Благополучие компании зависит от сохранности и защищенности информации от постороннего вмешательства. Однако ежегодно увеличивается число вирусных программ, злоумышленных сетевых атак, угроз нарушения конфиденциальности, что отражается на финансовом состоянии компании, причем, приносит существенный ущерб. На предприятии защищают данные, обрабатываемые в автоматизированной системе управления и задействованные в бизнес-процессах предприятия.
Систему защиты информации внедряют чтобы:
- предотвратить утечку, хищение, утрату, искажение и подделку данных;
- предотвратить незаконное вмешательство в информационную систему, документацию и ресурсы предприятия;
- предотвратить несанкционированные действия по уничтожению, копированию, блокированию данных;
- предотвратить угрозы безопасности сотрудников;
- защитить конституционные права в отношении конфиденциальности информации;
- сохранить конфиденциальность документации;
- застраховаться от природных угроз уничтожения информации.
Систему защиты информации строят на основании следующих принципов:
- защита обязана контролироваться;
- защита должна быть приемлемой для пользователей;
- самая важная информация всегда должна контролироваться ответственным лицом;
- информация должна разделяться на блоки, доступ к которым предоставляется разным пользователям;
- привилегии по доступу к данным должны минимизироваться;
- с целью предотвращения несанкционированных действии должны быть установлены ловушки;
- система управления защитой должна быть независимой от пользователей;
- система должна быть устойчива к временным рамкам и неблагоприятным обстоятельствам;
- данные должны периодически дублироваться, сохраняться архивная копия важной информации;
- ответственность за обеспечение безопасности должна ложиться на конкретного сотрудника или службу;
- общие механизмы защиты должны быть минимизированными.
Систему защиты информации создают в следующем порядке:
1.Определяются объекты защиты.
2.Выявляются угрозы для информационной системы и оценивается уровень их вероятности.
3.Оценивается ущерб обозначенных угроз.
4.Приводятся меры защиты и определяется их недостаток на конкретном предприятии.
5.Выявление необходимых мер защиты.
6.Приводится организационное финансовое и юридическое обеспечение защитных мер.
7.Введение системы защиты информации.