Виды защиты конфиденциальной информации

Существует 4 вида защиты конфиденциальной информации. Они описаны в ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения». В документе говорится о следующих видах защиты информации (далее — ЗИ):

1.            правовая защита;

2.            техническая (ТЗИ);

3.            криптографическая;

4.            физическая.

Что представляет собой каждый из этих четырех видов, на чем основывается и как реализуется защита важных данных в рамках каждого из них — об этом в нашей статье.

Правовая защита конфиденциальной информации

Под правовой защитой информации понимается защита, которая базируется на 3 составляющих:

·              Разработка нормативных актов и законов, которыми регулируются отношения субъектов по защите информации.

·              Применение этих документов.

·              Надзор и контроль за надлежащим исполнением их положений.

Что это за документы, и кто их разрабатывает? Создаются они, можно сказать, на самом высоком уровне, — государственными органами и учреждениями. В России правовая защита обеспечивается множеством нормативных документов: указы президента РФ, постановления Правительства, документы ФСТЭК, ФСБ, Роскомнадзора и пр. Углубляться в их изучение следует исходя из специфики деятельности компании. Но все-таки можно выделить 4 основных нормативно-правовых акта, на которых основывается правовая защита конфиденциальной информации. Они актуальны для любой компании, независимо от сферы, в которой она работает. Эти документы представлены в таблице:

Таким образом правовая защита организуется на основе положений нормативно-правовых актов, издаваемых государственными структурами на разных уровнях.

Второй вид — техническая защита информации

При выборе средств технической защиты информации обращайте внимание на наличие у них сертификата ФСТЭК. Иначе в случае проверки ведомством есть вероятность получения запрета на ведение деятельности (в зависимости от специфики данных, с которыми работает компания).

Согласно ГОСТ Р 50922-2006 техническая защита информации реализуется при помощи некриптографических методов. Для этого используются 3 типа средств:

1.            Технические.

2.            Программные.

3.            Программно-технические.

Технические средства включают электронные, электромеханические и физические устройства, встраивающиеся в IT-инфраструктуру для обеспечения информационной безопасности. Таких устройств немало, и они выполняют защиту информации на различных уровнях. Примеры устройств для организации технический защиты конфиденциальных данных:

·              Размыкатели цепи (сети).

·              Экранирующие корпуса для техники, защищающие от утечек информации посредствам паразитных электромагнитных излучений.

·              Технические средства пространственного зашумления (генераторы шума, постановщики помех и иные устройства).

·              Аппаратура контроля линий связи (индикаторные устройства, детекторы поля).

·              Сетевые помехоподавляющие фильтры.

К программным средствам технической защиты конфиденциальной информации относится специализированное ПО. Видов такого программного обеспечения немало. Среди них:

·              Антивирусы: для рабочих станций, виртуальных сред, сложных IT-инфраструктур.

·              Межсетевые экраны.

·              DLP.

·              IPS.

·              IDS.

·              SIEM.

·              UTM.

·              NGEP.

·              Сканеры безопасности

·              Средства резервного копирования.

Программно-технические средства — это решения, объединяющие ПО и устройства. Существуют программно-технические межсетевые экраны, решения для защиты, средства идентификации и аутентификации пользователей, системы защиты периметра и иные решения.

Третий вид — криптографическая защита информации

Специальные средства осуществляют криптографическое преобразование защищаемой информации. Даже если она будет перехвачена, с расшифровкой возникнут проблемы. Расчеты показывают, что, например, для расшифровки ключа длиной 128 бит потребуются миллионы лет. Такие средства могут быть программными или аппаратно-программными. С их помощью шифруются документы, управляющие сигналы, подписи и другая важная информация. Реализовать криптографическую защиту информации можно с помощью ЭЦП, криптопровайдеров, специализированных браузерных плагинов, эмуляторов доверенной среды и прочих средств.

Физическая защита конфиденциальной информации

В этом случае речь идет об ограничении физического доступа к защищаемым данным. Для этого используются СКУД и их отдельные компоненты (системы видеонаблюдения, домофоны и пр.). Обычные замки или запирающие устройства тоже успешно справляются с этой функцией.

На какой вид сделать упор? Все зависит от специфики деятельности компании. Но в любом случае вам придется изучить документы, регламентирующие правовую защиту. Также (учитывая факт, что любая деятельность не обходится без технических решени) второй вид защиты информации придется изучить. Без физической тоже никуда: организовать хотя бы пропускной режим нужно практически каждому. А вот насчет криптографии можно определиться после анализа вероятных угроз важным данным, с которыми работает компания.