Інформаційна безпека – забезпечення конфіденційності, цілісності та доступності інформації.
- Конфіденційність – забезпечення виключно авторизованого доступу до інформації: інформація не повинна надаватися та не повинна розкриватися неавторизованим фізичним особам, організаціям чи процесам.
- Цілісність – підтримання та забезпечення точності та повноти даних протягом усього життєвого циклу: дані не повинні бути змінені неавторизованим або непомітним способом.
- Доступність – забезпечення безперешкодного доступу до інформації авторизованим користувачам: системи зберігання та обробки інформації, інтерфейси роботи з інформацією, системи забезпечення авторизованого доступу та канали зв’язку мають функціонувати коректно.
Доцільність вкладень в інформаційну безпеку
Ризики з інформаційної безпеки, що реалізувалися, тягнуть за собою втрати для бізнесу. У той же час, роботи із забезпечення інформаційної безпеки вимагають як разових, так і регулярних витрат часу та грошей, а також виникає потреба у відповідній експертизі. Необхідність підвищення безпеки та стійкості до відмови визначається пропорційністю витрат і передбачуваного зниження ризиків.
Інформаційна безпека: оцінка ризиків
Найпростіше оцінити ризики, ґрунтуючись на наступному чек-листі:
- ймовірність виникнення проблем;
- збитки за непрацездатності;
- комерційна цінність даних, що зберігаються;
- репутаційні ризики;
- законодавчі ризики;
- витрати на відновлення
Оцінка витрат
Робота над інформаційною безпекою гарантовано збільшить бюджет проекту, основні статті видатків:
- витрати на експертизу;
- подорожчання розробки;
- зростання вартості обслуговування;
- витрати на додаткове «залізо»;
- вартість аудиту
Основні підходи до інформаційної безпеки
Інформаційна безпека – це цілий комплекс заходів, спрямованих на забезпечення конфіденційності, цілісності та доступності інформації.
Найбільш поширеною є класифікація за рівнем:
- Фізичний контроль – охорона, пропускний режим, замки тощо. Теоретично цей рівень теж відноситься до інформаційної безпеки, але на практиці ним зазвичай займається не відділ інформаційної безпеки, а інші підрозділи. Проте ІБ часто доповнюють вимоги щодо фізичної безпеки, виходячи зі своїх професійних знань про можливі загрози.
- Процедурний контроль – формалізація та регламентація бізнес-процесів, інформування про ризики, навчання тощо. Фахівці з інформаційної безпеки працюють не лише з програмами та серверами, а й з людьми. Насправді, людський фактор – це один із найбільш суттєвих ризиків в ІБ.
- Технічний контроль – програмно-апаратні засоби: системи контролю доступу, шифрування, брандмауери, антивірусний софт, системи виявлення та запобігання вторгненням і так далі. Реалізація технічного контуру інформаційної безпеки – дуже об’ємне питання та тема для окремої статті.
- Юридичний контроль – рівень правового поля: закони, контракти, NDA, трудові договори тощо. В рамках правового поля є законодавчі норми, які необхідно дотримуватися, також цей рівень дає додаткові можливості зниження ризиків з інформаційної безпеки, встановлюючи відповідальність за порушення правил.
Також в ІБ використовується класифікація за часом проведення заходів:
- Превентивні заходи – запобігання виникненню інцидентів. Саме цей тип заходів має бути основним заняттям спеціалістів з інформаційної безпеки.
- Детективні заходи — ідентифікація та аналіз інциденту: до комплексу заходів входить виявлення проблеми, пошук причин виникнення, визначення вектора атаки, збір та аналіз первинних даних про збитки.
- Коригувальні заходи – вирішення інциденту, обмеження збитків, відновлення системи. Зазвичай запускаються паралельно із детективними заходами. Мета – зупинити атаку або витік даних, знизити збитки, відновити працездатність системи та усунути можливості для повторення інциденту.