время главной проблемой всего человечества станет защита информации в интернете.
Толчком к началу продумывания идеи стали события «арабской весны».
Вышеуказанные товарищи смекнули что к чему и решили, что надо изобрести такую технологию, которая позволяла бы общаться в интернете один на один без возможности вмешаться третьей стороне.
Итогом их размышлений стал сайт, который вскоре получил название анонимайзер и позволял отправлять необходимую информацию непосредственно с ограниченной сети, при этом все сведения о компьютере с которого отправлялись данные стала теперь недоступна.
Эта технология по началу не воспринималась всерьез. Однако как я уже сказал события «арабской весны» привели к тому, что данный сайт стал чуть ли не самым популярным у работников средств массовой информации.
Дело в том, что журналисты в гуще событий становятся что-то вроде непосредственных шпионов и они рискуют быть обнаруженными.
Поэтому переданная ими информация должна быть хорошо засекречена.
Таким образом новостные агентства не побрезговали воспользоваться на тот момент самым действенным способом по защите переданной им информации и стали активно использовать анонимайзер там где «жарко».
Вскоре данный сайт стал активно использоваться при военном перевороте в Египте. Тогда бунтовщики стали договариваться о встрече непосредственно через вышеуказанный сервис.
Это прямо таки подрывало безопасность стран и анонимайзер в ряде стран решено было закрыть.
Однако нашим героям суждено было стать известными и уже к 2011 году в их компанию было вложено около 50 000 000 долларов, что позволило ребятам всерьез заняться своим детищем.
Сейчас их компания достигла огромных высот и представляет собой что-то вроде частной виртуальной сети или VPN.
Как организовать бизнес на защите личной информации
Перед тем как начинать бизнес по защите личной информации в Интернете — подготовьте бизнес-план этого непростого дела.
Сейчас в вышеуказанной компании трудиться около 50 человек со всего мира. Но как же все началось ?
Примерно год назад в сети появилось интервью непосредственных основателей анонимайзера. Как признались сами ребята, главное не то что Вы знаете, а то сколько вокруг Вас умных людей.
Для того чтобы открыть свое агентство по защите информации необходимо во-первых создать нормальную рабочую атмосферу и собрать вокруг себя талантливых программистов.
Защита информации подразумевает не малые затраты прежде всего морального толка. Вы должны будете создать такой сервис, который будет предоставлять пользователю полную анонимность и возможность пользоваться компьютером, при этом будучи неизвестным.
Во- вторых Вы должны быть настойчивы в принятии решений. Дело в том, что основание вышеуказанного проекта граничило с долей риска.
Ведь основатели анонимайзера хоть и дают свободу пользователям сети, но и при этом идут против некоторых правительственных рамок, обеспечивающих внутриполитическую защиту отдельно взятого государства.
Наверное поэтому данный сервис закрыт в Китае. Его сочли опасным наравне с гуглом и фейсбуком.
Ну и в конце ребята советуют не пользоваться никакими онлайн тренингами и покупать себе помощников. Пусть Вы включите их в свое дело, но не купите их знания.
Единственным источником информации должен исходить от Ваших партнеров по бизнесу, которые также как и Вы будут стремиться сделать его успешным, а не содрать с Вас денег.
Надеюсь данная идея была вам полезна.
Бесплатные консультации по бизнесу Вы можете получить в моей группе ВК «Новые бизнес-идеи и планы«.
Источники: http://www.ceo.ru/news/business/technology/informacionnaya-bezopasnost-v-biznese, http://mirznanii.com/a/158674/informatsionnaya-bezopasnost-v-biznese, http://busideasto.ru/biznes-idei/agentstvo-po-zashhite-lichnoj-informacii-v-internete.html
