Существует множество передовых методов обеспечения безопасности интернет-технологий для определённых отраслей или предприятий, но некоторые из них находят более широкое применение.

1. Обеспечение защиты с учётом целесообразности

Полную защиту офисных компьютеров можно обеспечить, только если отсоединить все модемы, и выгнать из комнаты всех сотрудников — но тогда компьютеры станут бесполезными. Вот почему одна из самых больших проблем в области безопасности информационных технологий — это обеспечение баланса между доступностью ресурсов, конфиденциальностью
и целостностью ресурсов.
Вместо того, чтобы попытаться найти защиту от всех видов угроз, большинство IT-отделов в первую очередь сосредоточиваются на изоляции самых важных систем, а затем проводят поиск приемлемых способов защиты остальных систем, не делая их при этом бесполезными. Отдельные системы с более низким приоритетом могут быть подвергнуты автоматизированному анализу, с тем, чтобы в центре внимания оставались наиболее важные системы.

2. Как распределить доступ пользователей к ресурсам

Чтобы система информационной безопасности работала, она должна знать, кому разрешено видеть и совершать определённые операции. Например, сотруднику, который занимается бухгалтерией, не нужен доступ к полной клиентской базе данных, но ему могут потребоваться цифры, касающиеся продаж. Это значит, что системному администратору необходимо назначить доступ по типу работы сотрудника и, возможно, ему придётся дополнительно уточнить эти ограничения в соответствии с учётом организационных структур. Это обеспечит гарантию, что главный сотрудник по финансовым вопросам в идеале сможет получить доступ к большему количеству данных и ресурсов, чем младший бухгалтер.
Тем не менее, должность сама по себе не предполагает потребность в полном доступе. Генеральному директору компании может потребоваться больше данных, чем другим сотрудникам, но он не нуждается в полном доступе к системе. Это подводит нас к следующему пункту.

3. Назначение минимальных привилегий

Должностному лицу должны быть назначены минимальные привилегии, необходимые для выполнения его обязанностей. Если обязанности сотрудника меняются, то меняются и привилегии. Назначение минимальных привилегий снижает вероятность того, что Джо из отдела дизайна выйдет за дверь, имея на руках все маркетинговые данные.

4. Использование независимой защиты

Для обеспечения IT-безопасности вполне подходит принцип, который используют военные. Наличие одной действительно надёжной защиты, такой как протоколы проверки подлинности, эффективно только до тех пор, пока её кто-то не нарушит. Если используется несколько независимых защит, злоумышленнику придётся применить несколько разных стратегий, чтобы получить нужный доступ. Внедрение такого типа сложности не обеспечивает 100-процентную защиту от атак, но снижает шансы на успешную атаку.

5. Планирование возможной атаки

Планирование возможной атаки поможет свести к минимуму её фактические последствия, если она произойдёт. Наличие резервных систем позволяет IT-отделу постоянно контролировать меры безопасности и быстро реагировать на атаки. Если атака не является опасной, предприятие или организация могут продолжать работать с использованием резервных систем, пока проблема не будет устранена. IT -безопасность заключается не только в ограничении ущерба от атаки, но и в её предотвращении.

6. Запись, запись и ещё раз запись

В идеале, система безопасности не должна быть нарушена ни при каких условиях, но если это всё-таки произошло, событие должно быть записано.
На самом деле сотрудники, обеспечивающие информационную безопасность, часто записывают столько событий, сколько могут, даже если нет атаки. Иногда причины атак бывают не совсем понятны пост-фактум, поэтому важно иметь возможность изучить данные, полученные до и во время события. Данные об атаке в конечном итоге помогут усовершенствовать систему и предотвратить будущие атаки, даже если это изначально казалось нерациональным.

7. Частые проверки

Хакеры постоянно совершенствуют своё мастерство, а это значит, что информационная безопасность должна развиваться, чтобы идти в ногу со временем. IT-специалисты должны проводить проверки, оценивать риски, перечитывать план восстановления системы после проникновения, сверяться с правилами обеспечения бесперебойного функционирования
бизнеса в случае атаки, а затем повторять эти действия снова и снова.

Выводы

Обеспечение информационной безопасности — это сложная работа, требующая внимания к деталям, а также высокого уровня осведомлённости. Однако, как и многие задачи, которые кажутся сложными на первый взгляд, процесс обеспечения информационной безопасности может быть разделён на основные этапы, что может значительно упростить работу. Это не значит, что работы станет меньше, но это поможет IT-специалистам справляться с трудностями более квалифицированно.

Посетите семинар Информационная безопасность в Алматы 12-13 ноября 2018 г.

Семинар проводит Д-р Эммануил Иоаннидис,выпускник Harvard University и London School of Economics, бывший старший юрисконсульт и старший консультант компании Egmont Group FIU по ФАТФ и арбитражу. Кроме того, Эммануил занимал высокие должности в сфере финансов, закупок и обороны, а также управлял крупными проектами для консалтинговых фирм.

Подписаться

Похожие статьи