Реферат: Информационная безопасность в бизнесе. Роль информационной безопасности в обеспечении непрерывности бизнеса Информационная безопасность бизнеса

Ничто не дается бизнесу столь дешево и не обходится столь дорого, как ошибки в системе защиты корпоративной информации. Лучше учиться на чужих ошибках безопасности.

Кибератаки и DLP -системы

В 2010 году сотрудник HSBC- банка, входящего в полусотню самых надежных банков мира при увольнении прихватил с собой реквизиты 15 тыс. клиентов (преимущественно из Швейцарии и Франции). Этот обошлось банку в $94 млн, потраченных на замену неэффективной системы безопасности.

Куда больший ущерб нанесли добропорядочным гражданам киберпреступники, взломавшие Twitter -аккаунт Associated Press . Взломщики кратко «прощебетали»: «Два взрыва в Белом доме, Барак Обама ранен». Индекс Dow Jones упал на 150 пунктов, а голубые фишки сократили свою суммарную капитализацию на $200 млрд. Правда, после того как появилось опровержение, паника прекратилась, и индекс вернулся к прежнему значению. Но те, кто поспешили сбросить акции по ползущим вниз ценам, изрядно прогорели. Ответственность за взлом взяла на себя некая «Сирийская электронная армия». Однако утверждать наверняка, что это была не чисто экономическая диверсия, нельзя. Уж слишком точно было выбрано время: сразу же после теракта на Бостонском марафоне.

На Всемирном экономическом форуме в числе глобальных рисков для мировой экономики, таких как коррупция, демографический кризис, истощение природных ресурсов, были впервые в истории названы и кибератаки. Угрозы, подстерегающие и компании, и государственные структуры, могут быть как внешними, так и внутренними. Собственно кибератаки - это внешняя угроза. Внутренние угрозы - необязательно результат злого умысла. Вполне лояльные, но некомпетентные в области IT сотрудники могут случайно запустить вложенную в электронное письмо вредоносную программу, по ошибке стереть нужную папку, забрести на сайт, нашпигованый троянами. В результате важная для компании информация может либо бесследно исчезнуть, либо попасть в руки конкурентов или каких-нибудь «борцов за справедливость», одержимых идеями спасения человечества от глобализма и прочих язв капитализма, тоталитаризма etc. Статистика показывает, что наибольший вред компании терпят от своего же персонала.

Проблема компьютерной безопасности возникла сразу, как только американская компания Eckert-Mauchly Computer Corporation в 1951 году выпустила первый серийный компьютер UNIVAC I . Долгое время эта проблема носила скорее теоретический характер. Все изменилось после изобретения Интернета и лавинообразного разрастания Всемирной паутины.

Для противодействия киберпреступности понадобилась целая новая индустрия. Каждый год российские и иностранные компании выпускают все новые и новые антивирусы, криптографические программы, продукты, предотвращающие фишинг и ddos-атаки и т. п. Программы постоянно совершенствуются, возникают новые их разновидности. В частности, сравнительно недавно на рынок средств информационной безопасности вышли DLP -системы (Data Leak Prevention ), предотвращающие утечку информации из корпоративных сетей.

Полноценная и полнофункциональная DLP-система обладает следующими функциями:

• тотальный и постоянный контроль всех каналов потенциальной утечки информации;
• анализ всего трафика, выходящего за пределы корпоративной сети на предмет наличия конфиденциальной информации;
• блокирование передачи конфиденциальной информации, под которой понимаются не только корпоративные секретные данные, но и оскорбительные высказывания, непристойные видеоролики, а также почтовые рассылки, по той или иной причине негативно влияющие на корпоративный имидж;
• блокирование приема нежелательной и вредоносной информации;
• архивирование перехваченного несанкционированного трафика с целью расследования возникших инцидентов.

Необходимо отметить, что DLP-системы не отменяют актуальность прежних категорий продуктов, таких как антивирусы, криптографические программы, электронные замки с повышенной степенью идентификации пользователей и прочее. Однако весь этот инструментарий за последние 2-3 года стал более уязвимым. Причиной тому два глобальных IT-тренда: экспансия мобильных устройств и облачные вычисления.

Новые уязвимости

В настоящий момент на руках у россиян находится около 50 млн мобильных устройств - смартфонов, планшетов, нетбуков, ноутбуков и т. д. В этом году показатель увеличится еще на 12 млн, а к 2015-му превысит 70 млн. Согласно прогнозу аналитической компании International Data Corporation , мобильные устройства по частоте выхода в Интернет превзойдут персональные компьютеры уже в ближайшие месяцы.

И все эти устройства создают потенциальные уязвимости как для самой корпоративной сети, так и для хранящейся в ней конфиденциальной информации. У хакеров сейчас в большой моде вредоносные программы для смартфонов, работающих под управлением ОС Android . И поскольку сотрудники пользуются смартфонами и на работе, и дома, и на отдыхе, и в транспорте, вероятность инфицирования серверов, входящих в состав корпоративной сети, резко повышается.

Есть угроза и иного рода. Известны как минимум три случая, когда либо подгулявшие, либо перетрудившиеся сотрудники британской контрразведки MI-5, теряли свои ноутбуки с секретной информацией в самых неподходящих местах - в метро, такси, кафе. А смартфон, согласитесь, потерять куда легче, чем ноутбук.

Бороться с «тотальной мобилизацией» офиса бесполезно. Да и невыгодно: ведь сотрудники благодаря смартфонам и планшетам могут работать и дома или на отдыхе. По данным «Лаборатории Касперского», сейчас категорически запрещено использовать на работе мобильные устройства лишь четвертой части сотрудников всех компаний. Полный доступ к корпоративным ресурсам имеют 34% владельцев смартфонов, 38% - планшетов, 45% - ноутбуков. Для остальных введены ограничения различных уровней доступа.

Как же обеспечить информационную безопасность в эпоху мобильного Интернета и облачных вычислений? Задача непростая. Ведь рабочие станции и сервера корпоративных сетей работают под управлением одних ОС (Windows или Unix ), их безопасность поддерживается встроенными в систему средствами. А мобильные устройства мало того, что используют свои ОС, так еще и не располагают эффективными средствами защиты, потому что они задумывались как устройства индивидуального, а не корпоративного пользования. Ситуация усугубляется еще и тем, что контролировать местонахождение мобильного устройства и источник подключения, а также то, в чьих руках оно находится, организационными методами невозможно.

Как правило, эти проблемы решаются программными средствами за счет усиления защитного контура системы, адаптирования корпоративной системы безопасности ко всему многообразию мобильных устройств и установки на них необходимых защитных приложений. Однако возможен и иной способ - выдать сотрудникам корпоративные защищенные планшеты и смартфоны.

Отечественный производитель средств компьютерной безопасности «Код Безопасности» выпустил планшет «Континент Т-10» , работающий под управлением ОС Android 4 и оснащенный всеми необходимыми средствами для безопасной удаленной работы как самого планшета, так и приложений корпоративной системы, к которым он подключается через защищенный шлюз. Этот мобильный девайс полностью интегрирован в корпоративную систему безопасности и не требует никаких дополнительных адаптационных мероприятий.

Серьезные проблемы создают и облачные вычисления. Российский рынок облачных услуг уже превысил годовой оборот в $150 млн и растет ежегодно на 50%. При этом большая часть рынка приходится на частные облака, то есть создаваемые внутри корпорации. Частные облака существенно отличаются от корпоративных сетей жесткой конфигурации с точки зрения информационной безопасности. И требуют собственных средств защиты.

По линейке

Российский рынок информационной безопасности стремительно развивается и уже превысил объем в $600 млн. 15% рынка контролируют пять крупнейших игроков: «Астерос», «Крок», «Информзащита», Leta и «Инфосистемы Джет» . Что же касается мирового рынка, то при ежегодном приросте в 30%, его объем приблизился к $1 млрд. Среди международных лидеров значатся такие гиганты, как Symantec, McAffee, TrendMicro, Check Point, Cisco Systems .

И российские, и западные производители, решая общие задачи, выпускают схожие продукты. Для того чтобы гарантированно защитить информацию от всего спектра существующих угроз, необходим комплексный подход, учитывающий все аспекты функционирования корпоративных сетей, не только технические, но и психологические, связанные с человеческим фактором. Наилучшие результаты достигаются при использовании всей линейки продуктов, обеспечивающих защиту информации: антивирусов, межсетевых экранов, антиспамов, криптографических средств, систем предотвращения потери данных и т. п. Одна единственная брешь в защитном контуре системы способна привести к непредсказуемому ущербу.

Но каждый отдельный отечественный производитель предлагают не всю продуктовую линейку. Возникает ситуация, получившая название «зоопарка систем», когда использование различных продуктов, имеющих различную идеологию, требует создания сложных схем управления. В исключительных случаях это может привести к отказу системы.

Поэтому при выборе системы безопасности следует руководствоваться не только полнотой функционала и масштабируемостью, но и управляемостью, зависящей от единства концепции всех ее компонентов. Из российских вендоров, этому требованию удовлетворяет, например, компания «Код Безопасности», имеющая самую широкую продуктовую линейку. Ее продукты, инсталлированные по «бесшовной» технологии, позволяют оперативно отслеживать происходящие события из единой точки контроля всех защитных систем.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Хованскова В.С., Румянцев К.Е., Ховансков С.А. Метод повышения защиты работоспособности распределенных вычислений в компьютерных сетях // Известия ЮФУ. Технические науки. - 2012. - № 4 (129). - С. 102-107.

2. Ховансков С.А., Норкин О.Р. Алгоритм повышения производительности распределенных сетевых вычислений // Информатизация и связь. - 2011. - № 3. - С. 96-98.

3. Литвиненко В.А., Ховансков С.А. Решения задач путем организации распределенных вычислений в сети // Известия ЮФУ. Технические науки. - 2008. - № 3 (80). - С. 16-21.

4. Ховансков С.А., Норкин О.Р. Алгоритмическая оптимизация конфигурации системы децентрализованных вычислений // Телекоммуникации. - 2012. - № 11. - С. 2-5.

5. Ховансков С.А. Организация распределенных вычислений с иерархической структурой связей // Информационное противодействие угрозам терроризма. - 2007. - № 9. - С. 170-178.

6. Литвиненко В.А., Ховансков С.А. Алгоритм оптимизации параметров компьютерной сети для уменьшения времени решения задачи на основе мультиагентной системы // Известия ЮФУ. Технические науки. - 2007. - № 2 (77). - С. 186-190.

7. Ховансков С.А., Литвиненко В.А., Норкин О.Р. Организация распределенных вычислений для решения задач трассировки // Известия ЮФУ. Технические науки. - 2010.

- № 12 (113). - С. 48-55.

8. Калашников В.А., Трунов И.Л., Ховансков С.А. Параллельный алгоритм размещения на многопроцессорной вычислительной системе // Известия ЮФУ. Технические науки.

1997. - № 3 (6). - С. 181-184.

Румянцев Константин Евгеньевич - Федеральное государственное автономное образовательное учреждение высшего профессионального образования «Южный федеральный университет»; e-mail: [email protected]; 347900, г. Таганрог, ул. Чехова, 2; тел.: 88634328725; кафедра ИБТКС; зав. кафедрой; д.т.н.; профессор,

Ховансков Сергей Андреевич - e-mail: [email protected]; тел.: 88634642530; кафедра ИБТКС; к.т.н.; доцент.

Хованскова Вера Сергеевна - e-mail: [email protected]; тел.: 88634676616; студентка.

Rumyantsev Constantine Evgen’evich - Federal State-Owned Autonomy Educational Establishment of Higher Vocational Education “Southern Federal University”; e-mail: [email protected]; 2, Chekhov street, Taganrog, 347900, Russia; phone: +78634328725; the department of IBTKS; head the department; dr. of eng. sc.; professor.

Khovanskov Sergey Andreevich - e-mail: [email protected]; phone: 88634642530; the department of ISTCN; cand. of eng. sc.; associate professor.

Khovanskovа Vera Sergeevna - e-mail: [email protected]; phone: +78634676616; student.

Е.Н. Ефимов, Г.М. Лапицкая

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ И БИЗНЕС-ПРОЦЕССЫ

КОМПАНИИ

Цель исследования показать, что информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компании. При этом бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

При разработке стратегии управления информационной безопасностью предложена комплексная диагностика состояния компании с помощью SWOT-анализа с условной количественной оценкой результатов, полученной с помощью метода анализа иерархий.

Идентификация рисков необходима для оценки значимости угроз и построения системы безопасности. Анализ показал, что риски бизнес-процессов компании группируются в следующие категории: риски при проектировании, риски при реинжиниринге и риски в процессе использования бизнес-процессов.

Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которые сегодня рассматриваются как один из эффективных способов управления информационными технологиями и информационной безопасностью. Систему GRC при этом целесообразно комплексировать с системами класса Business Process Management, предназначенных для управления бизнес-процессами компании.

Бизнес-цели; информационная безопасность; бизнес-процессы.

E.N. Efimov, G.M. Lapitskaya

INFORMATION SECURITY AND BUSINESS PROCESSES OF THE COMPANY

The Purpose of the study to show that information safety must be created and exist within the framework of achievement business-integer to companies. At business-processes are a firsthand given for organization of information safety to companies.

At development of the strategies of management information safety is offered complex diagnostics of the condition to companies by means of SWOT-analysis with conditional quantitative estimation result, got by means of method of the analysis hierarchy.

The Identification risk required for estimation of value of the threats and buildings of the system to safety. The Analysis has shown that risks business-processes to companies are grouped in the following categories: risks when designing, risks under reengineering and risks in process of the use business-processes.

Automate the processes to safety to companies reasonable by means of systems of the class GRC (Governance, Risk management and Compliance), which are today considered as one of the efficient ways of management information technology and information safety. The Systems GRC herewith necessary complex with system of the class Business Process Management, intended for governing business-process to companies.

Business-purposes; information safety; business-processes.

Постановка проблемы. Информационная безопасность должна создаваться и существовать в рамках достижения бизнес-целей компаний. Эффективное ведение бизнеса невозможно без использования современных информационных технологий (ИТ), которые используются для поддержки практически всех бизнес-процессов современной компании. Однако сегодня очевидна тенденция: информационная безопасность из защиты конкретных сетей, серверов, информационных ресурсов, превращается в безопасность бизнес-процессов компаний, поддерживаемых ИТ. Это предполагает наличие двух взаимозависимых направлений обеспечения безопасности компании: с одной стороны - эффективная работа бизнеса в части функционирования бизнес-процессов; с другой - нормальное функционирование поддерживающей ИТ-инфраструктуры. В настоящее время не сложилось единого подхода к информационной безопасности именно в данном контексте.

Для понимания основных проблем безопасности компании целесообразно выполнить тщательный анализ внешней и внутренней среды бизнеса, выделить те компоненты, которые действительно имеют значение, провести сбор и отслеживание информации по каждому компоненту и на основе оценки реального положения выяснить состояние компании и причины этого положения. Точная, комплексная, своевременная диагностика состояния компании - первый этап в разработке стратегии управления безопасной деятельностью.

Самый распространенный способ оценки стратегического положения компании - SWOT-анализ1. Матрица SWOT-анализа может быть представлена в виде следующей совокупности:

SWOT = ,

где St (Strengths) - множество сильных сторон организации, St = (St1, St2, ..., Stmt); W (Weaknesses) - множество слабых сторон организации, W = (W1, W2, ..., Wnw); Op (Opportunities) - множество возможностей организации, Op = (Op1, Op2, ., Opnop); Th (Threats) - множество угроз организации, Th = (Th1, Th2, ..., Thnth).

При этом важно понимать, что сильные St = (St1, St2, ..., Stnst) и слабые W = (W1, W2, ..., Wnw) стороны - это те составные части деятельности компании, которые она может контролировать, а возможности Op = (Op1, Op2, ., Opnop) и угрозы Th = (Th1, Th2, ..., Thnth) - это те факторы, которые находятся вне контроля компании и могут повлиять на процесс ее развития .

Результаты SWOT-анализа позволяют сформулировать стратегию безопасности компании на данном этапе развития. Эта задача вряд ли может быть формализована, однако на основе этих данных может быть разработано множество стратегий организации S = (S1, S2, ., Sn).

Для условной количественной оценки SWOT-матрицы возможно использовать, например, метод анализа иерархий (МАИ). Данный метод обеспечивает реализацию наиболее эффективного способа оценки количественно неизмеримых, но вместе с тем важных, факторов для принятия обоснованных решений. Кроме того, метод работает с несогласованными суждениями и не требует, чтобы предпочтения потребителей или лица принимающего решение (ЛПР) соответствовали аксиомам полезности. МАИ позволяет сводить исследования сложных проблем к простой процедуре проведения последовательно парных сравнений .

В качестве примера рассматривались результаты SWOT-анализа действующего предприятия телекоммуникационной отрасли (ОАО «Телеком»), предоставляющего полный спектр услуг связи (проводная и беспроводная телефония, доступ в сеть Интернет, услуги радиосвязи, информационные услуги) на территории города и области (в статье не приводится). Вариант последующей оценки SWOT-матрицы с помощью МАИ представлен в табл. 1.

Таблица 1

Оценка SWOT-матрицы

St W Op Th Вектор приоритетов Нормализованный вектор

St 1 1 0,33 0,33 0,58 0,10

W 1 1 0,2 0,14 0,41 0,07

Op 3 5 1 0,2 1,32 0,24

Th 3 7 5 1 3,20 0,58

Индекс согласованности ИС = 0,14 и отношение согласованности ОС = 15,58 < 20 % показывают удовлетворительную согласованность оценок ЛПР.

Значения нормализованного вектора лежат в пределах , поэтому результаты экспертных расчетов могут трактоваться следующим образом: “угрозы” организации значительны (П = 0,58), “возможности” организации для решения проблем удовлетворительны (Op = 0,24), “силы” организации для преодоления проблем посредственны ^ = 0,1), “слабости” организации незначительны ^ = 0,07).

1 SWOT - это аббревиатура, включающая начальные буквы четырёх английских слов: strength («сила»), weakness («слабость»), opportunities («возможности»), и threats («угрозы»)

Такой взгляд на проблему безопасности компании позволяет конкретизировать ее цель и задачи, объекты и угрозы, выработать план мероприятий по снижению рисков бизнес-процессов и произвести оценку эффективности проведенных мероприятий.

В связи с определенной спецификой исследования информационной безопасности с точки зрения безопасности бизнес-процессов компании необходимо вначале выполнить идентификацию рисков бизнес-процессов. Целью идентификации рисков является оценка подверженности компании угрозам, которые могут нанести существенный ущерб. Для сбора информации о рисках производится анализ бизнес-процессов компании и опрос экспертов предметной области. Результатом данного процесса является классифицированный перечень всех потенциальных рисков.

Идентификация рисков бизнес-процессов. Бизнес-процесс можно представить как преобразование:

Р (X, Я, Я, I О) ^ У, где Р - процесс, имеющий вид множества действий Р = {Бх, Б2, ..., Бр};X = {Хх, Х2,..., Х} - входные потоки бизнес-процесса и их поставщики; У = { Ух, У2,..., У} -выходные потоки бизнес-процесса и их потребители; Я = {Ях, Я2,..., Я/} - множество ресурсов, используемых для выполнения бизнес-процесса (технические, материальные, информационные); Я = {Я1, Я2,..., Яп} - множество функций, реализуемых в бизнес-процессе; I = { 2Ь 12,..., 1т} - множество участников и исполнителей бизнес-процесса; О = {Ох, О2,..., О} - границы и интерфейсы процесса.

Из данного определения видно, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

Вначале необходимо определить объекты защиты, т.е. что и от каких угроз следует защищать. К объектам защиты, безусловно, относятся информация, бизнес-процессы и материальные ресурсы компании.

Очевидным началом работ по информационной безопасности сегодня признается классификации данных компании. Классификация - процесс сложный, требующий немало времени и средств. Для того, чтобы классификация была эффективной, ее необходимо постоянно поддерживать и актуализировать. Целесообразность классификации заключается в том, что она позволяет определить все места хранения информации и выявить ту информацию, которую следует защищать. Это позволяет минимизировать количество конфиденциальной информации. При проведении классификации выявляются документы, бывшие когда-то секретными, но теперь уже потерявшие свою актуальность. Их можно отправить в архив или безвозвратно удалить.

Информационные активы (ИА) как объекты защиты требуют поддержания целостности, доступности и, если требуется, конфиденциальности информации в бизнес-системах. Проведенный анализ возможных угроз показал, что информационная инфраструктура должна обладать свойством защищенности информации, используемой в бизнес-процессах, т.е. обеспечивать защиту от несанкционированного (преднамеренного или случайного) получения, изменения, уничтожения или использования коммерческой, служебной или технологической информации. С учетом наличия компонентов бизнес-процесса, а также их взаимосвязей, к потенциально опасным ситуациям относятся: несанкционированный доступ нарушителей (не владельцев и участников процессов) к информации, хранящейся и обрабатываемой в средствах автоматизации, с целью ознакомления, искажения или уничтожения. При этом, точками входа могут быть интерфейсы и границы процесса, а также информация, необходимая для реализации функций (операций, процедур) процесса; перехват информации при ее приеме (передаче) по каналам связи

(сети) функциями процесса, а также за счет хищения носителей информации; уничтожение (изменение, искажение) информации за счет случайных помех, сбоев технических (программных) средств при передаче, хранении и обработке информации; несанкционированное влияние на бизнес-процесс нарушителей из числа владельцев и (или) участников процесса .

Анализ предметной области показал, что целесообразно идентифицировать риски бизнес-процессов компании на всех основных стадиях их жизненного цикла: на этапах проектирования, реинжиниринга и в процессе использования бизнес-процессов.

Идентификация рисков при проектировании и реинжиниринге бизнес-процессов. Даже первоначальное описание основных бизнес-процессов компании приносит как ощутимые результаты повышения эффективности работы, так и возможные потери (риски). Это, прежде всего, риски из-за ошибок при проектировании процессов: ошибки незавершенности (наличие пробелов в описании процесса); ошибки несоответствия (неадекватного использования информационных ресурсов в различных частях процесса, что приводит к искаженному восприятию информации или к неясности указаний); ошибки иерархической или «наследственной» несовместимости (наличие конфликта между основными и последующими процессами). Очевидно, следует допустить и наличие иных видов ошибок.

Следующий ряд рисков возникает из-за ошибок в методологии описания процессов (или парадигмы «.методология - модель - нотация - средства»): при отображении функций системы; процессов, обеспечивающих выполнение функций; данных и организационных структур, обеспечивающих выполнение функций; материальных и информационных потоков в ходе выполнения функций.

Далее следует отметить риски, возникающие из-за несоответствия топологии процесса, не позволяющие добиться максимально понятного течения процесса, отражающего при этом либо реальное положение вещей, либо оптимальное с учетом загрузки исполнителей, доступности ресурсов или других обстоятельств. Анализ ошибок топологии процесса может проводиться в несколько итераций. В результате анализируемый процесс может кардинально измениться. Например, функции, которые раньше выполнялись последовательно друг за другом, будут выполняться параллельно. Безусловно, что при этом не должна исказиться логика процесса и получаемый результат.

Идентификация рисков при использовании бизнес-процессов. Операционный риск можно определить как риск прямых или косвенных убытков в результате неверного исполнения бизнес-процессов, неэффективности процедур внутреннего контроля, технологических сбоев, несанкционированных действий персонала или внешнего воздействия. Операционный риск критичен для процессов, характеризующихся значимостью для деятельности организации в целом, большим числом транзакций в единицу времени, сложной системой технической поддержки. Выделяемые обычно риск-факторы аналогичны показателям состояния внутренней операционной среды и бизнес-процессов - объем операций, оборот, процент ошибочных действий. Управление операционными рисками осуществляется построением прозрачных и управляемых бизнес-процессов, правильной организационной структурой с опорой на экспертное знание .

Для решения задач устранения операционных рисков бизнес-процессов может быть использована система lean production (бережливое производство) - концепция менеджмента, созданная на основе производственной системы Toyota. Цель lean - идентифицировать, проанализировать и устранить потери в производственных процессах . В соответствии с концепцией lean в бизнес-процессах возникает восемь видов потерь: неиспользование потенциала сотрудников; потери

от перепроизводства; потери на транспортировку; потери от брака, излишних отходов и переделок; потери на обслуживание запасов; потери на перемещениях и движениях персонала; потери от простоев; потери из-за чрезмерной обработки. Потери в этом случае рассматриваются как операции, на которые затрачиваются временные и материальные ресурсы, без добавления ценности товару или услуге для конечного потребителя.

Так, к примеру, необходима защита от противоправных действий персонала, выполняющего бизнес-процессы, несанкционированного воздействия на поставщиков, объемы и сроки поставки ресурсов; регламент выполнения бизнес-процессов, в т.ч. регламент внутренних и внешних интерфейсов; технологию выполнения бизнес-процессов и прочее.

Описание бизнес-процессов, их моделирование, последующий контроль и анализ выполнения - постоянная и последовательная деятельность по устранению операционных рисков, а следовательно и потерь.

Автоматизировать процессы информационной безопасности компании можно с помощью систем класса GRC (Governance, Risk management and Compliance), которые рассматриваются сегодня как один из эффективных способов управления информационными технологиями и информационной безопасностью.

GRC это взгляд на управление чем-либо с трёх точек зрения: высшего руководства (Governance), управления рисками (Risk management) и соответствия требованиям (Compliance). Результатом обработки информации о деятельности всех подразделений компании становятся наглядные отчеты, сформулированные в терминах бизнеса.2

Например, модуль Enterprise Management продукта RSA Archer eGRC позволяет выполнить инвентаризацию и классификацию активов компании, создать единый реестр взаимоувязанных между собой активов, включая информационные и технологические активы, бизнес-процессы, товары и услуги, подразделения и отдельные бизнес-единицы, производственные помещения и оборудование, контакты с ответственными работниками компании, партнерами и поставщиками. Для каждого актива определяется его владелец и ценность для компании. Результаты данной работы могут использоваться при дальнейшем проведении процедуры оценки рисков информационной безопасности. Интеграция с системами управления уязвимостями SIEM или DLP позволяет установить приоритет устранения уязвимостей и нейтрализации инцидентов в отношении каждого конкретного актива.3

Однако реализовать все функции GRC в контексте безопасности бизнес-процессов с помощью одного, пусть даже хорошего, ИТ-решения практически невозможно. Система, которая может помочь в решении задач этой концепции, должна быть такая же комплексная, как и сами задачи GRC.4 Для комплексирова-ния с GRC-системой целесообразно использовать системы класса Business Process Management (ВРМ), Business" Performance Management и Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами. Диаграмма взаимосвязи бизнес-процессов и основных субъектов информационной безопасности компании в нотации UML приведена на рис. 1.

2 Евгений Безгодов Что такое ОЯС и чем это может быть полезно для информационной безопасности? [Электронный ресурс] http://ru.deiteriy.com/what_is_grc_and_its_ ^аЬИ-ityJnJnformation_security/.

3 ОЯС - путь к оптимизации процессов управления ИБ //Банковское обозрение №9 (176) Сентябрь 2013 [электронный ресурс] http://www.bosfera.ru/bo/put-k-optimizatsii-protsessov

4 Концепция ОЯС стала очередным этапом развития рынка ИБ [Электронный ресурс] http://www.cnews.ru/reviews/free/security2008/articles/grc.shtml.

Рис. 1. Взаимосвязь бизнес-процессов и основных субъектов информационной

безопасности компании

Взаимодействие бизнес-процессов компании и среды, создающей угрозы, прежде всего для бизнес-процессов, в рамках системы информационной безопасности приведено на диаграмме ниже (рис. 2).

Рис. 2. Взаимодействие бизнес-процессов и среды, создающей угрозы

Основные выводы.

Комплексная диагностика состояния компании - первый этап в разработке стратегии управления информационной безопасностью, которую лучше всего выполнить с помощью SWOT-анализа с предлагаемой условной количественной оценкой.

Анализ показал, что бизнес-процессы являются первоисточником данных для организации информационной безопасности компании.

Обеспечение информационной безопасности бизнес-процессов следует начинать с разработки классификации данных, которая позволяет выявить информацию для защиты, минимизировать количество конфиденциальной информации, определить все места хранения информации, что может быть использовано для оптимизации бизнес-процессов в компании.

Анализ возможных рисков бизнес-процессов позволил установить следующие группы: риски при проектировании, реинжиниринге и в процессе использования бизнес-процессов.

Автоматизировать процессы информационной безопасности компании целесообразно с помощью системы класса GRC (Governance, Risk management and Compliance), которая должна комплексироваться с системами класса Business Process Management, Business Performance Management или Business Intelligence, предназначенные для автоматизации и управления бизнес-процессами.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Каменнова М.С., Громов А.И., Ферапонтов М.М., Шматалюк А.Е. Моделирование бизнеса. Методология ARIS. - М.: Весть-МетаТехнология, 2001.

2. Саати Т. Принятие решений. Метод анализа иерархий. - М.: Радио и связь, 1993.

3. Стельмашонок Е.В. Организация информационной защиты-бизнес-процессов // Прикладная информатика. - 2006. - № 2. - C. 42-57.

4. Тимохин А. Как найти все потери: практика применения методологии lean в НПО «ЭЛСИБ» // "БОСС" № 9, 2012.

5. Ханова А.А. Структурно-функциональная модель сбалансированной системы показателей при принятии управленческих решений // Вестник АГТУ Сер.: Управление, вычислительная техника и информатика. - 2012. - № 1. - C. 200-208.

Ефимов Евгений Николаевич - Ростовский государственный экономический университет (РИНХ); e-mail: [email protected]; 344002, г. Ростов-на-Дону, Б. Садовая, 69, комн. 306 а; тел.: 89525721917; кафедра информационных технологий и защиты информации; д.э.н.; профессор.

Лапицкая Галина Мелконовна - e-mail: [email protected]; тел.: 89286050143; кафедра информационных технологий и защиты информации; к.э.н.; профессор.

Efimov Evgeniy Nikolayevich - Rostov State Economic University; e-mail: [email protected]; 69, B. Sadovaya street, room 306 a, Rostov-on-Don, 344002, Russia; phone: +79525721917; the department information technologies and information security; dr.ec. sc.; professor.

Lapickaya Galina Melkovna - e-mail: [email protected]; phone: +79286050143; the department information technologies and information security; cand.ec. sc.; professor.

Министерство образования и науки Российской Федерации

федеральное государственное бюджетное образовательное учреждение

высшего профессионального образования

"ПЕРМСКИЙ НАЦИОНАЛЬНЫЙ ИССЛЕДОВАТЕЛЬСКИЙ

ПОЛИТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ"

Контрольная работа

по дисциплине

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ПРЕДПРИЯТИЯ

Тема "Информационная безопасность в бизнесе на примере ОАО "Альфа-банк"

Выполнила студентка

группа ФК-11Б:

Смышляева Мария Сергеевна

Проверил преподаватель:

Шабуров Андрей Сергеевич

Пермь - 2013

Введение

Заключение

Список литературы

Введение

Информационные ресурсы большинства компаний являются одними из наиболее ценных ресурсов. По этой причине коммерческая, конфиденциальная информация и персональные данные должны быть надежно защищены от неправомерного использования, но в то же время легко доступны субъектам, участвующим в обработке данной информации или использующим ее в процессе выполнения возложенных задач. Использование для этого специальных средств способствует устойчивости бизнеса компании и его жизнеспособности.

Как показывает практика, вопрос организации защиты бизнеса в современных условиях стал наиболее актуальным. "Вскрываются" интернет-магазины и опустошаются кредитные карточки покупателей, казино и тотализаторы подвергаются шантажу, корпоративные сети попадают под внешнее управление, компьютеры "зомбируются" и включаются в бот-сети, а мошенничество с использованием похищенных персональных данных приобретает характер бедствия национального масштаба.

Поэтому руководители компаний должны осознавать важность информационной безопасности, научиться прогнозировать тенденции в этой области и управлять ими.

Целью данной работы является выявление достоинств и недостатков системы обеспечения информационной безопасности бизнеса на примере банка "Альфа-банк".

Характеристика деятельности ОАО "Альфа-Банк"

Альфа-Банк основан в 1990 году. Альфа-Банк является универсальным банком, осуществляющим все основные виды банковских операций, представленных на рынке финансовых услуг, включая обслуживание частных и корпоративных клиентов, инвестиционный банковский бизнес, торговое финансирование и управление активами.

Головной офис Альфа-Банка располагается в Москве, всего в регионах России и за рубежом открыто 444 отделений и филиалов банка, в том числе дочерний банк в Нидерландах и финансовые дочерние компании в США, Великобритании и на Кипре. В Альфа-Банке работает около 17 тысяч сотрудников.

Альфа-Банк является крупнейшим российским частным банком по размеру совокупных активов, совокупному капиталу и размеру депозитов. В банке имеется большая клиентская база как корпоративных клиентов, так и физических лиц. Альфа-Банк развивается как универсальный банк по основным направлениям: корпоративный и инвестиционный бизнес (включая малый и средний бизнес (МСБ), торговое и структурное финансирование, лизинг и факторинг), розничный бизнес (включая систему банковских филиалов, автокредитование и ипотеку). Особое внимание оказывается развитию банковских продуктов корпоративного бизнеса в массовом и МСБ сегментах, а также развитию удаленных каналов самообслуживания и интернет-эквайринга. Стратегическими приоритетами Альфа-Банка являются поддержание статуса лидирующего частного банка в России, укрепление стабильности, повышение прибыльности, установление отраслевых стандартов технологичности, эффективности, качества обслуживания клиентов и слаженности работы.

Альфа-Банк является одним из самых активных российских банков на мировых рынках капитала. Ведущие международные рейтинговые агентства присваивают Альфа-Банку одни из самых высоких рейтингов среди российских частных банков. Четыре раза подряд он занял первое место по результатам исследования "Индекс впечатления клиента". Сектор розничных банковских услуг после финансового кризиса", проведенного компанией Senteo совместно с PricewaterhouseCoopers. Также в 2012 году Альфа-Банк был признан лучшим интернет банком по версии журнала GlobalFinance, награжден за лучшую аналитику Национальной Ассоциацией Участников Фондового Рынка (НАУФОР), стал лучшим российским частным банком по индексу доверия, рассчитанным исследовательским холдингом Ромир.

Сегодня Банк располагает сетью федерального масштаба, включающей 83 точки продаж. Альфа Банк обладает одной из самых крупных сетей среди коммерческих банков, состоящей из 55 офисов и охватывающей 23 города. В результате увеличения сети у Банка появились дополнительные возможности по увеличению клиентской базы, расширению спектра и качества банковских продуктов, реализации межрегиональных программ, комплексному обслуживанию системообразующих клиентов из числа крупнейших предприятий.

Анализ теоретической базы вопроса информационной безопасности бизнеса

Актуальность и важность проблемы обеспечения информационной безопасности обусловлена следующими факторами:

·Современные уровни и темпы развития средств информационной безопасности значительно отстают от уровней и темпов развития информационных технологий.

·Высокие темпы роста парка персональных компьютеров, применяемых в разнообразных сферах человеческой деятельности. Согласно данным исследований компании Gartner Dataquest в настоящее время в мире более миллиарда персональных компьютеров.

информационная безопасность бизнес банк

·Резкое расширение круга пользователей, имеющих непосредственный доступ к вычислительным ресурсам и массивам данных;

В настоящее время значение информации, хранимой в банках, значительно увеличилось, сосредотачивалась важная и зачастую секретная информация о финансовой и хозяйственной деятельности многих людей, компаний, организаций и даже целых государств. Банк хранит и обрабатывает ценную информацию, затрагивающую интересы большого количества людей. Банк хранит важную информацию о своих клиентах, что расширяет круг потенциальных злоумышленников, заинтересованных в краже или порче такой информации.

Свыше 90% всех преступлений связана с использованием автоматизированных систем обработки информации банка. Следовательно, при создании и модернизации АСОИБ банкам необходимо уделять пристальное внимание обеспечению ее безопасности.

Основное внимание нужно уделять компьютерной безопасности банков, т.е. безопасности автоматизированных систем обработки информации банка, как наиболее актуальной, сложной и насущной проблеме в сфере банковской информационной безопасности.

Стремительное развитие информационных технологий открыло новые возможности для бизнеса, однако привело и к появлению новых угроз. Современные программные продукты из-за конкуренции попадают в продажу с ошибками и недоработками. Разработчики, включая в свои изделия всевозможные функции, не успевают выполнить качественную отладку создаваемых программных систем. Ошибки и недоработки, оставшиеся в этих системах, приводят к случайным и преднамеренным нарушениям информационной безопасности. Например, причинами большинства случайных потерь информации являются отказы в работе программно-аппаратных средств, а большинство атак на компьютерные системы основаны на найденных ошибках и недоработках в программном обеспечении. Так, например, за первые полгода после выпуска серверной операционной системы компании Microsoft Windows было обнаружено 14 уязвимостей, 6 из которых являются критически важными. Несмотря на то, что со временем Microsoft разрабатывает пакеты обновления, устраняющие обнаруженные недоработки, пользователи уже успевают пострадать от нарушений информационной безопасности, случившихся по причине оставшихся ошибок. Пока не будут решены эти многие другие проблемы, недостаточный уровень информационной безопасности будет серьезным тормозом в развитии информационных технологий.

Под информационной безопасностью понимается защищённость информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

В современном деловом мире происходит процесс миграции материальных активов в сторону информационных. По мере развития организации усложняется ее информационная система, основной задачей которой является обеспечение максимальной эффективности ведения бизнеса в постоянно меняющихся условиях конкуренции на рынке.

Рассматривая информацию как товар, можно сказать, что обеспечение информационной безопасности в целом может привести к значительной экономии средств, в то время как ущерб, нанесенный ей, приводит к материальным затратам. Например, раскрытие технологии изготовления оригинального продукта приведет к появлению аналогичного продукта, но от другого производителя, и как следствие нарушения информационной безопасности, владелец технологии, а может быть и автор, потеряют часть рынка и т.д. С другой стороны, информация является субъектом управления, и ее изменение может привести к катастрофическим последствиям в объекте управления.

Согласно ГОСТ Р 50922-2006, обеспечение информационной безопасности - это деятельность, направленная на предотвращение утечки информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Информационная безопасность актуальна как для предприятий, так и для госучреждений. С целью всесторонней защиты информационных ресурсов и осуществляются работы по построению и разработке систем информационной безопасности.

Существует множество причин, которые могут серьёзно повлиять на работу локальных и глобальных сетей, привести к потере ценной информации. Среди них можно выделить следующие:

Несанкционированный доступ извне, копирование или изменение информации случайные или умышленные действия, приводящие к:

искажению либо уничтожению данных;

ознакомление посторонних лиц с информацией, составляющей банковскую, финансовую или государственную тайну.

Некорректная работа программного обеспечения, приводящая к потере или порче данных из-за:

ошибок в прикладном или сетевом ПО;

заражения систем компьютерными вирусами.

Технические сбои оборудования, вызванные:

отключением электропитания;

отказом дисковых систем и систем архивации данных;

нарушением работы серверов, рабочих станций, сетевых карт, модемов.

Ошибки обслуживающего персонала.

Конечно, универсального решения, исключающего все перечисленные причины, нет, однако во многих организациях разработаны и применяются технические и административные меры, позволяющие риск потери данных или несанкционированного доступа к ним свести к минимуму.

На сегодняшний день существует большой арсенал методов обеспечения информационной безопасности, который применяется и в "Альфа-Банке":

·средства идентификации и аутентификации пользователей (так называемый комплекс 3А);

·средства шифрования информации, хранящейся на компьютерах и передаваемой по сетям;

·межсетевые экраны;

·виртуальные частные сети;

·средства контентной фильтрации;

·инструменты проверки целостности содержимого дисков;

·средства антивирусной защиты;

·системы обнаружения уязвимостей сетей и анализаторы сетевых атак.

"Комплекс 3А" включает аутентификацию (или идентификацию), авторизацию и администрирование. Идентификация и авторизация - это ключевые элементы информационной безопасности. При попытке доступа к какой - либо программе функция идентификации дает ответ на вопрос: "Кто вы?" и "Где вы?", являетесь ли вы авторизованным пользователем программы. Функция авторизации отвечает за то, к каким ресурсам конкретный пользователь имеет доступ. Функция администрирования заключается в наделении пользователя определенными идентификационными особенностями в рамках данной сети и определении объема допустимых для него действий. В "Альфа-Банке" при открытии программ запрашивается пароль и логин каждого сотрудника, а при осуществлении каких-либо операций в некоторых случаях нужна авторизация руководителя или его заместителя в отделении.

Межсетевой экран представляет собой систему или комбинацию систем, образующую между двумя или более сетями защитный барьер, предохраняющий от несанкционированного попадания в сеть или выхода из нее пакетов данных. Основной принцип действия межсетевых экранов. проверка каждого пакета данных на соответствие входящего и исходящего IP_адреса базе разрешенных адресов. Таким образом, межсетевые экраны значительно расширяют возможности сегментирования информационных сетей и контроля за циркулированием данных.

Говоря о криптографии и межсетевых экранах, следует упомянуть о защищенных виртуальных частных сетях (Virtual Private Network - VPN). Их использование позволяет решить проблемы конфиденциальности и целостности данных при их передаче по открытым коммуникационным каналам.

Эффективное средство защиты от потери конфиденциальной информации. Фильтрация содержимого входящей и исходящей электронной почты. Проверка самих почтовых сообщений и вложений в них на основе правил, установленных в организации, позволяет также обезопасить компании от ответственности по судебным искам и защитить их сотрудников от спама. Средства контентной фильтрации позволяют проверять файлы всех распространенных форматов, в том числе сжатые и графические. При этом пропускная способность сети практически не меняется.

Современные антивирусные технологии позволяют выявить практически все уже известные вирусные программы через сравнение кода подозрительного файла с образцами, хранящимися в антивирусной базе. Кроме того, разработаны технологии моделирования поведения, позволяющие обнаруживать вновь создаваемые вирусные программы. Обнаруживаемые объекты могут подвергаться лечению, изолироваться (помещаться в карантин) или удаляться. Защита от вирусов может быть установлена на рабочие станции, файловые и почтовые сервера, межсетевые экраны, работающие под практически любой из распространенных операционных систем (Windows, Unix - и Linux_системы, Novell) на процессорах различных типов. Фильтры спама значительно уменьшают непроизводительные трудозатраты, связанные с разбором спама, снижают трафик и загрузку серверов, улучшают психологический фон в коллективе и уменьшают риск вовлечения сотрудников компании в мошеннические операции. Кроме того, фильтры спама уменьшают риск заражения новыми вирусами, поскольку сообщения, содержащие вирусы (даже еще не вошедшие в базы антивирусных программ) часто имеют признаки спама и отфильтровываются. Правда, положительный эффект от фильтрации спама может быть перечеркнут, если фильтр наряду с мусорными удаляет или маркирует как спам и полезные сообщения, деловые или личные.

Можно выделить несколько наиболее типичных видов и способов информационных угроз:

Рассекречивание и кража коммерческой тайны. Если раньше секреты хранились в потайных местах, в массивных сейфах, под надежной физической и (позднее) электронной защитой, то сегодня многие служащие имеют доступ к офисным базам данных, нередко содержащим весьма чувствительную информацию, например, те же данные о клиентах.

Распространение компрометирующих материалов. То есть умышленное или случайное использование сотрудниками в электронной переписке таких сведений, которые бросают тень на репутацию банка.

Посягательство на интеллектуальную собственность. Важно не забывать, что любой интеллектуальный продукт, производимый в банках, как и в любой организации, принадлежит ей и не может использоваться сотрудниками (в том числе генераторами и авторами интеллектуальных ценностей) иначе как в интересах организации. Между тем, в России по этому поводу часто возникают конфликты между организациями и служащими, претендующими на созданный ими интеллектуальный продукт и использующими его в личных интересах, в ущерб организации. Это нередко происходит из-за расплывчатой правовой ситуации на предприятии, когда в трудовом контракте нет четко прописанных норм и правил, очерчивающих права и обязанности служащих.

Распространение (часто неумышленное) внутренней информации, не секретной, но могущей быть полезной для конкурентов (других банках).

Посещения сайтов банков-конкурентов. Сейчас все больше компаний используют на своих открытых сайтах программы (в частности, предназначенные для CRM), которые позволяют распознавать посетителей и детально отслеживать их маршруты, фиксировать время, длительность просмотра ими страниц сайта. Сайты конкурентов были и остаются ценным источником для анализа и прогноза.

Злоупотребление офисными коммуникациями в личных целях (прослушивание, просмотр музыкального и прочего контента, не имеющего отношения к работе, загрузка офисного компьютера) не несет прямой угрозы для информационной безопасности, но создает дополнительные нагрузки на корпоративную сеть, снижает эффективность, мешает работе коллег.

И, наконец, внешние угрозы - несанкционированные вторжения и т.п.

Правила, принятые в банке, должны соответствовать как национальному, так и международно-признанным нормам защиты государственных и коммерческих тайн, персональной и приватной информации.

Организационная защита информации в "Альфа-Банке"

В ОАО "Альфа Банк" реализована политика безопасности, основанная на избирательном способе управления доступом. Такое управление в ОАО "Альфа Банк" характеризуется заданным администратором множеством разрешенных отношений доступа. Матрица доступа заполняется непосредственно системным администратором компании. Применение избирательной политики информационной безопасности соответствует требованиям руководства и требований по безопасности информации и разграничению доступа, подотчетности, а также имеет приемлемую стоимость ее организации. Реализацию политики информационной безопасности полностью возложено на системного администратора ОАО "Альфа Банк".

Наряду с существующей политикой безопасности в компании ОАО "Альфа Банк", используется специализированные аппаратные и программные средства обеспечения безопасности.

В качестве аппаратного средства обеспечения безопасности используется средство зашиты - Cisco 1605. Маршрутизатор снабжен двумя интерфейсами Ethernet (один имеет интерфейсы TP и AUI, второй - только TP) для локальной сети и одним слотом расширения для установки одного из модулей для маршрутизаторов серии Cisco 1600. В дополнение к этому программное обеспечение Cisco IOSFirewallFeatureSet делает из Cisco 1605-R идеальный гибкий маршрутизатор/систему безопасности для небольшого офиса. В зависимости от установленного модуля маршрутизатор может поддерживать соединение, как через ISDN, так и через коммутируемую линию или выделенную линию от 1200 бит/сек до 2Мбит/сек, FrameRelay, SMDS, x.25.

Для защиты информации владелец ЛВС должен обезопасить "периметр" сети, например, установив контроль в месте соединения внутренней сети с внешней сетью. Cisco IOS обеспечивает высокую гибкость и безопасность как стандартными средствами, такими как: Расширенные списки доступа (ACL), системами блокировки (динамические ACL) и авторизацией маршрутизации. Кроме того Cisco IOS FirewallFeatureSet доступный для маршрутизаторов серии 1600 и 2500 обеспечивает исчерпывающие функции системы защиты включая:

контекстное Управление Доступом (CBAC)

блокировка Java

журнал учета

обнаружение и предотвращение атак

немедленное оповещение

Кроме того, маршрутизатор поддерживает работу виртуальных наложенных сетей, туннелей, систему управления приоритетами, систему резервирования ресурсов и различные методы управления маршрутизацией.

В качестве программного средства защиты используется решение KasperskyOpenSpaceSecurity. KasperskyOpenSpaceSecurity полностью отвечает современным требованиям, предъявляемым к системам защиты корпоративных сетей:

решение для защиты всех типов узлов сети;

защита от всех видов компьютерных угроз;

эффективная техническая поддержка;

"проактивные" технологии в сочетании с традиционной сигнатурной защитой;

инновационные технологии и новое антивирусное ядро, повышающее производительность;

готовая к использованию система защиты;

централизованное управление;

полноценная защита пользователей за пределами сети;

совместимость с решениями сторонних производителей;

эффективное использование сетевых ресурсов.

Разрабатываемая система должна обеспечивать полный контроль, автоматизированный учёт и анализ защиты персональной информации, позволять уменьшить время обслуживания клиентов, получать информацию о кодах защиты информации и персональных данных.

Для формирования требования к разрабатываемой системе, необходимо сформировать требования к организации БД, информационной совместимости к разрабатываемой системе.

В основу проектирования баз данных должны быть положены представления конечных пользователей конкретной организации - концептуальные требования к системе.

В данном случае, ИС содержит данные о сотрудниках фирмы. Одной из технологий, которая существенно иллюстрирует работу информационной системы, является разработка схемы документооборота для документов.

Функции разрабатываемой системы могут быть достигнуты, за счет использования вычислительной техники и программных средств. Учитывая, что поиск информации, сведений и документов учета в деятельности специалистов банка составляют порядка 30% рабочего времени, то внедрение автоматизированной системы учета позволит существенно высвободить квалифицированных специалистов, может привести к экономии фонда заработанной платы, уменьшения штата сотрудников, однако могут привести к и введению в штат сотрудников отдела штатной единицы оператора, в обязанности которого будет входить ввод сведений о протекающих бизнес-процессах: документов учета персональных данных и кодов доступа.

Необходимо отметить, что внедрение разрабатываемой системы, позволит снизить, а в идеале, полностью исключить ошибки учета персональной и информации и кодов защиты. Таким образом, внедрение автоматизированного рабочего места менеджера приведет к значительному экономическому эффекту, сокращению штата сотрудников на 1/3, экономии фонда заработанной платы, повышению производительности труда.

В "Альфа-Банке", как и в любом другом банке разработана Политика информационной безопасности, которая определяет систему взглядов на проблему обеспечения безопасности информации и представляет собой систематизированное изложение целей и задач защиты, как одно или несколько правил, процедур, практических приемов и руководящих принципов в области информационной безопасности.

Политика учитывает современное состояние и ближайшие перспективы развития информационных технологий в Банке, цели, задачи и правовые основы их эксплуатации, режимы функционирования, а также содержит анализ угроз безопасности для объектов и субъектов информационных отношений Банка.

Основные положения и требования данного документа распространяются на все структурные подразделения Банка, включая дополнительные офисы. Основные вопросы Политика также распространяются на другие организации и учреждения, взаимодействующие с Банком в качестве поставщиков и потребителей информационных ресурсов Банка в том или ином качестве.

Законодательной основой настоящей Политики являются Конституция Российской Федерации, Гражданский и Уголовный кодексы, законы, указы, постановления, другие нормативные документы действующего законодательства Российской Федерации, документы Государственной технической комиссии при Президенте Российской Федерации, Федерального агентства правительственной связи и информации при Президенте Российской Федерации.

Политика является методологической основой для:

·формирования и проведения единой политики в области обеспечения безопасности информации в Банке;

·принятия управленческих решений и разработке практических мер по воплощению политика безопасности информации и выработки комплекса согласованных мер, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз безопасности информации;

·координации деятельности структурных подразделений Банка при проведении работ по созданию, развитию и эксплуатации информационных технологий с соблюдением требований по обеспечению безопасности информации;

·разработки предложений по совершенствованию правового, нормативного, технического и организационного обеспечения безопасности информации в Банке.

Системный подход к построению системы защиты информации в Банке предполагает учет всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, значимых для понимания и решения проблемы обеспечения безопасности информации Банка.

Обеспечение безопасности информации - процесс, осуществляемый Руководством Банка, подразделениями защиты информации и сотрудниками всех уровней. Это не только и не столько процедура или политика, которая осуществляется в определенный отрезок времени или совокупность средств защиты, сколько процесс, который должен постоянно идти на всех уровнях внутри Банка и каждый сотрудник Банка должен принимать участие в этом процессе. Деятельность по обеспечению информационной безопасности является составной частью повседневной деятельности Банка. И ее эффективность зависит от участия руководства Банка в обеспечении информационной безопасности.

Кроме того, большинству физических и технических средств защиты для эффективного выполнения своих функций необходима постоянная организационная (административная) поддержка (своевременная смена и обеспечение правильного хранения и применения имен, паролей, ключей шифрования, переопределение полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых методов и средств защиты, для внедрения специальных программных и аппаратных "закладок" и других средств преодоления защиты.

Персональная ответственность предполагает возложение ответственности за обеспечение безопасности информации и системы ее обработки на каждого сотрудника в пределах его полномочий. В соответствии с этим принципом распределение прав и обязанностей сотрудников строится таким образом, чтобы в случае любого нарушения круг виновников был четко известен или сведен к минимуму.

В "Альфа-Банке" постоянно осуществляется контроль, за деятельностью любого пользователя, каждого средства защиты и в отношении любого объекта защиты должен осуществляться на основе применения средств оперативного контроля и регистрации и должен охватывать как несанкционированные, так и санкционированные действия пользователей.

В банке разработаны следующие организационно-распорядительные документы:

·Положение о коммерческой тайне. Указанное Положение регламентирует организацию, порядок работы со сведениями, составляющими коммерческую тайну Банка, обязанности и ответственность сотрудников, допущенных к этим сведениям, порядок передачи материалов, содержащих сведения, составляющим коммерческую тайну Банка, государственным (коммерческим) учреждениям и организациям;

·Перечень сведений, составляющих служебную и коммерческую тайну. Перечень определяет сведения, отнесенные к категориям конфиденциальных, уровень и сроки обеспечения ограничений по доступу к защищаемой информации;

·Приказы и распоряжения по установлению режима безопасности информации:

·допуске сотрудников к работе с информацией ограниченного распространения;

·назначении администраторов и лиц, ответственных за работу с информацией ограниченного распространения в корпоративной информационной системе;

·Инструкции и функциональные обязанности сотрудникам:

·по организации охранно-пропускного режима;

·по организации делопроизводства;

·по администрированию информационных ресурсов корпоративной информационной системы;

·другие нормативные документы.

Заключение

Сегодня вопрос об организации информационной безопасности волнует организации любого уровня - начиная с крупных корпораций, и заканчивая предпринимателями без образования юридического лица. Конкуренция в современных рыночных отношениях далека от совершенства и часто ведется не самыми легальными способами. Процветает промышленный шпионаж. Но нередки и случаи непреднамеренного распространения информации, относящейся к коммерческой тайне организации. Как правило, здесь играет роль халатность сотрудников, непонимание ими обстановки, иными словами, "человеческий фактор".

Альфа-Банк обеспечивает защиту следующей информации:

коммерческую тайну

банковская тайна

банковские документы (отчеты Отдела безопасности, годовая смета банка, инф. о доходах сотрудников банка и др.)

Информацию в банке защищают таких угроз, как:

·Естественные

·Искусственные угрозы (непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании информационной системы и ее элементов, ошибками в действиях персонала и т.п.; преднамеренные (умышленные) угрозы, связанные с корыстными, идейными или иными устремлениями людей (злоумышленников).

Источники угроз по отношению к самой информационной системе могут быть как внешними, так и внутренними.

Список литературы

1. Указ Президента РФ "О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена" от 17.03.2008 №351;

Галатенко, В.А. Основы информационной безопасности. Интернет-университет информационных технологий. ИНТУИТ. ру, 2008;

Галатенко, В.А. Стандарты информационной безопасности. Интернет-университет информационных технологий. ИНТУИТ. ру, 2005;

В современных условиях информации присущи все свойства товара и собственности, которые являются основными компонентами экономики, что делает информацию объектом интересов самого различного характера (коммерческого, социального, криминального и пр.).

В настоящее время имеется большое количество работ, посвященных защите компьютерной информации, но большинство работ требуют для понимания глубоких и очень специальных знаний в области математики, радиоизмерений, программирования. Вместе с тем, у будущих экономистов и менеджеров должна быть четкая и целостная картина подхода к информационной безопасности в их будущей сфере деятельности.

Под информационной безопасностью (Information Security) понимается защищенность ресурсов информационной системы (ИС) от факторов, представляющих угрозу для конфиденциальности, целостности и доступности информации.

Политика безопасности

Интегрированной характеристикой защищаемой ИС является политика безопасности – качественная или количественная характеристика свойств защищенности в терминах, представляющих систему.

Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на это значительных ресурсов. Главная задача, которую необходимо решить на управленческом уровне – сформулировать политику безопасности.

Затраты на обеспечение информационной безопасности не должны превышать потенциальный урон от утечки защищаемых данных. Однако представляется неясным, как можно подсчитать суммарный урон от нее, включив в него не только очевидные выплаты по результатам происшествия, но и ущерб для репутации, упущенную выгоду и т.д.

Есть и другие ограничения, в числе которых – удобство пользователей. Если сервис не относится к числу корпоративных, где сотрудников можно обязать пользоваться безопасным, но неудобным механизмом, то придется иметь в виду, что пользователи не любят ситуации, вызывающие затруднения в работе – запоминать лишние пароли и использовать их и т.д. А это значит, что рост уровня безопасности с какого-то момента может уменьшить оборот сервиса.

Именно этот баланс призвана поддерживать политика безопасности, разрабатываемая СIO каждой организации.

Политика безопасности – совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. Политика безопасности должна отражать подход организации к защите своих информационных активов. С практической точки зрения политику безопасности можно подразделить на три уровня.

К верхнему уровню можно отнести решения, затрагивающие организацию в целом (вопросы использования компьютерной техники и информационных систем).

Средний уровень касается отдельных важных вопросов (например, доступ к Интернету или использование домашних компьютеров на рабочем месте).

Политика безопасности нижнего уровня относится к конкретным сервисам и описывает цели и правила их достижения, поэтому ее порой трудно отделить от вопросов реализации. Вместе с тем решения, относящиеся к безопасности информационных сервисов, должны приниматься на управленческом, а не на техническом уровне. Для надлежащего проведения политики безопасности следует знать виды угроз и методы защиты.

• СIO (Chief information Officer) – сотрудник корпорации, исполнитель высшего ранга, отвечающий за приобретение и внедрение новых технологий, управление информационными ресурсами. Наиболее точно данному понятию на русском языке соответствуют "IT-директор", "Директор департамента информационных технологий", "Заместитель генерального директора по ИТ". Материал из Википедии – свободной энциклопедии.

2019

ИБ-приоритеты СМБ

Компании СМБ-сегмента тянутся в облака, к сервисной модели потребления услуг по модели MSSP (Managed Security Service Provider). Это помогает им существенно сокращать операционные затраты в области ИБ.

Сейчас некоторые вендоры предлагает своим клиентам облачные ИБ-сервисы по подписной модели. На мой взгляд, средний и малый бизнес будет уходить именно к такой, сервисной модели ИБ, - отмечает Дмитрий Лившиц , генеральный директор «Диджитал Дизайн ».

Сервисная модель потребления ИБ становится все более востребованной субъектами малого и среднего предпринимательства, поскольку эти компании не могут себе позволить многочисленный штат специалистов по безопасности.

По словам Владимира Баланина, руководителя Департамента информационной безопасности ГК «Ай-Теко », СМБ-сегмент становится основным потребителем услуг сервис-провайдеров, которые предоставляют услуги сразу с интегрированными сервисами информационной безопасности: нет издержек на администрирование, мониторинг и содержание собственной инфраструктуры, а риски регуляторных требований несет сам сервис-провайдер.

В то же время для российского рынка сейчас характерно очень ограниченное предложение по ИБ для СМБ. Как отмечает Андрей Янкин, директор Центра информационной безопасности компании «Инфосистемы Джет», почти все сервисные услуги направлены на крупных заказчиков. Типовых и недорогих, но не примитивных ИБ-сервисов для СМБ, по его словам, практически не существует, хотя в ряде других стран этот рынок неплохо развит.

Вместе с тем, с развитием сегмента управляемых сервисов ИБ и перспективой развития рынка страхования киберрисков, эта категории заказчиков получит в свое распоряжение адекватные современным угрозам меры.

Пока же СМБ-компании реализуют базовую ИТ-безопасность, редко поднимаясь на уровень бизнес-процессов .

По словам Дмитрия Пудова, заместителя гендиректора Angara Technologies Group по технологиям и развитию, представителям СМБ, при их бюджетах, доступ к высокотехнологичным или сложным решениям практически закрыт. Это не обусловлено исключительно стоимостью решений, скорее причина в OPEX, которую они несут.

Основные решения, которые приобретают заказчики СМБ-сегмента – антивирусы и программные межсетевые экраны, говорит Яков Гродзенский, руководитель направления информационной безопасности компании «Системный софт». Кроме того, компании данного сегмента активно начинают интересоваться вопросами аудита ИБ и проведения пентестов, ведь такие организации не всегда держат в штате отдельного специалиста по информационной безопасности, не говоря уже о пентестерах.

Вячеслав Медведев, ведущий аналитик компании «Доктор Веб», добавляет, что опросы среднего бизнеса показали отсутствие у таких компаний средств на защитные решения, отличные от базовых.

ИБ-приоритеты крупного бизнеса

Для акционеров, собственников и топ-менеджмента всегда важно иметь объективную картину ИБ и технологических процессов внутри организации, поэтому общий уровень зрелости ИБ в компаниях растет с каждым годом. Однако некоторым крупным организациям по-прежнему не хватает элементарного порядка в бизнес-процессах, обеспечивающих работу информационных систем, что может привести к хаосу в ИБ. Поэтому основной приоритет для крупных компаний – в решении этих задач, считает Николай Забусов , директор департамента информационной и сетевой безопасности «Стэп Лоджик ».

Кроме того, крупный бизнес делает акцент на выполнении требований регуляторов и внутренних стандартов, пытаясь создать более-менее равномерно защищенную инфраструктуру. Отраслевые стандарты в области информационной безопасности разработаны и «внедрены» во многих корпорациях.

Крупные коммерческие компании по сути оказались перед выбором: идти по пути цифровой трансформации, либо работать, не меняя парадигму ведения бизнеса. Но во втором случае они рано или поздно будут вынуждены уступить свои позиции на рынке конкурентам, проявившим большую гибкость.

Среди приоритетов для сегмента enterprise могу отметить с одной стороны повышение эффективности использования классических ИБ-решений, и с другой – внедрение средств защиты от угроз нового типа в рамках реализации проектов по диджитализации. Последнее очень важно, так как ограничения с точки зрения безопасности зачастую являются одной из главных причин медленного прохождения по пути цифровой трансформации, - отмечает Олег Шабуров , руководитель департамента информационной безопасности компании Softline.

С точки зрения практической безопасности вектор все больше смещается с предотвращения атак к их обнаружению и реагированию, считает Андрей Заикин , руководитель направления информационной безопасности компании «Крок ». Это приводит к тому, что становятся все более популярны и востребованы относительно молодые классы решений: EDR, IRP. Автоматизированные системы реагирования имеют разные наборы скриптов, сценариев и позволяют блокировать попытки распространения угроз.

ИБ-сервисы

СМБ-компании, которые понимают критичность обеспечения информационной безопасности для своего бизнеса, идут по пути использования сервисных моделей.