34 аббревиатуры для систем защиты информации

Постановление Правительства № 584, Положения ЦБ РФ №№ 607-П, 380-П, 640-П

Постановление Правительства № 584

• назначение ответственного за ЗИ работника или подразделения;
• включение требований по ЗИ в должностные инструкции работников платежной системы;
• определение угроз безопасности (т.е. моделирование угроз) и анализ уязвимостей;
• анализ и управление рисками нарушения требований к ЗИ;
• применение СЗИ;
• выявление и реагирование на инциденты ИБ;
• обеспечение ЗИ при использовании сети Интернет;
• определение порядка доступа к компонентам платежной системы;
• организация и проведение контроля и оценки выполнения требований к ЗИ не реже 1 раза в 2 года.

Положения Банка России №607-ПстандартПоложении Банка России № 680-ПранееПоложение ЦБ РФ № 380-ППоложением ЦБ РФ № 640-П

Ранжирование уязвимостей

Каждая уязвимость должна быть учтена и оценена специалистами

Поэтому важно определить критерии оценки опасности возникновения угрозы и вероятности поломки или обхода защиты информации. Показатели подсчитываются с помощью применения ранжирования

Среди всех критериев выделяют три основных:

Доступность – это критерий, который учитывает, насколько удобно источнику угроз использовать определенный вид уязвимости, чтобы нарушить информационную безопасность. В показатель входят технические данные носителя информации (вроде габаритов аппаратуры, ее сложности и стоимости, а также возможности использования для взлома информационных систем неспециализированных систем и устройств).

• Фатальность – характеристика, которая оценивает глубину влияния уязвимости на возможности программистов справиться с последствиями созданной угрозы для информационных систем. Если оценивать только объективные уязвимости, то определяется их информативность – способность передать в другое место полезный сигнал с конфиденциальными данными без его деформации.
• Количество – характеристика подсчета деталей системы хранения и реализации информации, которым присущ любой вид уязвимости в системе.

Каждый показатель можно рассчитать как среднее арифметическое коэффициентов отдельных уязвимостей. Для оценки степени опасности используется формула. Максимальная оценка совокупности уязвимостей – 125, это число и находится в знаменателе. А в числителе фигурирует произведение из КД, КФ и КК.

Чтобы узнать информацию о степени защиты системы точно, нужно привлечь к работе аналитический отдел с экспертами. Они произведут оценку всех уязвимостей и составят информационную карту по пятибалльной системе. Единица соответствует минимальной возможности влияния на защиту информации и ее обход, а пятерка отвечает максимальному уровню влияния и, соответственно, опасности. Результаты всех анализов сводятся в одну таблицу, степень влияния разбивается по классам для удобства подсчета коэффициента уязвимости системы.

Межсетевые экраны

Неотъемлемым элементом защиты сети крупной организации от вторжения злоумышленников является корпоративный межсетевой экран (МЭ). Предложение на этом рынке представлено десятками компаний, готовых предоставить решения для любых сред: настольных систем, малого и домашнего офиса (SOHO), среднего и малого бизнеса, телекоммуникационных компаний и т. д.

Поэтому для принятия правильного решения о выборе межсетевого экрана необходимо понимание потребностей бизнеса в обеспечении сетевой безопасности и принципов действия этих продуктов.

Межсетевой экран (firewall, брандмауэр) — это комплекс аппаратных и/или программных средств, предназначенный для контроля и фильтрации проходящего через него сетевого трафика в соответствии с заданными правилами. Основной задачей этого класса продуктов является защита компьютерных сетей (или их отдельных узлов) от несанкционированного доступа.

В общем случае, межсетевой экран использует один или несколько наборов правил для проверки сетевых пакетов входящего и/или исходящего трафика. Правила межсетевого экрана могут проверять одну или более характеристик пакетов, включая тип протокола, адрес хоста, источник, порт и т. д. Существует два основных способа создания наборов правил: «включающий» и «исключающий». Правила, созданные первым способом, позволяют проходить лишь соответствующему правилам трафику и блокируют все остальное. Правила на основе исключающего способа, напротив, пропускают весь трафик, кроме запрещенного. Включающие межсетевые экраны обычно более безопасны, чем исключающие, поскольку они существенно уменьшают риск пропуска межсетевым экраном нежелательного трафика.

Использование межсетевых экранов может быть эффективно при решении следующих задач:

• Защита и изоляция приложений, сервисов и устройств во внутренней сети от нежелательного трафика, приходящего из интернета (разделение сетей);
• Ограничение или запрет доступа к сервисам сети для определенных устройств или пользователей;
• Поддержка преобразования сетевых адресов, что позволяет использовать во внутренней сети частные IP-адреса либо автоматически присваиваемые публичные адреса.

Одна из главных тенденций на рынке межсетевых экранов — увеличение функционала и стремление к универсальности. Кроме непосредственного контроля трафика и разделения сетей функционал современных решений включает в себя:

• Глубокий анализ пропускаемого трафика (deep packet inspection);
• Шифрование трафика;
• Организацию удаленного доступа пользователей к ресурсам локальной сети (VPN);
• Аутентификацию пользователей.

Современные МЭ предоставляют возможность построения виртуальных частных сетей, которые позволяют компаниям создавать безопасные каналы передачи данных через публичные сети, предотвращая тем самым перехват и искажение передаваемой информации, а также обеспечивая контроль целостности передаваемых данных. При организации VPN-сетей могут применяться различные методы аутентификации, в том числе сертификаты PKI X.509, одноразовые пароли, протоколы RADIUS, TACACS+.

В настоящее время межсетевые экраны все чаще предлагаются не в виде отдельных решений, а как компоненты более сложных систем защиты. Потребности рынка продуктов для малых и средних предприятий и удаленных офисов послужили стимулом к созданию специализированных аппаратных устройств с функциями межсетевых экранов. Такие устройства, как правило, представляют собой выделенные серверы с предварительно установленным и сконфигурированным на них программным обеспечением межсетевого экрана, виртуальной частной сети и операционной системой.

С появлением технологий беспроводных ЛВС понятие «защищаемого периметра» теряет свое значение. В этой связи наиболее уязвимым местом корпоративной сети становятся мобильные рабочие станции. Для защиты от подобного рода угроз производители разрабатывают технологии типа Network Access Protection (Microsoft), Network Admission Control (Cisco), Total Access Protection (Check Point).

На сегодняшний день на рынке представлено значительное количество межсетевых экранов различной функциональности

Однако при выборе того или иного решения в первую очередь стоит обратить внимание на управление подобной системой. Так или иначе, качество работы межсетевого экрана напрямую зависит от качества установленного системным администратором набора правил

Кроме того, следует понимать, что межсетевой экран — не панацея от всех угроз и его использование эффективно лишь в связке с другими продуктами, среди которых самое заметное место занимают антивирусы.

Обеспечение информационной безопасности

Существует пять уровней защиты информации:

• Законодательный – на уровне законов, норм, актов и т. д.
• Административный – на уровне администрации предприятия.
• Аппаратно-программный – на уровне специальных программ и устройств.
• Физический – на уровне электронно-механических препятствий для проникновения нарушителей.
• Морально-этический – на уровне норм поведения, престижа как одного человека, так и целой организации.

Только комплекс таких мер, которые будут направлены на устранение угрозы безопасности, образуют систему защиты информации.

Система управления информационной безопасностью должна соответствовать таким критериям, как:

• Сумма потраченных средств на защиту должна быть меньше, чем предполагаемый ущерб.
• Защита эффективна тогда, когда с ней просто работать.
• В экстренных случаях должна просто отключаться.
• Пользователи не должны иметь много привилегий для работы.
• Специалисты, работающие с системой, должны полностью в ней разбираться.
• Те, кто разрабатывал систему, не должны входить в число контролируемых.

Объекты защиты должны быть разделены на группы чтобы при нарушении одной не страдали остальные. Но при этом стоит помнить, что защите подлежит вся система обработки информации, а не её отдельные части.

При установке системы защиты, она должна прежде протестирована и согласованна, так же должны быть получены доказательства её эффективности.

стандартов

Лица, работающие с системой, несут полную ответственность за сохранение конфиденциальности. Механизмы, осуществляющие защиту информации, должны быть скрыты от пользователей

Реализация системы информационной безопасности на производстве

При анализе особенностей АСУ становится понятна вся сложность реализации комплексной системы информационной безопасности на производстве. Постоянная модификация типов атак требует для внедрения систем безопасности использовать современные компоненты, релевантные угрозам, но в архитектуре давно работающих АСУ, чей возраст превышает несколько лет, им может не найтись места. Внедряемая для АСУ система безопасности должна отвечать требованиям ISA 99 / IEC 62443, являющегося основным стандартом обеспечения безопасности в системах промышленной автоматизации. Она должна решать задачи комплексной защиты системы от:

• физических атак;
• несанкционированного доступа сотрудников и третьих лиц;
• хакерских атак.

От чего зависит успешность защиты

Разрабатывая собственную систему организации информационной безопасности на производстве, необходимо учитывать, что успешность ее развертывания зависит от следующих факторов:

• необходимости обеспечить мониторинг интерфейсов коммуникации между офисными и промышленными сетями, каналов удаленного доступа к обслуживанию через Интернет, обеспечить установку межсетевых экранов;
• создания так называемых демилитаризованных зон (DMZ), предназначенных для обмена информацией со смежными сетями и исключающих получение внешними пользователями прямого доступа к АСУ;
• создания безопасных сегментов сети для отдельных защищенных производственных секторов, что позволяет снизить риски и увеличить уровень информационной безопасности;
• использования при передаче данных протоколов VPN и шифрования;
• защиты коммуникационных станций алгоритмами аутентификации.

Реализация этих компонентов возможна в любой промышленной системе. От сложности архитектуры АСУ и ее возраста зависит, насколько легко пройдет внедрение.

Но только защитой АСУ задача информационной безопасности не решается. Помимо защиты производственных процессов от сбоев, простоев и аварий, специалисты по информационной безопасности должны решить задачи защиты конфиденциальной информации в информационных системах центрального аппарата управления. К ней могут относиться:

• производственные планы и стратегии;
• ноу-хау и производственные секреты;
• программные решения, внедряемые в целях производства или защиты информации;
• управленческая отчетность и иная финансовая информация.

Работа по защите этих информационных объектов окажется стандартной и существенно менее сложной, чем работа по обеспечению информационной безопасности АСУ, но пренебрегать ею не стоит. Стоимость похищенных производственных секретов высока, поэтому для защиты офисной части системы управления желательно использовать DLP-систему, полностью закрывающую информационный периметр от утечек. Выбор программного обеспечения, решающего проблемы безопасности, будет зависеть и от того, относится ли объект к КИИ (объектам критической информационной инфраструктуры) и есть ли необходимость ориентироваться на требования регулятора.

Основные угрозы информационной безопасности

Современная информационная система представляет собой сложную систему, состоящую из большого
числа компонентов различной степени автономности, которые связаны между собой
и обмениваются данными. Практически каждый компонент может подвергнуться
внешнему воздействию или выйти из строя. Компоненты автоматизированной информационной
системы можно разбить на следующие группы:

• аппаратные средства — компьютеры и их составные части (процессоры,
  мониторы, терминалы, периферийные устройства — дисководы, принтеры, контроллеры,
  кабели, линии связи и т.д.);
• программное обеспечение — приобретенные программы, исходные,
  объектные, загрузочные модули; операционные системы и системные программы
  (компиляторы, компоновщики и др.), утилиты, диагностические программы и т.д.;
• данные — хранимые временно и постоянно, на магнитных носителях,
  печатные, архивы, системные журналы и т.д.;
• персонал — обслуживающий персонал и пользователи.

Опасные воздействия на компьютерную информационную систему можно подразделить
на случайные и преднамеренные. Анализ опыта проектирования, изготовления и
эксплуатации информационных систем показывает, что информация подвергается
различным случайным воздействиям на всех этапах цикла жизни системы. Причинами
случайных воздействий при эксплуатации могут быть:

• аварийные ситуации из-за стихийных бедствий и отключений электропитания;
• отказы и сбои аппаратуры;
• ошибки в программном обеспечении;
• ошибки в работе персонала;
• помехи в линиях связи из-за воздействий внешней среды.

Преднамеренные воздействия — это целенаправленные действия нарушителя.
В качестве нарушителя могут выступать служащий, посетитель, конкурент, наемник.
Действия нарушителя могут быть обусловлены разными мотивами:

• недовольством служащего своей карьерой;
• взяткой;
• любопытством;
• конкурентной борьбой;
• стремлением самоутвердиться любой ценой.

Можно составить гипотетическую модель потенциального нарушителя:

• квалификация нарушителя на уровне разработчика данной системы;
• нарушителем может быть как постороннее лицо, так и законный пользователь
  системы;
• нарушителю известна информация о принципах работы системы;
• нарушитель выбирает наиболее слабое звено в защите.

Наиболее распространенным и многообразным видом компьютерных нарушений
является несанкционированный доступ (НСД). НСД использует любую
ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их
некорректной установке и настройке.

Проведем классификацию каналов НСД, по которым можно осуществить
хищение, изменение или уничтожение информации:

• Через человека:
  • хищение носителей информации;
  • чтение информации с экрана или клавиатуры;
  • чтение информации из распечатки.
• Через программу:
  • перехват паролей;
  • дешифровка зашифрованной информации;
  • копирование информации с носителя.
• Через аппаратуру:
  • подключение специально разработанных аппаратных средств, обеспечивающих
    доступ к информации;
  • перехват побочных электромагнитных излучений от аппаратуры, линий связи,
    сетей электропитания и т.д.

Особо следует остановиться на угрозах, которым могут подвергаться
компьютерные сети. Основная особенность любой компьютерной сети состоит в том,
что ее компоненты распределены в пространстве. Связь между узлами сети
осуществляется физически с помощью сетевых линий и программно с помощью
механизма сообщений. При этом управляющие сообщения и данные, пересылаемые
между узлами сети, передаются в виде пакетов обмена. Компьютерные сети характерны тем, что против них предпринимают так
называемые удаленные атаки. Нарушитель может находиться за тысячи
километров от атакуемого объекта, при этом нападению может подвергаться
не только конкретный компьютер, но и информация, передающаяся по сетевым
каналам связи.

Виды и причины возникновения угроз информационной безопасности

Угрозы информационной безопасности подразделяют на внутренние (инсайдерские) и внешние. 

Основными рисками безопасности являются:

1. Несанкционированный доступ к бумажным, электронным и другим носителям данных. Угроза копирования, похищения, изменения или уничтожения важных сведений;
2. Утечка персональных данных сотрудников и клиентов. Информация может быть использована для шантажа, компрометации, нанесения материального ущерба, входа в служебные информационные системы;
3. Внедрение в электронные устройства, с помощью которых производится обработка информации, вредоносного программного обеспечения. Возможно кодирование, намеренное повреждение файлов;
4. Установка шпионских компьютерных программ, атаки хакеров;
5. Отказы в работе охранного оборудования и электронных устройств, возникающие из-за непредвиденных ситуаций (аварий и катастроф);
6. Использование злоумышленниками технических (электромагнитных, оптических, акустических) средств разведки, похищения информации.

Угрозу информационной безопасности компании представляет использование нелицензионного программного обеспечения. Причиной является отсутствие возможности обновления программ, невозможность проверки подлинности приложений, отсутствие технической помощи со стороны разработчиков ПО.

Иногда причиной разглашения конфиденциальной информации становятся действия органов правопорядка. При проведении проверок деятельности предприятий или расследовании уголовных преступлений изымается важная документация и компьютерные носители с ценными коммерческими данными, которые могут стать доступными для злоумышленников. Меры защиты от подобной угрозы законодательством не предусмотрены.

Причинами возникновения угроз могут быть действия посторонних лиц, а также нарушения требований безопасности со стороны легальных пользователей (сотрудников или совладельцев бизнеса).

Категории и носители информации

Российская правовая система, правоприменительная практика и сложившиеся общественные отношения классифицируют информацию по критериям доступности. Это позволяет уточнить существенные параметры, необходимые для обеспечения информационной безопасности:

• информация, доступ к которой ограничен на основании требований законов (государственная тайна, коммерческая тайна, персональные данные);
• сведения в открытом доступе;
• общедоступная информация, которая предоставляется на определенных условиях: платная информация или данные, для пользования которыми требуется оформить допуск, например, библиотечный билет;
• опасная, вредная, ложная и иные типы информации, оборот и распространение которой ограничены или требованиями законов, или корпоративными стандартами.

Информация из первой группы имеет два режима охраны. Государственная тайна, согласно закону, это защищаемые государством сведения, свободное распространение которых может нанести ущерб безопасности страны. Это данные в области военной, внешнеполитической, разведывательной, контрразведывательной и экономической деятельности государства. Владелец этой группы данных – непосредственно государство. Органы, уполномоченные принимать меры по защите государственной тайны, – Министерство обороны, Федеральная служба безопасности (ФСБ), Служба внешней разведки, Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Конфиденциальная информация – более многоплановый объект регулирования. Перечень сведений, которые могут составлять конфиденциальную информацию, содержится в указе президента №188 . Это персональные данные; тайна следствия и судопроизводства; служебная тайна; профессиональная тайна (врачебная, нотариальная, адвокатская); коммерческая тайна; сведения об изобретениях и о полезных моделях; сведения, содержащиеся в личных делах осужденных, а также сведения о принудительном исполнении судебных актов.

Персональные данные существует в открытом и в конфиденциальном режиме. Открытая и доступная всем пользователям часть персональных данных включает имя, фамилию, отчество. Согласно ФЗ-152 «О персональных данных», субъекты персональных данных имеют право:

• на информационное самоопределение;
• на доступ к личным персональным данным и внесение в них изменений;
• на блокирование персональных данных и доступа к ним;
• на обжалование неправомерных действий третьих лиц, совершенных в отношении персональных данных;
• на возмещение причиненного ущерба.

Право на обработку персональных данных закреплено в положениях о государственных органах, федеральными законами, лицензиями на работу с персональными данными, которые выдает Роскомнадзор или ФСТЭК. Компании, которые профессионально работают с персональными данными широкого круга лиц, например, операторы связи, должны войти в реестр, его ведет Роскомнадзор.

Отдельным объектом в теории и практике ИБ выступают носители информации, доступ к которым бывает открытым и закрытым. При разработке концепции ИБ способы защиты выбираются в зависимости от типа носителя. Основные носители информации:

• печатные и электронные средства массовой информации, социальные сети, другие ресурсы в интернете;
• сотрудники организации, у которых есть доступ к информации на основании своих дружеских, семейных, профессиональных связей;
• средства связи, которые передают или сохраняют информацию: телефоны, АТС, другое телекоммуникационное оборудование;
• документы всех типов: личные, служебные, государственные;
• программное обеспечение как самостоятельный информационный объект, особенно если его версия дорабатывалась специально для конкретной компании;
• электронные носители информации, которые обрабатывают данные в автоматическом порядке.

Базовый закон о защите информации

Основным законом о безопасной информации в России является документ, датированный 27.07.2006 года, зарегистрированный под номером 149-ФЗ. В законе представлены главные понятия, важные для защиты информации.

Законопроект определяет отношения и права, которые появляются, когда:

• происходят поиск, получение или предоставление, передача данных другим лицам;
• осуществляется использование информационных технологий;
• обеспечивается защита сведений.

Среди основных понятий, зафиксированных в законе, фигурируют следующие:

• Информация – данные, которые могут принимать любой формат и выражение.
• Информационные технологии – методики поиска, сбора и варианты обеспечения сохранности, работы, распространения данных.
• Обладающий информацией – автор информации или тот, кому ее передали на законных основаниях. Данные призваны обеспечить обработку технологий и техсредств.
• Атака на компьютеры, объединенные в одну систему, – действие, которое подготовил, спланировал и осуществил злоумышленник, чтобы найти уязвимое место в сети. Завершиться атака может угрозой безопасности информации. Атаку на компьютеры может предотвратить оператор.
• Оператор системы информации – физическое или юридическое лицо, обеспечивающее применение данных, их обработку, но только если сведения указаны в базах данных.

Задачи оператора информационной системы, зафиксированные в законопроектах РФ, следующие:

• доступ к ней других лиц может быть только санкционированным;
• специалист отвечает за обеспечение безопасности информации путем своевременного обнаружения мошеннических действий;
• эксперту предстоит предупреждать отрицательные последствия относительно нарушенного порядка использования данных;
• оператор системы защиты, в том числе, отслеживает и не допускает влияния на технические средства, отвечающие за обработку сведений, из-за которого они неверно работают.

Какие бывают информационные опасности

Существует два типа опасных факторов для любой информации. Это несанкционированный доступ и повреждение по естественным причинам.

Однако эти два указанных сегмента делятся на несколько категорий, которые методы и средства защиты информации классифицируют как имеющие отличные друг от друга показатели возможного ущерба.

В частности, несанкционированный доступ подразделяется на:

• доступ к данным для ознакомления, копирования, с целью последующего использования в целях, подразумевающих нанесение вреда владельцу (репутационного, материального, измеряемого в недополученной прибыли);
• доступ с целью изменения, что может повлечь за собой самые различные последствия, включая уголовную и административную ответственность;
• доступ с целью удаления для нанесения ущерба различного рода.

Методы защиты информации в информационных системах выделяют и сугубо криминальные действия, не направленные на определенного владельца или сегмент данных. Современные злоумышленники шифруют файлы, базы, шантажируя компании.

Деньги вымогаются за возврат информации в исходное состояние или иные действия.

Известный вирус-шифровщик wanna cry

Естественные причины связаны только с отказом оборудования и достаточно легко нейтрализуются. Это может быть выход из стоя элементов хранения данных (жестких и оптических дисков, ленточных носителей, контроллеров RAID массивов).

Хотя такие случаи легко учитываются и прогнозируются, с построением системы дублирования и резервного копирования — период времени, необходимый для восстановления информации, зачастую причиняет репутационные потери, вызывает отказ в обслуживании и другие неприятные последствия.

Информационная система на примере виртуального здания

Информационная система (ИС) – это комплекс средств, используемых для хранения, обработки и выдачи информации. Современное понимание этого термина предполагает использование компьютера в качестве основного технического средства переработки данных.

ИС также можно представить в виде здания. Хотя оно и виртуальное, но также нуждается в защите. В качестве средств, обеспечивающих защиту, можно использовать те же устройства физической безопасности. Отличие заключается в том, что они должны быть разработаны с учетом IT-технологий.

Если вход в физическое помещение преграждает турникет или сотрудник охраны, в ИС для этого используются устройства аутентификации или межсетевой экран, контролирующие входящий трафик в ИС. 

Каналы утечки информации

БУМАЖНЫЕ ДОКУМЕНТЫ

С помощью бумаги конфиденциальная информация становится доступной другим чаще всего. Причем независимо от того, сливает ее кто-то умышленно или утечка происходит случайно. Продавать «секреты» на бумаге безопаснее, чем в электронном виде, так как сложно доказать, от кого они получены (если, конечно, нет записи).

КОМПЬЮТЕРЫ

Компьютеры (имеются в виду стационарные) — второй по распространенности канал, через который инсайдеры сливают на сторону конфиденциальную информацию. Но, по сути, компьютер даже больше не канал передачи секретных данных, а канал их получения. Через него инсайдер имеет доступ к корпоративным сведениям, хранящимся на сервере компании, может скачать их на съемные носители или отправить по электронной почте.

ИНТЕРНЕТ

Случайная утечка может произойти, когда финансовые сведения содержатся в программах компании, работающих через интернет, а вход в них имеет примитивные пароли. Таковыми принято считать цифровые или буквенные пароли по ходу клавиатуры: 123456, 123123, 12345678, qwerty, а также abc123, dragon, 111111, iloveyou, sunshine, passw0rd, superman, football и др.

ЭЛЕКТРОННАЯ ПОЧТА

Сотрудники считают, что пересылать секретные данные безопаснее с личной, а не с корпоративной почты. Это заблуждение: установить, чей адрес, легко по учетным записям. Также «электронка» помогает проникнуть в тайны компании с помощью зараженных вирусами писем. Шпионы изучают интересы сотрудника (в соцсетях и т. п.), затем отправляют ему такое письмо, которое он наверняка откроет, допустим коллекционеру плюшевых мишек сообщение с темой «Прикольный мишка».

СМАРТФОНЫ, НОУТБУКИ

Смартфоны и ноутбуки тоже не самый распространенный канал утечки секретной информации, но часто используется менеджерами высшего звена. Ситуация: идет конфиденциальное совещание. У присутствующих с собой смартфоны или, что чаще всего, ноутбуки с материалами совещания. Присутствующий инсайдер активирует встроенный микрофон и сидит себе с невинным видом. А потом все, о чем говорилось на закрытом совещании, сливается во внешний мир.

СЪЕМНЫЕ НОСИТЕЛИ И РЕЗЕРВНЫЕ КОПИИ

Флешки, переносные жесткие диски в силу своего удобства тоже используются для передачи информации. При этом инсайдер может легко сослаться на их обычную потерю. Иногда информация уходит по оплошности. К примеру, сотрудник взял на флешке отчеты с финансовыми показателями домой доработать, а дома незащищенное интернет-соединение. Что касается резервных копий, то хранить в них данные можно в интернете (пример — iCloud).

Защита персональных данных

Долг каждого гражданина — знать и понимать, какой информацией он обладает и как необходимо с ней обращаться. Очень часто отсутствие у людей основных понятий о личной информации, пренебрежение требованиями информационной безопасности,  приводит к неприятным последствиям, из-за чего в дальнейшем они могут легко стать жертвой мошенников или злоумышленников.

К персональным данным относятся сведения или совокупность сведений о физическом лице, которое идентифицировано или позволяют конкретно идентифицировать его. Примером персональных данных является фамилия, имя, отчество, адрес, телефоны, паспортные данные, национальность, образование, семейное положение, религиозные и мировоззренческие убеждения, состояние здоровья, материальное положение, дата и место рождения, место жительства и пребывания и т.д. , данные о личных имущественных и неимущественных отношения этого лица с другими лицами, в том числе членами семьи, а также сведения о событиях и явлениях, происходивших или происходящих в бытовой, интимной, товарищеской, профессиональной, деловой и других сферах жизни лица (за исключением данных по выполнению полномочий лицом, занимающим должность, связанную с осуществлением функций государства или органа местного самоуправления) и др.

Указанная выше информация является информацией о физическом лице и членах его семьи и является конфиденциальной. Конфиденциальная информация может обрабатываться и распространяться только с согласия лица, которому она принадлежит (субъект персональных данных), кроме случаев, определенных законом.

Основным способом обеспечения информационной безопасности и исключения несанкционированного доступа к ресурсам информационных систем с данными являются подтверждения подлинности пользователей и разграничение их намерений на доступ к определенным информационным ресурсам. Подтверждение подлинности пользователя обеспечивается выполнением процедуры его идентификации, проверкой подлинности лица и осуществлением контроля за всеми действиями, обусловленными приписанными данному пользователю полномочиями доступа. Идентификация пользователя включает в себя регистрацию в системе безопасности вычислительного устройства уникального регистрационного имени пользователя (логина) и соответствующего этому пользовательском имени — пароля. Установления подлинности пользователя (аутентификация) заключается в проверке истинности его полномочий. Для особо надежного опознания при идентификации и аутентификации пользователя иногда используются специальные технические средства, фиксирующие и распознают индивидуальные физические и лингвистические характеристики человека (голос, отпечатки пальцев, структура зрачки, языковые особенности и т.д.). Однако такие методы требуют значительных затрат, поэтому их используют редко, так что основным и самым массовым средством идентификации остается парольную доступ.

В ряде случаев при необходимости обеспечить высокую степень защиты данных, содержащихся в компьютере, используют также специальные криптографические методы защиты информации (шифрование, цифровая подпись, цифровые водяные знаки и т.д.). При шифровании информации происходит ее обратное преобразование в некоторую кажущуюся случайную последовательность символов, которая называется шифротекстом, или криптограммой. Для создания и работы с криптограммой требуется знание алгоритма и ключа шифрования. Алгоритм шифрования представляет собой последовательность преобразований обрабатываемых данных в соответствии с ключом шифрования, ключ шифрования обеспечивает шифрование и дешифрование информации.

Сегодня все большую популярность приобретает такое криптографическое средство защиты информации, как электронная цифровая подпись (ЭЦП). Такая подпись уже стала достаточно часто используемым способом идентификации и аутентификации пользователя в банковской и других сферах деятельности. Электронная цифровая подпись представляет собой присоединенное к какому-либо тексту его криптографическое (зашифрованное определенным способом) преобразования, что позволяет получателю текста проверить подлинность его авторства и подлинности самого текста. К такому же типу технологической защиты можно отнести и цифровые водяные знаки (англ. Digital watermark), которые сегодня чаще всего используют для предотвращения несанкционированного копирования мультимедийных файлов, как один из эффективных способов защиты авторских прав.