Informasjonssikkerhetsrisiko. Sikre informasjonssikkerhet. Informasjonssikkerhetsrevisjon

For øyeblikket utgjør informasjonssikkerhetsrisiko en stor trussel for den normale virksomheten til mange virksomheter og institusjoner. I vår tids informasjonsteknologi er det praktisk talt ikke vanskelig å skaffe data. På den ene siden bringer dette selvfølgelig mange positive sider, men det blir et problem for ansiktet og merkevaren til mange selskaper.

Beskyttelse av informasjon i virksomheter blir nå nærmest prioritert. Eksperter mener at bare ved å utvikle en viss bevisst sekvens av handlinger, kan dette målet oppnås. I dette tilfellet er det mulig å bli veiledet av pålitelige fakta og bruke avanserte analysemetoder. Et visst bidrag er gitt av utviklingen av intuisjon og erfaringen fra spesialisten som er ansvarlig for denne enheten hos bedriften.

Dette materialet vil fortelle om risikostyring av informasjonssikkerhet til en økonomisk enhet.

Hvilke typer mulige trusler finnes i informasjonsmiljøet?

Det kan være mange typer trusler. En analyse av informasjonssikkerhetsrisikoen til en virksomhet begynner med vurdering av alle mulige potensielle trusler. Dette er nødvendig for å bestemme verifiseringsmetodene i tilfelle disse uforutsette situasjoner oppstår, samt for å lage et passende beskyttelsessystem. Informasjonssikkerhetsrisikoer er delt inn i visse kategorier, avhengig av forskjellige klassifiseringsfunksjoner. De er av følgende typer:

• fysiske kilder;
• upassende bruk av datanettverket og World Wide Web;
• forseglet lekkasje;
• lekkasje på tekniske måter;
• uautorisert inntrenging;
• angripe på informasjonsmidler;
• brudd på integriteten til datamodifisering;
• nødsituasjoner;
• lovlige brudd.

Hva er inkludert i begrepet "fysiske trusler mot informasjonssikkerhet"?

Typene informasjonssikkerhetsrisiko bestemmes avhengig av kildene til forekomst av dem, metoden for implementering av ulovlig inntrenging og formål. Det enkleste teknisk, men likevel krever profesjonell ytelse, er fysiske trusler. De utgjør uautorisert tilgang til forseglede kilder. Det vil si at denne prosessen faktisk er et vanlig tyveri. Informasjon kan skaffes personlig, med egne hender, ganske enkelt ved å invadere institusjonen, kontorene, arkivene for å få tilgang til teknisk utstyr, dokumentasjon og andre lagringsmedier.

Tyveriet ligger kanskje ikke en gang i selve dataene, men i stedet for deres lagring, det vil si direkte til selve datautstyret. For å forstyrre organisasjonens normale aktiviteter, kan angripere ganske enkelt sikre en funksjonsfeil i lagringsmediet eller teknisk utstyr.

Formålet med en fysisk inntrenging kan også være å få tilgang til et system som informasjonssikkerhet er avhengig av. En angriper kan endre alternativene til et nettverk som er ansvarlig for informasjonssikkerhet for ytterligere å lette implementeringen av ulovlige metoder.

Muligheten for en fysisk trussel kan også gis av medlemmer av forskjellige grupper som har tilgang til klassifisert informasjon som ikke har publisitet. Målet deres er verdifull dokumentasjon.Slike individer kalles innsidere.

Aktiviteten til eksterne angripere kan rettes mot det samme objektet.

Hvordan kan bedriftsansatte selv forårsake trusler?

Informasjonssikkerhetsrisikoer oppstår ofte på grunn av upassende bruk av ansatte på Internett og det interne datasystemet. Angripere spiller vakkert på erfaring, uforsiktighet og mangel på utdanning hos noen mennesker angående informasjonssikkerhet. For å utelukke dette alternativet med å stjele fortrolige data, har ledelsen i mange organisasjoner en spesiell policy blant sine ansatte. Dens formål er å utdanne mennesker til regler for oppførsel og bruk av nettverk. Dette er en ganske vanlig praksis, siden trusler som oppstår på denne måten er ganske vanlige. Programmet inkluderer følgende punkter i programmet for å tilegne seg ferdigheter i informasjonssikkerhet:

• overvinne ineffektiv bruk av revisjonsverktøy;
• redusere i hvilken grad folk bruker spesielle verktøy for databehandling;
• redusert bruk av ressurser og eiendeler;
• å venne seg til å få tilgang til nettverksfasiliteter bare med etablerte metoder;
• fordeling av soner med innflytelse og utpeking av ansvarsområdet.

Når hver ansatt forstår at skjebnen til institusjonen avhenger av ansvarlig utførelse av oppgavene som er tildelt ham, prøver han å overholde alle reglene. Før mennesker er det nødvendig å stille bestemte oppgaver og begrunne de oppnådde resultatene.

Hvordan brytes personvernvilkårene?

Risiko og trusler mot informasjonssikkerhet er i stor grad forbundet med ulovlig mottak av informasjon som ikke skal være tilgjengelig for uautoriserte personer. Den første og vanligste lekkasjekanalen er alle slags kommunikasjonsmetoder. I en tid hvor det virker som om personlig korrespondanse bare er tilgjengelig for to parter, interesserte parter fanger den. Selv om intelligente mennesker forstår at det å overføre noe ekstremt viktig og hemmelig er nødvendig på andre måter.

Siden det nå lagres mye informasjon på bærbare medier, mestrer angripere aktivt avlytting av informasjon gjennom denne typen teknologi. Det er veldig populært å lytte til kommunikasjonskanaler, først nå er all innsats fra tekniske genier rettet mot å bryte smarttelefonens beskyttelsesbarrierer.

Konfidensiell informasjon kan utilsiktet utlegges av ansatte i organisasjonen. De kan ikke direkte gi ut alle "utseende og passord", men bare føre angriperen til riktig vei. For eksempel gir folk, uten å vite det, informasjon om lagringsstedet for viktig dokumentasjon.

Bare underordnede er ikke alltid sårbare. Entreprenører kan også gi konfidensiell informasjon under partnerskap.

Hvordan blir brudd på informasjonssikkerhet med tekniske innflytelsesmidler?

Å sikre informasjonssikkerhet skyldes i stor grad bruken av pålitelige tekniske beskyttelsesmidler. Hvis støtteapparatet er effektivt og effektivt selv i selve utstyret, er dette allerede halvparten av suksessen.

Generelt sikres informasjonslekkasje ved å kontrollere forskjellige signaler. Slike metoder inkluderer opprettelse av spesialiserte kilder til radioutslipp eller signaler. Det siste kan være elektrisk, akustisk eller vibrerende.

Ganske ofte brukes optiske enheter som lar deg lese informasjon fra skjermer og skjermer.

En rekke enheter gir et bredt spekter av metoder for introduksjon og utvinning av informasjon fra angripere. I tillegg til metodene ovenfor er det også TV, fotografisk og visuell rekognosering.

På grunn av så brede muligheter inkluderer informasjonssikkerhetsrevisjon først og fremst verifisering og analyse av bruken av tekniske midler for å beskytte konfidensielle data.

Hva anses som uautorisert tilgang til selskapsinformasjon?

Styring av informasjonssikkerhetsrisiko er umulig uten å forhindre trusler om uautorisert tilgang.

En av de mest fremtredende representantene for denne metoden for å hacke andres sikkerhetssystem er tildelingen av en bruker-ID. Denne metoden kalles "Maskerade." Uautorisert tilgang i dette tilfellet består i bruk av autentiseringsdata. Det vil si at inntrengerens mål er å skaffe et passord eller en annen identifikator.

Angripere kan ha innvirkning fra selve gjenstanden eller fra utsiden. De kan innhente nødvendig informasjon fra kilder som for eksempel en revisjonsspor eller revisjonsverktøy.

Ofte prøver angriperen å anvende implementeringspolitikken og bruke helt lovlige metoder ved første øyekast.

Uautorisert tilgang gjelder følgende informasjonskilder:

• Nettsted og eksterne verter
• trådløs virksomhet;
• sikkerhetskopier av data.

Det er utallige måter og metoder for uautorisert tilgang på. Angripere ser etter feilberegninger og hull i konfigurasjonen og arkitekturen til programvaren. De mottar data ved å endre programvare. For å nøytralisere og redusere årvåkenhet, lanserer inntrengerne malware og logikkbomber.

Hva er de juridiske truslene mot informasjonssikkerheten til selskapet?

Styring av informasjonssikkerhetsrisiko fungerer i forskjellige retninger, fordi hovedmålet er å gi omfattende og helhetlig beskyttelse av foretaket mot uvedkommende inntrenging.

Ikke mindre viktig enn det tekniske området er lovlig. Således, som det tvert imot ser ut til å forsvare interesser, viser det seg å få svært nyttig informasjon.

Juridiske krenkelser kan vedrøre eiendomsrett, opphavsrett og patentrettigheter. Ulovlig bruk av programvare, inkludert import og eksport, faller også inn i denne kategorien. Det er bare mulig å krenke lovkrav uten å overholde vilkårene i kontrakten eller lovgivningen.

Hvordan setter jeg informasjonssikkerhetsmål?

Å sikre informasjonssikkerhet begynner med å etablere verneområdet. Det er nødvendig å tydelig definere hva som må beskyttes og fra hvem. For dette bestemmes et portrett av en potensiell kriminell, samt mulige metoder for hacking og implementering. For å sette deg må du først og fremst snakke med ledelsen. Det vil fortelle deg de prioriterte beskyttelsesområdene.

Fra dette øyeblikket begynner en informasjonssikkerhetsrevisjon. Det lar deg bestemme i hvilken andel det er nødvendig å anvende teknologiske og forretningsmessige metoder. Resultatet av denne prosessen er den endelige listen over aktiviteter, som konsoliderer enhetens mål for å gi beskyttelse mot uautoriserte inntrenginger. Revisjonsprosedyren er rettet mot å identifisere kritiske punkter og svakheter i systemet som forstyrrer den normale driften og utviklingen av bedriften.

Etter å ha satt mål, utvikles en mekanisme for implementering. Instrumenter er dannet for å kontrollere og minimere risikoen.

Hvilken rolle spiller eiendeler i risikoanalysen?

Risikoen for informasjonssikkerhet i organisasjonen påvirker direkte eiendelene til foretaket. Tross alt er målet til angripere å skaffe verdifull informasjon. Tapet eller avsløringen vil uunngåelig føre til tap. Skader forårsaket av en uautorisert inntrenging kan ha direkte innvirkning, eller kan bare indirekte.Det vil si at ulovlige handlinger i forhold til organisasjonen kan føre til et fullstendig tap av kontroll over virksomheten.

Mengden skade blir estimert i henhold til eiendelene som er tilgjengelige for organisasjonen. Berørte er alle ressurser som på noen måte bidrar til oppnåelse av styringsmål. Under eiendelene til foretaket refererer det til alle materielle og immaterielle eiendeler som gir og bidrar til å generere inntekter.

Eiendeler er av flere typer:

• materiale;
• human;
• informasjon;
• økonomisk;
• prosesser;
• merkevare og autoritet.

Den siste typen eiendel lider mest av uautoriserte inntrenginger. Dette skyldes det faktum at reell risiko for informasjonssikkerhet påvirker bildet. Problemer med dette området reduserer respekten og tilliten til en slik virksomhet automatisk, siden ingen ønsker at den konfidensielle informasjonen blir offentliggjort. Hver organisasjon med selvrespekt tar seg av å beskytte sine egne informasjonsressurser.

Ulike faktorer påvirker hvor mye og hvilke eiendeler som vil lide. De er delt inn i eksterne og interne. Deres komplekse innvirkning gjelder som regel samtidig for flere grupper av verdifulle ressurser.

Hele virksomheten til bedriften er bygd på eiendeler. De er til en viss grad til stede i aktivitetene til enhver institusjon. Bare for noen er noen grupper viktigere, og mindre andre. Avhengig av hvilken type eiendeler angriperne klarte å påvirke, avhenger resultatet, dvs. skaden forårsaket.

En vurdering av informasjonssikkerhetsrisikoer gjør det mulig å tydelig identifisere hovedverdiene, og hvis de ble berørt, så er dette fulle av uopprettelige tap for bedriften. Oppmerksomheten bør være oppmerksom på disse gruppene av verdifulle ressurser av ledelsen selv, siden deres sikkerhet ligger i eierens interesseområde.

Det prioriterte området for informasjonssikkerhetsenheten er hjelpemidler. En spesiell person er ansvarlig for deres beskyttelse. Risiko mot dem er ikke kritisk og påvirker bare styringssystemet.

Hva er faktorene for informasjonssikkerhet?

Beregning av informasjonssikkerhetsrisikoer inkluderer konstruksjon av en spesialisert modell. Det representerer noder som er koblet til hverandre ved funksjonelle forbindelser. Noder - dette er selve eiendelene. Modellen bruker følgende verdifulle ressurser:

• mennesker;
• strategi;
• teknologi;
• prosesser.

Ribbene som binder dem er de samme risikofaktorene. For å identifisere mulige trusler er det best å kontakte avdelingen eller spesialisten som jobber med disse eiendelene direkte. Enhver potensiell risikofaktor kan være en forutsetning for dannelse av et problem. Modellen identifiserer de viktigste truslene som kan oppstå.

Når det gjelder personalet, er problemet det lave utdanningsnivået, mangel på personale, manglende motivasjon.

Prosessrisikoer inkluderer miljøvariabilitet, dårlig automatisering av produksjonen og uklar separasjon av plikter.

Teknologier kan lide av utdatert programvare, manglende kontroll over brukerne. Årsaken kan også være problemer med et heterogent informasjonsteknologilandskap.

Fordelen med denne modellen er at terskelverdiene for informasjonssikkerhetsrisikoer ikke er klart fastlagt, siden problemet sees fra forskjellige vinkler.

Hva er en informasjonssikkerhetsrevisjon?

En viktig prosedyre innen informasjonssikkerhet til et foretak er revisjon. Det er en sjekk av gjeldende status for beskyttelsessystemet mot uautoriserte inntrenginger. Revisjonsprosessen bestemmer graden av etterlevelse av etablerte krav.Gjennomføringen er obligatorisk for noen typer institusjoner, for resten er den rådgivende. Undersøkelsen gjennomføres i forhold til dokumentasjon av regnskaps- og avgiftsavdelinger, tekniske midler og økonomiske og økonomiske deler.

En revisjon er nødvendig for å forstå sikkerhetsnivået, og i tilfelle uoverensstemmelser av optimaliseringen til det normale. Denne prosedyren lar deg også vurdere hensiktsmessigheten av økonomiske investeringer i informasjonssikkerhet. Til syvende og sist vil eksperten gi anbefalinger om hastigheten på økonomiske utgifter for å oppnå maksimal effektivitet. Med revisjon kan du justere kontrollene.

Undersøkelse angående informasjonssikkerhet er delt inn i flere trinn:

1. Sette mål og måter å oppnå dem.
2. Analyse av informasjonen som trengs for å oppnå en dom.
3. Behandler innsamlede data.
4. Ekspertuttalelse og anbefalinger.

Til syvende og sist vil spesialisten gi ut sin beslutning. Anbefalingene fra kommisjonen er ofte rettet mot å endre konfigurasjoner av maskinvare, så vel som servere. Ofte tilbys et problematisk selskap å velge en annen metode for å sikre sikkerhet. Sannsynligvis vil et sett beskyttelsestiltak bli utnevnt av eksperter for ytterligere forsterkning.

Arbeidet etter å ha oppnådd revisjonsresultatene er rettet mot å informere teamet om problemene. Hvis det er nødvendig, er det verdt å gjennomføre ytterligere opplæring for å øke utdanning av ansatte angående beskyttelse av informasjonsressursene til bedriften.