Сутність та сучасні принципи використання інформаційної безпеки на підприємстві

Сороківська О.А. визначає інформаційну безпеку підприємства як суспільні відносини щодо створення і підтримання на належному рівні життєдіяльності інформаційної системи суб'єкта господарської діяльності [6].

М. Танцюра характеризує інформаційну безпеку підприємства як збереження конфіденційності, цілісності та доступності інформації. Доступність - це властивість бути досяжним та придатним до використання авторизованими сутностями; цілісність - це властивість захищеності точності та повноти даних; конфіденційність - це властивість захищеності інформації від неавторизованого використання фізичними особами, сутностями та процесами. Інформаційні активи - це знання чи дані, які мають цінність для організації [7].

А. Марущак тлумачить інформаційну безпеку підприємства - як цілеспрямовану діяльність її органів та посадових осіб з використанням дозволених сил і засобів по досягненню стану захищеності інформаційного середовища організації, що забезпечує її нормальне функціонування і динамічний розвиток [8].

Таким чином можна стверджувати, що пріоритетним напрямом у процесі забезпечення інформаційної безпеки підприємства є збереження в таємниці комерційно важливої інформації, що дозволяє успішно конкурувати на ринку виробництва та збуту товарів і послуг.

У більш загальному випадку інформаційна безпека - це стан захищеності інформаційного середовища суспільства, який забезпечує його формування, використання і розвиток в інтересах громадян, організацій, держави [9].

Захист інформації - це процес, спрямований на забезпечення інформаційної безпеки. Визначальними факторами інформаційної безпеки є загроза і ризик. Загрозою називають потенційну причину (подія, порушення, інцидент), що знижує рівень інформаційної безпеки системи, тобто потенційно здатну привести до негативних наслідків і збитку системи або організації.

Ризик являє собою можливий збиток, тобто комбінацію (як правило, твір) ймовірності реалізації загрози і шкоди від неї. Відзначимо, що загроза і ризик визначаються не взагалі, а щодо конкретного об'єкта ресурсу, що захищається. У термінології менеджменту бізнес - процесів замість ресурсу використовується синонімічне поняття - актив, під визначення якого підпадає все, що має цінність для організації.

Прикладами таких активів є: інформація, програмне забезпечення, апаратне забезпечення, інформаційна система (складний актив, що включає попередні), людина, імідж організації. У підсумку, активами представляються всі ті об'єкти, які підлягають захисту шляхом вибудовування процесів інформаційної безпеки.

Загрози класифікують по ряду критеріїв:

- з причини виникнення (природні або техногенні, в тому числі навмисні або випадкові);

- по розташуванню джерела (зовнішні або внутрішні);

- по компрометованій підсистемі або сегменту (мережеві, криптографічні та ін.);

- по етапу формування в життєвому циклі системи (реалізаційні і експлуатаційні);

- за результуючою дією (порушують цілісність, конфіденційність, доступність).

В залежності від виду загроз інформаційній безпеці останню можна розглядати наступним чином:

- як забезпечення стану захищеності особистості, суспільства, держави від впливу неякісної інформації;

- як забезпечення стану захищеності інформації та інформаційних ресурсів від неправомірного впливу сторонніх осіб;

- як забезпечення стану захищеності інформаційних прав і свобод людини і громадянина.

Основні поняття інформаційної безпеки наведені на рисунку 1.

Об'єктами інформаційної безпеки можуть бути: свідомість, психіка людей; інформаційні системи різного масштабу і різного призначення.

До суб'єктів інформаційної безпеки відносяться: держава, що здійснює свої функції через відповідні органи; громадяни суспільні або інші організації і об'єднання, що володіють повноваженнями по забезпеченню інформаційної безпеки у відповідності до законодавства.

Спектр інтересів суб'єктів, зв'язаних з використанням інформаційних систем, можна розділити на наступні категорії (рис. 2): забезпечення доступності, цілісності і конфіденційності інформаційних ресурсів та інфраструктури, що її підтримує.

Рис. 1. Основні поняття інформаційної безпеки

Рис. 2. Базові критерії інформаційної безпеки

Доступність - це можливість за прийнятний час одержати необхідну інформаційну послугу.

Інформаційні системи створюються для отримання певних інформаційних послуг. Якщо за тими або іншими причинам надати ці послуги користувачам стає неможливо, це, очевидно, завдає збитку всім суб'єктам інформаційних відносин. Тому, не протиставляючи доступність решті аспектів, ми виділяємо її як найважливіший елемент інформаційної безпеки.

Основна роль доступності виявляється в різного роду системах управління - виробництвом, транспортом тощо. Зовні менш драматичні, але також вельми неприємні наслідки - і матеріальні, і моральні може мати тривала недоступність інформаційних послуг, якими користується велика кількість людей (продаж залізничних га авіаквитків, банківські послуги тощо).

Під цілісністю мається на увазі актуальність і несуперечність інформації, її захищеність від руйнування і несанкціонованої зміни.

Конфіденційність - найбільш опрацьований аспект інформаційної безпеки. На жаль, практична реалізація заходів по забезпеченню конфіденційності сучасних інформаційних систем характеризується певними труднощами. По-перше технічні канали просочування інформації є закритими, так що більшість користувачів позбавлене можливості скласти уявлення про потенційні ризики. По-друге, на шляху призначеної для користувача криптографії як основного засобу забезпечення конфіденційності стоять численні законодавчі перепони і технічні проблеми.

До основних задач забезпечення інформаційної безпеки належать:

- виявлення, оцінка та прогнозування джерел загроз інформаційній безпеці,

- розробка державної політики забезпечення інформаційної безпеки та комплексу заходів і механізмів її реалізації,

- створення нормативно-правових засад забезпечення інформаційної безпеки, координація діяльності органів державної влади та управління, установ та підприємств по реалізації політики інформаційної безпеки;

- розвиток системи забезпечення інформаційної безпеки, вдосконалення її організації, форм, методів і засобів запобігання загрозам інформаційній безпеці та ліквідації наслідків її порушення,

- забезпечення участі України в процесах створення і використання глобальних інформаційних мереж та систем [12].

Захист інформації, забезпечення інформаційної безпеки повинно носити системний характер, тобто різні засоби захисту (апаратні, програмні, фізичні, організаційні) повинні застосовуватися одночасно і під єдиним управлінням. Існує велика кількість інструментів забезпечення інформаційної безпеки засоби ідентифікації та автентифікації користувачів; засоби шифрування інформації, міжмережні екрани; віртуальні приватні мережі; засоби контентної фільтрації; інструменти перевірки цілісності вмісту дисків; засоби антивірусного захисту, системи виявлення уразливостей мереж і аналізатори мережних атак. Особливе місце займають криптографічні методи для захисту інформації. Інтерес комерційних структур до них значно зріс у зв'язку зі зменшенням вартості перехоплення інформації, що передається електронною поштою чи функціонує в системі електронних платежів. Найпоширенішими вважаються методи кодування та шифрування інформації. Поряд з ними використовуються методи розділення та стиснення даних. У процесі захисту передачі усної інформації використовують методи аналогового скемблірування та дискретизації мови з подальшим шифруванням.

Один із перспективних напрямів захисту інформації є розроблення методів стенографії, що базуються на різних принципах, забезпечують таємницю самого факту існування секретної інформації в тому чи іншому середовищі за допомогою відповідних засобів: невидимих чорнил, мікрофотознімків, таємних каналів та засобів зв'язку з плаваючими частотами тощо. Незважаючи на використання зазначених методів, забезпечення інформаційної безпеки підприємства на належному рівні можливе лише тоді, коли інформаційна складова економічної безпеки розглядатиметься як невід'ємний елемент процесу управління підприємством.

Досвід показує, що практично кожне підприємство має антивірусні засоби захисту, системи ідентифікації користувачів, системи управління доступом до інформаційної системи тощо. Тобто потенціал засобів захисту є, але він не реалізується фірмами повністю. Більш того, володіючи складними апаратними засобами захисту інформації, більшість підприємств навіть наполовину не використовують їх потенціал. Переважна більшість вимог стандартів інформаційної безпеки можуть бути реалізовані наявними у фірм засобами захисту [13].

Таким чином, комплексне забезпечення інформаційної безпеки автоматизованих систем - це сукупність криптографічних, програмно-апаратних, технічних, правових, організаційних методів і засобів забезпечення захисту інформації при її обробці, зберіганні та передачі з використанням сучасних комп'ютерних технологій [14].

Сучасне підприємство повинно вміти належним чином будувати політику інформаційної безпеки, тобто розробляти і ефективно впроваджувати комплекс превентивних заходів по захисту конфіденційних даних та інформаційних процесів. Така політика передбачає відповідні вимоги на адресу персоналу, менеджерів і технічних служб [15].

Важливим є визначення етапів побудови політики інформаційної безпеки, а саме:

- реєстрація всіх ресурсів, які мають бути захищені;

- аналіз та створення переліку можливих загроз для кожного ресурсу;

- оцінка ймовірності появи кожної загрози;

- вжиття заходів, які дозволяють економічно ефективно захистити інформаційну систему [16].

На практиці інформаційна безпека включає сукупність напрямів, методів, засобів і заходів, що знижують вразливість інформації і перешкоджають несанкціонованому доступу до інформації, її розголошенню або витоку.

Структура системи залежить від об'єму та цінності інформації, характеру можливих загроз безпеки інформації, необхідної надійності захисту і вартості системи. Більшість фахівців у галузі захисту інформації вважають, що інформаційна безпека підтримується на належному рівні, якщо всі інформаційні ресурси системи дотримуються відповідного рівня конфіденційності, цілісності (неможливості навмисної або випадкової її модифікації) і доступності.

Можна виділити такі підсистеми ефективного захисту інформації на підприємстві

- Підсистема антивірусного захисту шлюзів входу в мережу Інтернет, файлових серверів, робочих місць користувачів, централізованого управління, періодичного оновлення антивірусних баз даних.

- Підсистема управління контролем доступу та ідентифікацією в інформаційній системі.

- Підсистема міжмережного екранування, яка дозволяє реалізувати безпеку міжмережної взаємодії через використання програмних і програмно-апаратних міжмережних екранів.

- Підсистема криптографічного захисту, яка гарантує безпеку передачі інформації завдяки шифруванню даних.

- Підсистема забезпечення цілісності інформації та програмного середовища шляхом застосування відповідних засобів для фіксації та контролю стану програмного комплексу, управління зберіганням даних для резервного копіювання та архівування.

- Підсистема захисту від інсайдерів, яка контролює дії порушників, реалізує інформаційну безпеку при управлінні доступом і реєстрації.

- Підсистема захисту систем управління базами даних.

- Підсистема виявлення вторгнень і спроб несанкціонованого доступу до інформаційних ресурсів підприємства. Підсистема забезпечує реалізацію захисних заходів з протидії атакам хакерів і поширенню спаму.

- Підсистема захисту мобільних пристроїв.

- Підсистема моніторингу подій інформаційної безпеки, яка дозволяє своєчасно виявляти загрози інформаційній системі та оперативно реагувати на них [11].

Висновки та перспективи подальших досліджень. В економічній сфері забезпечення захисту інформаційних ресурсів та комунікативних каналів від конкурентної розвідки є передумовою успішності будь-якого бізнесу; підтримка вітчизняних виробників високотехнологічної продукції, формування вітчизняної індустрії інформаційних послуг, комплексна інформатизація виробничих процесів сприяє розвитку промисловості; дотримання вимог інформаційної безпеки в системах збирання, обробки, зберігання і передачі статистичної, фінансової, біржової, податкової та митної інформації забезпечує конкурентні переваги.

Проблема інформаційної безпеки має особливе значення в умовах, коли в суспільстві зрозуміли, що інформаційні ресурси є об'єктом власності і мають товарну цінність. Вона не може бути вирішена без впровадження нових ідей, нових знань, нової політики у сфері інформатизації.

Література

1. Балашов П.А. Оценка рисков информационной безопасности на основе нечеткой логики / ПА. Балашов, В П. Безгузиков, Р.И. Кислов // [Електронний ресурс] - Режим доступу: http://www nwaktiv.ru/textstat2/index.htm 1

2. Корченко А.Г. Методы анализа и оценки рисков потерь государственных информационных ресурсов / Корченко А.Г., Щербина В.П., Казмирчук С.В. // Защита информации - 2012. - №1. - С. 126-139.

3. Батюк А Є Інформаційні системи в менеджменті / А.Є Батюк, З.П. Двуліт, К М. Обельовська, ЇМ Огород ні к, Л.П. Фабрі. - Львів: «ІнтелектЗахід», 2004 - С 343-384.

4. Казакевич О. Ю Предприниматель в опасности: способы защиты Практическое руководство для предпринимателей и бизнесменов / О Ю. Казакевич, Н В Конев. - М. Юрфак МГУ, 2011. - 152 с.

5. Ананский Є. В Защита информации - основа безопасности бизнеса, журнал «Бизнес и безопасность». - 2009. - С 18.

6. Бродська Д.В. Оцінка продуктивності підприємства як складова системи забезпечення його ефективного функціонування / Д В. Бродська [Електронний ресурс] - Режим доступу: http://vestnikdnu ua/archive/201264/brodska.html

7. Ортинський В.Л. Економічна безпека підприємств, організацій та установ і В.Л. Ортинський [Електронний ресурс] - Режим доступу: http://westudents.com ua/glavy/16529 - 126-bezpeka-pdprimstva-v-nformatsyny-sfer - .html

Размещено на Allbest.ru