Pada masa ini, risiko keselamatan maklumat menimbulkan ancaman besar terhadap aktiviti biasa banyak perusahaan dan institusi. Dalam era teknologi maklumat kami, memperoleh apa-apa data hampir tidak sukar. Dalam satu tangan, ini sememangnya membawa banyak aspek positif, tetapi ia menjadi masalah bagi wajah dan jenama banyak syarikat.
Perlindungan maklumat dalam perusahaan kini menjadi hampir keutamaan. Pakar percaya bahawa hanya dengan membangunkan satu urutan tindakan yang sedar dapat mencapai matlamat ini. Dalam kes ini, adalah mungkin untuk dibimbing hanya oleh fakta yang boleh dipercayai dan menggunakan kaedah analisis lanjutan. Sumbangan tertentu dibuat oleh pengembangan gerak hati dan pengalaman pakar yang bertanggungjawab untuk unit ini di perusahaan.
Bahan ini akan menceritakan tentang pengurusan risiko keselamatan maklumat entiti ekonomi.
Apakah jenis ancaman yang mungkin wujud dalam persekitaran maklumat?
Terdapat banyak jenis ancaman. Analisa terhadap risiko keselamatan maklumat sesuatu perusahaan bermula dengan pertimbangan semua kemungkinan ancaman yang mungkin. Ini adalah perlu untuk menentukan kaedah pengesahan sekiranya berlaku keadaan-keadaan yang tidak diduga ini, serta mewujudkan sistem perlindungan yang sesuai. Risiko keselamatan maklumat dibahagikan kepada beberapa kategori bergantung kepada pelbagai ciri klasifikasi. Mereka adalah jenis berikut:
- sumber fizikal;
- penggunaan rangkaian komputer yang tidak sesuai dan World Wide Web;
- kebocoran sealed;
- kebocoran dengan cara teknikal;
- pencerobohan yang tidak dibenarkan;
- menyerang aset maklumat;
- pelanggaran integriti pengubahsuaian data;
- situasi kecemasan;
- pelanggaran undang-undang.
Apa yang termasuk dalam konsep "ancaman fizikal kepada keselamatan maklumat"?
Jenis risiko keselamatan maklumat ditentukan bergantung kepada sumber kejadian mereka, kaedah pelaksanaan pencerobohan dan tujuan haram. Yang paling mudah dari segi teknikal, tetapi masih memerlukan prestasi profesional, adalah ancaman fizikal. Mereka merupakan akses yang tidak dibenarkan kepada sumber yang dimeteraikan. Iaitu, proses ini sebenarnya pencurian biasa. Maklumat boleh diperoleh secara peribadi, dengan tangan sendiri, hanya dengan menyerang institusi, pejabat, arkib untuk mendapatkan akses kepada peralatan teknikal, dokumentasi dan media storan lain.
Kecurian itu mungkin tidak terletak pada data itu sendiri, tetapi di tempat penyimpanannya, iaitu langsung ke peralatan komputer itu sendiri. Untuk mengganggu aktiviti normal organisasi, penyerang hanya boleh memastikan kerosakan dalam media storan atau peralatan teknikal.
Tujuan pencerobohan fizikal juga mungkin untuk mendapatkan akses kepada sistem di mana keselamatan maklumat bergantung. Penyerang boleh mengubah pilihan rangkaian yang bertanggungjawab untuk keselamatan maklumat untuk memudahkan lagi pelaksanaan kaedah yang menyalahi undang-undang.
Kemungkinan ancaman fizikal juga boleh disediakan oleh anggota pelbagai kumpulan yang mempunyai akses kepada maklumat rahsia yang tidak mempunyai publisiti. Matlamat mereka adalah dokumentasi yang berharga.Individu tersebut dipanggil orang dalam.
Aktiviti penyerang luaran boleh diarahkan pada objek yang sama.
Bagaimanakah pekerja perusahaan boleh menyebabkan ancaman?
Risiko keselamatan maklumat sering timbul kerana penggunaan yang tidak sesuai oleh pekerja Internet dan sistem komputer dalaman. Penyerang bermain dengan baik di dalam pengalaman, kecerobohan dan kekurangan pendidikan sesetengah orang mengenai keselamatan maklumat. Untuk mengecualikan pilihan ini untuk mencuri data sulit, kepimpinan banyak organisasi mempunyai dasar khas di kalangan kakitangan mereka. Tujuannya adalah untuk mendidik orang tentang peraturan tingkah laku dan penggunaan rangkaian. Ini adalah amalan yang agak biasa, kerana ancaman yang timbul dengan cara ini agak biasa. Program ini merangkumi perkara-perkara berikut dalam program untuk memperoleh kemahiran keselamatan maklumat:
- mengatasi penggunaan alat audit yang tidak cekap;
- mengurangkan tahap yang mana orang menggunakan alat khas untuk pemprosesan data;
- pengurangan penggunaan sumber dan aset;
- kebiasaan memperoleh akses kepada kemudahan rangkaian hanya dengan kaedah yang ditetapkan;
- peruntukan zon pengaruh dan penetapan wilayah tanggungjawab.
Apabila setiap pekerja memahami bahawa nasib institusi bergantung kepada pelaksanaan yang bertanggungjawab terhadap tugas-tugas yang diberikan kepadanya, dia berusaha mematuhi semua peraturan. Sebelum orang adalah perlu untuk menetapkan tugas-tugas tertentu dan membenarkan keputusan yang diperolehi.
Bagaimanakah istilah privasi melanggar?
Risiko dan ancaman terhadap keselamatan maklumat sebahagian besarnya berkaitan dengan penerimaan maklumat tidak sah yang tidak boleh diakses oleh orang yang tidak dibenarkan. Saluran kebocoran pertama dan paling biasa adalah semua jenis kaedah komunikasi. Pada ketika itu, nampaknya, surat-menyurat peribadi hanya tersedia untuk dua pihak, pihak yang berminat memintasnya. Walaupun orang pintar memahami bahawa memindahkan sesuatu yang sangat penting dan rahsia diperlukan dengan cara lain.
Sejak sekarang banyak maklumat disimpan pada media mudah alih, penyerang secara aktif menguasai pemintasan maklumat melalui jenis teknologi ini. Mendengarkan saluran komunikasi sangat popular, hanya sekarang semua usaha jenius teknikal ditujukan untuk memecahkan halangan pelindung telefon pintar.
Maklumat sulit boleh didedahkan secara tidak sengaja oleh pekerja organisasi. Mereka tidak boleh secara langsung memberikan "penampilan dan kata laluan", tetapi hanya membawa penyerang ke jalan yang betul. Sebagai contoh, orang, tanpa mengetahui, memberikan maklumat mengenai tempat menyimpan dokumentasi penting.
Hanya orang bawahan tidak selalu terdedah. Kontraktor juga boleh memberikan maklumat rahsia semasa perkongsian.
Bagaimanakah keselamatan maklumat dilanggar oleh pengaruh teknikal?
Memastikan keselamatan maklumat sebahagian besarnya disebabkan oleh penggunaan perlindungan teknikal yang boleh dipercayai. Sekiranya sistem sokongan adalah cekap dan berkesan walaupun dalam peralatan itu sendiri, maka ini sudah menjadi separuh kejayaan.
Secara umum, kebocoran maklumat adalah dengan memastikan mengawal pelbagai isyarat. Kaedah sedemikian termasuk penciptaan sumber pelepasan atau isyarat radio khusus. Yang terakhir ini boleh menjadi elektrik, akustik atau getaran.
Selalunya, peranti optik digunakan yang membolehkan anda membaca maklumat dari paparan dan monitor.
Pelbagai peranti menyediakan pelbagai kaedah untuk pengenalan dan pengekstrakan maklumat oleh penyerang. Di samping kaedah-kaedah di atas, terdapat juga televisyen, fotografi dan peninjauan visual.
Oleh kerana kemungkinan yang luas, audit keselamatan maklumat terutamanya termasuk pengesahan dan analisis operasi cara-cara teknikal untuk melindungi data sulit.
Apa yang dianggap sebagai akses tidak sah kepada maklumat syarikat?
Pengurusan risiko keselamatan maklumat adalah mustahil tanpa menghalang ancaman akses tanpa izin.
Salah satu wakil yang paling menonjol dari kaedah ini menggodam sistem keselamatan orang lain ialah tugasan ID pengguna. Kaedah ini dipanggil "Masquerade." Akses yang tidak dibenarkan dalam kes ini terdiri daripada penggunaan data pengesahan. Maksudnya, tujuan penceroboh adalah untuk mendapatkan kata laluan atau pengenal lain.
Penyerang boleh mempunyai kesan dari dalam objek itu sendiri atau dari luar. Mereka boleh mendapatkan maklumat yang diperlukan dari sumber seperti jejak audit atau alat audit.
Sering kali, penyerang cuba melaksanakan dasar pelaksanaan dan menggunakan kaedah yang sah secara keseluruhan pada pandangan pertama.
Akses tanpa izin terpakai kepada sumber maklumat berikut:
- Laman web dan tuan rumah luaran
- rangkaian tanpa wayar perusahaan;
- salinan data sandaran.
Terdapat banyak cara dan kaedah akses tanpa izin. Penyerang mencari salah perhitungan dan jurang dalam konfigurasi dan seni bina perisian. Mereka menerima data dengan mengubah suai perisian. Untuk meneutralkan dan mengurangkan kewaspadaan, penceroboh melancarkan malware dan bom logik.
Apakah ancaman undang-undang terhadap keselamatan maklumat syarikat?
Pengurusan risiko keselamatan maklumat berfungsi dalam pelbagai arah, kerana matlamat utamanya adalah untuk menyediakan perlindungan komprehensif dan holistik perusahaan dari gangguan asing.
Tidak kurang penting daripada bidang teknikal yang sah. Oleh itu, yang, seolah-olah, sebaliknya, harus mempertahankan kepentingan, ternyata mendapatkan maklumat yang sangat berguna.
Pelanggaran undang-undang mungkin berkaitan dengan hak harta, hak cipta, dan hak paten. Penggunaan perisian tidak sah, termasuk import dan eksport, juga termasuk dalam kategori ini. Ia hanya mungkin untuk melanggar keperluan undang-undang tanpa mematuhi terma kontrak atau kerangka perundangan secara keseluruhan.
Bagaimana untuk menetapkan matlamat keselamatan maklumat?
Memastikan keselamatan maklumat bermula dengan mewujudkan kawasan perlindungan. Ia perlu jelas menentukan apa yang perlu dilindungi dan dari siapa. Untuk ini, potret seorang penjenayah yang berpotensi ditentukan, serta cara yang mungkin untuk penggodaman dan pelaksanaan. Untuk menetapkan matlamat, pertama sekali, anda perlu berbincang dengan kepimpinan. Ia akan memberitahu bidang perlindungan keutamaan.
Dari saat ini, audit keselamatan maklumat bermula. Ia membolehkan anda menentukan sejauh mana perkadaran yang diperlukan untuk menggunakan kaedah teknologi dan perniagaan. Hasil dari proses ini adalah daftar akhir kegiatan, yang menyatukan tujuan unit untuk memberikan perlindungan terhadap pencerobohan yang tidak sah. Prosedur audit bertujuan untuk mengenal pasti titik dan kelemahan kritikal dalam sistem yang mengganggu operasi normal dan pembangunan perusahaan.
Selepas menetapkan matlamat, satu mekanisme dibangunkan untuk pelaksanaannya. Instrumen dibentuk untuk mengawal dan meminimumkan risiko.
Apakah peranan yang dimainkan oleh aset dalam analisis risiko?
Risiko keselamatan maklumat organisasi langsung memberi kesan kepada aset perusahaan. Lagipun, matlamat penyerang adalah untuk mendapatkan maklumat yang berharga. Kerugian atau pendedahannya tidak dapat dielakkan membawa kepada kerugian. Kerosakan yang disebabkan oleh pencerobohan yang tidak dibenarkan mungkin mempunyai kesan langsung, atau hanya boleh secara tidak langsung.Iaitu, tindakan yang menyalahi undang-undang berhubung dengan organisasi boleh menyebabkan kehilangan kawalan sepenuhnya terhadap perniagaan.
Jumlah kerosakan dianggarkan mengikut aset yang tersedia kepada organisasi. Terjejas adalah semua sumber yang menyumbang dalam apa cara untuk mencapai objektif pengurusan. Di bawah aset perusahaan merujuk kepada semua aset ketara dan tidak ketara yang membawa dan membantu menjana pendapatan.
Aset ada beberapa jenis:
- bahan;
- manusia
- maklumat;
- kewangan;
- proses
- jenama dan kuasa.
Jenis aset yang paling akhir ini paling banyak mendapat daripada pencerobohan yang tidak dibenarkan. Ini disebabkan oleh sebarang risiko keselamatan maklumat yang nyata mempengaruhi imej. Masalah dengan kawasan ini secara automatik mengurangkan penghormatan dan kepercayaan dalam perusahaan itu, kerana tiada siapa yang mahu maklumat rahsianya disiarkan kepada umum. Setiap organisasi menghormati melindungi sumber maklumatnya sendiri.
Pelbagai faktor mempengaruhi berapa banyak dan aset yang akan ditanggung. Mereka dibahagikan kepada luaran dan dalaman. Kesan kompleks mereka, sebagai peraturan, diterapkan serentak kepada beberapa kumpulan sumber yang berharga.
Seluruh perniagaan perusahaan dibina berdasarkan aset. Mereka hadir pada tahap tertentu dalam aktiviti mana-mana institusi. Hanya untuk sesetengah orang, sesetengah kumpulan lebih penting, dan kurang lagi. Bergantung kepada jenis aset yang berjaya mempengaruhi penyerang, hasilnya, iaitu kerosakan yang disebabkan, bergantung.
Penilaian terhadap risiko keselamatan maklumat menjadikannya mungkin untuk mengenal pasti aset utama dengan jelas, dan jika ia terjejas, maka ini penuh dengan kerugian yang tidak dapat diperbaiki untuk perusahaan itu. Perhatian harus dibayar kepada kumpulan-kumpulan sumber yang berharga ini oleh pihak pengurusan itu sendiri, kerana keselamatan mereka berada dalam bidang kepentingan pemiliknya.
Kawasan keutamaan untuk unit keselamatan maklumat adalah aset tambahan. Orang yang istimewa bertanggungjawab untuk perlindungan mereka. Risiko terhadap mereka tidak kritikal dan hanya menjejaskan sistem pengurusan.
Apakah faktor keselamatan maklumat?
Pengiraan risiko keselamatan maklumat termasuk pembinaan model khusus. Ia mewakili nod yang disambungkan satu sama lain melalui sambungan berfungsi. Node - ini adalah aset yang sangat. Model ini menggunakan sumber-sumber berharga berikut:
- orang
- strategi;
- teknologi;
- proses.
Rusa yang mengikat mereka adalah faktor risiko yang sama. Untuk mengenal pasti kemungkinan ancaman, lebih baik menghubungi jabatan atau pakar yang bekerja dengan aset ini secara langsung. Mana-mana faktor risiko yang berpotensi mungkin menjadi prasyarat untuk pembentukan masalah. Model mengenalpasti ancaman utama yang mungkin timbul.
Mengenai kakitangan, masalahnya adalah tahap pendidikan yang rendah, kurang kakitangan, kurang motivasi.
Risiko proses termasuk kebolehubahan persekitaran, pengeluaran automasi yang lemah, dan pemisahan tugas kabur.
Teknologi mungkin mengalami perisian luar biasa, kekurangan kawalan ke atas pengguna. Punca ini mungkin juga menjadi masalah dengan landskap teknologi maklumat yang heterogen.
Kelebihan model ini adalah bahawa nilai ambang risiko keselamatan maklumat tidak jelas, kerana masalahnya dilihat dari sudut yang berbeza.
Apakah yang dimaksudkan dengan audit keselamatan maklumat?
Prosedur penting dalam bidang keselamatan maklumat sesuatu perusahaan adalah audit. Ia adalah pemeriksaan keadaan semasa sistem perlindungan terhadap pencerobohan yang tidak dibenarkan. Proses audit menentukan tahap kepatuhan terhadap keperluan yang ditetapkan.Pelaksanaannya adalah wajib bagi beberapa jenis institusi, dan selebihnya adalah nasihat. Peperiksaan ini dijalankan berhubung dengan dokumentasi jabatan perakaunan dan cukai, cara teknikal dan bahagian kewangan dan ekonomi.
Pengauditan diperlukan untuk memahami tahap keselamatan, dan sekiranya tidak konsisten pengoptimuman menjadi normal. Prosedur ini juga membolehkan anda menilai kesesuaian pelaburan kewangan dalam keselamatan maklumat. Pada akhirnya, pakar akan memberi cadangan mengenai kadar perbelanjaan kewangan untuk mendapatkan kecekapan maksimum. Pengauditan membolehkan anda menyesuaikan kawalan.
Peperiksaan mengenai keselamatan maklumat dibahagikan kepada beberapa tahap:
- Menetapkan matlamat dan cara untuk mencapainya.
- Analisis maklumat yang diperlukan untuk mencapai keputusan.
- Memproses data yang dikumpulkan.
- Pendapat pakar dan cadangan.
Pada akhirnya, pakar akan mengeluarkan keputusannya. Cadangan komisen paling sering ditujukan untuk mengubah konfigurasi perkakasan, serta pelayan. Selalunya syarikat yang bermasalah ditawarkan untuk memilih kaedah yang berbeza untuk memastikan keselamatan. Adalah mungkin bahawa satu set langkah perlindungan akan dilantik oleh pakar untuk penguat tambahan.
Kerja-kerja selepas memperoleh keputusan audit bertujuan untuk memaklumkan kepada pasukan tentang masalah tersebut. Sekiranya perlu, maka adalah berfaedah untuk menjalankan latihan tambahan untuk meningkatkan pendidikan pekerja mengenai perlindungan sumber maklumat perusahaan.