Конфиденциальная информация, циркулирующая на предприятии, играет важную роль в его функционировании. Под конфиденциальной информацией понимают документированную информацию, доступ к которой ограничен законодательством Российской Федерации. Это могут быть сведения, которые составляют коммерческую тайну предприятия, персональные данные сотрудников или клиентов, служебная информация и др. Соответственно, эти данные могут стать объектом интереса злоумышленников. Поэтому необходимо создавать условия, при которых возможность утечки конфиденциальной информации будет минимизирована.
Утечка — это бесконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена [3]. Утечка информации может осуществляться по различным каналам. Каналом утечки информации называют канал коммуникации, позволяющий процессу передавать информацию путем, нарушающим безопасность системы [3].
Утечка информации может происходить в трёх формах:
разглашение информации;
утечка по техническим каналам;
несанкционированный доступ к информации.
Все каналы проникновения в систему и каналы утечки информации подразделяют на прямые и косвенные. Под косвенными каналами понимают такие каналы, использование которых не требует проникновения в помещения, где расположены компоненты системы (например, утеря носителей информации, дистанционное прослушивание, перехват ПЭМИ). Для использования прямых каналов необходимо проникновение (это могут быть действия инсайдеров, несанкционированное копирование и т. д.).
Рассмотрим, как и откуда возникает канал утечки конфиденциальной информации, с какими угрозами информационной безопасности можно столкнуться, и как с ними бороться.
Утечка конфиденциальной информации может произойти при наличии интереса к ней у организации-конкурента, а также при наличии условий, позволяющих злоумышленнику овладеть информацией. Возникновение таких условий возможно как при случайном стечении обстоятельств, так и при умышленных действиях противника.
Основными источниками конфиденциальной информации являются [2]:
персонал предприятия, допущенный к конфиденциальной информации;
материальные носители конфиденциальной информации (документы, изделия);
технические средства, осуществляющие хранение и обработку конфиденциальной информации;
средства коммуникации, используемые в целях передачи конфиденциальной информации;
передаваемые по каналам связи сообщения, содержащие конфиденциальную информацию.
Следовательно, конфиденциальная информация может стать доступна третьим лицам в результате [1]:
утери или неправильного уничтожения документа на каком-либо носителе, пакета с документами, конфиденциальных записей;
невыполнения работником требований по защите конфиденциальной информации;
излишней разговорчивости персонала в местах общего пользования;
работ с конфиденциальной информации в присутствии посторонних лиц;
несанкционированной передачи конфиденциальной информации другому работнику;
отсутствия грифов секретности на документах, нанесения маркировки на носителях.
В условиях жесткой конкуренции большое внимание организаций-конкурентов конечно же привлекает конфиденциальная информация. Ведь, чем больше информации доступно, тем больше шансов найти уязвимости соперника. Поэтому каналы передачи и обмена конфиденциальной информации в процессе их функционирования могут быть подвергнуты атакам со стороны злоумышленников, что, в свою очередь, может привести к возникновению каналов утечки конфиденциальной информации.
В настоящее время активно используется сеть Интернет. Безусловно, Интернет предоставляет большие возможности и удобства, но он становится еще одной причиной возникновения утечки конфиденциальной информации. В большинстве случаев утечка происходит при неосторожном обращении с конфиденциальной информацией при ее передаче или публикации на сайтах. Большая часть инцидентов приходится на электронную почту. Следующим по опасности каналом утечки конфиденциальной информации являются системы общения (в основном, IM-клиенты и Skype). Также сейчас особую популярность приобрели социальные сети, в которых стало возможно не только обмениваться сообщениями, но и публиковать файлы, которые после этого могут стать достоянием большого количества пользователей. И, конечно, Интернет-канал может быть подвергнут хакерской атаке, что также представляет большую опасность.
Существуют специальные технические средства, которые позволяют получить информацию без непосредственного контакта с персоналом, документами, базами данных. При их использовании возникают технические каналы утечки информации. Под техническим каналом утечки информации принято понимать физический путь от источника конфиденциальной информации к злоумышленнику, посредством которого последний может получить доступ к охраняемым сведениям. Для образования технического канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также наличие на стороне злоумышленника соответствующей аппаратуры приема, обработки и фиксации информации. Основными техническими каналами утечки информации являются электромагнитный, электрический, акустический, визуально-оптический и др. Такие каналы прогнозируемы и прерываются стандартными средствами противодействия [3].
Теперь перейдем непосредственно к угрозам конфиденциальной информации в информационных системах. К основным угрозам конфиденциальной информации относятся разглашение, утечка, несанкционированный доступ. Под угрозой безопасности конфиденциальной информации понимают совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и (или) несанкционированными и (или) непреднамеренными воздействиями на нее [2].
Результатом противоправных действий может стать нарушение конфиденциальности, достоверности, полноты информации, что, в свою очередь, может нанести материальный ущерб организации.
Все угрозы конфиденциальной информации по отношению к объекту можно разделить на внутренние и внешние. Внутренними нарушителями могут стать администрация, сотрудники предприятия, имеющие доступ к информационной системе, персонал, обслуживающий здание (электрики, сантехники, уборщицы и т. д.). Источниками внешних угроз являются клиенты, посетители, представители конкурентных организаций, лица, нарушившие пропускной режим предприятия, а также любые лица, находящиеся за пределами контролируемой территории. Статистика показывает, что большинство угроз совершается собственными сотрудниками организации, в то время как доля внешних угроз сравнительно мала (Рисунок 1).
Рис. 1. Статистика угроз информационной безопасности
Самыми частыми и опасными по размерам ущерба являются непреднамеренные ошибки пользователей информационных систем. Особую опасность представляют «обиженные сотрудники», действия которых связаны с желанием нанести вред организации. Таковыми могут оказаться как нынешние, так и бывшие сотрудники. Поэтому необходимо следить за тем, чтобы при увольнении сотрудника его доступ к информационным ресурсам прекратился.
Стихийные источники угроз весьма разнообразны и непредсказуемы. Возникновение подобных источников сложно предусмотреть и им тяжело противодействовать. К ним относятся пожары, землетрясения, ураганы, наводнения и другие природные катаклизмы. Наступление таких событий может привести к нарушению функционирования предприятия и, соответственно, к нарушению обеспечения безопасности информации в организации.
Итак, какие же методы необходимо использовать для предотвращения утечки конфиденциальной информации? Необходимо комплексное использование различных средств защиты, таких как технические, программно-аппаратные, средства физической защиты.
Для защиты информации, хранимой в компьютере, необходимо использовать программные и аппаратные средства защиты. Рекомендуется использовать такие типы программных средств защиты персонального компьютера:
средства, обеспечивающие защиту от несанкционированного доступа в компьютер;
средства защиты диска от несанкционированных записи и чтения;
средства контроля за обращениями к диску;
средства удаления остатков секретной информации.
Основными мерами по предотвращению НСД к ПК являются физическая защита ПК и носителей информации, аутентификация пользователей, разграничение доступа к защищаемой информации, криптографическая защита, регистрация обращений к защищаемой информации. Так как существует вероятность заражения компьютера вирусами, не стоит забывать оснастить каждый ПК специальными противовирусными программами.
Итак, при обработке конфиденциальной информации в информационных системах предприятий возникает вероятность ее утечки. Утечка конфиденциальной информации может нанести серьезный материальный ущерб. Поэтому необходимо принимать меры по ее предотвращению. Для этого следует проанализировать все возможные источники и угрозы, и в соответствии с этим принимать решение о комплексном применении средств защиты информации.
Литература:
- Гаврилов А. Д., Волосенков В. О. Угрозы информационной безопасности автоматизированной системы обработки данных. //Проблемы безопасности российского общества. — 2013.- № 4. С. 85–92.
- Грибунин В. Г. Комплексная система защиты информации на предприятии. — М.: Академия, 2009. — 415 с.
- Хорев А. А. Техническая защита информации: учеб. пособие для студентов вузов. В 3-х т. Т. 1. Технические каналы утечки информации. М.: НПЦ «Аналитика», 2010.- 436 с.
