Контроль эффективности защиты информации (КЭЗИ)

• Что такое контроль эффективности защиты информации
• Почему нужно защищать информацию
• Виды контроля по ГОСТ Р 50922–96
• Система документов по организации защиты информации
• Как обеспечить КЭЗИ
• Заключение

Что такое контроль эффективности защиты информации

КЭЗИ – это совокупность действий, с помощью которых проверяют соответствие качественных характеристик и количественных метрик установленным требованиям и нормам.

Существует ряд мероприятий по контролю эффективности защиты информации. Их основные цели:

• Обнаружить и предотвратить утечки данных через технические каналы связи. Так делает программное решение Staffcop, которое контролирует переписку в почте и мессенджерах.
• Предотвратить несанкционированный доступ к информации. Staffcop контролирует подключение внешних носителей.
• Предотвратить воздействия, которые могут повредить информацию или оборудование.

Для контроля проводят:

• Проверку на соответствие созданной в компании системы контроля нормативно–правовым документам и уставным документам организации.
• Оценку выполнения требований установленных документов по защите информации.
• Проверку технических средств защиты информации.

Почему нужно защищать информацию

Требования к конфиденциальности и защите информации могут быть определены федеральными законами, например это банковская тайна и личные данные, а также политикой компании о коммерческой тайне. Можно определить следующие причины ЗИ:

• Предотвращение утечек и искажений данных.
• Обеспечение доступности конфиденциальной информации только авторизованным пользователям. С этим отлично справляется Staffcop, ПО осуществляет контроль данных, ресурсов и привилегированных пользователей, аудит доступных сведений, система также предотвратит доступ к важной информации и ее передачу третьим лицам.
• Соблюдение законодательства.
• Предотвращение ущерба организациям от утечки или потери данных. Поддержка непрерывности бизнес–процессов и сохранность активов.

Виды контроля по ГОСТ Р 50922–96

Для того чтобы стандартизировать деятельность организаций по защите информации и определить основные понятия в этой области, государство разработало ГОСТ Р 50922-96 «Защита информации. Основные термины и определения». Согласно этому документу, контроль эффективности защиты информации подразделяется на два вида:

1. Организационный:

• проверка на соответствие нормативно-правовым документам, а также правилам организации;
• оценка выполнения требований по защите информации;
• контроль за мерами защиты информации.

Технический:

• проверка состояния устройств защиты информации;
• проверка эффективности технических методов защиты информации;
• проверка состояния инженерных устройств защиты информации.

В зависимости от статуса информации и требований безопасности выбирается периодичность, объекты и субъекты контроля. Результаты всех мероприятий по контролю обязательно оформляются в письменной форме и заносятся в технический паспорт объекта контроля. Контролируют состояние защищенности аттестованного объекта информатизации не реже одного раза в год.

Система документов по организации защиты информации

Сохранение данных и предотвращение их потери требует комплексного подхода, в том числе используются организационные методы контроля эффективности защиты информации, которые связаны с системой документов по ЗИ.

Точного перечня документов нет – всё зависит от вида бизнеса. Назовем наиболее актуальные документы, которые должны быть в компании, чтобы обеспечить защиту данных и избежать проблем при проверках:

• положения и распоряжения о защите данных;
• должностные инструкции ответственных за технологии и доступ к информации;
• список лиц с доступом к важной информации;
• правила пользования защищенными ресурсами;
• журналы по ИБ-безопасности.
• В организации также могут быть разработаны документы, которые регламентируют вопросы обработки и хранения личных данных, использования криптографии для защиты системы.

Важно!

В разработке подобного рода документов обязательно должны принимать участие специалисты по информационной безопасности.

Как обеспечить КЭЗИ

Чтобы обеспечить контроль эффективности защиты информации, нужно предпринять следующие шаги:

• Разработать политику информационной безопасности компании.
• Обеспечить средства контроля, которые помогут снизить риски, и протестировать их.
• Не менее 1 раза в год проводить оценку КЭЗИ, которая поможет обнаружить проблемы в системе и вовремя их устранить.
• Обучить персонал — коллектив должен понимать значимость ИБ, свою ответственность и знать политику компании в этой сфере.

Заключение

Проблема защиты информации и контроля ее эффективности нередко возникает в организациях, где аккумулируется информация, доступ к которой ограничен. Выбрать подходящее ПО в настоящее время – задача непростая, так как такие решения часто разрабатывались зарубежными компаниями. Но российские разработчики не стоят на месте. И примером отечественной разработки является Staffcop Enterprise от российской IT компании ООО «АТОМБЕЗОПАСНОСТЬ».

Staffcop Enterprise — российская система для расследования инцидентов внутренней информационной безопасности:

• Раннее обнаружение угроз ИБ.
• Расследование инцидентов.
• Анализ поведения пользователей.

Мы предоставляем 15 дней на бесплатное тестирование. Оцените полный функционал Staffcop Enterprise прямо сейчас.