I øjeblikket udgør informationssikkerhedsrisici en stor trussel mod de normale aktiviteter for mange virksomheder og institutioner. I vores tidsalder af informationsteknologi er det praktisk talt ikke svært at indhente data. På den ene side bringer dette naturligvis mange positive aspekter, men det bliver et problem for mange selskabers ansigt og brand.
Beskyttelsen af information i virksomhederne bliver nu næsten en prioritet. Eksperter mener, at kun dette ved at udvikle en bestemt bevidst række af handlinger kan nås. I dette tilfælde er det muligt kun at blive styret af pålidelige fakta og bruge avancerede analysemetoder. Et bestemt bidrag ydes ved udviklingen af intuition og erfaringen fra den specialist, der er ansvarlig for denne enhed i virksomheden.
Dette materiale fortæller om risikostyring af en økonomisk enheds informationssikkerhed.
Hvilke typer mulige trusler findes i informationsmiljøet?
Der kan være mange typer trusler. En analyse af en virksomheds informationssikkerhedsrisici begynder med hensyntagen til alle mulige potentielle trusler. Dette er nødvendigt for at bestemme verificeringsmetoder i tilfælde af forekomst af disse uforudsete situationer samt for at skabe et passende beskyttelsessystem. Informationssikkerhedsrisici er opdelt i bestemte kategorier afhængigt af forskellige klassificeringsfunktioner. De er af følgende typer:
- fysiske kilder;
- upassende brug af computernetværket og World Wide Web;
- forseglet lækage;
- lækage ved tekniske midler;
- uautoriseret indtrængen;
- angreb på informationsaktiver;
- krænkelse af integriteten af datamodifikation;
- nødsituationer;
- lovlige overtrædelser.
Hvad er inkluderet i begrebet "fysiske trusler mod informationssikkerhed"?
Typerne for informationssikkerhedsrisici bestemmes afhængigt af kilderne til deres forekomst, metoden til implementering af den ulovlige indtrængen og formålet. De enkleste teknisk, men stadig kræver professionel ydeevne, er fysiske trusler. De udgør uautoriseret adgang til forseglede kilder. Det vil sige, denne proces er faktisk et almindeligt tyveri. Oplysninger kan fås personligt med egne hænder ganske enkelt ved at invadere institutionen, kontorer, arkiver for at få adgang til teknisk udstyr, dokumentation og andre opbevaringsmedier.
Tyveriet ligger måske ikke engang i selve dataene, men i stedet for deres opbevaring, det vil sige direkte til selve computerudstyret. For at forstyrre organisationens normale aktiviteter kan angribere simpelthen sikre en funktionsfejl i lagringsmediet eller teknisk udstyr.
Formålet med en fysisk indtrængen kan også være at få adgang til et system, som informationssikkerhed er afhængig af. En angriber kunne ændre indstillingerne for et netværk, der er ansvarligt for informationssikkerhed for yderligere at lette implementeringen af ulovlige metoder.
Muligheden for en fysisk trussel kan også stilles til rådighed af medlemmer af forskellige grupper, der har adgang til klassificeret information, der ikke har reklame. Deres mål er værdifuld dokumentation.Sådanne personer kaldes insidere.
Aktiviteten af eksterne angribere kan rettes mod det samme objekt.
Hvordan kan virksomhedsansatte selv forårsage trusler?
Risici for informationssikkerhed opstår ofte på grund af upassende brug af ansatte på Internettet og det interne computersystem. Angribere spiller smukt på uerfaring, skødesløshed og mangel på uddannelse hos nogle mennesker vedrørende informationssikkerhed. For at udelukke denne mulighed for at stjæle fortrolige data har ledelsen for mange organisationer en særlig politik blandt deres medarbejdere. Dets formål er at uddanne folk til reglerne for adfærd og brug af netværk. Dette er en forholdsvis almindelig praksis, da trusler, der opstår på denne måde, er ret almindelige. Programmet inkluderer følgende punkter i programmet til erhvervelse af evner til informationssikkerhed:
- overvinde den ineffektive brug af revisionsværktøjer;
- reduktion af den grad, i hvilken folk bruger specielle værktøjer til databehandling;
- reduceret brug af ressourcer og aktiver
- at vænne sig til kun at få adgang til netværksfaciliteter ved hjælp af etablerede metoder;
- tildeling af indflydelseszoner og udpegning af ansvarsområdet.
Når hver medarbejder forstår, at institutionens skæbne afhænger af den ansvarlige udførelse af de opgaver, der er tildelt ham, forsøger han at overholde alle reglerne. Før mennesker er det nødvendigt at angive specifikke opgaver og retfærdiggøre de opnåede resultater.
Hvordan overtrædes privatlivets fred?
Risici og trusler mod informationssikkerhed er i vid udstrækning forbundet med ulovlig modtagelse af oplysninger, som ikke bør være tilgængelige for uautoriserede personer. Den første og mest almindelige lækagekanal er alle former for kommunikationsmetoder. På et tidspunkt, hvor det ser ud til, er personlig korrespondance kun tilgængelig for to parter, hvor interesserede parter opfanger den. Selvom intelligente mennesker forstår, at det er nødvendigt på andre måder at overføre noget ekstremt vigtigt og hemmeligt.
Da der nu er gemt en masse information på bærbare medier, mestrer angribere aktivt aflytningen af information gennem denne type teknologi. At lytte til kommunikationskanaler er meget populært, først nu er al indsatsen fra tekniske genier rettet mod at bryde smartphones beskyttelsesbarrierer.
Fortrolige oplysninger kan muligvis vildlægges videregivet af ansatte i organisationen. De kan ikke direkte give alle “optrædener og adgangskoder” ud, men kun føre angriberen til den rigtige vej. For eksempel giver folk, uden at vide det, oplysninger om opbevaringsstedet for vigtig dokumentation.
Kun underordnede er ikke altid sårbare. Entreprenører kan også give fortrolige oplysninger under partnerskaber.
Hvordan krænkes informationssikkerhed ved hjælp af tekniske indflydelsesmidler?
At sikre informationssikkerhed skyldes i vid udstrækning brugen af pålidelige tekniske beskyttelsesmidler. Hvis understøttelsessystemet er effektivt og effektivt selv i selve udstyret, er dette allerede halvdelen af succes.
Generelt sikres informationslækage således ved styring af forskellige signaler. Sådanne metoder inkluderer oprettelse af specialiserede kilder til radioemission eller signaler. Sidstnævnte kan være elektrisk, akustisk eller vibrerende.
Ofte bruges optiske enheder, der giver dig mulighed for at læse information fra skærme og skærme.
En række enheder tilvejebringer en bred vifte af metoder til introduktion og ekstraktion af information fra angribere. Ud over ovenstående metoder findes der også tv, fotografisk og visuel rekognosering.
På grund af så brede muligheder inkluderer informationssikkerhedsrevision primært verifikation og analyse af driften af tekniske midler til beskyttelse af fortrolige data.
Hvad betragtes som uautoriseret adgang til virksomhedsoplysninger?
Styring af informationssikkerhedsrisiko er umulig uden at forhindre trusler om uautoriseret adgang.
En af de mest fremtrædende repræsentanter for denne metode til at hacking andres sikkerhedssystem er tildelingen af et bruger-ID. Denne metode kaldes "Maskerade." Uautoriseret adgang i dette tilfælde består i brugen af godkendelsesdata. Det vil sige, at den indtrængende mål er at få en adgangskode eller enhver anden identifikator.
Angribere kan have en indflydelse inde fra selve objektet eller udefra. De kan hente de nødvendige oplysninger fra kilder, såsom et revisionsspor eller revisionsværktøjer.
Ofte forsøger angriberen at anvende implementeringspolitikken og bruge fuldstændigt lovlige metoder ved første øjekast.
Uautoriseret adgang gælder for følgende informationskilder:
- Hjemmeside og eksterne værter
- trådløs virksomhedsnetværk;
- sikkerhedskopi af data.
Der er utallige måder og metoder til uautoriseret adgang. Angribere kigger efter forkert beregninger og huller i konfigurationen og arkitekturen af softwaren. De modtager data ved at ændre software. For at neutralisere og reducere årvågenhed, indtrænger indtrængende malware og logiske bomber.
Hvad er de juridiske trusler mod virksomhedens informationssikkerhed?
Styring af informationssikkerhedsrisiko fungerer i forskellige retninger, fordi dens hovedmål er at give omfattende og holistisk beskyttelse af virksomheden mod ekstern indtrængen.
Ikke mindre vigtigt end det tekniske område er lovligt. Som det tværtimod ser ud til at forsvare interesser, viser det sig at være meget nyttig information.
Juridiske krænkelser kan vedrøre ejendomsrettigheder, ophavsret og patentrettigheder. Ulovlig brug af software, herunder import og eksport, falder også ind under denne kategori. Det er kun muligt at overtræde lovkrav uden at overholde betingelserne i kontrakten eller den lovgivningsmæssige ramme som helhed.
Hvordan sætter jeg informationssikkerhedsmål?
At sikre informationssikkerhed begynder med etablering af beskyttelsesområdet. Det er nødvendigt klart at definere, hvad der skal beskyttes, og mod hvem. Til dette bestemmes et portræt af en potentiel kriminel samt mulige metoder til hacking og implementering. For at sætte mål skal du først og fremmest tale med lederskabet. Det vil fortælle dig de prioriterede beskyttelsesområder.
Fra dette øjeblik begynder en informationssikkerhedsrevision. Det giver dig mulighed for at bestemme i hvilken andel det er nødvendigt at anvende teknologiske og forretningsmetoder. Resultatet af denne proces er den endelige liste over aktiviteter, der konsoliderer enhedens mål for at yde beskyttelse mod uautoriserede indtrængen. Revisionsproceduren er rettet mod at identificere kritiske punkter og svagheder i systemet, der forstyrrer den normale drift og udvikling af virksomheden.
Efter fastsættelse af mål udvikles en mekanisme til implementering af dem. Der dannes instrumenter til kontrol og minimering af risici.
Hvilken rolle spiller aktiver i risikoanalyse?
Risici for organisations informationssikkerhed påvirker direkte virksomhedens aktiver. Når alt kommer til alt er angribernes mål at få værdifuld information. Dets tab eller afsløring vil uundgåeligt føre til tab. Skader forårsaget af en uautoriseret indtrængen kan have en direkte indvirkning eller kun indirekte.Det vil sige, ulovlige handlinger i forhold til organisationen kan føre til et fuldstændigt tab af kontrol over virksomheden.
Mængden af skade estimeres i henhold til de disponible aktiver til rådighed for organisationen. Berørte er alle ressourcer, der på nogen måde bidrager til at nå ledelsesmål. Under virksomhedens aktiver henvises til alle materielle og immaterielle aktiver, der medfører og hjælper med at generere indkomst.
Aktiver er af flere typer:
- materiale;
- menneske;
- oplysninger;
- finansielle;
- processer;
- brand og autoritet.
Den sidstnævnte type aktiv lider mest af uautoriserede indtrængen. Dette skyldes det faktum, at enhver reel informationssikkerhedsrisiko påvirker billedet. Problemer med dette område reducerer automatisk respekten og tilliden til en sådan virksomhed, da ingen ønsker, at de fortrolige oplysninger offentliggøres. Hver organisation, der respekterer dem, sørger for at beskytte sine egne informationsressourcer.
Forskellige faktorer påvirker hvor meget og hvilke aktiver der vil lide. De er opdelt i eksterne og interne. Deres komplekse virkning gælder som regel samtidig for flere grupper af værdifulde ressourcer.
Virksomhedens hele virksomhed er bygget på aktiver. De er til en vis grad til stede i aktiviteterne på enhver institution. Bare for nogle er nogle grupper vigtigere og mindre andre. Afhængig af hvilken type aktiver angriberne formåede at påvirke, afhænger resultatet, dvs. skaden, der er forårsaget.
En vurdering af informationssikkerhedsrisici gør det muligt klart at identificere de vigtigste aktiver, og hvis de blev påvirket, så er dette fyldt med uoprettelige tab for virksomheden. Disse grupper af værdifulde ressourcer skal opmærksomme på selve ledelsen, da deres sikkerhed er i ejernes interesser.
Det prioriterede område for informationssikkerhedsenheden er hjælpeaktiver. En særlig person er ansvarlig for deres beskyttelse. Risici mod dem er ikke kritiske og påvirker kun styringssystemet.
Hvilke faktorer har informationssikkerhed?
Beregning af informationssikkerhedsrisici inkluderer konstruktion af en specialiseret model. Det repræsenterer noder, der er forbundet til hinanden ved hjælp af funktionelle forbindelser. Knuder - det er selve aktiverne. Modellen bruger følgende værdifulde ressourcer:
- folk;
- strategi;
- teknologi;
- processer.
Ribbenene, der binder dem, er de samme risikofaktorer. For at identificere mulige trusler er det bedst at kontakte den afdeling eller specialist, der arbejder direkte med disse aktiver. Enhver potentiel risikofaktor kan være en forudsætning for dannelse af et problem. Modellen identificerer de største trusler, der kan opstå.
Med hensyn til personalet er problemet det lave uddannelsesniveau, manglen på personale, manglen på motivation.
Processrisici inkluderer miljøvariabilitet, dårlig automatisering af produktionen og uklar adskillelse af opgaver.
Teknologier kan lide af forældet software, manglende kontrol over brugerne. Årsagen kan også være problemer med et heterogent informationsteknologilandskab.
Fordelen ved denne model er, at tærskelværdierne for informationssikkerhedsrisici ikke er klart fastlagte, da problemet ses fra forskellige vinkler.
Hvad er en informationssikkerhedsrevision?
En vigtig procedure inden for en virksomheds informationssikkerhed er revision. Det er en kontrol af den aktuelle tilstand i systemet med beskyttelse mod uautoriserede indtrængen. Revisionsprocessen bestemmer graden af overholdelse af etablerede krav.Dets implementering er obligatorisk for nogle typer institutioner, for resten er det rådgivende. Undersøgelsen gennemføres i relation til dokumentation for regnskabs- og skatteafdelinger, tekniske midler og økonomiske og økonomiske dele.
En revision er nødvendig for at forstå sikkerhedsniveauet og i tilfælde af uoverensstemmelse af optimeringen til det normale. Denne procedure giver dig også mulighed for at evaluere hensigtsmæssigheden af finansielle investeringer i informationssikkerhed. I sidste ende vil eksperten give anbefalinger om satsen for de finansielle udgifter for at opnå maksimal effektivitet. Med revision kan du justere kontrollerne.
Undersøgelse vedrørende informationssikkerhed er opdelt i flere faser:
- Sæt mål og måder at nå dem på.
- Analyse af de oplysninger, der er nødvendige for at opnå en dom.
- Behandler indsamlede data.
- Ekspertudtalelse og anbefalinger.
I sidste ende vil specialisten udstede sin beslutning. Kommissionens henstillinger er oftest rettet mod at ændre konfigurationer af hardware såvel som servere. Ofte tilbydes en problematisk virksomhed at vælge en anden metode til at sikre sikkerhed. Det er muligt, at et sæt beskyttelsesforanstaltninger udnævnes af eksperter til yderligere forstærkning.
Arbejdet efter opnåelse af revisionsresultaterne er rettet mod at informere teamet om problemerne. Hvis det er nødvendigt, er det værd at gennemføre yderligere uddannelse for at øge medarbejdernes uddannelse vedrørende beskyttelse af virksomhedens informationsressourcer.