Для построения эффективной системы противодействия угрозам, сопутствующим удаленному режиму работы в исследовании предложено разделение предприятий на три типа, с учетом их специфики и проанализирована полезность такой классификации.
Ключевые слова: стратификация предприятий, удаленный режим работы, модель угроз, модель нарушителя, информационная безопасность.
В условиях развития электронных технологий современного мира происходят существенные изменения в содержании понятия «удаленная работа». Развитие информационных технологий придало значительный стимул для перехода от традиционной формы найма работников и привело к популяризации сравнительно новой формы организации труда — удаленному режиму работы. Повсеместный и срочный перевод сотрудников организаций и предприятий на удаленную работу [1] заметно повлиял на положение дел информационной безопасности (ИБ). Внезапное изменение организации работы побудило клиентов ИБ-компаний немедленно переоценить поставленные цели и задачи, затем перераспределить бюджеты, направляемые на устранение угроз информационной безопасности [2]. В первую очередь речь ведется об утечках конфиденциальной информации, которые связаны с увеличением использования персональных устройств и существенно увеличившимся числом атак на веб-ресурсы компаний и организаций различных отраслей. Для того, чтобы обеспечить необходимый уровень ИБ, удовлетворяющий существующим нормативно-правовым актам и требованиям организации, крайне важно разработать актуальную модель угроз безопасности информации в соответствии с [3], которая бы включала в себя перечень угроз, упорядоченных по выбранным параметрам, источники этих угроз, и негативные последствия, к которым они могут привести, и учитывала специфику данного предприятия.
В настоящее время, к сожалению, недостаточно работ, в которых бы проводились исследования по определению режима безопасности предприятий в зависимости от их специфики. При обеспечении информационной безопасности значимым фактором является специфика, начиная от форм собственности и заканчивая оснащенностью ИКТ, в ней учитываются особенности тех или иных предприятий, именно специфика определяет модель угроз безопасности информации [4]. Дело в том, что невозможно корректно моделировать угрозы ИБ вне зависимости от особенностей конкретного предприятия.
Стратификация типов предприятий при организации удаленного режима работы
В нашей работе, приступая к моделированию угроз безопасности информации в качестве ключевого этапа заявляется классификация предприятий, учитывающая их специфику. Построение модели напрямую зависит от особенностей вида предприятия. Важно, что при этом предлагается деление предприятий на простые, сложные и комплексные по ряду критериев, исходя из оснащенности системами информационных технологий и информационно-коммуникационные технологий, формы собственности, размера предприятия и др. Критерии стратификации предприятий представлены в таблице 1.
Таблица 1
Стратификация предприятий с учетом их специфики
|
Простые |
Сложные |
Комплексные |
|
|
ограниченного доступа, в том числе сведения составляющие гостайну;
Сложная топология взаимодействия между сотрудниками предприятия, контрагентами (партнерами) и потребителями. |
|
Your Own Device (использование личных устройств (ПК, ноутбуков, моб. телефонов сотрудников)), значит, обеспечить безопасность корпоративных данных будет сложнее; |
Хорошо известно, что различные информационные системы и их объекты могут подвергаться различному спектру угроз ИБ, которые зависят от особенностей и специфики отдельных информационных систем предприятий и включенных в них элементов. Нами было установлено, что стратификация предприятий на простые, сложные и комплексные оказывается значимым в ходе построения модели угроз безопасности информации, в частности и при осуществлении удаленного формата работы.
Заключение
Удаленная работа предоставляет сотрудникам предприятий целый ряд преимуществ, начиная от экономии личного времени и денежных средств на дорогу до места работы и заканчивая высокой производительностью труда [5], но помимо этого, такая форма труда создает условия для возникновения рисков информационной безопасности.
Для того, чтобы уровень информационной безопасности отвечал всем нормативным требованиям, важно разработать актуальную модель угроз ИБ. Модель угроз безопасности информации является критическим компонентом внутреннего набора документов информационной безопасности, который должен включать определение потенциальных угроз для конкретной информационной системы предприятия. Эта модель является основой для принятия решений о том, как нейтрализовать и противодействовать существующим угрозам. При этом, эффективность противодействия зависит от качества модели угроз безопасности, высокие характеристики которой достигаются, если она построена, исходя из специфики конкретного предприятия. Поскольку описание особенностей предприятия во многом зависит от реализуемых в нем процессов, для этого была введена стратификация (классификация) предприятий, с ориентацией на формат удаленной работы. В связи с этим, было предложено произвести разделение предприятий, поддерживающих этот формат, на простые, сложные и комплексные по определенным критериям, основываясь на оснащенности системами информационных технологий и информационно-коммуникационными технологий, формы собственности, размера предприятия, количества сотрудников и др. Предложенная стратификация способствует детализации модели угроз, что в свою очередь дает возможность формировать надежные стратегии и тактики ИБ, обосновать расходы и более эффективно распределять выделяемые инвестиции в информационную безопасность, в зависимости от типа предприятий, их существенных признаков и характеристик.
Исследование выполнено при финансовой поддержке РФФИ и МОКНСМ в рамках научного проекта № 20–51–00001.
Литература:
- Афанасьева Д. В. Информационная безопасность при удаленной работе//Известия ТулГУ. Технические науки. — Выпуск 5. — 2021. — С. 289–292.
- ISO 27001 и риски информационной безопасности при переходе на удаленную работу. [Электронный ресурс]. — Режим доступа: https://www.sgs.ru/ru-ru/news/2020/04/iso-27001-i-riski-informacionnoj-bezopasnosti-pri-perehode-na-udalennuyu-rabotu .
- Методика оценки угроз безопасности информации. Методический документ. Утвержден ФСТЭК России 5 февраля 2021 г. [Электронный ресурс]. — Режим доступа: https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/2170-metodicheskij-dokument-utverzhden-fstek-rossii-5-fevralya-2021-g.
- Проталинский O. M., Ажмухамедов И. М. Информационная безопасность вуза//Вестник Астраханского государственного технического университета. Серия: Управление, вычислительная техника и информатика. — 2009. — № 1. — С. 18–23.
- Малышев А. А., Апенько С. Н., Винец А. В. Особенности удаленной работы//Инновационная экономика и общество. — 2018. — № 3(21). — С. 76–81.
