Справка: Учебный центр «Информзащита» — ведущий специализированный центр в области обучения информационной безопасности — проводит подготовку по 60 уникальным комплексным и тренинговым курсам. С 1998 года в Учебном центре обучилось более 12 000 специалистов из 1500 государственных и коммерческих структур 19 стран.

Участниками семинара рассмотрены и обсуждены вопросы организации защиты бизнеса и предприятий различных форм собственности от угроз информационным ресурсам. Главное внимание сосредоточено на следующей проблематике:

  • Функции и задачи служб безопасности коммерческих предприятий
  • Недобросовестная конкуренция и промышленный шпионаж. Технические средства промышленного шпионажа
  • Предотвращение нарушений политики безопасности предприятия и способы выявления специальных технических средств негласного получения информации
  • Компьютерная сеть предприятия как возможный канал утечки конфиденциальной информации
  • Реализация режима коммерческой тайны на предприятии
  • Организация конфиденциального делопроизводства на предприятии
  • Повышение осведомленности персонала по вопросам обеспечения информационной безопасности
  • Предотвращение и расследование инцидентов, связанных с деятельностью внутренних злоумышленников

С докладами и сообщениями выступили специалисты компаний Емельянников Михаил Юрьевич, директор департамента, ООО «Борлас Секьюрити Системз», Бузов Геннадий Алексеевич, заведующий лабораторией защиты информации от утечки по техническим каналам, Собецкий Игорь Всеволодович, Беленький Николай Иванович, Кеменов Николай Петрович, ведущие специалисты, Учебного центра «Информзащита», Белоус Иван Петрович, Генеральный директор ООО «Сюртель», Кирилл Геннадьевич Викторов, начальник департамента, «Инфосистемы Джет», Хайретдинов Рустэм, директор по продажам, InfoWatch, Марк Ханн (Mark T.Hanne), Sales Manager EMEA, Omnikey.

Рассматривая современные подходы и анализируя двадцатилетнюю динамику развития Служб безопасности коммерческих и государственных предприятий эксперты отмечали, что  современное понимание функций и задач служб безопасности коммерческих предприятий можно сформулировать в четырех основных направлениях;

  • Экономическая безопасность бизнеса,
  • Информационная защита,
  • Кадровая безопасность
  • Физическая защита

Главными тенденциями исторического развития стали; переход от государственного монополизма к полной самостоятельности предприятий, от частных задач к комплексному решению проблем безопасности, от безопасности отдельных процессов к полной безопасности бизнеса, от защиты активов к управлению рисками предприятия. Ключевым событием стало введение государством правового регулирования на рынке безопасности с полной передачей реализации этих мер самим собственникам бизнеса. При этом руководители предприятий предупреждены о необходимости защиты информации и информационных ресурсов в строгом соответствии с действующими законодательными нормами. Из этого вытекают основные задачи безопасности предприятия вне зависимости от форм его собственности:

  1. Защита от внешних и внутренних угроз, при этом учитывается тот факт, что внутренние угрозы составляют 80% из всего спектра.
  2. Организация и осуществление работы по защите и сохранению сведений с ограниченным доступом (государственная, коммерческая тайны, персональные данные и т.п.) защита которых в соответствии с законодательством российской федерации возложена на руководителей.
  3. Обучение специалистов и уведомление персонала о существующих правилах и порядке работы с информационными ресурсами.

Основная цель обеспечения безопасности — сократить необязательные потери, особенно если они стали для компании ощутимыми. А потери — это любой ущерб (материальный, моральный, физический), наносимый субъектам посредством воздействия на информационные системы. Такими субъектами могут быть сотрудники предприятия, его владельцы-акционеры и просто «страдальцы», информация о которых хранится и обрабатывается в системе.

Путями решения основных проблем являются:

  • Оптимизация структуры создаваемого информационного пространства,
  • Перенос решения проблем управления рисками с уровня службы безопасности на уровень руководства бизнеса.
  • Оценка реальности угроз и построения, безопасных бизнес процессов
  • Передача сложных, непрофильных задач на аутсорсинг.
  • Внешний аудит и консалтинг систем безопасности.

Недобросовестная конкуренция и промышленный шпионаж значительно усложнили и активизировали производство технических средств сбора, обработки и передачи информации. Технологии промышленного шпионажа и средства защиты идут в своем развитии практически рядом. Сегодня их уровень развития таков, что практически не существует недоступных зон и технологических окон, противостоять, возможно, только системными, непрерывными адекватными действиями служб безопасности. По уровню последствий утечка информации может привести к практической ликвидации бизнеса от нескольких дней до нескольких часов.

Для предотвращения нарушений политики безопасности предприятия и обеспечения устойчивого функционирования предприятия разрабатываются способы выявления специальных технических средств негласного получения информации и локализации негативных последствий от их применения.

Данные способы и административные регламенты составляют политику информационной безопасности предприятия.

Участники семинара рассмотрели в качестве примера возможность использования компьютерной сети предприятия как возможного канала утечки конфиденциальной информации, методы контроля за действиями сотрудников, использующих корпоративные Интернет-ресурс. Особый интерес у частников семинара вызвали проблемы обеспечения безопасной работы мобильных пользователей, возникающие угрозы утечки информации через переносные накопители и источники. По некоторым оценкам, примерно 73% сотрудников крупных компаний в качестве основных рабочих инструментов используют ноутбуки. Работники, находящиеся вне офиса или перемещающиеся по служебным помещениям, зачастую прибегают к помощи карманных компьютеров, смартфонов и сотовых телефонов. Корпоративные ИТ-службы обычно не контролируют устанавливаемое на таких устройствах программное обеспечение и их уровень безопасности. Аналитики полагают, что 90% мобильных устройств, работающих в корпоративных сетях, не имеют серьезных механизмов защиты. Понятно, что в условиях роста числа угроз все это ведет к нарушениям целостности информационных систем. В качестве примера приводилась компания Samsung, которая запретила своим сотрудникам использовать сотовые телефоны с объемом памяти более 8 Мбайт, так как данного объема достаточно, что бы скопировать основные информационные секреты фирмы.

Проводимые исследования свидетельствуют, что более 65% опрошенных отметили, что их корпоративная сеть подвергается взломам, и помимо антивирусного ПО им приходится применять дополнительные меры защиты. Порядка 60% респондентов признались, что их организация не имеет возможности автоматически сканировать клиентские устройства, пытающиеся подключиться к их сети. При этом в ходе семинара отмечалось, что атакам подвергаются, прежде всего, те сети, которые представляют реальный интерес и имеют недостаточные системы защиты информации. Это связано, прежде всего, с тем, что оборудование для промышленного шпионажа, как и контр шпионское оборудование достаточно дорогостоящее.

Особый интерес вызвали предложенные технические и организационные средства для обеспечения эффективной защиты конфиденциальных данных против утечки, организация конфиденциального делопроизводства с учетом последних требований по обеспечению сохранности персональных данных.

Особое внимание было уделено практическим аспектам реализации всего процесса конфиденциального делопроизводства от составления перечней информации конфиденциального характера до особенностей электронного документооборота, использование цифровой электронной подписи.

Важнейшей задачей служб безопасности наряду с предотвращением  и минимизацией потерь является расследование инцидентов, связанных с деятельностью внутренних злоумышленников и их профилактирование.

Кадровая безопасность это один из самых сложных направлений в деятельности служб безопасности, который включает в себя следующие направления:

  • выработка внутренних регламентов фирмы,
  • проверка соискателей на вакантные должности,
  • мониторинг морального климата в коллективе,
  • участие в соблюдении внутрикорпоративных правил и норм трудовой дисциплины.

Создание комплексной системы безопасности предполагает несколько обязательных условий. И, прежде всего это воля и решимость владельцев бизнеса заняться безопасностью всерьез. Рано или поздно в любой организации автоматизация процессов управления достигает такого уровня, что вопрос безопасности становится одним из самых острых. Впрочем, когда руководство все-таки начинает понимать критичность проблемы безопасности и ее ресурсов, оно представляет ее себе как чисто техническую и не всегда готово вкладывать достаточно большие средства в ее развитие.