Види загроз та технології захисту інформації

admin

За конфіденційними даними компанії можуть полювати зловмисники: атакувати сервери, зламувати сайти або облікові записи працівників. Тому бізнесу потрібно ретельно стежити за збереженням своїх файлів та напрацювань.

Захист інформації – необхідна умова під час роботи з даними. Наприклад, можна обмежити та контролювати доступ до документів, а також передавати їх по каналах із шифруванням. Але універсальних способів кожної атаки немає. Розкажемо, які види загроз бувають і як із ними боротися.

Які бувають погрози

Основні види загроз базуються на засадах захисту інформації. Їх три: конфіденційність, доступність та цілісність. Це аспекти, на яких ґрунтується інформаційна безпека. До даних мають отримувати доступ ті, хто має на це право, від інших інформація має бути прихована та доступ до неї обмежений. Крім того, зміст документів та файлів не повинен змінюватися без відома їх власника.

Основні види загроз можна поділити, відштовхуючись від цих трьох принципів:

Загроза конфіденційності. Зловмисники одержують пароль, код, а також дізнаються відповіді на секретні питання. Так вони повністю або частково можуть отримати вашу конфіденційну інформацію: корпоративні листи та документи, особисті дані. Така загроза може виникнути, якщо:

  • Співробітники використовують однакові паролі для всіх облікових записів
  • Зловмисники запускають шкідливе ПЗ
  • Майданчик, де зберігаються дані компанії, не забезпечує повної конфіденційності
  • Комп'ютер або ноутбук з інформацією залишили без нагляду
  • Співробітник перевищив свої повноваження

Загроза доступності. Може виникнути через помилки людей, які взаємодіють з інформацією безпосередньо. Наприклад, якщо співробітник неправильно ввів дані, йому не вдасться з першого разу увійти до облікового запису або до бази знань. А якщо помилка системна – поки її не виправлять, доступ не отримає ніхто, навіть коли всі вірні паролі. Серед джерел загроз виділяють, наприклад:

  • Відсутність професійної техпідтримки
  • Порушення правил роботи із системою
  • Збої в роботі ПЗ
  • Ушкодження обладнання
  • Проблеми зі зв'язком

Загроза цілісності. Недоброзичливці можуть навмисно змінити дані, вкрасти чи стерти їх. Наприклад, у вас у папці зберігаються договори, і вносити зміни можете лише ви та керівник. Якщо зловмисники отримали доступ, вони зможуть самі видалити або замінити якісь дані без вашого відома та дозволу. Такі загрози виникають через такі фактори:

  • Навмисної заміни даних
  • Введення недостовірної інформації
  • Відмова від скоєних операцій
  • Дублювання відомостей
  • Несанкціоноване введення додаткових даних

Засоби захисту інформації

Для забезпечення інформаційної безпеки компанії користуються різними інструментами. Комплексно вони захищають дані від потенційних атак. До цих засобів відносять:

Технічні. Це спеціальне обладнання, яке фізично блокує доступ до інформації тим, хто не має його отримати. Наприклад, датчики, які глушать інтернет-сигнал у переговорній, або звичайний пароль телефону. При крадіжці зловмисник не зможе без злому увійти та отримати ваші дані.

Щоб захистити корпоративне обладнання, варто встановити сигналізацію в офісі та поставити камери відеоспостереження.

Організаційні. Керівництво компанії самостійно обирає інструменти, які захищатимуть дані. Наприклад, договір про нерозголошення інформації, яку підписують співробітники під час прийому працювати.

Важливо розробити корпоративну безпекову політику та визначити зони доступу для працівників. Інформація може бути відкрита лише для конкретних відділів. Наприклад, накладні, акти, рахунки-фактури та інші документи будуть доступні лише бухгалтеру. Іншим співробітникам ці дані не потрібні для рутинних завдань, але на запит вони все одно зможуть отримувати доступ до файлів.

програмні. Сюди входять різні програми, які захищають дані та блокують підозрілу активність.

Встановіть антивірус або програмне забезпечення для виявлення та запобігання вторгненням. Якщо хтось зайде до корпоративного облікового запису з нового пристрою або з іншої точки світу, програма може відстежити це. Далі вона або надішле співробітникові повідомлення, або одразу закриє доступ.

Інформаційні дані захищаються лише на рівні законодавства. Наприклад, можна вивчити Федеральний закон №152 «Про персональні дані» та ФЗ №149 «Про інформацію, інформаційні дані та про захист інформації». Там є точний список того, що підпадає під захист, а також розповідається про ступінь відповідальності у разі, якщо конфіденційність порушується.

Технології захисту інформації

За технічним обладнанням — датчиками, сигналізацією, камерами відеоспостереження може стежити служба охорони. З програмами та серверами ситуація складніша. Шахраї можуть вигадувати різні способи атак та зломів, тому варто глибше аналізувати дії користувачів із цифровими даними.

При зламі чи витоку інформації компанії втрачають багато грошей, а робочі процеси доводиться довго відновлювати. Щоб скоротити ризики успішних атак на дані компанії, можна використовувати різні програми та методи. Наприклад:

Криптографія. Це спосіб шифрування інформації. Комп'ютер бачить дані негаразд, як звичайні користувачі. Наприклад, співробітник надсилає лист поштою. І відправник, і одержувач бачать повідомлення з текстом та вкладеннями, якщо вони є. Але комп'ютеру передаються не символи, а певний код, який не можуть розшифрувати сторонні користувачі.

Криптографія захищає дані від дешифрування та дослідження. Найпоширеніший приклад – електронний підпис. Вона надійно захищає документи від злому. Зашифровані дані можна переглянути завдяки цифровому ключу. Доступ до нього найчастіше має лише один спеціаліст.

IDS-системи. Програми допомагають виявити вторгнення (від англ. Intrusion Detection System). Якщо вашу корпоративну мережу намагаються зламати або атакувати сервери, IDS помітить підозрілу активність. Система постійно аналізує трафік та дії з ним. А якщо встановити її на окреме обладнання, вона зможе звузити поле дії та перевірятиме лише той трафік, який пов'язаний із пристроєм.

DLP системи. Спосіб допомагає запобігти витоку даних (від англ. Data Loss Prevention). Наприклад, ви звільняєте працівника. У нього за час роботи з'явилися паролі до бази знань, корпоративної пошти та інших корпоративних сервісів. Щоб людина не забрав це все з собою, можна ввімкнути DLP-систему, яка обмежить доступ.

Програма також може заборонити надсилання конфіденційних даних поштою або через месенджер.А щоби співробітники не роздруковували договори, звіти та іншу документацію поза офісом, можна налаштувати цю функцію на конкретні пристрої та заборонити для всіх інших.

UBA-аналітика. Корисна програма, яка відслідковує підозрілу активність користувачів (від англ. User Behaviour Analytics). UBA аналізує поведінку співробітників.

Наприклад, людина увійшла до облікового запису не з нового пристрою і не з іншої країни. Здається, все гаразд. Але раптом він заходить до папок, які взагалі не потрібні в роботі фахівцю на його посаді. Дії продовжуються, і UBA помічає, як користувач намагається завантажити документи або змінити їх. Тоді програма визнає активність підозрілою і заблокує обліковий запис.

Захист інформації: головне

Якщо працюєте з конфіденційною інформацією, важливо забезпечити якісний захист даних. Головне, пам'ятати, що:

  • Загроза може виявлятися різними способами та порушувати конфіденційність, доступність чи цілісність даних.
  • Захищати інформацію можуть фізичні засоби, наприклад, сигналізація або кодові замки. А можуть і організаційні — договір про нерозголошення, правила корпоративної безпекової політики.
  • Програмні засоби захисту – це спеціальне ПЗ, яке може визначати підозрілу активність користувачів, запобігати вторгненням, а також блокувати витік інформації.

Види загроз та технології захисту інформації - Priroda.v.ua

Щоб забезпечити цілісність, доступність та конфіденційність інформації, необхідно захистити її від несанкціонованого доступу, руйнування, незаконного копіювання та розголошення. Забезпечення інформаційної безпеки – це комплекс організаційних та технічних заходів, спрямованих на захист даних.

Що таке засоби захисту інформації?

До методів захисту інформації відносять засоби, заходи та практики, які мають захищати інформаційний простір від загроз — випадкових та зловмисних, зовнішніх та внутрішніх. Мета діяльності щодо забезпечення інформаційної безпеки — захистити дані, а також спрогнозувати, запобігти та пом'якшити наслідки будь-яких шкідливих впливів, які можуть завдати шкоди інформації (видалення, спотворення, копіювання, передача третім особам тощо).

Які існують методи забезпечення інформаційної безпеки

Методи забезпечення інфобезпеки поділяються на технічні, адміністративні, правові та фізичні. Розкажемо докладніше про кожного з них.

Технічні

До технічних засобів захисту відносяться міжмережеві екрани, антивірусні програми, системи аутентифікації та шифрування, регламентування доступу до об'єктів (кожному учаснику відкривається персональний набір прав та привілеїв, згідно з якими вони можуть працювати з інформацією – знайомитися з нею, змінювати, видаляти).

Адміністративні

До цієї групи захисних заходів відносять, наприклад, заборона використання співробітниками власних ноутбуків на вирішення робочих завдань. Проста міра, але завдяки їй знижується частота зараження корпоративних файлів вірусами, скорочуються випадки витоку конфіденційних даних.

Правові

Приклад гарного превентивного заходу зі сфери законодавства — посилення покарань за злочини у сфері інформаційної безпеки. Також до правових методів належить ліцензування діяльності у сфері забезпечення інфобезпеки та атестація об'єктів інформатизації.

Фізичні

До фізичних засобів захисту належать охоронні системи, замки, сейфи, камери спостереження.Достатньо порівняти, яка інформація захищена краще — та, яка записана на жорсткому диску комп'ютера, що працює в мережі, або та, що записана на знімний носій, замкнений у сейфі.

Будуйте комплексний захист

Щоб підтримувати інформаційну безпеку на високому рівні, потрібний комплексний підхід. Найчастіше недостатньо просто встановити на робочі комп'ютери антивіруси, але в вході підприємства поставити камеру відеоспостереження. Для ефективного захисту слід комбінувати та застосовувати різні засоби захисту (адміністративні, технічні, правові, фізичні). Варто окремо сказати про резервне копіювання. Завдяки йому можна швидко відновити вихідні дані, якщо їх було втрачено або спотворено в результаті кібератаки або помилки співробітника. Резервне копіювання – простий та універсальний інструмент, що підвищує стабільність будь-якої системи. Зазвичай резервні копії записують на знімні носії (які зберігають окремо і під замком) або зберігають у хмарі, або поєднують обидва способи. Як додатковий захист часто застосовується шифрування.

Політика безпеки

  1. Надавати кожному співробітнику мінімально необхідний рівень доступу до даних — стільки ж, скільки йому потрібно для виконання посадових обов'язків. Цей принцип дозволяє уникнути багатьох проблем, таких як виток конфіденційних даних, видалення або спотворення інформації через порушення в роботі з нею і т.д.
  2. Багаторівневий підхід до безпеки.Поділ співробітників по секторах та відділах, закриті приміщення з доступом за ключом, відеоспостереження, регламент передачі відомостей, багаторазове резервування даних — чим більше рівнів захисту, тим ефективніша діяльність із забезпечення інформаційної безпеки.
    Важлива роль такій захисній системі відводиться міжмережевим екранам. Це «контрольно-пропускні пункти» для трафіку, які ще на вході відсіватимуть багато потенційних загроз та дозволять встановити правила доступу до ресурсів, якими користуються співробітники.
  3. Дотримання балансу між потенційними збитками від загрози та витратами на її запобігання. Визначаючи безпекову політику на підприємстві, треба зважувати втрати від порушення захисту інформації та витрати на її захист.

Важливо розуміти, що жодна система безпеки не здатна дати 100% гарантію захисту даних. Але багаторівнева комплексна система захисту інформації однозначно ефективніша, ніж застосування окремих методів забезпечення інформаційної безпеки.

Види загроз та технології захисту інформації - Priroda.v.ua

Щодня ми розміщуємо в інтернеті безліч особистої інформації, навіть не замислюючись – наскільки безпечно вона там зберігається? У цій статті розповімо, які бувають загрози персональним даним у мережі, і дам вам практичні поради, як захистити свою конфіденційну інформацію за допомогою сучасних методів та інструментів. Читайте та дізнавайтеся, як убезпечити себе та свої дані онлайн!

1. Причини витоку персональних даних в Інтернеті

За даними досліджень, у 2022 році відбулася рекордна кількість витоків персональних даних користувачів з великих інтернет-сервісів та компаній – понад 5000 інцидентів.Це на 15% більше, ніж роком раніше.

Основними причинами такого великого числа витоків є:

  • Дії хакерів та інших зловмисників в інтернеті, які атакують сайти та сервери компаній
  • Людський фактор – помилки та недбалість співробітників, які працюють з конфіденційними даними
  • Уразливості у програмному забезпеченні, які дозволяють отримати несанкціонований доступ до інформації

Найбільш гучні витоку персональних даних відбулися в компаніях Uber, Marriott та інших. Серед постраждалих виявилися сотні мільйонів користувачів у всьому світі.

Внаслідок таких інцидентів користувачі можуть постраждати від крадіжки або неправомірного використання їхньої особистої інформації. Це може призвести до фінансових втрат, розкрадання грошей з рахунків, використання персональних даних для шахрайства та інших ризиків.

2. Які дані ми розміщуємо в Інтернеті щодня?

Згідно з дослідженнями, середньостатистичний користувач соціальних мереж щодня робить наступні дії, розміщуючи при цьому персональні дані онлайн:

  • Ділиться 2-3 постами
  • Публікує 1 фотографію
  • Зазначається у 2-3 геолокаціях
  • Коментує 5-7 записів друзів

Таким чином, добровільно та недобровільно ми передаємо в інтернет масу інформації: імена та прізвища, дату народження, номер телефону, геодані, дані банківських карток тощо. Ці дані можуть бути перехоплені зловмисниками та використані у злочинних цілях.

3. Способи захисту: огляд методів

Щоб убезпечити свої дані, існують різні способи захисту інформації. Їх можна класифікувати так:

  1. Правові методи
  2. Організаційні методи
  3. Технічні засоби захисту
  4. Криптографічні методи
  5. Спеціальні програмні засоби

Розглянемо деякі з них докладніше.

Правові методи захисту інформації

До правових методів належать закони та нормативні акти, що регулюють правила зберігання та використання персональних даних.

Наприклад, у Росії діє закон "Про персональні дані", який визначає права суб'єктів персональних даних та обов'язки операторів, що працюють з цими даними.

Організаційні методи захисту інформації

Це різні заходи, процедури та правила щодо захисту інформації, які застосовує організація. Наприклад:

  • Розробка регламентів доступу до даних
  • Навчання персоналу правилам захисту інформації
  • Створення служби інформаційної безпеки

Такі заходи дозволяють знизити вплив людського чинника на витікання даних.

4. Засоби захисту даних для користувачів

Для рядових користувачів інтернету існує безліч програм та сервісів, які допомагають захистити особисті дані онлайн:

Антивірусні програми

Встановлення хорошого антивірусу дозволяє захистити дані на комп'ютері від шкідливих програм та вірусів, які є причиною витоку інформації. Популярні антивіруси:

VPN

Віртуальні приватні мережі (VPN) шифрують інтернет-трафік і приховують IP-адресу користувача. Це дозволяє зберігати анонімність під час роботи в інтернеті та захищає від перехоплення даних.

Популярні VPN-сервіси: NordVPN, ExpressVPN, CyberGhost.

Налаштування приватності у соцмережах

Незважаючи на всі ризики, відмовитися від соцмереж сьогодні складно. Однак можна налаштувати приватність у своєму профілі так, щоб доступ до особистих даних був лише у довірених друзів.

Також важливо стежити за безпекою свого облікового запису, використовувати надійний пароль.

5. Дотримання правил "цифрової гігієни"

"Цифрова гігієна" – це набір рекомендацій щодо забезпечення інформаційної безпеки для звичайних користувачів Інтернету.Дотримання цих правил у повсякденному житті допоможе вберегти ваші особисті дані від витоків та неправомірного використання:

  • Використовуйте надійні паролі, прив'язуйте облікові записи до номера телефону або поштою
  • Не відкривайте сумнівних листів від незнайомців, щоб не "підхопити" шкідливе ПЗ
  • З обережністю ставтеся до підозрілих сайтів та посилань в інтернеті

За перших ознак витоку своїх даних – оперативно блокуйте скомпрометовані акаунти, змінюйте паролі, звертайтеся до відповідних органів та служб підтримки.

6. Майбутнє методів захисту інформації

Щоб протистояти більш витонченим кіберзагрозам, розвиваються передові технології захисту даних. Виділимо деякі перспективні напрямки:

Застосування штучного інтелекту

Системи на основі штучного інтелекту (ІІ) здатні швидше і точніше визначити кібератаки, запобігти витоку даних. ІІ допомагає аналізувати поведінку користувачів та виявляти підозрілу активність.

Використання технології блокчейн

Блокчейн забезпечує надійне шифрування та децентралізоване зберігання даних. Це ускладнює хакерам доступ до інформації та її модифікацію. Очікується активне використання блокчейна для захисту персональних даних.

Однак, нові методи вимагають ретельного тестування на безпеку перед застосуванням для широкого кола користувачів.

7. Захист персональних даних на державному рівні

Окрім технічних засобів захисту інформації, існують і законодавчі заходи регулювання обігу персональних даних на державному рівні.

Закони Російської Федерації щодо персональних даних

Основними законами у цій сфері є:

  • Федеральний закон "Про персональні дані"
  • Федеральний закон "Про інформацію, інформаційні технології та про захист інформації"

Ці закони регламентують правила збирання, зберігання та використання персональних даних на території РФ.

Держоргани, які здійснюють контроль та нагляд

З боку держави за дотриманням законів про персональні дані стежать:

  • Роскомнагляд
  • Федеральна служба з нагляду у сфері зв'язку, інформаційних технологій та масових комунікацій

Ці структури мають функції контролю та нагляду, а також можуть застосовувати адміністративні заходи за порушення законів про захист персональних даних.

Відповідальність за витік персональних даних

Компанії та держоргани несуть адміністративну відповідальність за виток персональних даних користувачів. Заходи впливу включають штрафи, зупинення діяльності, заборону на обробку персональних даних.

У разі порушення ваших прав у сфері захисту персональних даних можна звертатися зі скаргою до Роскомнагляду або до суду.

8. Приклади успішного захисту великих інформаційних систем

Розглянемо приклади того, як реалізується захист персональних даних на практиці у великих російських компаніях та держструктурах.

Захист даних в інтернет-магазині OZON

Найбільший інтернет-рітейлер Озон використовує багаторівневий захист при обробці замовлень та даних покупців:

  • Шифрування трафіку за протоколом HTTPS
  • Зберігання платіжних даних у захищених сховищах
  • Використання одноразових паролів для підтвердження покупок
  • Служба інформаційної безпеки з 50+ експертів

Завдяки комплексним заходам інтернет-магазину вдається зберігати безпеку даних понад 20 млн. клієнтів.

Захист персональних даних у банках

Фінансові організації приділяють особливу увагу захисту даних. Наприклад, Ощадбанк застосовує для своїх інформаційних систем:

  • Міжмережеві екрани
  • Системи виявлення та запобігання вторгненням
  • Засоби криптографічного захисту під час передачі даних

Такий підхід дозволяє банку забезпечувати необхідний рівень безпеки даних десятків мільйонів клієнтів.

Програма "Безпечне місто"

В рамках цієї програми впроваджуються системи відеоспостереження, супутникової навігації, розпізнавання облич на основі технологій штучного інтелекту.

Це підвищує розкриття злочинів, дозволяє швидко ідентифікувати особистість. Разом з тим постає питання про захист персональних даних засобами засобів захисту інформації в таких системах масового стеження.

9. Вибір оптимальних методів та засобів захисту інформації

Як бачимо, існує безліч різноманітних методів та засобів захисту інформації. Приватний користувач або організація можуть легко заплутатися у їхньому виборі.

Тому дуже важливо правильно підібрати комплекс заходів безпеки, виходячи зі ступеня конфіденційності ваших даних, особливостей їх обробки та зберігання, наявності ресурсів.

Як правило, оптимальний варіант – розумне поєднання технічних засобів захисту інформації та "цифрової гігієни" з урахуванням законодавства про персональні дані. Тоді можна досягти належного рівня безпеки без надмірних витрат.