Нарушения в сфере информационной безопасности

Нарушения в сфере информационной безопасности встречаются в работе любой компании. Разница только в их количестве и серьезности. За последние десятилетия информация стала одним из главных ресурсов, поэтому ее ценность многократно возросла. Несмотря на систему защитных мер, технологий обработки данных, использование безопасных коммуникационных каналов, даже незначительное отступление от правил обработки сведений, политик безопасности способны привести к серьезным утечкам внутри компании и спровоцировать массу неприятных последствий.

Нарушения в области информационной безопасности: виды

• Непреднамеренные случайные ошибки в работе. Возникают при выполнении многопоточных, шаблонных действий оператором информации, системным администратором. Это могут быть неправильно внесённые или сохранённые данные, передача сведений по небезопасному каналу, использование незащищённых носителей информации, предоставление неконтролируемого удаленного доступа к БД.

• Кража или подмена сведений. Выполняются сотрудником компании в целях скрыть противоправные действия или улучшить текущую ситуацию в свою пользу. Характерна в первую очередь для персонала низшего и среднего звена. Среди типичных инцидентов – подмена статистики и отчетности, копирование документов или рабочих файлов, продажа коммерческой тайны.

• Внешние атаки. Спровоцированы злоумышленниками, направлены на получение доступа к БД компании, перехват важных сведений. Обычно это заранее подготовленные действия преследующие конкретную цель.

Большинство зафиксированных нарушений приходится на случайные происшествия, о которых зачастую виновник даже не подозревает, пока ситуация не выйдет из-под контроля. В связи с этим важно постоянно контролировать деятельность сотрудников и минимизировать риски утечек.

Какие грубые нарушения в сфере информационной безопасности чаще всего совершает персонал компании?

• Использование одинаковых, простых паролей для всех приложений, учетных записей.

• Передача своего логина и пароля другим работникам.

• Хранение конфиденциальной информации в общедоступных облачных сервисах и открытых документах.

• Передача конфиденциальных сведений другим компаниям без официального запроса с их стороны.

• Использование единой почты для работы и личных целей.

• Пренебрежение архивацией важных файлов.

• Оставленный включенный компьютер без присмотра.

• Пренебрежение уничтожением ненужных документов в шредере.

Зачастую при отсутствии должного контроля персонала со стороны руководства и службы безопасности отмечается как минимум 2-3 из перечисленных нарушений у более чем половины сотрудников. Нарушение правил информационной безопасности или их игнорирование многократно повышают риски информационных утечек. Необходимо автоматизировать большую часть выполняемой сотрудником работы и контролировать правомерность выполняемых ими действий.

Какая ответственность за нарушение информационной безопасности грозит виновникам?

В случае выявления явных нарушений в области информационной безопасности при выполнении трудовой деятельности руководство компании вправе принять ряд следующих мер против нарушителя:

• Вынести устное замечание или выговор виновному лицу.

• Лишить работника премии.

• Произвести увольнение.

При вынесении меры наказания персонала принимаются во внимание характер совершенных действий, последствия, размер причиненного ущерба организации. Нарушения в сфере информационной безопасности принято подразделять на:

1. Пассивные. Включают получение, использование данных в личных целях, а также изучение информации и ее характеристик без прямого доступа. Как правило, такие действия не несут повышенной угрозы для компании, поэтому караются минимально.

2. Активные. Связаны с модификацией первоначальных данных, их подменой, уничтожением, угрозой нарушения целостности информационной системы. Подобные действия несут в себе повышенные риски для финансового благополучия и конкурентоспособности компании, поэтому к нарушителям применяются наказания по всей строгости внутренних правил и условий трудового договора.

Для пресечения регулярных нарушений персоналом информационной безопасности рекомендуется регулярно подвергать проверкам подразделения организации на соответствие предъявленных требований, вести мониторинг ситуации и контроль пользователей. В этом деле помогут DLP-системы, например, Solar Dozor. Если игнорировать уже случившиеся инциденты, то рано или поздно они приведут к серьезным финансовым потерями и удару по репутации компании.