Что такое информационная безопасность и с какими угрозами она борется

Информационная безопасность — это комплекс мер и технологий, направленных на защиту информации от несанкционированного доступа, утечек, искажений или уничтожения.
Главная задача ИБ — обеспечить непрерывность работы бизнеса, защитить данные и минимизировать риски, связанные с внутренними и внешними угрозами.

• Конфиденциальность

Информация должна быть доступна только тем, кто имеет на это право. Например, базы данных с персональными данными клиентов интернет-магазина не должны быть доступны посторонним лицам.

• Целостность

Данные должны оставаться неизменными, если у пользователя нет полномочий для их редактирования. Нарушение целостности, например подмена реквизитов оплаты на сайте, может привести к финансовым потерям и жалобам клиентов.

• Доступность

Данные должны быть доступны уполномоченным пользователям в нужное время. Если бухгалтерская программа зависнет в конце отчетного периода, это нанесет прямой ущерб бизнесу.

В компаниях используется несколько категорий информации, и каждая из них требует защиты:

• Общедоступная информация

Например, описание товаров или пресс-релизы. Хотя она открыта, важна защита целостности. Подмена публичных данных может привести к репутационным потерям. Пример: изменение цен на сайте интернет-магазина конкурентами.

• Персональные данные

Паспортные данные, телефоны, email-адреса клиентов. За их утечку Роскомнадзор накладывает штрафы (пример — массовые утечки из баз «Яндекс Еды» и Delivery Club).

• Коммерческая тайна

Финансовые отчеты, маркетинговые стратегии, внутренние документы. Утечка может привести к потерям конкурентных преимуществ.

• Служебная тайна

Внутренняя переписка, данные бухгалтерии, кадровые документы. Даже случайная утечка может обернуться судебными разбирательствами.

• Профессиональная тайна

Медицинские карты пациентов, адвокатские материалы, нотариальные дела. Утечка таких данных влечет серьезные правовые последствия, вплоть до уголовной ответственности.

• Государственная тайна

Данные оборонной, научной и дипломатической сфер. Их защита строго регулируется законом и также влечет серьезную ответственность вплоть до уголовной.

Защищать необходимо любую информацию — как конфиденциальную, так и публичную, чтобы избежать подмены или искажения данных.

Все угрозы можно разделить на внутренние и внешние.

Внутренние угрозы:

• намеренные — кража данных сотрудником, саботаж, мошенничество;
• ненамеренные — ошибки при работе с программами, использование слабых паролей, потеря устройств.

Внешние угрозы:

• кибератаки и вирусы;
• DDoS-атаки, перегружающие серверы;
• фишинг и социальная инженерия (поддельные SMS от «банка» или «службы доставки»);
• эксплойты и атаки «человек посередине»;
• технические сбои или природные катастрофы.

Отсутствие системной защиты несет сразу несколько типов рисков:

• Утечки данных

Потеря персональных данных или коммерческой тайны приводит к штрафам (например, до 500 тыс. рублей за первичную утечку или до 1млн.руб. за повторную по закону о защите персональных данных), судебным искам и уходу клиентов.

• Репутационные потери

Даже единичный инцидент может нанести урон репутации компании. В России были случаи, когда клиенты массово уходили к конкурентам после огласки факта утечки базы клиентов.

• Финансовые убытки

Нарушения работы IT-систем ведут к простоям. Например, DDoS-атака на интернет-магазин в разгар распродажи может лишить компанию миллионов рублей выручки за несколько часов.

• Юридическая ответственность

Несоблюдение законодательства (например, ФЗ-152 «О персональных данных») грозит не только штрафами, но и проверками контролирующих органов, а также приостановкой деятельности предприятия.

Контроль информационной безопасности осуществляется на нескольких уровнях:

1. Административный

• разработка и внедрение политики безопасности;
• назначение ответственных лиц;
• регулярное обучение сотрудников.

2. Логический

• защита на уровне ПО и сетей: антивирусы, VPN, двухфакторная аутентификация, SIEM-системы;
• шифрование данных;
• управление доступами и правами пользователей.

3. Физический

• защита серверных помещений и рабочих мест: системы контроля доступа, видеонаблюдение, пожарная сигнализация;
• резервное копирование данных на защищенные площадки (хотя это может быть отнесено и к логическому уровню).

Компании с собственными IT-отделами могут попытаться проверить защищенность своей информации и систем своими силами - это делается через аудит безопасности. Это можно провести и самостоятельно. Однако без узкопрофильных специалистов по ИБ проверка часто сводится к формальной проверке антивирусов и паролей. При этом реальные уязвимости (например, в облачных сервисах или при настройке серверов) остаются незамеченными.

На практике надежнее доверять аудит профессионалам. Это гарантирует выявление слабых мест и дает рекомендации по их устранению.

ООО "Гладиаторы ИБ" предлагает полный спектр услуг по обеспечению информационной безопасности:

• аудит текущего состояния защиты;
• разработку политики ИБ и внутренних регламентов;
• внедрение решений по защите от утечек, DDoS-атак, вирусов и фишинга;
• настройку SIEM, DLP и других комплексных систем;
• обучение сотрудников принципам безопасной работы с данными;
• разработку под ключ защиты персональных данных (ПДн) для успешного прохождения проверок Роскомнадзора;
• и др.

Мы знаем, что защита информации — это не разовая мера, а непрерывный процесс. Наша цель — сделать так, чтобы ваши данные и бизнес оставались под надежной защитой.