Защита информации в компании: простые правила и никакого волшебства

Положение о коммерческой тайне содержит порядок использования конфиденциальной информации. Передача данных преследуется по закону только в том случае, если в компании объявлен режим коммерческой тайны и разработано соответствующее Положение.

В Положении нужно указать:

• порядок, в соответствии с которым данные можно считать коммерческой тайной;

• порядок обращения с документацией, которая содержит коммерческую тайну;

• ответственных за соблюдение режима коммерческой тайны;

• ответственность за передачу конфиденциальных данных.

Положение должен изучить весь персонал. Также его нужно внести в трудовые договоры. Если произойдет утечка данных, виновные будут наказаны согласно гражданско-правовому порядку. В случае серьезного ущерба виновный понесет уголовную ответственность. Благодаря этим мерам конфиденциальная информация будет надежно защищена от рисков утраты или подмены.

Практические решения

Документация, которая регламентирует поведение сотрудников и устанавливает ответственность, окажет серьезное влияние на работников. По статистике, 80% утечек информации происходит по вине персонала. Однако оставшиеся 20% — это внешние причины.

Слабые места в системе безопасности поможет выявить аудит. Одни компании организуют его самостоятельно, другие привлекают для этого профессионалов.

Полученная информация поможет разработать рекомендации по программным и техническим мерам защиты. На особенности аудита влияет архитектура сети, распределение базы данных, использование облачных хранилищ.

Аудиторские проверки обязательны для нескольких параметров. Разберем их более подробно.

Политика доступа

Во время аудита необходимо дать оценку таким факторам:

• возможность доступа к серверам;

• ограничение прохода в помещения с рабочими станциями;

• использование электронных пропусков;

• качество ведения журнала посещений;

• сроки хранения данных о посетителях;

• эффективность системы видеонаблюдения.

После этого нужно провести анализ системы доступа — уточнить, кто отвечает за создание логинов и паролей. Затем необходимо оценить работу модели дифференцированного доступа и ее необходимость.

Если компания использует многофакторную аутентификацию, необходимо выяснить пути выдачи дополнительных идентификаторов и проверить парольную политику

Состояние сети

Во время аудита сначала нужно оценить:

• место, где расположены серверы;

• организацию доступа к серверам;

• сегментацию сети;

• как используются межсетевые экраны на границах секторов;

• качество файрволов.

Также нужно проверить работу модели удаленного доступа и тип защищенных каналов. Важно, чтобы был использован принцип установки проверенного сервиса VPN. Предоставлять права на удаленный доступ сотрудникам и внешним пользователям должен топ-менеджер.

Обработка инцидентов информационной безопасности

Что важно сделать в рамках аудита:

• выявить критические инциденты информационной безопасности;

• оценить модели уведомлений и реакции на них;

• изменить реестр инцидентов и проанализировать результаты их устранения.

Инциденты нужно классифицировать в соответствии со степенью значимости для каждой информационной системы. Кроме того, необходимо оценить ведение реестров записи действий пользователей и возможности их уничтожения/изменения.

Активы

Нужно создать перечень активов: элементов инфраструктуры, оборудования, важной информации, программных решений. Затем — проанализировать механизм доступа к каждому активу и возможность изменения прав доступа.

Регламенты защиты информации

В рамках аудита необходимо проверить:

• возможность шифрования данных и типы средств, которые для этого необходимы;

• сотрудников, которые имеют доступ к ключам шифрования;

• соответствие алгоритма защиты персональных данных требованиям регулятора.

Результаты аудиторской проверки будут выданы в виде рекомендаций. Благодаря им руководство компании улучшит систему информационной безопасности, чтобы она соответствовала рискам и требованиям времени.

Как только основополагающие документы будут приняты, можно приступать к внедрению. Выбор программных средств будет зависеть от рекомендаций ФСТЭК. Если риск внешних вторжений вызовет серьезные опасения, компании лучше внедрить DLP- и SIEM-системы.

Например, система мониторинга работы персонала и контроля рабочих мест предотвратит любые утечки информации, а также поможет контролировать деятельность сотрудников. Вы узнаете, чем в рабочее время занимаются ваши подчиненные.

Все собранные данные программа сохраняет и передает на сервер. С таким ПО корпоративные данные в безопасности.