Что такое информационная безопасность

Введение

Ценность бизнеса сегодня определяется не количеством серверов, а объемами данных, которые они обрабатывают. Информация стала главным бизнес-активом, и ее компрометация или безвозвратная утрата обходятся организации значительно дороже, чем любой отказ оборудования. Сгоревший сервер — это финансовая издержка, но скомпрометированная клиентская база, уничтоженная интеллектуальная собственность или остановка процессов из-за вируса-шифровальщика могут поставить под угрозу существование бизнеса.

Ранее в статье «Кибербезопасность и киберустойчивость» мы разбирали, как компания должна защищать свой цифровой периметр и как происходит восстановление после атак. Это два важных компонента более широкого понятия — информационной безопасности (ИБ). ИБ выходит за рамки ИТ-департамента: она обеспечивает защиту активов независимо от формы их представления, будь то база данных в облаке или бумажный архив в сейфе. 

Давайте разберемся, из каких элементов строится система информационной безопасности.

Информационная безопасность — это не только про ИТ

В массовом сознании информационная безопасность часто ассоциируется исключительно с антивирусами, фаерволами и сложными паролями. Однако это опасное упрощение. Чтобы построить надежную защиту, необходимо понимать, что ИБ — это не набор утилит, а процесс управления рисками.

Согласно международному стандарту ГОСТ Р ИСО/МЭК 27000, информационная безопасность — это «сохранение конфиденциальности, целостности и доступности информации». Обратите внимание: в этом определении нет ни слова о компьютерах, серверах или облаках. Ключевой объект защиты — сама информация, а не носитель, на котором она хранится.

Для бизнеса одинаково губительны утечка данных о стратегической сделке через взлом почтового сервера или через папку с документами, забытую менеджером в такси. Поэтому система ИБ должна покрывать информацию во всех формах ее существования:

• Цифровые данные. Базы данных клиентов (CRM), финансовая отчетность в 1С, электронная почта, файлы на рабочих станциях и в облаке, программный код.
• Информация на физических носителях. Бумажные архивы, распечатанные договоры и копии приказов, а также сами устройства хранения — внешние жесткие диски, флеш-накопители и ленты.
• Речевая информация. Данные, озвученные в ходе совещаний, телефонных переговоров или обсуждений в офисе.

Информационная безопасность — это «зонтичная» дисциплина. Она включает в себя и ИТ-безопасность (защиту цифровых активов), и физическую безопасность, и организационные меры работы с персоналом. Игнорирование любой из этих форм создает брешь, через которую бизнес может потерять свои активы.

Фундамент информационной безопасности: триада CIA

Любая система защиты, будь то банковский сейф или корпоративный дата-центр, строится на трех базовых принципах. В международной практике это называется моделью CIA (Confidentiality, Integrity, Availability), в российской терминологии — триадой КЦД (Конфиденциальность, Целостность, Доступность).

Если хотя бы один из этих элементов нарушен, информацию нельзя считать защищенной.

Конфиденциальность (Confidentiality)

Этот принцип гарантирует, что доступ к информации имеют только те пользователи, процессы или устройства, которые прошли авторизацию. Главная задача — предотвратить утечку данных за пределы доверенного контура и их попадание в руки злоумышленника.

Для обеспечения конфиденциальности используется комплекс мер:

• Управление доступом (IAM). Принцип минимальных привилегий, когда сотруднику выдаются права только на те ресурсы, которые необходимы для работы.
• Криптография. Шифрование данных как при хранении, так и при передаче, чтобы в случае перехвата злоумышленник не смог их прочитать.
• DLP-системы (Data Leak Prevention). Решения для предотвращения утечки информации. Например, Кибер Протего обеспечивает комплексную защиту от утечки данных с корпоративных компьютеров, серверов и из виртуальных сред.

Целостность (Integrity)

Целостность означает, что данные являются достоверными, полными и не подвергались несанкционированным изменениям. Угроза целостности — это не только подмена реквизитов в платежке, но и случайная ошибка администратора или сбой оборудования, повредивший файлы.

Инструменты контроля целостности:

• Электронная подпись и контрольные суммы. Позволяют математически подтвердить, что файл не был изменен после создания или передачи.
• Неизменяемость (Immutability). Технология хранения, при которой данным присваивается статус «только для чтения» на уровне файловой системы или объекта. Это блокирует любую попытку удаления или модификации данных до истечения заданного срока. Даже при полном доступе к сети вирус не сможет зашифровать или уничтожить такую копию данных.

Доступность (Availability)

Информация имеет ценность только тогда, когда ей можно воспользоваться в нужный момент. Если сервер надежно защищен от хакеров, но отключился из-за сбоя питания — бизнес несет убытки. Система ИБ должна гарантировать бесперебойный доступ к ресурсам.

Для обеспечения доступности применяются:

• Отказоустойчивость. Использование кластеров высокой доступности (High Availability), балансировщиков нагрузки и защиты от DDoS-атак.
• Резервное копирование. Решения корпоративного уровня, такие как Кибер Бэкап, позволяют защищать данные и физические и виртуальные среды, а также различные приложения.

Сбалансированная система ИБ уделяет равное внимание всем трем вершинам треугольника КЦД. Перекос в одну сторону (например, избыточное шифрование, замедляющее работу) неизбежно ударит по доступности и эффективности бизнеса.

Как строится защита: люди, процессы, технологии

Частая ошибка руководителей — воспринимать информационную безопасность как сугубо техническую задачу, которую можно решить покупкой дорогостоящего оборудования и ПО. На практике даже самый совершенный межсетевой экран бесполезен, если администратор не умеет его настраивать, а сотрудники клеят стикеры с паролями на мониторы.

Эффективная система ИБ всегда опирается на три равнозначных столпа: люди, процессы и технологии.

Люди

Человек остается самым слабым звеном в контуре безопасности. По статистике, подавляющее большинство успешных атак начинается с социальной инженерии, фишинговых писем или банальной халатности сотрудников.

Работа с персоналом включает:

• Обучение и кибергигиену. Регулярные тренинги, на которых сотрудникам объясняют, как распознать фишинг, почему нельзя использовать рабочую почту для регистрации личных кабинетов в сторонних сервисах и зачем нужна двухфакторная аутентификация.
• Культура безопасности. Создание среды, где сотрудник не боится сообщить об инциденте и понимает свою ответственность за цифровые активы компании.

Процессы

Это свод правил, определяющий, как компания защищает данные и как реагирует на инциденты.

Ключевые элементы процессного подхода:

• Политики и регламенты. Документы, описывающие правила доступа, порядок работы с конфиденциальной информацией и жизненный цикл данных.
• Соответствие требованиям (Compliance). Обеспечение работы компании в рамках законодательства (например, 152-ФЗ, требования ЦБ РФ или ФСТЭК) и отраслевых стандартов.
• Управление инцидентами. Четкий план действий на случай атаки или сбоя.
• Аудит ИБ. Регулярная проверка того, насколько реальное положение дел соответствует политикам. Это обширная тема, требующая системного подхода, поэтому детальный чек-лист по проведению аудита мы разберем в одной из наших следующих статей.

Технологии

Это инструменты, которые помогают людям выполнять процессы и автоматизируют защиту. Технический уровень ИБ включает программные и аппаратные средства.

В российской практике принято деление на классы:

• СЗИ (средства защиты информации). Сюда входят антивирусы, EDR-системы, межсетевые экраны (NGFW), системы защиты от утечки данных (DLP) и системы обнаружения вторжений (IDS/IPS).
• СКЗИ (средства криптографической защиты информации). Решения для шифрования каналов связи и создания электронной подписи.
• СРК (системы резервного копирования). Если СЗИ не смогли остановить атаку, технологии резервного копирования позволяют «откатить» систему к последней корректной точке сохранения и восстановить данные.

Только баланс этих трех компонентов создает защищенность. Технологии без процессов — это деньги на ветер. Процессы без людей — это нерабочие инструкции. А люди без технологий — это большие трудозатраты и высокий риск ошибок.

От кого защищаемся? Классификация угроз

Чтобы построить эффективную защиту, нужно знать врага в лицо. В контексте информационной безопасности «враг» — это любое событие или действие, которое может нарушить конфиденциальность, целостность или доступность данных.

Все многообразие угроз принято делить на две большие группы: естественные и искусственные.

• Естественные угрозы. Это факторы, на которые служба безопасности не может повлиять напрямую, но обязана минимизировать их последствия. Сюда относятся стихийные бедствия, техногенные аварии и сбои электропитания. 
• Искусственные угрозы. Это угрозы, исходящие от человека.

Искусственные угрозы, в свою очередь, делят по мотиву:

• Непреднамеренные (человеческий фактор). Самый частый и недооцененный вид угроз. Сотрудники не хотят зла компании, но устают, ошибаются или проявляют небрежность.
• Преднамеренные (злоумышленные). Целенаправленные действия для нанесения ущерба или получения выгоды. Это хакеры, киберпреступные группировки (APT) и нарушители, которые находятся внутри периметра компании.

Понимание природы угрозы помогает правильно подобрать инструмент защиты. От пожара спасает бэкап в облаке, от хакера — эшелонированная оборона периметра, а от инсайдера — контроль прав доступа и мониторинг активностей.

Заключение

Информационная безопасность — это не состояние, которого можно достичь раз и навсегда, поставив галочку в отчете. Это непрерывный цикличный процесс. Нельзя «настроить безопасность» и забыть о ней на год: пока вы читаете эту статью, ландшафт угроз уже изменился, появились новые уязвимости и векторы атак.

Построение комплексной системы защиты может показаться неподъемной задачей, особенно в условиях дефицита кадров и бюджетов. Наш совет — двигайтесь от простого к сложному. Прежде чем внедрять комплексные аналитические системы, убедитесь, что закрыта «база»:

1. Ваши данные надежно защищены от безвозвратной потери (настроено и протестировано резервное копирование).
2. Вы контролируете каналы передачи информации и защищены от утечки (работает DLP-система).

Эти меры обеспечат необходимый уровень безопасности, на котором можно строить дальнейшие эшелоны обороны. Ознакомиться с полным стеком продуктов Киберпротекта для защиты, резервного копирования и хранения данных можно в разделе Продукты.