Как организовать информационную безопасность для бизнеса

Информационная безопасность компании — это защита всех ее данных, систем и программ от посторонних людей. Главная задача — не дать украсть информацию, заразить системы вирусами или повредить оборудование. Просто поставить антивирус недостаточно для защиты. В статье рассмотрим, как организовать защиту предприятия от киберугроз.

Основные виды угроз ИБ для бизнеса

Угрозы информационной безопасности компании делятся на две группы: внешние и внутренние. Первые приходят снаружи — от мошенников, хакеров, вирусов.

Пример внешней угрозы — DDoS-атака. Это нападение на ресурсы компании, при котором сайт или серверы начинают медленно работать или вообще перестают функционировать. Во время такой атаки сайт компании пытаются открыть сразу тысячи пользователей, хотя на самом деле это делают роботы. Из-за огромного количества запросов сервер не справляется и выходит из строя. DDoS-атаки могут проводиться не только на сайты, но и на другие коммуникационные каналы компании. Конкуренты запускают их, чтобы вывести из строя сайт. Мошенники иногда требуют деньги за прекращение атаки.

Еще одна внешняя угроза — вирусы. Когда они попадают на компьютер, то могут:

• установить программу-шпиона, которая передает данные с рабочих компьютеров другим людям;
• повредить жесткий диск;
• удалить важные данные;
• заблокировать файлы.

Что касается внутренних нарушений информационной безопасности в компании, то они связаны с действиями сотрудников. Эти угрозы бывают двух видов: случайные и преднамеренные.

Первые возникают из-за недостаточной осведомленности работников о правилах безопасности. Например, менеджер может пользоваться одной «флешкой» дома и на работе. Если на нее попадет вирус, он распространится на все устройства.

Также сотрудники могут допускать ошибки, например, заходить на рабочие ресурсы с зараженного домашнего компьютера и таким образом передавать вирусы на рабочий сервер.

Иногда сотрудники сознательно наносят вред бизнесу. Чаще всего это происходит при увольнении, когда работник может унести с собой важную информацию, такую как база клиентов, и продать ее конкурентам.

Что мешает организовать системный подход к информационной безопасности в компании

Разнообразие предложений на рынке ИБ. Компании часто выбирают инструменты для защиты исходя из цены или простоты внедрения. Найти идеальное решение непросто, а некоторые продукты стоят очень дорого. Быстро утвердить бюджет на покупку таких продуктов тоже трудно.

Долгое внедрение и настройка оборудования и ПО. После покупки нового инструмента его еще нужно правильно установить и настроить. Многие компании сталкиваются с нехваткой опыта в этом вопросе. Вендоры могут помочь, но обычно они действуют изолированно, не видя полной картины системы безопасности клиента.

Недостаток внутренних компетенций в области информационной безопасности. Когда специалисты компании сами организуют защиту, они фокусируются на своих основных обязанностях и могут упустить важные моменты, которые касаются других процессов.

Неосведомленность о требованиях законодательства в зависимости от сферы деятельности. Медицинским учреждениям, например, необходимы сертификаты ФСБ и ФСТЭК. К государственным информационным системам (ГИС) также предъявляют строгие требования.

Несогласованность защитных инструментов (эффект «лоскутного одеяла»). Часто инструменты защиты плохо сочетаются друг с другом, что создает пробелы в безопасности. Причины могут быть разными: у компании несколько подрядчиков, отвечающих за разные части системы, что приводит к конфликту инструментов и отсутствию единого контроля. Также может повлиять усложнение и масштабирование бизнес-процессов, слияния или поглощения компаний, резкие изменения в бизнесе, появление новых активов. Чтобы избежать проблем, новые модули безопасности нужно быстро интегрировать в общую систему. Однако часто это приводит к беспорядку: сегменты становятся несогласованными, принципы работы всей системы непонятны.

Временная потребность в ИБ-инструментах. Иногда инструменты нужны временно — для тестирования, государственных инициатив, юридических проектов или перевода сотрудников на удаленку. После завершения проекта неиспользуемые инструменты остаются на балансе компании, создавая лишние расходы.

Вывод очевиден: необходимо подходить к созданию системы ИБ комплексно, учитывая цели, специфику отрасли и размер бизнеса. Такой подход поможет решать возникающие проблемы гибко и эффективно.

С чего начать организацию информационной безопасности компании

Аудит информационной безопасности — вот с чего надо начинать создание системы ИБ. Результаты аудита помогут разработать эффективную систему ИБ, соответствующую реальным угрозам.

Малый бизнес может провести аудит самостоятельно, но крупные компании с разветвленной системой подразделений и важной информацией обращаются к профессионалам.

Основные шаги проверки, которые помогают найти слабые места:

• Доступ к компьютерам: проверяется, кто имеет доступ к компьютерам, есть ли электронные пропуска и фиксируются ли посещения.
• Подключение съемных устройств: нужно узнать, можно ли подключать «флешки» и другие носители к рабочим станциям.
• Программное обеспечение: проверяют установленные программы, лицензии и регулярные обновления. Важно знать обо всех известных проблемах, которые могут позволить внешним пользователям получить доступ к данным.
• Настройка операционных систем: проверка использования антивирусов, брандмауэров и журналов действий пользователей.
• Права доступа: нужно убедиться, что каждый сотрудник получает минимальный доступ, необходимый для выполнения своей работы. Еще один насущный вопрос: кто отвечает за изменение прав.
• Система аутентификации: используется ли двухфакторная идентификация, есть ли ответственность за передачу логинов и паролей.
• Пароли: как часто меняются, что происходит при неправильном вводе.
• Документация: есть ли организационные документы по ИБ.

Некоторые компании сталкиваются с серьезными угрозами, особенно если они работают в конкурентной среде, занимаются научными разработками или обрабатывают персональные данные. В таких случаях услуги в области информационной безопасности предполагают более глубокий аудит по следующим критериям:

• Уязвимости системы: используются программы для поиска слабых мест в системе.
• Обработка конфиденциальной информации: необходимо проверить, где хранится важная информация и защищены ли границы этой зоны.
• Защищенная связь: проверяется использование протоколов безопасной передачи данных для удаленных сотрудников.
• Запись действий пользователей: анализируется, как фиксируется работа с конфиденциальной информацией.
• Дифференцированный доступ: проверяется, как организован доступ к разным уровням данных.

Если компания работает с персональными данными, важно убедиться, что соблюдаются законы и рекомендации регулирующих органов, а также используется сертифицированное программное обеспечение.

Что включает информационная безопасность компании

Информационная безопасность в бизнес-процессах — это целый набор разных действий. Сюда входит внедрение систем, специальных программ и правильные настройки всего этого. Каждая компания выбирает свой подход к защите информации:

• Разделение прав доступа. Сотрудник может работать с определенными документами или программами только тогда, когда это нужно для его задач. Это помогает ограничить доступ к тем данным, которые ему не нужны.
• DLP-система (система предотвращения утечек). Это программа, которая следит за передачей файлов внутри компании и останавливает попытки отправить их посторонним людям. Например, если кто-то попытается выслать рабочие документы с корпоративной почты на свою личную почту, система это заметит и заблокирует отправку. Ее также можно настроить на другие подозрительные действия.

Сегодня любая компания должна иметь следующие инструменты:

• IPS/IDS-системы защищают инфраструктуру и приложения от внешних атак, включая DDoS-атаки.
• WAF (брандмауэр для веб-приложений) защищает веб-сайты от сетевых атак.
• Антивирусная защита на серверах и устройствах пользователей защищает от вредоносных программ и шифровальщиков.
• Корпоративная почта с защитой от спама и вирусов снижает риск получения фишинговых писем.
• Виртуальные рабочие места (VDI) с двухфакторной аутентификацией и антивирусом обеспечивают дополнительную безопасность.
• Защищенное хранилище данных с безопасным удаленным доступом.

Все эти инструменты работают вместе как единое целое, и их можно адаптировать к любым изменениям в проекте.

Однако многие компании сначала пытаются создать систему самостоятельно и сталкиваются с трудностями: недостаток знаний для выбора и установки новых инструментов, непонимание требований в сфере информационной безопасности.

Обращаясь к разным подрядчикам, организации часто получают набор несвязанных решений. Комплексный подход одного поставщика, который обладает необходимыми знаниями, может решить эту проблему. В «МК Компани» услуги информационной безопасности осуществляются по принципу «единого окна», что помогает создать хорошо скоординированную систему ИБ. Централизованный контроль и экспертная поддержка позволяют убрать «слепые» зоны и снизить риски.