Информационная безопасность: принципы, виды угроз и способы защиты

С развитием технологий информация приобрела значимость, которая сравнима с финансовыми и материальными активами. Однако с ростом ее ценности увеличилось и количество угроз, которые связаны с ее утечкой, повреждением или уничтожением. Согласно отчету компании Positive Technologies, в III квартале 2024 года количество угроз информационной безопасности выросло на 15% по сравнению с тем же периодом 2023 года. Эти данные подтверждают необходимость внедрения комплексных мер по усилению информационной безопасности.

Что такое информационная безопасность?

Информационная безопасность ― это меры по защите от несанкционированного доступа, использования, раскрытия, уничтожения или изменения любой формы информации: электронной или физической.

Основная задача информационной безопасности ― предотвратить утечку данных, взлом оборудования или потерю доступа к информации.

Согласно российскому законодательству, компании несут административную ответственность за утечку персональных данных пользователей. В зависимости от объема обнародованной чувствительной информации, компании могут заплатить штраф от 3 до 15 млн рублей. При повторных утечках на компанию будет возложен оборотный штраф в размере от 1% до 3% годовой выручки, но не менее 20 млн рублей. Максимальная сумма штрафа до 500 млн рублей.

Таким образом, соблюдение принципов информационной безопасности позволяет защитить репутацию и ИТ-инфраструктуру компании, помогает компаниям соблюдать законодательство и поддерживает бесперебойную работу бизнеса.

Принципы информационной безопасности

Существует 3 основных принципа информационной безопасности, каждый из которых направлен на защиту данных от конкретных угроз. Рассмотрим подробнее эти принципы.

Принцип доступности

Принцип доступности подразумевает, что информация всегда доступна тем, кто имеет на нее право. Это особенно важно для систем, которые работают круглосуточно. Например, если клиенты в онлайн-банкинге не могут получить доступ к своим счетам из-за сбоя системы или кибератаки, доверие к банку падает. Это приводит к репутационным и финансовым рискам. Для предотвращения таких ситуаций банки используют защиту от DDoS-атак, механизмы аварийного восстановления и резервные копии данных.

Система резервного копирования RuBackup в облачной оболочке Astra Cloud предусматривает доступ к информации по ролям, электронную подпись резервных копий, защитное преобразование по ГОСТ 34-12-2015, Anubis, ARIA и другие алгоритмы шифрования.

Конфиденциальность

Принцип конфиденциальности означает, что информация должна быть скрыта от тех, кто не имеет права ее просматривать. Это защищает данные от несанкционированного доступа. Например, записи о заболеваниях пациента и врачебных назначениях доступны только докторам, которые связаны с его лечением. Утечка или несанкционированный доступ к медицинским данным нарушает права пациента на конфиденциальность и может привести к серьезным юридическим последствиям для медицинского учреждения.

Целостность

Принцип целостности заключается в сохранении данных без изменений. Информация должна быть точной и достоверной, а любые модификации допустимы только с согласия владельца. При нарушении целостности искажаются важные сведения. Например, действия злоумышленников нарушают целостность отчетов компании. Это может привести к искажению финансовых данных, что грозит компаниям потерей инвесторов, штрафами от регуляторов и подрывом доверия со стороны партнеров. Соблюдение всех трех принципов позволяет минимизировать риски, связанные с кибератаками, утечками данных и другими угрозами.

Виды информации

Информация делится на категории в зависимости от ее характера и требований к защите. Для каждой категории применяются свои методы: от шифрования до ограничения доступа. Рассмотрим подробнее основные виды информации и способы ее защиты.

Государственная тайна включает сведения, которые имеют значение для национальной безопасности. Например, данные о военных разработках, стратегических объектах или разведывательных операциях. Только определенный круг лиц с соответствующими полномочиями может получать доступ к таким данным.
Персональные данные — это любая информация, которая позволяет идентифицировать человека. К ним относятся ФИО, паспортные данные, номер телефона, адрес, электронная почта, медицинская карта, сведения о доходах и другие данные. Работу с ними регламентирует Федеральный закон №152-ФЗ «О персональных данных». Чтобы избежать утечек персональных данных, их передают по защищенным каналам и хранят в зашифрованном виде, внедряют систему разграничения доступа.
Коммерческая тайна — это данные, которые дают компании конкурентное преимущество, поэтому их важно беречь от конкурентов. Это могут быть уникальные разработки, технологии или бизнес-планы. Как правило, компании составляют соглашения о неразглашении с сотрудниками, партнерами и подрядчиками. Также организации используют программные решения для разграничения прав пользователей.
Служебная тайна — это информация, связанная с деятельностью государственных органов, таких как ЗАГС, ФНС или МВД. Для защиты служебной тайны госорганы используют специализированные программные комплексы. Например, ФНС использует программное решение АИС «Налог-3» для автоматизации обработки полученной информации от юридических и физических лиц.
Общедоступная информация — это данные, которые могут быть известны и доступны всем. Например, цены на товары, график работы, расписание движения транспорта или информация о компании на ее сайте. Такой вид информации требует защиты целостности данных, чтобы предотвратить их искажение, частичное или полное удаление. Для защиты общедоступной информации компании используют инструменты мониторинга изменений и резервного копирования.

Решения, представленные в Astra Cloud, внесены в «Реестр Российского ПО» Минцифры. Часть из них уже получила сертификаты ФСТЭК России: Astra Linux Server, ALD Pro, СУБД Tantor, RuBackup.

Информационная и кибербезопасность. В чем разница?

Информационная и кибербезопасность тесно связаны, но имеют разные области применения. Основное различие заключается в том, что информационная безопасность имеет более широкое значение и направлена на защиту данных независимо от их формата. Это могут быть бумажные документы, локальные серверы и данные в сети.

Примеры информационной безопасности:

Ограничение доступа к данным для предотвращения их несанкционированного использования.
Создание политик и регламентов для работы с информацией.
Соблюдение норм законодательства, например, требований к защите персональных данных и коммерческой тайны.

Кибербезопасность является частью информационной безопасности и сосредоточена на защите данных, которые обрабатываются, передаются или хранятся в цифровой среде. Ее инструменты направлены на предотвращение киберугроз, таких как хакерские атаки, вредоносные программы, фишинг и DDoS-атаки. Например, использование брандмауэров и антивирусов помогает защитить корпоративные сети от взлома.

Инструменты кибербезопасности предупреждают:

Несанкционированный доступ к корпоративным сетям.
Появление уязвимостей в ИТ-инфраструктуре
Атаки на программы и сервисы.
Утечку или потерю данных из облака.

Далее рассмотрим перечень мер, которые обеспечивают безопасность информационных технологий и позволяют быстро реагировать на возможные угрозы.

Способы защиты информации

Технические. Оборудование от надежных вендоров обеспечивает соблюдение принципа доступности информации. Качественное оборудование снижает риск простоев из-за поломок, перегрева или других технических сбоев.
Программные. Брандмауэры, антивирусы и системы обнаружения вторжений блокируют вредоносные программы и предотвращают кибератаки.
Аппаратные. Безопасные маршрутизаторы, токены для двухфакторной аутентификации и аппаратное шифрование усиливают защиту информации от несанкционированного доступа к данным и снижают риск их утечки. Контроль доступа и видеонаблюдение защищают от угроз информационной безопасности, которые могут исходить от самих сотрудников компании.
Организационные. Обучение сотрудников основам информационной безопасности, разработка политик доступа и регулярные аудиты ИТ-инфраструктуры снижают вероятность фишинговых атак и появления уязвимостей из-за человеческого фактора.
Физические. Цифровую информацию важно защищать не только виртуально, но физически. Сервер с важными данными могут похитить или повредить. Он может выйти из строя, например, из-за короткого замыкания и других факторов. Поэтому ИТ-ресурсы необходимо размещать в надежных дата-центрах.

Astra Cloud использует промышленное оборудование от официальных вендоров и размещает свои серверы в трех защищенных дата-центрах на территории России с уровнями безопасности TIER III и TIER IV.

Виды угроз информационной безопасности

Злоумышленники используют разнообразные методы, чтобы атаковать слабые места в ИТ-инфраструктуре: уязвимости в программном обеспечении, ненадежные пароли и ошибки системы, связанные с человеческим фактором. Рассмотрим основные виды угроз и их последствия:

Вредоносные программы. Вредоносное ПО, такое как трояны или шифровальщики, может уничтожать данные или блокировать доступ к ним. Например, вирус WannaCry в 2017 году парализовал работу 45 тысяч компаний из 74 стран. Он зашифровал их данные и требовал выкуп за восстановление доступа.
Фишинговые атаки. Злоумышленники отправляют поддельные письма или создают сайты, которые имитируют известные бренды. Таким образом они крадут у жертв конфиденциальные данные, такие как пароли или банковские реквизиты.
Взлом паролей. Вредоносное ПО перебирает не только те варианты паролей, которые пользователи используют чаще всего, но и все возможные комбинации. Слабые пароли упрощают задачу злоумышленникам, поэтому компаниям важно использовать двухфакторную аутентификацию и вводить политику создания сложных паролей.
Инсайдерские угрозы. Этот вид угроз связан с действиями сотрудников, которые имеют доступ к конфиденциальной информации. Например, бывший сотрудник может скопировать коммерческую информацию перед увольнением. Для предотвращения подобных инцидентов компании используют DLP-системы. Они отслеживают действия сотрудников, которые работают с важными данными.
DDoS-атаки. Веб-серверы одновременно могут обрабатывать ограниченное количество запросов. Во время DDoS-атаки поступает огромное количество трафика на веб-ресурс. В результате такой атаки ресурс может стать недоступным для пользователей.

Облако Astra Cloud имеет встроенную защиту от DDoS-атак.

Коротко об информационной безопасности

В 2024 году число угроз информационной безопасности увеличилось на 15%, что требует активного внедрения комплексных мер защиты.
Обеспечение информационной безопасности включают доступность, конфиденциальность и целостность, что позволяет минимизировать риски утечек и потерь данных.
В соответствии с законодательством компании обязаны защищать персональные данные и коммерческую тайну, чтобы избежать штрафов, репутационных рисков и финансовых потерь.
Ключевые угрозы информационной безопасности ― это фишинговые атаки, взлом паролей, инсайдерские действия и DDoS-атаки. Для борьбы с ними компании применяют технические, организационные, физические и другие методы информационной безопасности.