Patakaran sa Seguridad ng Impormasyon ng Impormasyon

Ngayon ang bawat tao o organisasyon ay may impormasyon na walang pagnanais na mai-publish, o, sa kabaligtaran, may mga plano na magpaalam sa ito nang mahal hangga't maaari. At para dito, kinakailangan ang isang patakaran sa seguridad. Ito ay tulad ng isang oras ng pagpapatakbo, ang gawain na kung saan ay pigilan ang walang pigil na pamamahagi ng data na hindi dapat malaman ng pangkalahatang publiko. Nagtatrabaho siya sa mga isyu ng posibleng pagkawala o di-access, na sa anumang kaso ay makakaapekto sa trabaho. Gayundin, kung nangyari pa rin ito, isang hanay ng mga panukala ay karaniwang ibinibigay upang mabawasan ang pinsala. Sa katunayan, ang isang patakaran sa seguridad ay isang hanay ng mga patakaran at regulasyon tungkol sa kagamitan at tauhan ng isang samahan, kung saan nalalapat din ito. Paano dapat mai-maximize ang pagiging epektibo nito?

Kumplikado Higit sa Lahat

Ang isyu ng proteksyon ng impormasyon ay dapat na lubusang matugunan, ngunit una sa lahat, kinakailangan upang hadlangan ang lahat ng posibleng mga channel ng pagkawala ng data. Ito ay kinakailangan sapagkat ang aplikasyon ng mga indibidwal na mga hakbang ay halos hindi tataas ang seguridad ng buong sistema. Tingnan natin ang isang halimbawa. May bahay kami. Sa loob nito, nag-install kami ng isang nakabaluti na pintuan kung saan may mga kumplikadong mga kandado. Ngunit sa parehong oras na iniwan namin ang mga bintana na nakabukas! Protektado ba ang ating tahanan? Ang sagot ay hindi. Bagaman, kung nabubuhay pa rin tayo hindi sa isang palapag na bahay, ngunit sa ika-125 palapag ng isang skyscraper, kung gayon pa rin ay bahagya nating tataas ang seguridad. Ang isang katulad na prinsipyo ay nalalapat sa proteksyon sa mga sistema ng impormasyon. Ang mga hiwalay na mga hakbang ay maaaring makabuluhang taasan ang kaligtasan, o magdala ng kaunting epekto. Sa anumang kaso, kinakailangan na lumapit mula sa punto ng pagtingin ng pagiging kumplikado.

Ano ang kanais-nais na gawin?

Kadalasan, upang matiyak ang seguridad, lumilikha sila ng isang buong sistema ng integrated protection system (ISIS), na isang kombinasyon ng mga hakbang sa engineering at pang-organisasyon, pati na rin ang software at hardware. Sama-sama, tinitiyak nila ang normal na operasyon ng mga awtomatikong sistema. Ang pamamahala ng patakaran sa seguridad ay kanais-nais na hindi lamang umaasa sa teknolohiya ng computer, kundi pati na rin sa mga kawani ng samahan.

Mga hakbang sa pang-organisasyon

Ito ay isang napakahalaga at madalas na underestimated na bahagi. Sa ilalim ng mga hakbang sa organisasyon ay nauunawaan ang pagbuo at pagpapatupad sa pagsasagawa ng isang opisyal na patakaran patungkol sa seguridad ng impormasyon. Kabilang dito ang:

1. Ang pagbubuo ng mga paglalarawan sa trabaho na dapat sundin ng mga gumagamit at tauhan ng serbisyo.
2. Pag-unlad ng mga panuntunan sa pangangasiwa para sa mga indibidwal na bahagi ng system.
3. Ang paglikha ng isang plano ng aksyon para sa pagkilala sa hindi awtorisadong mga pagtatangka sa pag-access.
4. Pag-unlad ng mga patakaran na magbibigay-kahulugan sa accounting, imbakan, pagpaparami at pagsira ng kumpidensyal na media media.
5. Ang pag-aaral ng mga isyu sa pagkakakilanlan.
6. Pag-unlad ng isang plano kung sakaling mabigo ang mga kagamitan sa proteksiyon at ang paglitaw ng isang sobrang sitwasyon.
7. Pagsasanay sa lahat ng mga gumagamit sa mga patakaran at inirerekomenda ang seguridad ng impormasyon, pati na rin ang pagsubaybay sa kanilang pagpapatupad.

Ang mga problema sa pagwawalang bahala sa organisasyon

Ano ang mangyayari kung hindi ka nagsasagawa ng pagsasanay sa lugar na ito? Pagkatapos ang mga tao ay nagiging pinakamahirap na bahagi ng sistema ng pagtatanggol. Ang resulta ng hindi papansin ang aspektong ito ay madalas kahit na ang imposible ng pagpapanumbalik ng sistema ng impormasyon sa pangkalahatan. At ang mga layunin ng patakaran sa seguridad ay hindi palaging makakamit at may malalaking problema. Ngunit kahit mayroong isang backup na kopya ng data, kakailanganin ng ilang oras upang muling likhain.Bilang karagdagan, ang paglikha ng mga tagubilin ay gawing mas madaling magtrabaho sa mga sitwasyon kung saan ang lahat ay nilikha ng isang empleyado, at naibalik o pinino ng isa pa.

Ang pinakamahalagang aspeto ng mga hakbang sa organisasyon

Dapat sanayin ang mga gumagamit upang makilala ang mga umaatake. Bigyan tayo ng ilang mga halimbawa na magpapakita sa iyo kung gaano sila kahanga-hanga:

1. Tumatanggap ang isang empleyado ng isang tawag o email mula sa direktor o iba pang senior manager na humihiling sa kanyang password, na magbibigay ng access sa database upang masubukan ang system, baguhin ang bahagi ng software, o magsagawa ng isa pang posible na gawain. Ang resulta ay ang resibo ng manloloko ng posibilidad ng pag-alis nito o makabuluhang pagbaluktot, na magsasama ng mga pagkalugi.
2. Ang empleyado ay bumibisita sa web page, tulad ng kanyang pinaniniwalaan, ng kanyang kumpanya, ngunit talagang pekeng. Pinapasok ang kanyang data. At iyon lang - ang isang umaatake ay may access sa system. Bukod dito, upang ang empleyado ay hindi mapagtanto na wala siya doon, ang pag-redirect at awtomatikong pahintulot sa opisyal na website ay maaaring isagawa.
3. Ang isang empleyado na nahawahan ng isang umaatake ay flushed sa media kung saan ang programa ay magbubukas ng access sa database, tanggalin ito, o kumuha ng iba pang mga hindi kasiya-siyang pagkilos.

At ito ay hindi lahat ng posibleng mga pagpipilian, ngunit ilan lamang.

Paghahanda ng batayan ng isang pinagsama-samang sistema ng seguridad ng impormasyon

Ang pagbuo ng isang patakaran sa seguridad ay nangangailangan ng isang seryoso at inclusive na pamamaraan. Ginagawa ito sa mga yugto. Una kailangan mong suriin ang impormasyon at sistema ng telecommunication. Ang pagsusuri ng arkitektura, topolohiya, mga sangkap, isang imbentaryo ng mga mapagkukunan ng impormasyon. Ang lahat ng mga may-ari at gumagamit ay kinakailangan na makilala at magkaroon ng nauugnay na dokumentasyon. Depende sa kahalagahan, naiiba vultures ng lihim. Dapat alalahanin na ang patakaran sa seguridad ay batay sa nakolekta at nasuri na data. Ang mas malaki ang hanay ng impormasyon ay maproseso, mas mahusay ang pangwakas na resulta.

Tinukoy ng proteksyon

Ito ay kinakailangan upang bumuo ng isang modelo ng banta. Sa loob nito, ang isang computer system ay ipinakita bilang isang hanay ng mga serbisyo. Ang bawat isa sa kanila ay may sariling hanay ng mga pag-andar, na nagbibigay-daan sa iyo upang makilala ang maraming mga pagbabanta. Kabilang sa mga ito ay:

1. Banta sa privacy. Kasama dito ang lahat na nauugnay sa hindi awtorisadong pagbabasa ng mga nilalaman;
2. Mga pagbabanta sa integridad. Ang lahat ng nauugnay sa hindi awtorisadong pagbabago o sumasama sa pagkasira ng impormasyon;
3. Mga banta sa pag-access. Kabilang dito ang posibilidad ng maling paggamit ng sistema ng impormasyon;
4. Mga pagbabanta ng pagmamasid. Sinisiyasat nito ang lahat ng mga posibilidad ng mga problema sa pagkilala at tinitiyak ang kontrol sa mga aksyon ng gumagamit.

Ang mga frameworks patakaran sa seguridad ay dapat magkaroon ng mga solusyon para sa bawat posibleng banta. Ngunit sa parehong oras kinakailangan na sumunod sa isang makatwirang linya. Kaya, walang saysay na maisakatuparan ang pagiging kompidensiyal ng impormasyon na nai-post sa opisyal na website ng samahan at dapat ma-access sa lahat na nais para sa ideya.

Kalikasan ng pagbabanta

Natutukoy ito kung ano ang kumikilos bilang sanhi ng mga problema. Mayroong tatlong mga uri:

1. Likas na katangian. Kasama dito ang mga natural na sakuna, sunog at mga katulad na problema. Ginagawa nila ang pinakamalaking pinsala sa katawan. Ito ay pinakamahirap na ipagtanggol laban sa kanila. Ngunit ang posibilidad ng naturang banta ay ang pinakamababa. Bilang proteksyon, ang paglalagay sa iba't ibang mga teritoryo at mga tampok na istruktura ng gusali (pampalapot ng dingding, proteksyon ng sunog, at iba pa) ay ginagamit.
2. Teknikal na karakter. Kasama dito ang mga aksidente, pagkabigo sa kagamitan, mga pagkakamali. Nagdudulot sila ng medyo mataas na pinsala. Protektado sila mula sa kanila gamit ang mga mekanismo ng pagkopya ng data.
3. Ang kadahilanan ng tao. Sa pamamagitan nito ay hindi laging nauunawaan ang sinasadya ng masamang hangarin.Maaari ring isama ang mga error sa disenyo, operasyon, pag-unlad ng mga sangkap ng system, hindi sinasadya na mga pagkilos ng mga gumagamit. Mula sa isang purong teknikal na pananaw, ang isang hindi natukoy na paglilinis ng ginang sa silid ng server ay nagbabanta ng isang banta sa kagamitan kaysa sa isang organisado at may karanasan na grupo ng mga crackers ng computer.

Ang mga layunin ng patakaran sa seguridad ay upang maiwasan ang mga problemang ito, at kung nangyari ito, pagkatapos ay ipatupad ang isang hanay ng mga hakbang na binabawasan ang pinsala na natanggap.

Mga Tampok ng Modelong pagbabanta

Kapag nabuo ito, dapat tandaan na ang iba't ibang uri ng impormasyon ay dapat magkaroon ng ibang sistema ng seguridad. Kaya, tungkol sa pampublikong data na nasa website, masasabi nating kinakailangan na alagaan ang kanilang integridad at pag-access. Dahil ang lahat ay dapat makita ang mga ito, ang isyu sa privacy ay maaaring hindi papansinin. Samantalang ang data na kumakalat sa loob ng kumpanya ay dapat maprotektahan mula sa hindi awtorisadong pag-access. Ngunit ang buong proteksyon ng lahat sa pinakamataas na antas ay nangangailangan ng maraming lakas at mapagkukunan. Samakatuwid, sila ay tinutukoy kasama ang pinakamahalagang data, na nagsisiguro sa pinakadakilang seguridad. At ang iba pang impormasyon ay protektado alinsunod sa halaga nito.

Modelong Intruder

Ito ay itinayo sa mga tao. Kinikilala nito ang lahat ng posibleng uri ng mga lumalabag at binibigyan sila ng isang detalyadong paglalarawan. Kaya, ang mga modelo ay nilikha na may kaugnayan sa mga propesyonal na crackers, walang karanasan na mga mersenaryo, ordinaryong mga hooligans, mga empleyado ng negosyo. Ang pinakamalaking panganib sa kasong ito ay ibinigay ng dating. Ito ay dahil sa ang katunayan na mayroon silang mga kinakailangang hanay ng kaalaman at teknikal na paraan upang maisagawa ang hindi awtorisadong pag-access. Ang mga propesyonal ay sinusundan ng mga empleyado ng mga negosyo, dahil mayroon silang access sa impormasyon, at maaari ring maging pamilyar sa samahan ng sistema ng seguridad. Nagbibigay na ito ng kaunting mga pagkakataon upang maimpluwensyahan ang mga mapagkukunan. Samakatuwid, kung mayroong pagganyak, ang mga empleyado ay maaaring maging sanhi ng malaking pinsala (na, sa pangkalahatan, ay hindi bihira). At kung ang mga umaatake ay bumaling din sa kanila, kung gayon ito sa pangkalahatan ay isang malungkot na kwento.

Ang dokumentasyon

Kapag nakumpleto ang lahat ng mga naunang hakbang, ang lahat ng kinakailangang mga papeles ay nagtrabaho, tulad ng: "Patakaran sa Seguridad ng Impormasyon", "Mga Tuntunin ng Sanggunian para sa Paglikha ng isang CSIS" at iba pang mga isyu. Pagkatapos nito, isinasagawa ang isang seleksyon ng proteksyon ng software at hardware, at naayos ang kanilang mga katangian. Sa huli, ang dokumentasyon ay binuo sa "Teknikal na Proyekto para sa Paglikha ng isang CSIS". Kapag handa na ang lahat, posible na upang simulan ang pagpapatupad ng mga napiling tool, hakbang at paraan upang maprotektahan ang sistema ng impormasyon.

Kontrol

Ngunit ang paglikha lamang ay hindi sapat. Kinakailangan din na tiyakin na ang lahat ay gumagana nang tama, at pana-panahong nakikita na nagpapatuloy ang kondisyong ito. Upang gawin ito, ang pagsubaybay sa integridad, paglilinaw ng mga kinakailangan (pagbabago) ay isinasagawa at nasuri ang estado ng sistema ng impormasyon. Kung pinag-uusapan natin ang tungkol sa tagapangasiwa na responsable para sa seguridad, ang panuntunan na "isang mabuting admin ay isang tao na may kakayahang patuloy na matulog" ay hindi nalalapat dito. Ang sistema ng impormasyon ay isang dynamic na bagay kung saan ang panloob at panlabas na mga kondisyon ay patuloy na nagbabago. Gayundin, ang istraktura ng isang samahan ay hindi isang bagay na permanente. Ang mga bagong yunit ng istruktura o departamento, mga serbisyo (tulad ng suporta o mga database) ay maaaring nilikha, o magkakaroon ng paglipat mula sa isang silid patungo sa isa pa. Ang impormasyon na nagpapalibot sa system ay nagbabago din. Samakatuwid, ang patakaran ng seguridad sa mga sistema ng impormasyon ay dapat isaalang-alang ang lahat ng mga aspeto sa itaas at isaalang-alang ang mga ito. Hindi ito dapat sabihin na ang seguridad ay isang bagay na naayos na. Hindi, kung kinakailangan ang patuloy na pagpapabuti at pagbagay sa mga hamon, mas mainam na tawagan itong isang proseso.

Kalidad

Ginamit upang matukoy ang pagiging epektibo.Mayroong mga espesyal na pamamaraan na maaari mong matukoy ang parameter na ito. Ito ay lamang na ang pagsasagawa ng naturang tseke sa sarili nito ay medyo mahirap dahil sa ang katunayan na ang lahat ng nakikitang mga bahid ay dapat na tinanggal ng mga tagalikha ng sistema ng proteksyon. Samakatuwid, bilang isang patakaran, ang gawaing ito ay madalas na ipinagkatiwala sa isang ikatlong partido. At siya, mula sa ibang posisyon, ay lalapit sa pagsubok at malamang na mapapansin niya ang isang mahina na lugar na napalampas ng mga nag-develop mismo. Sa katunayan, ang mga naturang inspektor ay kumikilos bilang mga crackers, ngunit nakinabang na sila sa paggamit ng lahat ng posibleng data sa anyo ng mga pagbabayad ng cash mula sa kumpanya mismo. Ito ay mula sa mga sandaling ito na ginawa ang pagpapatupad ng patakaran sa seguridad.

Konklusyon

Marahil ang maliit na negosyo ay hindi makatuwiran upang bumuo ng sariling patakaran sa seguridad. Ngunit para sa mga malalaking negosyo na nagbabalak na mapatakbo sa mahabang panahon, ang halaga nito sa ilang mga punto sa oras ay maaaring maging pambihira. Kung ang isang patakaran sa seguridad ay binuo sa isang mataas na antas, kung gayon ang mga kinatawan ng kumpanya ay maaaring hindi kahit na alam kung ano ang protektado nito mula sa kanila. At kahit na tila hindi makatwiran, ang paggamit ng karanasan na ito sa anumang larangan ng aktibidad ay napakahalaga.