Послуги з ІТ-безпеки для малого та середнього бізнесу

1. Побудова інформаційної системи
2. Централізація інформаційної системи
3. Захист від витоків інформації
4. Захист голосових каналів передачі інформації
5. Захист клієнтської бази
6. Захист системи клієнт-банк, мереж Wi-Fi, резервних копій
7. Не тільки технічні засоби
8. Збираємо елементи в повноцінну систему
9. Доручіть сади садівнику

Незважаючи на багатовікову історію розвитку інформаційної безпеки, багато керівників все ще сприймають її, оперуючи досвідом першого періоду. Тоді, до 19-го століття, основним завданням її був захист відомостей життєво важливих для певної людини або кола людей від попадання в сторонні руки.

За останні двісті років, завдяки швидко наростаючому темпу розвитку технічних засобів, інформаційне середовище кардинально і стрімко еволюціонувала. Це спричинило за собою розширення завдань інформаційної безпеки, які перекреслили можливість застарілих підходів. Перетворення і глобалізація інформаційних систем змусили повністю переглянути підхід до категорії інформаційної безпеки. Одних тільки класифікацій загроз нараховуються десятки: за характером, по тяжкості, за спрямованістю, по об'єкту, по завершеності, по мотивації, за походженням і багато інших. Але, на жаль, ще дуже часто зустрічаються застарілі або односпрямовані підходи, безграмотні забобони і помилки.

Побудова інформаційної системи

До завдань цієї статті абсолютно не входить студіювання теорії або стомлення читача просторовими міркуваннями. Ми пропонуємо розглянути рішення в сфері інформаційної безпеки на прикладі організації інформаційної системи компаній малого і середнього бізнесу.

З одного боку розвиток інформаційних технологій і глобалізація систем передачі, зберігання і обробки даних породили безліч нових загроз: наприклад, проходячи повз офісної будівлі і опинившись в зоні дії мережі Wi-Fi, можна підключитися до чиєї-небудь корпоративної мережі. Але ця можливість обумовлена ​​лише непрофесійним підходом до організації мережі і ігноруванні ряду характерних загроз. Тому, якщо підходити професійно до питання, озброїтися знаннями в галузях інформаційних технологій та інформаційної безпеки, то можна (і потрібно) створювати продуктивні, доступні (як у фінансовому, так і в інформаційному сенсі), масштабовані, безпечні системи під потреби будь-якого підприємства.

Згадаймо, як наші прапрадіди витрачали багато часу на подорож по старій протоптаною стежкою від одного села до іншого. А коли був винайдений автомобіль, скільки було страхів і противників цього небезпечного нововведення? На сьогоднішній день в світі широка інфраструктура автодоріг, розвитком якої займаються спеціалізовані інститути. Над виробництвом автомобілів, автотоварів, паливно-мастильних матеріалів, в обслуговуванні автотранспорту та автодоріг працюють мільйони людей по всьому світу. Кінцевому користувачеві, крім заправленого авто, залишається лише знати, розуміти і дотримуватися правил безпеки дорожнього руху - можна в шлях. А витрати на транспорт, тим не менш, окупаються завдяки мобільності, доступності, простоті та зручності рішення.

Так і з побудовою інформаційної системи компанії: розвинена інфраструктура магістралей, швидкісні транспортні засоби-потоки, можливість прокладки оптимального маршруту. Вибираємо центр майбутньої інформаційної системи і, грунтуючись на рекомендаціях з інформаційної безпеки, схемою роботи компанії, її потреби в роботі з інформацією, будуємо оптимальну інфраструктуру.

При проектуванні інформаційної системи, як і будь-який інший, необхідно враховувати кожну дрібницю ще до початку проектування. Іншими словами, створення оптимальної моделі обробки інформації - це вже базова її захист, на основі якої ми вибудовуємо інформаційну систему із закладеною в неї безпекою. Це дасть нам можливість гнучко і ефективно розвивати інформаційну безпеку на побудованій системі, рухаючись в обраних напрямках захисту. Але про все по порядку.

Централізація інформаційної системи

Основна суть оптимізації інформаційної системи - це централізація зберігання, обробки і обслуговування комерційної інформації. Розподілена модель обробки даних хороша для міжконтинентальних корпорацій, які, тим не менш, несуть величезні трудові і фінансові витрати на підтримку централізованого управління розподіленою системою. Безконтрольне поширення інформації тягне за собою інформаційний хаос.

Детальніше ознайомитися з нюансами централізації інформаційної системи .

Схема 1 (клацніть для збільшення).

Захист від витоків інформації

Отже, основні завдання щодо забезпечення доступності інформації та забезпечення відмовостійкості дана схема вирішує (Схема 1). А як ця схема буде працювати при необхідності вирішення завдань контролю над інформацією і захисту від витоків? Як вже говорилося, що найбільш ефективний контроль здійснюється централізовано, - вся інформація зберігається і обробляється в одному місці, а значить відстежити і налаштувати те, до якої її частини має доступ співробітник згідно зі своїми обов'язками, не складе труднощів.

Захист від витоків, як і будь-який підхід до безпеки повинен бути комплексним. Інакше ефективність буде такою ж, як, ідучи з дому закрити двері на три замки, але залишити відчиненими вікна. Перше, на що варто звернути увагу: більше 80% витоків відбуваються по необережності, невміння, помилково або злого наміру співробітників компанії (інсайдерів).

Захист голосових каналів передачі інформації

Для захисту голосових каналів зв'язку ми впроваджуємо IP-телефонію. Завдяки цифровій системі передачі голосу, дана технологія сильно ускладнює і робить практично неможливим процес перехоплення телефонних переговорів. Виходить, що захист, створювана даним рішенням, вимагає набагато менше трудовитрат і кваліфікації фахівців, ніж для перехоплення розмов. Нижче наведені найбільш актуальні можливості вирішення.

1. IP-телефонія знижує витрати на зв'язок з філіями і співробітниками поза офісом (передача інформації ведеться через інтернет).
2. Можливість шифрування вбереже від прослуховування телефонних розмов.
3. За журналу телефонії легко знайти будь-який дзвінок і прослухати зміст розмови, що дозволить спростити виявлення винуватця витоку.
4. Об'єднання філій в єдиний адресний простір знизить витрати на зв'язок і підвищить продуктивність співробітників і якість спільної роботи.
5. Інтеграція з різними ERP і CRM системами підвищить ефективність роботи і керованість компанії.

Не менш затребуваною завданням є шифрування розмов в мережах мобільних операторів. Очевидно, що в наше століття мобільних технологій не можна працювати виключно в офісі. Так, маючи в розпорядженні два смартфона і спеціальне програмне забезпечення, можна забезпечити захищену від прослуховування мобільний зв'язок. Для більш вимогливих до безпеки користувачів існують кріптотелефони з шифруванням на апаратному рівні, що виключають можливість «списування» голоси з мікрофона пристрою.

Захист клієнтської бази

У багажі наших впроваджень існує ще одне корисне рішення. Можливість установки аналітичної системи управління взаємовідносин з клієнтами 1C: Підприємство 8. CRM і її інтеграція з IP-телефонією. Це рішення, в основі своїй, запобігає витоку клієнтів з компанії особисто недобросовісному менеджеру з продажу! Як це працює: сервер телефонії передає інформацію про всі вхідні та вихідні дзвінки системі CRM, яка співвідносить номери телефонів з контрагентами і фіксує події в їх картці, також записується зміст розмови. Таким чином, керівник може проаналізувати всі вступники інтереси від клієнтів і їх відпрацювання менеджерами компанії (Схема 2).

Схема 2 (клацніть для збільшення).

Захист системи клієнт-банк, мереж Wi-Fi, резервних копій

Створюючи захищену, продуктивну інформаційну систему, необхідно спочатку враховувати найбільш критичні ризики. Багато керівників і не підозрюють, що їх системні адміністратори ігнорують багато загрози. Ось приклади з нашої практики.

Актуальна проблема щодо захисту робочого місця з системою дистанційного банківського обслуговування (клієнт-банк). Детальніше про актуальність загроз і захисту систем ДБО .

Додаткове резервне копіювання важливої ​​інформації на мережеву систему зберігання даних, яка розташована в віддаленому офісі. Це дозволить зберегти дані в разі пожежі в центральному офісі, затоплення або вилучення серверів. Також необхідно регулярно перевіряти актуальність і цілісність резервних копій.

Сучасні технології Wi-Fi полегшують життя користувачам, що використовують переносні комп'ютери. Але вони ж накладають на адміністраторів підвищену відповідальність по налаштуванню і захисту бездротових мереж. Ми категорично проти використання вразливих систем аутентифікації WPA2-PSK і більш ранніх, які, на жаль, зустрічаються в більшості компаній. Ознайомитися з рішеннями для зручного налаштування і ефективного захисту Wi-Fi .

Не тільки технічні засоби

І на закінчення необхідно сказати ще про одне забобоні. Існує стійке оману, що інформаційну безпеку можна забезпечити лише технічними засобами. Це не так. Як показує практика, в світі не існує ідеальної «захисту від дурня». Це перше. По-друге, безпека - це процес, який необхідно підтримувати, в іншому випадку ефективність заходів прагне до нуля.

На підставі вищесказаного, ми проводимо впровадження наступних організаційних заходів.

1. На рівні керівництва підприємства створюються і затверджуються окремим наказом регламенти інформаційної безпеки компанії.
2. Кожен співробітник підписується під регламентами, підтверджуючи те, що ознайомлений і зобов'язується виконувати правила безпеки.
3. На кадровому рівні проводиться робота по ознайомленню та роз'яснення висунутих вимог дотримання безпеки та їх виконання - співробітники підписують угоду про конфіденційність і комерційну таємницю.
4. На адміністративному рівні проводяться регулярний аудит інформаційної безпеки і виконання співробітниками вимог безпеки.
5. На технічному рівні проводяться регулярні регламентні роботи з підтримки рівня безпеки: перевірка працездатності та відмовостійкості вузлів інформаційної системи, перевірка резервних копій, відпрацювання на навчаннях відмов системи, форс-мажорів і порушень безпеки.

Як видно зі статті, що в забезпеченні інформаційної безпеки немає нічого складного для фахівців, знайомих з теорією, і мають досвід практичних впроваджень. Знання та дотримання цих правил не складніше дотримання правил безпеки дорожнього руху або охорони праці.

Збираємо елементи в повноцінну систему

Нам залишилося лише зібрати воєдино всі ті нюанси, про які говорили раніше і з цих кубиків знань побудувати модель ідеальної, на нашу думку, інформаційної системи компанії. Схема 3 наочно відображає суть цієї моделі. Розглянемо її по етапах, спираючись на ролі, які виконують сегменти системи.

Схема 3 (клацніть для збільшення).

Етап I. Побудова основи. Серцем інформаційної системи компанії, основними апаратними потужностями, є кластер носіїв віртуальних серверів. Він забезпечує роботу, дублювання і резервування будь-яких серверних ролей в залежності від потреб підприємства.

Етап II. Створення системи аутентифікації. Зв'язка контролера домену, центру сертифікатів і RADIUS-сервера забезпечує надійну централізовану авторизацію всіх користувачів системи та ефективне управління призначеними для користувача правами доступу і обліковими записами.

Етап III. Організація роботи користувачів. Кластер серверів терміналів організовує роботу всіх співробітників безпосередньо на серверах компанії. Комп'ютери користувачів, ноутбуки або нетбуки використовуються лише для доступу до термінального сервера, а все навантаження по роботі з офісними програмами беруть на себе сервера компанії. Таким чином, при термінової необхідності, працювати можна навіть з нізкопроїзводітельних планшетів і бюджетних нетбуків. Використання термінальних серверів дозволяє обмежити скачування інформації на локальні пристрої, що виключає необхідність стежити за роботою з документами на останніх.

Етап IV. Захист знімних накопичувачів і портативних пристроїв. Якщо в компанії все ж залишається необхідність роботи певних співробітників з інформацією на мобільних пристроях або використання знімних носіїв, то впроваджується шифрування цього обладнання. Так, при крадіжці або втраті пристрою, важлива корпоративна інформація залишиться недоступною для сторонніх.

Етап V. Організація роботи з обліковими системами. Сервер 1С і сервер системи управління базами даних забезпечують комфортну роботу з обліковою програмою підприємства. Доступ до сервісів забезпечується за допомогою сервера терміналів, але доступність, продуктивність і надійність такого підходу в десятки разів вище, ніж у файлової версії продукту.

Етап VI. Побудова корпоративного сховища інформації. Файловий сервер - центр зберігання документів компанії. Щоб уникнути несанкціонованого доступу до інформації, її крадіжки або втрати ми організуємо каталогізацію даних, розробляємо групові політики безпеки для компанії, налаштовуємо розмежування прав доступу, - зберігання і контроль над даними на цьому сервері.

Етап VII. Впровадження моніторингу за діями користувачів. Крім стандартних журналів систем, додатковий контроль, аналітику роботи співробітників з інформацією, запобігання витоку даних забезпечує сервер моніторингу. Це може бути повноцінна великовагова система запобігання витокам інформації або обмежені програми контролю над діями користувачів. Протоколювання поведінки користувачів дозволить успішно розслідувати інциденти порушення безпеки, а також контролювати використання робочого часу співробітниками. Крім того, системи запобігання витокам сповіщають відповідального працівника про можливості передачі конфіденційних даних і, навіть, блокувати їх.

Етап VIII. Розмежування локальної мережі. Комутатор VLAN, крім функцій звичайного комутатора, відокремлює мережеве простір компанії від уразливого робочого місця з системою «клієнт-банк», а гостьовий Wi-Fi виводить в демілітаризовану зону.

Етап IX. Захист системи клієнт-банк. Для виключення небажаних маніпуляцій з системою дистанційного банківського обслуговування ми перешкоджаємо сторонньому доступу до робочого місця з системою, як зсередини, так і ззовні, а так само проводимо комплекс заходів щодо забезпечення безпеки цього робочого місця.

Етап X. Захист Wi-Fi. Використання передових мережевих технологій дозволяє запобігти злому корпоративної мережі Wi-Fi або доступ до даних компанії через гостьову мережу.

Етап XI. Організація безперебійної зв'язку з центральним офісом. Сервери телефонії, маршрутизації і фільтрації інтернет-з'єднань не особливо вимогливі до апаратного забезпечення - їх ми розміщуємо на одному апаратній сервері. А ось здатність роутера підтримувати динамічну маршрутизацію (OSPF) дозволяє організувати безперебійний доступ до інформаційної системи при «падінні» основного каналу зв'язку.

Етап XII. Захист голосових каналів. Використання IP-телефонії і шифрований протокол TLS запобіжить можливість прослуховування телефонних переговорів компанії.

Етап XIII. Організація контролю входять інтересів. Інтеграція IP-телефонії з системою CRM дозволить відстежувати взаємини з контрагентами, що запобіжить «забирання» клієнтів недобросовісними менеджерами.

Етап XIV. Адміністративний рівень. Створення регламенту інформаційної безпеки, ознайомлення всіх підрозділів і служб компанії з вимогами щодо захисту інформації та підтримки її рівня.

Доручіть сади садівнику

EFSOL - системний інтегратор, спеціалізується на комплексній автоматизації підприємств. Фахівці EFSOL володіють багаторічним досвідом у сфері розробки та впровадження інформаційних систем. Накопичений досвід тисяч впроваджень дозволяє нашим фахівцям відразу бачити реальну проблематику клієнтів і пропонувати рішення, що задовольняють саме їх бізнес-моделі, а не впроваджувати безпеку заради самої безпеки.