Как защитить конфиденциальную информацию на предприятии
Конфиденциальная информация может быть разной в разных организациях. Первыми на ум приходят организации, работающие с гостайной, но на практике «секретить» приходится и несекретную информацию: персональные данные работников и клиентов, важные для ведения бизнеса сведения, разработки и проекты, на которые еще не получен патент и прочие данные, которые имеют ценность в силу своей неизвестности широкому кругу лиц.
Обеспечение защиты конфиденциальной информации — это не просто право, но в ряде случаев и обязанность ее держателя. Так, фирмы с лицензией ФСБ на работу с гостайной обязаны пройти проверку ФСБ и использовать особые правила секретного документооборота в ходе работы. Все без исключения организации обязаны хранить в тайне персональные данные (работников, контрагентов, клиентов). При необходимости фирма может ввести правила о неразглашении коммерческой тайны.
Способы защиты сведений ограниченного доступа
Прежде чем организовывать систему защиты информации на предприятии, нужно определить базовые правила защиты информации в компании, а затем планомерно разработать локальные правовые основания и внедрить их. План действий может быть примерно такой:
Определение категорий информации, подлежащей защите
В большинстве случаев под особый режим обращения попадут персональные данные и секретная документация, сведения разработки (результаты исследований, изобретения, промышленные образцы и прототипы), базы данных (база клиентов, база контактов потенциальных клиентов, внутренняя отчетность и т.д.), иногда — маркетинговые стратегии.
Регламентирование защиты конфиденциальной информации в организации
Проще говоря, это разработка, принятие и внедрение локальных нормативных актов, инструкций, договоров и доп. соглашений, положений и порядков, определяющих правила и требования для работы сотрудников с информацией ограниченного доступа. Список-минимум документов выглядит так:
- Положение о защите персональных данных;
- Политика защиты и обработки персональных данных;
- Соглашение о неразглашении конфиденциальной информации;
- Положение о коммерческой тайне и конфиденциальной информации;
- Журнал ознакомления с Положением о коммерческой тайне и конфиденциальной информации;
- Конкретные Инструкции по работе с конфиденциальной информацией, в т.ч. в локальной информационной системе и в интернете.
Разграничение категорий сотрудников и уровней их доступа к конфиденциальной информации
Перечень доступных сведений для каждого сотрудника будет зависеть от характера его трудовой функции. Работников нужно под роспись ознакомить с документами из п. 2. Например, специалисты кадровой службы ознакомятся с положением о ПД и Политикой защиты ПД и конфиденциальной информации, т.к. по роду работы им приходится иметь дело с персональными данными. А для работников, имеющих доступ к разработкам, предусмотрено ознакомление с Положением о коммерческой тайне.
Организация и техническое обеспечение защиты конфиденциальной информации
Организационные мероприятия предполагают:
- постоянные инструктажи персонала о правилах работы с секретными данными;
- установление персональной ответственности за разглашение информации ограниченного доступа;
- фиксирование самого доступа лиц к защищаемым сведениям;
- разработка нормативной базы, создание отдела безопасности;
- организация пропускного режима и видеонаблюдения в организации;
- повышение компьютерной грамотности сотрудников и т.д.
Техническая защита конфиденциальной информации предполагает:
- установка антивирусного ПО, межсетевых экранов и других программ для противодействия несанкционированного доступа к ПК;
- установка софта, регистрирующего действия пользователей в локальной информационной системе;
- установка софта, делающего копирование, рассылку, скачивание конфиденциальной информации невозможными;
- обязательная аутентификация и идентификация пользователя перед входом в систему и доступом к данным ограниченного доступа;
- установка систем оповещения и сигнализации, камер видеонаблюдения;
- создание условий для безопасного хранения физических носителей конфиденциальной информации (сейфы и запираемые металлические шкафы, отдельные охраняемые помещения для работы с информацией и т.д.);
- подключение защищенных каналов для пересылки файлов, содержащих конфиденциальную информацию.
Самые строгие меры принимаются, если организация работает со сведениями, содержащими гостайну. В этом случае придется получить лицензию ФСБ и работать с секретными документами либо через собственное режимно-секретное подразделение, либо через сторонний 1 отдел по договору о режимно-секретном обслуживании. В этом случае никакой самодеятельности — требования к защите информации четко прописаны ФСБ и ФСТЭК, а их соблюдение проверяется при выдаче лицензии и в ходе контрольных проверок ФСБ.
Нужно подготовиться к лицензированию деятельности по работе с государственной тайной? Мы поможем правильно выполнить все требования ФСБ и получить лицензию с первого раза. Звоните!
Нужна косультация по готовым фирмам с лицензией ФСБ?
Оставить комментарий
Главный офис 127055, ул. Новослободская, д.45, к.Б
Понедельник — Пятница: 10:00 — 20:00
Суббота — Воскресенье: 11:00 — 20:00
Санкт-Петербург
Представительство
Понедельник – Пятница: 10:00 – 20:00
Суббота — Воскресенье 11:00 — 20:00
Оставьте заявку
Мы работаем в городах России: Москва, Санкт-Петербург, Новосибирск, Екатеринбург, Казань, Нижний Новгород, Красноярск, Челябинск, Самара, Уфа, Ростов-на-Дону, Краснодар, Омск, Воронеж, Пермь, Волгоград
© 2014-2023 licenziya-fsb.com
Все права защищены
- На строительство
- На гостайну
- На криптографию
- На защиту конфиденциальной информации
- Для первого отдела (РСП)
- На создание средств защиты информации
- Для негласного получения информации
- По выявлению электронных устройств
- Ходатайство ФСБ
- Допуск к государственной тайне
- Обучение по защите государственной тайны
- Секретный документооборот
- На техническую защиту информации (ТЗКИ)
- По защите информации (СЗКИ)
- По защите гостайны
- Разовая лицензия ФСТЭК
- Генеральная лицензия ФСТЭК
- Разрешение ФСТЭК на экспорт и импорт
- Аттестация объектов информатизации ФСТЭК
- Специальная проверка технических средств ФСТЭК
- ФСТЭК обучение
- Поставка и аренда оборудования ФСТЭК
Политика конфиденциальности персональных данных
Настоящая Политика конфиденциальности персональных данных (далее – Политика конфиденциальности) действует в отношении всей информации, которую сайт , (далее – Сайт ) расположенный на доменном имени https://licenziya-fsb.com/ (а также его субдоменах), может получить о Пользователе во время использования сайта https://licenziya-fsb.com/ (а также его субдоменов), его программ и его продуктов.
Определение терминов
1.1 В настоящей Политике конфиденциальности используются следующие термины:
1.1.1. «Администрация сайта» (далее – Администрация) – уполномоченные сотрудники на управление сайтом , действующие от имени , которые организуют и (или) осуществляют обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.1.2. «Персональные данные» — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
1.1.3. «Обработка персональных данных» — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.1.4. «Конфиденциальность персональных данных» — обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.
1.1.5. «Сайт » — это совокупность связанных между собой веб-страниц, размещенных в сети Интернет по уникальному адресу (URL): https://licenziya-fsb.com/, а также его субдоменах.
1.1.6. «Субдомены» — это страницы или совокупность страниц, расположенные на доменах третьего уровня, принадлежащие сайту , а также другие временные страницы, внизу который указана контактная информация Администрации
1.1.5. «Пользователь сайта » (далее Пользователь) – лицо, имеющее доступ к сайту , посредством сети Интернет и использующее информацию, материалы и продукты сайта .
1.1.7. «Cookies» — небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.
1.1.8. «IP-адрес» — уникальный сетевой адрес узла в компьютерной сети, через который Пользователь получает доступ на сайт
Общие положения 2.1. Использование сайта Пользователем означает согласие с настоящей Политикой конфиденциальности и условиями обработки персональных данных Пользователя.
2.2. В случае несогласия с условиями Политики конфиденциальности Пользователь должен прекратить использование сайта .
2.3. Настоящая Политика конфиденциальности применяется к сайту Сайт не контролирует и не несет ответственность за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на сайте
2.4. Администрация не проверяет достоверность персональных данных, предоставляемых Пользователем.
Предмет политики конфиденциальности
3.1. Настоящая Политика конфиденциальности устанавливает обязательства Администрации по неразглашению и обеспечению режима защиты конфиденциальности персональных данных, которые Пользователь предоставляет по запросу Администрации при регистрации на сайте , при подписке на информационную e-mail рассылку или при оформлении заказа.
3.2. Персональные данные, разрешённые к обработке в рамках настоящей Политики конфиденциальности, предоставляются Пользователем путём заполнения форм на сайте и включают в себя следующую информацию:
3.2.1. Имя Пользователя;
3.2.2. контактный телефон Пользователя;
3.2.3. адрес электронной почты (e-mail)
3.3. Сайт защищает Данные, которые автоматически передаются при посещении страниц:
IP адрес
информация из cookies
информация о браузере
время доступа
реферер (адрес предыдущей страницы).
3.3.1. Отключение cookies может повлечь невозможность доступа к частям сайта , требующим авторизации.
3.3.2. Сайт осуществляет сбор статистики об IP-адресах своих посетителей. Данная информация используется с целью предотвращения, выявления и решения технических проблем.
3.4. Любая иная персональная информация неоговоренная выше (история посещения, используемые браузеры, операционные системы и т.д.) подлежит надежному хранению и нераспространению, за исключением случаев, предусмотренных в п.п. 5.2. и 5.3. настоящей Политики конфиденциальности.
Цели сбора персональной информации пользователя
4.1. Персональные данные Пользователя Администрация может использовать в целях:
4.1.1. Идентификации Пользователя, зарегистрированного на сайте для его дальнейшей авторизации, оформления заказа и других действий.
4.1.2. Предоставления Пользователю доступа к персонализированным данным сайта.
4.1.3. Установления с Пользователем обратной связи, включая направление уведомлений, запросов, касающихся использования сайта, оказания услуг и обработки запросов и заявок от Пользователя.
4.1.4. Определения места нахождения Пользователя для обеспечения безопасности, предотвращения мошенничества.
4.1.5. Подтверждения достоверности и полноты персональных данных, предоставленных Пользователем.
4.1.6. Создания учетной записи для использования частей сайта , если Пользователь дал согласие на создание учетной записи.
4.1.7. Уведомления Пользователя по электронной почте.
4.1.8. Предоставления Пользователю эффективной технической поддержки при возникновении проблем, связанных с использованием сайта .
4.1.9. Предоставления Пользователю с его согласия специальных предложений, информации о ценах, новостной рассылки и иных сведений от имени сайта .
4.1.10. Осуществления рекламной деятельности с согласия Пользователя.
Способы и сроки обработки персональной информации
5.1. Обработка персональных данных Пользователя осуществляется без ограничения срока, любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств.
5.2. Пользователь соглашается с тем, что Администрация вправе передавать персональные данные третьим лицам, в частности, курьерским службам, организациями почтовой связи (в том числе электронной), операторам электросвязи, исключительно в целях выполнения заказа Пользователя, оформленного на сайте , включая доставку Товара, документации или e-mail сообщений.
5.3. Персональные данные Пользователя могут быть переданы уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации.
5.4. При утрате или разглашении персональных данных Администрация вправе не информировать Пользователя об утрате или разглашении персональных данных.
5.5. Администрация принимает необходимые организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.
5.6. Администрация совместно с Пользователем принимает все необходимые меры по предотвращению убытков или иных отрицательных последствий, вызванных утратой или разглашением персональных данных Пользователя.
Права и обязанности сторон
6.1. Пользователь вправе:
6.1.1. Принимать свободное решение о предоставлении своих персональных данных, необходимых для использования сайта , и давать согласие на их обработку.
6.1.2. Обновить, дополнить предоставленную информацию о персональных данных в случае изменения данной информации.
6.1.3. Пользователь имеет право на получение у Администрации информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами. Пользователь вправе требовать от Администрации уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
6.2. Администрация обязана:
6.2.1. Использовать полученную информацию исключительно для целей, указанных в п. 4 настоящей Политики конфиденциальности.
6.2.2. Обеспечить хранение конфиденциальной информации в тайне, не разглашать без предварительного письменного разрешения Пользователя, а также не осуществлять продажу, обмен, опубликование, либо разглашение иными возможными способами переданных персональных данных Пользователя, за исключением п.п. 5.2 и 5.3. настоящей Политики Конфиденциальности.
6.2.3. Принимать меры предосторожности для защиты конфиденциальности персональных данных Пользователя согласно порядку, обычно используемого для защиты такого рода информации в существующем деловом обороте.
6.2.4. Осуществить блокирование персональных данных, относящихся к соответствующему Пользователю, с момента обращения или запроса Пользователя, или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных на период проверки, в случае выявления недостоверных персональных данных или неправомерных действий.
Ответственность сторон
7.1. Администрация, не исполнившая свои обязательства, несёт ответственность за убытки, понесённые Пользователем в связи с неправомерным использованием персональных данных, в соответствии с законодательством Российской Федерации, за исключением случаев, предусмотренных п.п. 5.2., 5.3. и 7.2. настоящей Политики Конфиденциальности.
7.2. В случае утраты или разглашения Конфиденциальной информации Администрация не несёт ответственность, если данная конфиденциальная информация:
7.2.1. Стала публичным достоянием до её утраты или разглашения.
7.2.2. Была получена от третьей стороны до момента её получения Администрацией Ресурса.
7.2.3. Была разглашена с согласия Пользователя.
7.3. Пользователь несет полную ответственность за соблюдение требований законодательства РФ, в том числе законов о рекламе, о защите авторских и смежных прав, об охране товарных знаков и знаков обслуживания, но не ограничиваясь перечисленным, включая полную ответственность за содержание и форму материалов.
7.4. Пользователь признает, что ответственность за любую информацию (в том числе, но не ограничиваясь: файлы с данными, тексты и т. д.), к которой он может иметь доступ как к части сайта , несет лицо, предоставившее такую информацию.
7.5. Пользователь соглашается, что информация, предоставленная ему как часть сайта , может являться объектом интеллектуальной собственности, права на который защищены и принадлежат другим Пользователям, партнерам или рекламодателям, которые размещают такую информацию на сайте .
Пользователь не вправе вносить изменения, передавать в аренду, передавать на условиях займа, продавать, распространять или создавать производные работы на основе такого Содержания (полностью или в части), за исключением случаев, когда такие действия были письменно прямо разрешены собственниками такого Содержания в соответствии с условиями отдельного соглашения.
7.6. В отношение текстовых материалов (статей, публикаций, находящихся в свободном публичном доступе на сайте ) допускается их распространение при условии, что будет дана ссылка на Сайт .
7.7. Администрация не несет ответственности перед Пользователем за любой убыток или ущерб, понесенный Пользователем в результате удаления, сбоя или невозможности сохранения какого-либо Содержания и иных коммуникационных данных, содержащихся на сайте или передаваемых через него.
7.8. Администрация не несет ответственности за любые прямые или косвенные убытки, произошедшие из-за: использования либо невозможности использования сайта, либо отдельных сервисов; несанкционированного доступа к коммуникациям Пользователя; заявления или поведение любого третьего лица на сайте.
7.9. Администрация не несет ответственность за какую-либо информацию, размещенную пользователем на сайте , включая, но не ограничиваясь: информацию, защищенную авторским правом, без прямого согласия владельца авторского права.
Разрешение споров
8.1. До обращения в суд с иском по спорам, возникающим из отношений между Пользователем и Администрацией, обязательным является предъявление претензии (письменного предложения или предложения в электронном виде о добровольном урегулировании спора).
8.2. Получатель претензии в течение 30 календарных дней со дня получения претензии, письменно или в электронном виде уведомляет заявителя претензии о результатах рассмотрения претензии.
8.3. При не достижении соглашения спор будет передан на рассмотрение Арбитражного суда г. Москва.
8.4. К настоящей Политике конфиденциальности и отношениям между Пользователем и Администрацией применяется действующее законодательство Российской Федерации.
Защита конфиденциальной информации
Система предотвращения утечек информации (DLP). Блокирует передачу конфиденциальных документов, помогает выявлять признаки корпоративного мошенничества, позволяет заниматься профилактикой инцидентов безопасности.
Solar Dozor 7.10:
Получить консультацию по продукту Solar Dozor
Предположим, вы проходите медицинское обследование. Вас попросили заполнить форму, в которой необходимо указать ваши имя, адрес, номер телефона, электронную почту, дату рождения и другую личную информацию. В форме указано, что вся информация, предоставленная для обследования, будет храниться в медицинском учреждении и не будет передана никаким неуполномоченным сторонним лицам. Но через некоторое время после завершения обследования вы начинаете получать телефонные звонки, электронные письма и корреспонденцию с предложениями медицинского характера или находите сведения о себе в открытых источниках. Имело ли место нарушение конфиденциальности? Произошла ли утечка конфиденциальной информации? Вероятнее всего, да. В этом случае вы наверняка задумаетесь о том, стоит ли посещать данное медицинское учреждение вновь.
Защита конфиденциальной информации крайне важна для любой организации. Неспособность организации защитить и обезопасить конфиденциальную информацию может привести к серьезным последствиям для бизнеса: потере репутации, снижению лояльности клиентов, сотрудников, финансовым издержкам, а также угрозе закрытия предприятия. Поэтому для организаций крайне важно иметь надежную стратегию защиты данных.
В этой статье мы рассмотрим важность защиты конфиденциальной информации, а также расскажем о мерах, которые организациям следует применять для обеспечения безопасности своих данных. Также рассмотрим, как система класса Data Leak Prevention (DLP) может помочь защитить от утечек крайне важную и чувствительную информацию.
Что такое конфиденциальная информация?
Когда речь идет о защите конфиденциальной информации, важно сначала понять, что именно она собой представляет. Конфиденциальные данные – это любые персонально идентифицируемые, в том числе финансовые, данные, которые компания хранит в электронном или бумажном виде. Сюда входят, в частности, записи о клиентах и сотрудниках, сведения, составляющие коммерческую и профессиональную тайну, касающиеся технологии производства товара, способов повышения продаж и т. д.
Защита конфиденциальной информации необходима любой компании. Даже если не ведется работа с государственной тайной, не оказываются медицинские и юридические услуги, компании сталкиваются со сведениями, относящимися к рассматриваемой категории. Если в компании есть сотрудники, значит, ведется работа с персональными данными. А это как раз и есть конфиденциальная информация, которую следует защищать.
Подробнее о том, что такое конфиденциальная информация можно прочитать здесь.
Зачем защищать конфиденциальную информацию
Вот несколько причин, почему защита конфиденциальной информации является очень важной:
1. Сохранение конкурентных преимуществ.
Независимо от того, в какой отрасли вы работаете, оставаться конкурентоспособными – важный элемент успеха в бизнесе. Если ваша компания обладает коммерческой тайной, необходимо защитить ее любой ценой. Утечка любой конфиденциальной информации может принести пользу конкурентам, дав им возможность проанализировать специфику вашей деятельности и позаимствовать ценные секреты.
2. Клиенты рассчитывают на гарантию защиты.
Клиенты предоставляют много частной информации компаниям и предприятиям, с которыми они сотрудничают, – от данных кредитных карт до сведений из семейной жизни. Особенно это касается медицинских учреждений, которые хранят большое количество ценной и важной информации: персональные данные пациентов, медицинская и врачебная тайна, фармацевтические и технологические разработки. Если конфиденциальные записи с информацией о клиентах станут достоянием общественности, доверие клиентов к компании будет сильно подорвано.
3. Сохранение репутации компании.
Даже если у вас невероятно высокая репутация в сфере обслуживания клиентов и удовлетворения их запросов, одной утечки данных достаточно, чтобы изменить мнение общественности. Данные необходимо защищать для того, чтобы одна негативная ситуация не затмила собой хорошую работу, которая раннее уже была проделана.
Каналы утечки конфиденциальной информации
Когда речь идет о защите конфиденциальных данных, понимание, что такое каналы утечки конфиденциальной информации, имеет большое значение. Утечка данных может произойти как намеренно, так и случайно, когда нерадивые сотрудники обращаются с конфиденциальной информацией небрежно и безответственно.
Утечки данных могут происходить, когда конфиденциальная информация передается через мессенджеры, съемные носители, облачные хранилища, личную почту, корпоративную почту и другое (рисунок 1).
Рис. 1. Каналы реализации утечки конфиденциальной информации. Источник:
Возникает вопрос: как защитить конфиденциальную информацию наилучшим образом?
Меры защиты конфиденциальной информации
Защита конфиденциальной информации начинается с комплексной политики безопасности и программы обучения сотрудников, чтобы донести свои ожидания и обеспечить осознание сотрудниками своей роли и ответственности в этом процессе.
Ниже перечислены некоторые из ключевых мер, которые организации должны принять для эффективной защиты конфиденциальной информации:
- Утвердить политику безопасности данных, которая подробно описывает, как следует обращаться с конфиденциальной информацией. Составляющие эту политику правила и принципы должны периодически пересматриваться и обновляться по мере необходимости.
- Использовать системы контроля доступа и надежные методы аутентификации, где это возможно, для ограничения доступа к конфиденциальным данным.
- Использовать физические средства защиты хранимой информации.
- Регулярно создавать резервные копии данных и надежно хранить их на случай чрезвычайной ситуации или сбоя в работе системы.
- Инвестировать и внедрять технологии защиты от утечек конфиденциальной информации, которые позволят отслеживать любую необычную активность или потенциальные угрозы, оперативно сигнализируя о возникших проблемах для принятия экстренных мер.
- Регулярно проводить обучение и тренинги, повышать уровень осведомленности сотрудников о рисках, связанных с неправильным обращением с конфиденциальной информацией, и формировать понимание важности соблюдения политик и процедур безопасности компании.
Технологии защиты от утечек конфиденциальной информации и средства их реализации
Система защиты конфиденциальной информации в компании (на предприятии, в учреждении) организуется на 3 уровнях:
- правовом;
- организационном;
- техническом.
Первые два реализуются посредством приведения ИТ-инфраструктуры компании в соответствие с требованиями законодательства, разработки регламентов, порядка разграничения прав доступа, правил работы с носителями и иных правовых и управленческих процессов.
Третий уровень, технический, – это внедрение и использование конкретных средств и решений. Правовые и организационные меры по обеспечению защиты конфиденциальной информации непродуктивны без технических средств, обеспечивающих их реализацию. Однако само по себе их внедрение без четко проработанных правовых и организационных механизмов не принесет должного эффекта.
Технические средства обеспечения защиты информации можно разделить на три группы:
1. Физические средства защиты информации – предоставляют возможность ограничения физического доступа к объектам информации.
- Ограждения и системы физической защиты периметра объектов, их отдельных элементов и зданий.
- Системы управления доступом к защищаемым объектам;
- Запирающие механизмы и сейфы.
2. Аппаратные (технические) средства защиты информации – устройства, с помощью которых различными способами предотвращается доступ к конфиденциальной информации.
- Средства обеспечения защиты от попыток получения неавторизованного доступа: USB-идентификатор, смарт-карты, электронный замок.
- Средства и оборудование для охраны телефонных линий связи: преобразователи, скремблеры, аппараты кодирования речи.
- Технические устройства гарантированного уничтожения информации и так далее.
3. Программные и программно-аппаратные решения — предоставляют возможность защиты информации конфиденциального характера, не прибегая к серьезному физическому вмешательству в информационную систему или ИТ-инфраструктуру.
К перечню классов программных и аппаратно-программных решений, которые обеспечивают защиту данных, принято относить:
- Средства для обеспечения криптографической защиты информации (СКЗИ, CIPF) – программы, которые шифруют документы и генерируют электронную подпись;
- Средства аудита баз данных (DAM, DBF);
- Средства аудита и управления информационными активами (DCAP и DAG);
- Системы предотвращения утечек данных (DLP, или Data Leak Prevention) – обеспечивают защиту от утечек конфиденциальной информации.
Как обеспечить безопасность конфиденциальной информации
Технология Data Leak Prevention (DLP) – инструмент защиты конфиденциальной информации. DLP-системы используют передовые методы анализа и мониторинга данных для обнаружения и блокирования их несанкционированной передачи за пределы корпоративной сети. DLP-системы работают по принципу непрерывного мониторинга любого исходящего трафика из организации и отмечают любую попытку перемещения данных, которые считаются конфиденциальными.
DLP-системы могут эффективно защитить корпоративную информацию от случайных или злонамеренных утечек и ограничить ущерб, наносимый потенциальными угрозами безопасности.
Преимущества решений DLP-класса
DLP-системы предоставляют предприятиям ряд преимуществ. К ним относятся:
1. Защита от утечек конфиденциальной информации
DLP-системы имеют комплексное представление обо всей корпоративной сети и поэтому могут защищать конфиденциальные данные во всех точках сети. Это позволяет компаниям защитить свои данные от случайной утечки и злонамеренной деятельности.
2. Автоматизированное обнаружение и предотвращение внутренних угроз
DLP-решения используют автоматизированные правила не только для предотвращения утечек данных, но и обнаружения признаков мошенничества, нелояльных сотрудников, контроля их рабочей активности.
3. Снижение затрат и повышение производительности
Утечка данных может дорого обойтись компании из-за расходов, связанных с восстановлением потерянных данных, а также возможных штрафов или судебных издержек за несоблюдение требований. DLP-система помогает снизить эти расходы за счет обнаружения и предотвращения утечек до их возникновения.
Порядок обеспечения защиты конфиденциальной информации
Защита конфиденциальной информации является неотъемлемой частью политики безопасности любой организации. Ключом к успеху в этом процессе может стать комплексный подход, сочетающий внедрение технических средств и продуктов в области защиты данных, использование правовых и управленческих решений и регулярное обучение персонала организации. Важно помнить, что безопасность данных – это непрерывный процесс, который требует постоянного внимания, сил и ресурсов.
Защита конфиденциальной информации (сведений конфиденциального характера)
Для любой организации, независимо от вида деятельности, одной из важнейших сфер бизнес интереса является защита конфиденциальной информации. Для создания эффективной системы защиты информации, компании необходимо определить степень важности различных типов данных, знать, где они хранятся, каким образом и кем обрабатываются и как уничтожаются в конце жизненного цикла. Без этого будет сложно предотвратить утечку конфиденциальных данных и обосновать финансовые расходы на защиту информации. Нормативной основой для понятия «конфиденциальности» информации являются:
- Статья 23, 24 Конституции РФ;
- Статья 727 Гражданского кодекса РФ;
- Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральный закон № 152-ФЗ «О персональных данных»;
- Федеральный закон № 98-ФЗ «О коммерческой тайне»;
- ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения».
Конфиденциальность информации – это?
Категории информации по степени конфиденциальности
Информация, используемая в предпринимательской и иной деятельности весьма разнообразна. Вся она представляет различную ценность для организации и ее разглашение может привести к угрозам экономической безопасности различной степени тяжести. Боязнь лишиться таких активов заставляет компании создавать иные формы системы защиты, в том числе и организационную, а главное – правовую.
В связи, с чем информация разделяется на три группы:
- Первая – несекретная (или открытая), которая предназначена для использования как внутри Организации, так и вне нее.
- Вторая – для служебного пользования (ДСП), которая предназначена только для использования внутри Организации. Она подразделяется, в свою очередь, на две подкатегории:
- Доступная для всех сотрудников Организации;
- Доступная для определенных категорий сотрудников Организации, но данная информация может быть передана в полном объеме другому сотруднику для исполнения трудовых обязанностей.
Информация второй и третьей категории является конфиденциальной (к ней устанавливается ограничение доступа).
Перечень сведений конфиденциального характера:
- Информация, составляющая коммерческую тайну – сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам;
- Банковская тайна – сведения об операциях, о счетах и вкладах организаций – клиентов банков и корреспондентов;
- Иные виды тайн: адвокатская тайна, нотариальная тайна, тайна переписки и т.д.;
- Информация, имеющая интеллектуальную ценность для предпринимателя – техническая, технологическая: методы изготовления продукции, программное обеспечение, производственные показатели, химические формулы, результаты испытаний опытных образцов, данные контроля качества и т.п. и деловая: стоимостные показатели, результаты исследования рынка, списки клиентов, экономические прогнозы, стратегия действий на рынке и т.п.
Нарушение конфиденциальности – это?
Нарушение конфиденциальности – это незаконное разглашение, использование и несанкционированный доступ к конфиденциальной информации (например, утечка данных, разглашение коммерческой тайны, хакерская атака и т.п.). Данная проблема влечет за собой серьезные последствия для организации, поэтому стоит особенно ответственно подойти к вопросу защиты информации.
Уровни защиты информации
Для принятия правильных мер, следует точно определить уровень защиты информации.
Можно выделить три уровня системы защиты конфиденциальности информации:
-
- Правовой уровень защиты информации основывается на нормах информационного права и предполагает юридическое закрепление взаимоотношений фирмы и государства по поводу правомерности использования системы защиты информации;
- Организационный защиты информации содержит меры управленческого, ограничительного и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы;
- Технический, который состоит из:
- Инженерно-технический элемент системы защиты информации
- Программно-аппаратный элемент системы защиты информации
- Криптографический элемент системы защиты информации
Важным моментом также являются не только установление самого перечня конфиденциальной информации, но и порядка ее защиты, а также порядка её использования.
Очень важно отразить в Политике информационной безопасности организации перечень конфиденциальной информации.
Требования по защите конфиденциальной информации: Меры защиты информации
В соответствии со ст. 10 Закона N 98-ФЗ меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя:
- определение перечня данных, составляющих коммерческую тайну;
- ограничение доступа к таким сведениям путем установления порядка обращения с ними и контроля за соблюдением этого порядка;
- организацию учета лиц, получивших доступ к конфиденциальной информации, или лиц, которым она была предоставлена;
- регулирование отношений по использованию данных, составляющих коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
- нанесение на материальные носители и документы, содержащие конфиденциальную информацию грифа “Коммерческая тайна” с указанием владельца такой информации.
В целях охраны конфиденциальности информации руководитель Организации обязан:
- ознакомить под расписку работника, которому доступ к таким сведениям необходим для выполнения трудовых обязанностей, с перечнем информации, составляющей коммерческую тайну, обладателями которой являются работодатель и его контрагенты;
- ознакомить сотрудника под расписку с установленным работодателем режимом коммерческой тайны и с мерами ответственности за его нарушение;
- создать работнику необходимые условия для соблюдения установленного режима.
Обеспечение защиты конфиденциальных документов достигается следующими основными методами:
- Определение состава информации, которую целесообразно отнести к категории конфиденциальной;
- Определение круга сотрудников, которые должны иметь доступ к той или иной конфиденциальной информации, и оформление с ними соответствующих взаимоотношений;
- Организация эффективной системы делопроизводства с конфиденциальными документами.
Организационные и технические меры защиты информации
В соответствии с ГОСТ Р 50922-2006 можно выделить следующие (обобщенные) организационные и технические меры защиты конфиденциальной информации:
- защита конфиденциальной информации от утечки – защита информации, направленная на предотвращение неконтролируемого распространения защищаемой информации в результате ее разглашения и несанкционированного доступа к ней, а также на исключение получения защищаемой информации нарушителем;
- защита конфиденциальной информации от несанкционированного доступа – это защита информации, направленная на предотвращение несанкционированного доступа и воздействия на защищаемую информацию с нарушением установленных прав и правил на изменение информации, приводящих к разрушению, уничтожению, искажению, сбою в работе, незаконному перехвату и копированию, блокированию доступа к защищаемой информации;
- защита информации от непреднамеренного воздействия – защита информации, направленная на предотвращение воздействия на защищаемую информацию ошибок ее пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных нецеленаправленных на изменение информации событий, приводящих к искажению, уничтожению, копированию, блокированию доступа к защищаемой информации;
- защита информации от разглашения – защита информации, направленная на предотвращение несанкционированного доведения защищаемой информации до заинтересованных субъектов, не имеющих права доступа к этой информации;
- защита информации от несанкционированного доступа – защита информации, направленная на предотвращение получения защищаемой информации заинтересованными субъектами с нарушением установленных нормативными и правовыми документами или обладателями информации прав или правил разграничения доступа к защищаемой информации;
- защита информации от преднамеренного воздействия – защита информации, направленная на предотвращение преднамеренного воздействия, в том числе электромагнитного или воздействия другой физической природы, осуществляемого в террористических или криминальных целях.
В завершении стоит отметить важность и определяющую значимость эффективно выстроенной системы защиты конфиденциальной информации по причине высокой ценности такой информации.
Такая система должна быть продуманной, прозрачной и комплексной.Система защиты конфиденциальной информации не должна иметь пробелов как в обеспечении ИБ элементов информационной инфраструктуры Организации, так и в её реализации на документарном уровне. Все уровни и элементы системы защиты конфиденциальной информации должны быть взаимосвязаны, оптимально выстроены и контролируемы.
От эффективности этой системы зависит жизнеспособность организации т.к. информация, в условиях современности – самый ценный ресурс.
Как обезопасить передачу конфиденциальной информации?
Передача данных — неизбежный процесс, с которым ежедневно сталкивается бизнес, вне зависимости от его масштабов и направления. Грамотный менеджмент корпоративной информации требует максимальной осторожности, так как любая утечка или повреждение критически важных данных могут повлечь за собой негативные последствия для организации и поставить ее деятельность под угрозу.
Как правило, современные компании для хранения цифровой информации используют базы данных, которые необходимо регулярно обновлять и администрировать. Согласно данным компании Accenture, 43% всех хакерских атак направлены на малый бизнес, но в то же время, только 14% опрошенных владельцев бизнеса предпринимают необходимые меры защиты.
Что такое конфиденциальность информации
Термин конфиденциальность происходит от латинского слова confidentia — доверие. Специалисты по защите информации и информационной безопасности предлагают несколько определений. Остановимся на одном из них: конфиденциальная информация — это данные, доступ к которым может быть осуществлен только субъектами, имеющими на это соответствующие права.
Защита информации на предприятии — обязательная и нетривиальная задача для владельца бизнеса. Критически важные корпоративные данные могут играть одну из главных ролей в конкурентоспособности компании. Любые утечки могут привести к непредвиденным негативным последствиям, начиная от потери клиентов, компрометации личных данных сотрудников, и заканчивая банкротством.
Виды конфиденциальной информации в бизнесе
В зависимости от направления и масштабов бизнеса, типы секретных данных могут существенно разниться. Однако существует несколько категорий, которые являются общими для всех компаний. Рассмотрим основные их них:
- Бизнес-стратегии. Стратегическое планирование развития — неотъемлемая часть работы любой организации. Часто готовые стратегии включают в себя данные о прибыли за определенный период, анализ конкурентов и другую информацию, доступ к которой открыт только для определенного круга лиц.
- Маркетинговые приемы. Компании часто разрабатывают свои собственные уникальные приемы продаж товаров или услуг, которые выгодно отличают их от конкурентов. Как правило, этой задачей занимается отдел маркетинга, куда инвестируется немалый бюджет. Потеря существующих наработок может существенно снизить эффективность привлечения клиентов и обнулить все вложения в маркетинговые стратегии.
- Информация о продукте. В случае работы с уникальными товарами, например, новыми моделями гаджетов, утечка информации о характеристиках играет на руку конкурентам, которые проводят анализ используемых технологий и используют результаты в своих будущих наработках. Это касается не только товаров, но и уникальных услуг.
- Личные данные. К этой категории относится любая личная информация о клиентах, сотрудниках, партнерах. Утечка личных данных способна существенно снизить репутацию бренда и привести к оттоку клиентов и партнеров.
Принципы защиты информации, представленные в четырех категориях, практически не отличаются. Далее в этом материале рассмотрим их более подробно.
Каналы утечки конфиденциальной информации
Чтобы понять, как защитить информацию, критически важную для организации, необходимо рассмотреть основные причины утечек, с которыми чаще всего сталкиваются предприниматели. Условно их можно разделить на две категории: внешние и внутренние. К внешним угрозам можно отнести такие:
- Физическая кража. Корпоративные данные могут быть украдены третьими лицами при помощи различных способов. Одним из наиболее распространенных способов является фишинг вместе с социальной инженерией.
- Взлом IT-инфраструктуры. Злоумышленники могут завладеть данными методом кибератак на основной корпоративный сервер или сеть. Часто хакеры используют метод DDoS-атак, которые предполагают создание большого количества “мусорного” трафика, перегружающего сеть и сервер.
- Коммерческий шпионаж. Часто конкуренты используют так называемые черные методы конкурентной борьбы и собирают информацию нетрадиционным способом, используя подставных клиентов и агентов под прикрытием. Кроме того, популярными методами шпионажа является прослушка, взлом аккаунтов и серверов.
Внутренние угрозы могут исходить от:
- сотрудников, которые раскрывают информацию случайным образом либо в результате проведения внешних деловых операций;
- бывших сотрудников, которые остались недовольны отношением в компании. Они могут намерено передать секретные данные конкурентам с целью нанести вред своим бывшим коллегам и работодателям;
- неудавшихся переговоров с другими компаниями. Часто в процессе деловых переговоров с потенциальными партнерами необходимо приоткрыть завесу конфиденциальности и поделиться какими-либо данными или наработками. В случае срыва переговоров, информация остается у другой стороны, которая может поступить с ней недобросовестно и использовать ее во вред своему потенциальному партнеру.
Во избежание негативных последствий, рекомендуется разработать уровни защиты информации. Это значит, что секретные данные должны быть распределены по приоритетности. Информация с наивысшим приоритетом секретности должна быть доступна только нескольким высокопоставленным лицам компании, например, владельцу и бухгалтеру. По мере убывания приоритета, доступ к данным могут получать сотрудники разных отделов. Никогда нельзя доверять конфиденциальную информацию всем сотрудникам организации!
Организационные методы защиты информации
Рассмотрим основные способы обеспечения конфиденциальности информации в организации, которые хорошо зарекомендовали себя на практике.
Определение стратегии работы с данными
В первую очередь необходимо проанализировать потребности в данных и их использовании, а также установить меры по предотвращению потенциальной потери данных. В этом поможет использование схемы оценки DLP (предотвращение потери данных).
Следующим шагом должна стать проверка соблюдения правил и требований конфиденциальности, в том числе GDPR (Общее положение о защите данных). Для повышения эффективности администрирования корпоративной информации рекомендуется создать соответствующий реестр, в котором будет указан приоритет безопасности.
Использование надежных протоколов и систем защиты данных
Во избежание потери важной информации предпринимателю необходимо позаботиться о наличии специальных систем защиты, которые могут быть как аппаратными, так и программными. Например, хорошей практикой является использование брандмауэров и сетевых фильтров для своевременного обнаружения перегрузок трафика и отсеивания лишних запросов.
Передачу информации по сетевым каналам следует осуществлять только в зашифрованном виде. Даже в случае перехвата, злоумышленник не сможет расшифровать ее, не имея специального ключа. На сегодняшний день пользователям доступны разные виды шифрования, включая виртуальную частную сеть VPN, безопасную оболочку SSH, безопасный транспортный уровень TLS, уровень защищенных сокетов SSL.
Часто наряду с вышеописанными способами используют метод сжатия данных перед передачей по сетевым каналам. Это позволяет ускорить процесс передачи, тем самым сократив время злоумышленника на потенциальный перехват. Для сжатия данных используются разные программные инструменты, в зависимости от типа используемой ОС. Например, в Unix и подобных системах предусмотрена команда gzip, в Windows можно использовать стандартную утилиту WinZip или обратиться к ПО сторонних разработчиков.
Контроль доступа
Организационные меры защиты информации включают в себя распределение доступа к данным между сотрудниками компании. Предоставление доступа слишком широкому кругу сотрудников может повлечь за собой негативные последствия, вплоть до утечек, которые будет трудно обнаружить.
Управление доступом следует начинать с определения того, кому из сотрудников он необходим для работы. После составления списка доступов следует использовать современные методы аутентификации и разрешений. Для защиты информации во время передачи можно использовать два способа управления доступом: на основе атрибутов — ABAC, или же на основе ролей — RBAC. С их помощью существенно упрощается процесс контроля и отслеживания доступа к информации в процессе передачи.
Резервирование
Нельзя недооценивать наличие резервных копий критически важной информации. Даже современные методы защиты не могут гарантировать стопроцентной безопасности корпоративных данных. Резервные копии — это гарантия того, что в случае сбоя в процессе передачи данных их удастся достаточно быстро восстановить без серьезного ущерба для бизнеса. Резервные копии рекомендуется хранить вне корпоративной сети. Для этого можно использовать внешние носители, например, твердотельные накопители SSD, флэш-накопители, внешние жесткие диски HDD или облачные сервисы.
Хорошей практикой является резервирование информации сразу на несколько носителей. Это позволит быть уверенным в сохранности данных в случае непредвиденных обстоятельств. Облачные сервисы хороши тем, что получить к ним доступ можно из любого местоположения. Для восстановления информации достаточно иметь гаджет с подключенным интернетом и права доступа. В случае с внешними накопителями, восстановление займет больше времени.
Заключение
В данном материале было рассмотрено, что является конфиденциальной информацией и основные способы ее защиты. Следует отметить, что защита конфиденциальной информации — это комплексный процесс, который должен включать в себя все вышеперечисленные методы в той или иной мере. Главная задача владельца бизнеса или специалиста по информационной безопасности заключается в создании подробной стратегии защиты, которая должна учитывать специфику бизнеса, его масштабы, количество сотрудников и другие нюансы, позволяющие выработать пошаговый план внедрения защитных систем.