Nossa vida é constantemente complicada em todas as áreas. Abordagens, tecnologias e ativos novos e sem precedentes estão surgindo. Para grandes empresas modernas, os ativos de informação desempenham um grande papel. O que são eles?
Informações gerais
Antes de embarcar no tópico principal, vamos tocar no mínimo teórico necessário. Ou seja, vamos falar sobre informação. É um dos ativos de produção mais importantes, em que a eficiência do empreendimento e sua viabilidade dependem em grande parte. Isso pode ser o segredo da criação de um determinado produto ou dados financeiros internos. Qualquer organização mais ou menos grande tem seus próprios ativos de informação, em relação aos quais é muito indesejável que eles caiam em terceiros. Portanto, os problemas de armazenamento e segurança são agudos.
Sobre conceitos gerais
Para lidar com sucesso com todos os dados apresentados, você precisa saber alguns pontos:
- Ativos de Informação. Estes são os dados com os detalhes que permitem a identificação. Eles são valiosos para uma organização específica e estão à sua disposição. Apresentado em qualquer meio tangível em uma forma que permita que ele seja processado, armazenado ou transferido.
- Classificação de ativos de informação. Esta é uma divisão dos dados existentes da organização em tipos que correspondem à gravidade das conseqüências resultantes como resultado da perda de suas propriedades importantes.
Como você pode entender, não apenas números individuais e suas explicações são importantes, mas também a capacidade de usá-los rapidamente, proteção contra acesso não autorizado e vários outros pontos. Quando os ativos de informação da empresa são alocados e formados, surge a questão de sua classificação correta com segurança subsequente. Porque assim? O fato é que, com a ajuda da classificação, é possível elaborar métricas-chave para as informações utilizadas - seu valor, poder de influência sobre a empresa, requisitos para provisão / manutenção / proteção e similares. Em grande parte depende de como os dados serão processados e protegidos. Além disso, há vários padrões regulatórios que exigem um inventário obrigatório de ativos de informações da organização. Embora não haja um procedimento único para isso.
Um pouco sobre classificação para empresas
A abordagem de dados depende das condições e do que estamos lidando. Considere ativos de informação como um exemplo de uma empresa privada. A classificação é realizada a fim de fornecer uma abordagem diferenciada dos dados, levando em consideração o nível de sua criticidade, que afetam as atividades, reputação, parceiros de negócios, funcionários e clientes. Isso permite determinar a viabilidade econômica e a prioridade de várias medidas para a formação da segurança da informação da empresa. De acordo com a legislação da Federação Russa, existem:
- Informação publicamente disponível (aberta).
- Dados pessoais.
- Informações contendo informações que constituem sigilo bancário.
- Dados relacionados a segredos comerciais.
Como avaliar sua importância? Para isso, modelos especiais são usados. Vamos dar uma olhada mais de perto.
Modelos de classificação
Na maioria das vezes, dois deles são encontrados:
- Classificação de um fator Baseado no grau de dano. É fácil aqui. Considere um pequeno exemplo. Os ativos do sistema de informação são distribuídos em quatro blocos, dependendo do grau provável de dano causado pelo vazamento de dados.Como exemplo - mínimo, então - médio, alto e finalmente - crítico. Se um círculo incerto de pessoas sabe quem o diretor aceita em seu escritório hoje, isso pode ser classificado como um tipo mínimo de dano. Mas se a informação sobre o suborno de um funcionário do Estado vazar para o escritório do promotor, esta é uma situação crítica.
- Modelo de classificação multivariada. Baseado em três parâmetros clássicos. Neste caso, todas as informações são de interesse em termos de confidencialidade, acessibilidade e integridade. Para cada item, os requisitos são afixados separadamente - alto, médio e baixo. Juntos, eles são avaliados, por exemplo, como importância crítica ou básica.
Sobre classes
A fim de avaliar os ativos de informação da forma mais eficiente possível e passar da quantidade para a qualidade, podem ser introduzidas classes que refletem o valor dos dados e o nível de requisitos para eles. Em tais casos, geralmente distinguir:
- Classe aberta. Neste caso, não há restrições à distribuição e uso, não há nenhum dano financeiro da fama.
- Para uso oficial. Para uso interno. Nenhum dano financeiro. Mas outros tipos de perdas podem surgir para os funcionários da organização ou para toda a estrutura.
- Confidencial O uso pretendido é fornecido ao trabalhar com clientes e contrapartes. A divulgação trará danos financeiros.
Sobre dados confidenciais
Tal informação pode ser condicionalmente dividida em várias categorias. Os dois primeiros são usados em estruturas comerciais, o resto, em regra, exclusivamente pelo estado:
- Com acesso restrito. Pretende usar por um determinado círculo de funcionários da organização. Danos financeiros são geralmente avaliados em até um milhão de rublos.
- Secreto Prevê o uso exclusivo de certos membros da liderança da organização. Danos financeiros geralmente começam em um milhão de rublos.
- Top Secret. Esses dados são da esfera militar, econômica, política externa, inteligência, esferas científicas e técnicas, atividades operacionais e investigativas, cuja divulgação pode prejudicar o ministério ou a indústria em uma ou mais dessas áreas.
- De particular importância. Estes dados são das esferas militar, econômica, política externa, inteligência, científica e técnica, atividades de investigação operacional, cuja divulgação pode causar danos significativos à Federação Russa em uma ou mais dessas áreas.
Como os ativos de informação são tratados?
Vamos ver um dos algoritmos possíveis:
- Ativos de informações identificadas que existem em qualquer formato (documentos eletrônicos e em papel, fluxos de dados, pen drives, etc.) que circulam entre os departamentos da organização. Tudo isso é coletado, especificado e um grande esquema é construído sobre o qual tudo é exibido.
- Estamos fazendo o mesmo, mas com relação a cada unidade individual.
- Os ativos de informação estão vinculados à infraestrutura na qual eles estão armazenados, é notado por meio de quais canais são transmitidos, onde e em quais sistemas eles estão contidos e afins. Há um ponto importante aqui! Este item prevê o trabalho com cada ativo de informação individual. Para ele, todo o ambiente é desenhado (quanto mais detalhado, melhor, porque será mais fácil identificar as ameaças). Você precisa exibir as portas de transmissão, canais e muito mais.
- Aproveitamos todas as melhores práticas e as reclassificamos usando características como confidencialidade, acessibilidade, integridade.
Ciclo de vida
É assim que esse valioso patrimônio vai antes de sua classificação. Acredite, a segurança da informação desempenha um papel importante e não deve ser negligenciada. Ao mesmo tempo, atenção considerável deve ser dada ao ciclo de vida.O que é isso O ciclo de vida é um conjunto de certos períodos após os quais a importância do objeto, como regra, diminui. Convencionalmente, podemos distinguir os seguintes estágios:
- A informação é usada no modo operacional. Isso significa que ela participa do ciclo de produção e está constantemente em demanda.
- A informação é usada no modo de arquivo. Isso significa que ele não participa diretamente do ciclo de produção, embora seja periodicamente necessário para atividades analíticas ou outras atividades.
- A informação é armazenada no modo de arquivo.
Isso é provavelmente tudo. Quais dados são armazenados - uma base de informações de ativos ou qualquer outra coisa - não é importante. O principal é garantir a confidencialidade, acessibilidade e integridade. Então você não precisa se preocupar com a reputação e aceitar as perdas.