Просмотр кода страницы Базовые правила защиты информации и обеспечения информационной безопасности

=== Введение ===
Безусловно, никакие меры защиты не дадут 100% защиты от взлома, но в ваших силах обеспечить уровень защиты до уровня, когда стоимость взлома для злоумышленника превысит выгоду.

В настоящей статье представлены базовые правила обеспечения информационной безопасности компании, выработанные на основании анализа наиболее частых проблем в компаниях малого и среднего размера. Следование этим правилам не гарантирует отсутствие проблем, но существенно снижает вероятность их возникновения.

Обратите внимание, что существует ряд федеральных законов и иных законодательных актов или требований стандартов, устанавливающих требования к организации и мерам защиты информации и обеспечения информационной безопасности, которые не покрываются базовыми правилами, приведенными в данном документе.

Для приведения своей компании в соответствие требованиям законодательства и более полного и существенного покрытия защитными мерами вашей информации рекомендуем внедрить полноценную систему управления информационной безопасности. Мы предлагаем в качестве основы такой системы разработанную нами [[Типовая концепция информационной безопасности|типовую концепцию информационной безопасности]] – документ, приняв который Вы сформируете понимание в каком направлении надо двигаться, чтобы максимально обезопасить свою компанию от угроз.

Для выполнения мер, требующих специализированных компетенций, или в случае отсутствия у вас необходимых ресурсов, воспользуйтесь услугами специализированных организаций.

Ответьте себе на следующие 5 вопросов:

# В вашей компании есть лицо ответственное за организацию мероприятий по информационной безопасности?
# Ответственный за информационную обладает достаточными компетенциями для выполнения своей работы?
# У ответственного за информационную безопасность достаточно ресурсов для необходимых мероприятий?
# Проходит ли ваша система безопасности независимый аудит не реже раза в год?
# Уверен ли я, что моя компания соответствует всем требованиям законодательства в области информационной безопасности?

Если хотя бы на один вопрос Вы ответили НЕТ или засомневались в ответе и вас это беспокоит, рекомендуем пообщаться с нашим экспертом, для определения необходимого уровня организации защиты.

=== '''Правило №1. Резервное копирование''' ===
'''ВСЕГДА''' делайте резервные копии вашей информации.

* Составьте план резервного копирования исходя из частоты изменения информации.
* Храните резервные копии отдельно от основных накопителей.
* Резервные копии после их выполнения не должны быть видны в той же сети, что и основные данные. От них не будет толку, если вирус-шифровальщик зашифрует их вместе с основными данными.
* Физически накопители должны размещаться отдельно от основных данных. Помните про пожары и потопы. Даже если у вас данные располагаются в «надежных» дата-центрах. Были прецеденты.

=== '''Правило №2. Защита от вирусов''' ===
'''ВСЕГДА''' используйте антивирусные программы.

* Они не защитят от индивидуально спроектированных вирусов при адресной атаке, но предотвратят вредоносное влияние 99% распространенных вирусов общего действия.
* Используйте антивирусные программы российского производства.
* Не забывайте ставить специализированные антивирусные программы на сервера электронной почты.

=== '''Правило №3. Пароли''' ===

* Установите для всех сотрудников требование установки сложных паролей. (Не менее 8 символов, использование в пароле одновременно буквенных, цифровых и пунктуационных символов).
* Обеспечьте проверку сложности пароля перед его установкой.
* Для критических ресурсов используйте двухфакторную аутентификацию (с помощью SMS).

=== '''Правило №4. Защита информации от кражи изнутри''' ===

* Наиболее частой причиной утечки конфиденциальной информации являются неправомерные действия сотрудников.
* Удивительно, но очень у многих компаний конфиденциальная информация доступна для всех сотрудников.
* Предоставляйте доступ к конфиденциальной информации только для тех сотрудников, которым она нужна для работы, и только на время необходимое для работы.
* Очень частой проблемой является нанесение вреда информационной системе администратором системы при увольнении. Помните, что администраторы информационных систем имеют доступ ко всей информации этих систем. Очень внимательно наблюдайте за адекватностью, лояльностью и мотивацией этих сотрудников. При расставании убедитесь в надежной передаче всех полномочий и закрытии доступа для уволившегося администратора.
* Также убедитесь, что учетные записи увольняющихся сотрудников своевременно и корректно блокируются или удаляются.
* Используйте системы предотвращения утечек информации (DLP).
*

=== '''Правило №5. Защита от проникновения снаружи''' ===

* Проверьте, что ваша сеть не доступна для проникновения снаружи.
* Недостаточно просто поставить сетевое оборудование периметра. Надо его правильно настроить. Обязательно регулярно проводите тест на проникновение.
* Как минимум простыми инструментальными средствами типа XSpider, а лучше полноценные проверки, в том числе, с использованием социотехнических методов.

=== '''Правило №6. Защита информации вне периметра''' ===

* Защищайте информацию на устройствах, находящихся вне периметра вашей сети.
* Используйте шифрование данных на ноутбуках и других мобильных устройствах.
* Используйте защищенные шифрованные каналы для подключения к корпоративной сети.
* Используйте двухфакторную авторизацию для подключения сотрудников к корпоративной сети и корпоративным информационным системам с мобильных устройств.

=== '''Правило №7. Информирование сотрудников''' ===

* Обязательно проводите регулярное информирование сотрудников о важности соблюдения правил работы с информацией.
* Сотрудники должны знать, кому и как сообщить о проблеме или подозрении на проблему в области информационной безопасности.
* Сотрудники должны знать признаки фишинговых писем и как на них реагировать.
* Сотрудники должны знать правила хранения паролей.
* Сотрудники должны знать правила работы с мобильными устройствами (в т.ч. ноутбуками) вне периметра корпоративной сети.
<comments/>