Разработка комплекса практических рекомендаций по технической защите конфиденциальной информации в организации

Введение
В настоящее время деятельность компаний практически всех отраслей связана с использованием информационных систем. Доступ к необходимой информации на современном этапе развития является неотъемлемой составляющей функционала сотрудников, что приводит к зависимости возможности исполнения служебных функций от качества функционирования объектов ИТ-инфраструктуры.
Актуальность данной темы заключается в том, что каждая организация должна применять технические меры по защите конфиденциальной информации от утечек данных. В рамках работы будет осуществлена систематизация существующих методов и технологий защиты данных, а также предложены практические рекомендации по их внедрению и использованию в конкретной организации.
Цель данного дипломного проекта заключается в разработке методов и алгоритмов по обеспечению защиты информации в условиях работы банковской структуры на примере ПАО «Совкомбанк» (далее по тексту – Банк/организация/компания).
Для достижения поставленной цели необходимо решить следующие задачи:
1.Анализ основных подходов к обеспечению информационной безопасности в условиях работы с объектами критической информационной инфраструктуры Банка;
2.Изучение нормативных актов, регламентирующих мероприятия по защите объектов критический информационной инфраструктуры, принципов отнесения объектов к категории указанного класса;
3.Анализ деятельности исследуемой компании, определение перечня защищаемых информационных ресурсов;
4.Построение модели угроз;
5.Выбор механизмов защиты, посредством которых обеспечивается возможность обеспечения защиты объектов критической информационной инфраструктуры;
6.Анализ правового обеспечения систем защиты информации объектов критической информационной инфраструктуры;
7.Оценка ожидаемого уровня снижения рисков информационной безопасности посредством риск-ориентированного подхода.




1. Защита конфиденциальных данных в организации
1.1. Обзор нормативно-правовых актов в области обеспечения защиты информации в банковской сфере
Специфика деятельности компаний, работающих в финансовом/банковском секторе, предполагает необходимость защиты проведения финансовых транзакций в части соблюдения требований к конфиденциальности, защиты каналов передачи данных, по которым осуществляется работа с платежными сервисами, предотвращение инцидентов, в рамках которых возможно получение доступа к платежным счетам клиентов со стороны злоумышленников.
Проводя классификацию информационных рисков, выделяют следующие критерии: по источникам (внутренние и внешние), по характеру (преднамеренные и непреднамеренные), по виду (прямые или косвенные), по виду нарушения (информационные, физические, организационно-правовые), по механизму воздействия (стихийного бедствия, техногенные, политические, социальные, развитие информационно-коммуникационных технологий).
Классификация рисков в области информационной безопасности имеет важное значение для правильной оценки информационных рисков, охватывающих все возможные инциденты, угрозы информационной безопасности, которые могут привести к нарушению свойств информации. Инцидент информационной безопасности — событие или группа событий, вследствие которых вероятна реализация угроз, связанных с нарушением защищенности системы информационной безопасности на предприятиях.
Рекомендации по предотвращению инцидентов информационной безопасности и методология реагирования на них определены в стандартах ЦБ. В документе СТО БР ИББС-1.0-2010 подробно описаны стадии планирования, эксплуатации, анализа и улучшения системы управления инцидентами безопасности. Там же определена необходимость выполнения организациями банковской системы Российской Федерации деятельности по выявлению инцидентов ИБ и реагированию на инциденты ИБ.
Рекомендации разработаны Центром защиты информации и специальной связи Федеральной службы безопасности Российской Федерации в соответствии с основными положениями документов.
Цели расследования инцидентов информационной безопасности включают:
проведение мероприятий, связанных с устранением последствий возникновения инцидентов информационной безопасности;
определение специалистов, деятельность которых привела к возникновению инцидентов информационной безопасности;
проведение анализа причин возникновения инцидентов и принятие мер к недопущению их повторения.
Единая методика проведения расследований инцидентов информационной безопасности в настоящее время не разработана, однако обычно расследование инцидентов включает этапы:
сбор данных об обстоятельностях возникновения инцидента;
выявление возможных причин, которые сделали возможным возникновение инцидента;
принятие управленческих решений по итогам расследования инцидента;
документирование данных по возникновению и расследованию инцидента.
При проведении сбора информации об инцидентах необходимо провести оценку достоверности полученной информации, возможности отнесения полученной информации к причинам возникновения инцидента, оценку полноты полученной информации об инциденте.
При анализе действий сотрудников необходимо учитывать наличие умысла на возникновение инцидента, либо пренебрежение требованиями защиты информации вследствие халатности. Также проводится анализ полноты принятых мер технического характера по недопущению возникновения инцидента.
Объекты критической информационной инфраструктуры (КИИ) – это информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, а также коммуникационные системы, используемые для организации их взаимодействия. Отнесением информационной системы к категории КИИ является ее использование в деятельности государственных органов в сферах, перечень которых приведен на рисунке 1.

Рисунок 1. Перечень сфер использования информационных систем категории КИИ

Обеспечение защиты информации на объектах КИИ регламентируется специализированными законодательными актами, основным из которых является Федеральный закон РФ №187-ФЗ от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации».
Требования указанного закона включают:
определение порядка отнесения объектов обработки данных к категории КИИ;
определяет порядок использования законодательства, регламентирующего использование объектов КИИ;
определяет уровень полномочий органов власти при работе с объектами КИИ;
определяет порядок оценивания защищённости объектов КИИ.
На рисунке 2 приведена иерархия учреждений, в которых осуществляется работа с объектами КИИ.

Рисунок 2. Иерархия учреждений, в которых осуществляется работа с объектами КИИ
В соответствии с требованиями Федерального закона РФ №187-ФЗ от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации» определены критерии значимости объектов КИИ, включающие:
социальный уровень, предполагающий обеспечение защиты информационных систем, в которых осуществляется обработка информации, нарушение функциональности которой может приводить к негативным последствиям в жизни общества и невозможности исполнения социальных обязательств (к данной категории относятся информационные базы ПФР, органов социальной защиты, банков, структуры ЖКХ, сервисов предоставления государственных услуг и др.);
политический уровень, включающий необходимость обеспечения защиты от угроз функционирования систем, обеспечивающих поддержку деятельности органов власти и силовых структур;
экономический уровень, включающий необходимость обеспечения защиты от угроз функционирования систем, обеспечивающих возможности денежного оборота, проведения расчётов внутри и за пределами страны;
экологический уровень, необходимость обеспечения защиты от угроз функционирования систем, обеспечивающих поддержку экологических систем;
уровень безопасности, в рамках которого осуществляются мероприятия по защите объектов, используемых в целях обеспечения обороноспособности.
Порядок категорирования объектов КИИ и определение мероприятий по защите информации в них регламентируются Постановлением Правительства РФ № 127 от 08.02.2018.
Отнесение объекта к той или иной категории объектов КИИ проводится на основании критериев, включающих:
оценка объемов вероятного ущерба при возникновении инцидентов на объектах КИИ;
оценка объемов вреда объектам инфраструктуры при возникновении инцидентов на объектах КИИ;