Базовые правила защиты информации и обеспечения информационной безопасности
Введение
Безусловно, никакие меры защиты не дадут 100% защиты от взлома, но в ваших силах обеспечить уровень защиты до уровня, когда стоимость взлома для злоумышленника превысит выгоду.
В настоящей статье представлены базовые правила обеспечения информационной безопасности компании, выработанные на основании анализа наиболее частых проблем в компаниях малого и среднего размера. Следование этим правилам не гарантирует отсутствие проблем, но существенно снижает вероятность их возникновения.
Обратите внимание, что существует ряд федеральных законов и иных законодательных актов или требований стандартов, устанавливающих требования к организации и мерам защиты информации и обеспечения информационной безопасности, которые не покрываются базовыми правилами, приведенными в данном документе.
Для приведения своей компании в соответствие требованиям законодательства и более полного и существенного покрытия защитными мерами вашей информации рекомендуем внедрить полноценную систему управления информационной безопасности. Мы предлагаем в качестве основы такой системы разработанную нами типовую концепцию информационной безопасности – документ, приняв который Вы сформируете понимание в каком направлении надо двигаться, чтобы максимально обезопасить свою компанию от угроз.
Для выполнения мер, требующих специализированных компетенций, или в случае отсутствия у вас необходимых ресурсов, воспользуйтесь услугами специализированных организаций.
Ответьте себе на следующие 5 вопросов:
- В вашей компании есть лицо ответственное за организацию мероприятий по информационной безопасности?
- Ответственный за информационную обладает достаточными компетенциями для выполнения своей работы?
- У ответственного за информационную безопасность достаточно ресурсов для необходимых мероприятий?
- Проходит ли ваша система безопасности независимый аудит не реже раза в год?
- Уверен ли я, что моя компания соответствует всем требованиям законодательства в области информационной безопасности?
Если хотя бы на один вопрос Вы ответили НЕТ или засомневались в ответе, не пускайте на самотек. Начните закрывать эти вопросы.
Правило №1. Резервное копирование
ВСЕГДА делайте резервные копии вашей информации.
- Составьте план резервного копирования исходя из частоты изменения информации.
- Храните резервные копии отдельно от основных накопителей.
- Резервные копии после их выполнения не должны быть видны в той же сети, что и основные данные. От них не будет толку, если вирус-шифровальщик зашифрует их вместе с основными данными.
- Физически накопители должны размещаться отдельно от основных данных. Помните про пожары и потопы. Даже если у вас данные располагаются в «надежных» дата-центрах. Были прецеденты.
Правило №2. Защита от вирусов
ВСЕГДА используйте антивирусные программы.
- Они не защитят от индивидуально спроектированных вирусов при адресной атаке, но предотвратят вредоносное влияние 99% распространенных вирусов общего действия.
- Используйте антивирусные программы российского производства.
- Не забывайте ставить специализированные антивирусные программы на сервера электронной почты.
Правило №3. Пароли
- Установите для всех сотрудников требование установки сложных паролей. (Не менее 8 символов, использование в пароле одновременно буквенных, цифровых и пунктуационных символов).
- Обеспечьте проверку сложности пароля перед его установкой.
- Для критических ресурсов используйте двухфакторную аутентификацию (с помощью SMS).
Правило №4. Защита информации от кражи изнутри
- Наиболее частой причиной утечки конфиденциальной информации являются неправомерные действия сотрудников.
- Удивительно, но очень у многих компаний конфиденциальная информация доступна для всех сотрудников.
- Предоставляйте доступ к конфиденциальной информации только для тех сотрудников, которым она нужна для работы, и только на время необходимое для работы.
- Очень частой проблемой является нанесение вреда информационной системе администратором системы при увольнении. Помните, что администраторы информационных систем имеют доступ ко всей информации этих систем. Очень внимательно наблюдайте за адекватностью, лояльностью и мотивацией этих сотрудников. При расставании убедитесь в надежной передаче всех полномочий и закрытии доступа для уволившегося администратора.
- Также убедитесь, что учетные записи увольняющихся сотрудников своевременно и корректно блокируются или удаляются.
- Используйте системы предотвращения утечек информации (DLP).
Правило №5. Защита от проникновения снаружи
- Проверьте, что ваша сеть не доступна для проникновения снаружи.
- Недостаточно просто поставить сетевое оборудование периметра. Надо его правильно настроить. Обязательно регулярно проводите тест на проникновение.
- Как минимум простыми инструментальными средствами типа XSpider, а лучше полноценные проверки, в том числе, с использованием социотехнических методов.
Правило №6. Защита информации вне периметра
- Защищайте информацию на устройствах, находящихся вне периметра вашей сети.
- Используйте шифрование данных на ноутбуках и других мобильных устройствах.
- Используйте защищенные шифрованные каналы для подключения к корпоративной сети.
- Используйте двухфакторную авторизацию для подключения сотрудников к корпоративной сети и корпоративным информационным системам с мобильных устройств.
Правило №7. Информирование сотрудников
- Обязательно проводите регулярное информирование сотрудников о важности соблюдения правил работы с информацией.
- Сотрудники должны знать, кому и как сообщить о проблеме или подозрении на проблему в области информационной безопасности.
- Сотрудники должны знать признаки фишинговых писем и как на них реагировать.
- Сотрудники должны знать правила хранения паролей.
- Сотрудники должны знать правила работы с мобильными устройствами (в т.ч. ноутбуками) вне периметра корпоративной сети.
