Защита информации с ограниченным доступом

В связи с активным развитием новых технологий организации переводят большую часть информации в электронное поле. Некоторые категории данных относятся к строго конфиденциальным, поэтому важно не допустить их утечки. Следует использовать надежные инструменты защиты информации с ограниченным доступом, о которых и пойдет речь в этой статье.

Понятие информации ограниченного доступа

Информацию можно условно поделить на общедоступную и конфиденциальную. Из первого определения понятно, что такие данные не являются секретными, поэтому не нуждаются в усиленной защите. Если существуют закон или нормативный акт, диктующий ограничение доступа относительно каких-либо сведений, то последние считаются конфиденциальными. Есть еще одно условие для такой классификации — секретная информация должна быть задокументирована, то есть сохранена на материальных носителях.

Информации ограниченного доступа присваивается одна из трех степеней секретности:

• Секретно.

• Совершенно секретно.

• Сведения особой важности.

Ограничение доступа к таким данным устанавливается с целью обеспечения безопасности государства, соблюдения законных интересов фигурирующих в сведениях лиц, защиты конституционного строя. Соблюдение конфиденциальности является обязательным условием и регулируется федеральными законами. И, конечно, подразумевается усиленная защита информации с ограниченным доступом.

Виды информации, к которой ограничивают доступ

Полный список можно найти в президентском указе №188 «Об утверждении перечня сведений конфиденциального характера», датированном 6 марта 1997 года. Там описаны нюансы, касающиеся следующих категорий сведений:

• Персональные данные — сведения о конкретных людях, раскрытие которых угрожает безопасности жизни и здоровья, репутации. Исключение — информация, появляющаяся в общественных источниках с разрешения этих лиц или в других случаях, предусмотренных законом.

• Тайна судопроизводства и следствия — информация о фигурантах дел, о ходе и итогах расследований.

• Профессиональная тайна — данные, связанные со специфической деятельностью конкретных организаций.

• Служебные сведения — информация, доступная сотрудникам государственных органов.

• Коммерческая тайна — сведения, имеющие отношение к коммерческой деятельности компаний.

Под защиту информации с ограниченным доступом подпадает сущность изобретений или промышленных образцов. Эти сведения считаются конфиденциальными до момента их официального обнародования.

Правовое поле в вопросах данных ограниченного доступа

Основной документ, определяющий принадлежность данных к той или иной категории — ФЗ №149 «Об информации, информационных технологиях и о защите информации», датированный 27.06.2006 г. (редактирован 18.03.2019 года).

Отдельный документ посвящен государственной тайне и защите таких сведений. Это закон РФ №5485-1 от 21.07.1993 года. В законодательных актах также указано, что вопросами классифицирования информации и контролем за соблюдением защитных мер занимается отдельный уполномоченный орган.

Способы защиты информации с ограниченным доступом в корпоративном поле

Некоторые ошибочно полагают, что способы охраны данных внедряют только крупные организации и государственные органы. Однако нет — внутренняя информация любой, даже самой маленькой компании нуждается в защите.

Группы мер по охране конфиденциальных сведений:

• Организационно-юридические — разработка нормативно-правовых документов в каждой конкретной организации. Во всех компаниях должен быть регламент обращения с важными данными. За сохранностью коммерческой тайны следят ФСБ и ФСТЭК, персональных данных — Роскомнадзор. Однако контроль внутри предприятий тоже необходим.

• Инженерно-технические — меры, направленные на внедрение эффективных инструментов, предотвращающих искажение, копирование и незаконную передачу информации. К техническим средствам обеспечения безопасности данных относятся: межсетевые экраны, антивирусное ПО, фильтры, криптографические механизмы, системы управления доступом и тд. Также к этой группе можно причислить физическое оснащение офиса: сигнализации, видеонаблюдение, турникеты, виброакустические глушители.

• Морально-этические — усилия, направленные на внедрение правил информационной безопасности и обучение сотрудников. К сожалению, некоторые работники беспечно относятся к вопросам хранения сведений в тайне, а кто-то намеренно распространяет конфиденциальные данные. Поэтому все чаще практикуется подписание документа о неразглашении и оптимизированное управление привилегированным доступом.

Очень важно, чтобы комплекс мероприятий по защите информации с ограниченным доступом своевременно оптимизировался. Например, технические инструменты обеспечения безопасности нуждаются в актуализации, иначе они перестают в полной мере выполнять свои функции.

Также не следует пренебрегать кадровой безопасностью. При увольнении сотрудников необходимо взять подписку о неразглашении сведений, поменять пароли, изъять пропуски. Действующий персонал тоже нужно проверять на предмет ответственного отношения к конфиденциальным данным. Например, некоторые выводы можно сделать, анализируя поведение человека. Если сотрудник часто опаздывает, в рабочее время посещает личные соцсети или забывает выходить из аккаунтов на сервисах, то скорее всего ему присуща низкая степень ответственности. А значит, такой человек может даже непреднамеренно стать источником утечки важных сведений.

Контролем всех этих вопросов информационной безопасности в организациях занимаются специальные службы. Они отслеживают эффективность технических средств, работают с персоналом, бросают силы на предотвращение и расследование инцидентов кибератак.

Надежный помощник в вопросах защиты информации с ограниченным доступом

Одних усилий службы безопасности организации будет недостаточно для обеспечения сохранности конфиденциальной информации. Поэтому нужен эффективный инструмент контроля — Solar inRights. С помощью этой IGA-системы можно управлять правами доступа, собирать информацию для расследования киберпреступлений, выстраивать регламент обращения с данными внутри компании.

Система позволяет оптимизировать и автоматизировать процесс работы с информационной инфраструктурой. Ее функционал легко подстраивается под нужды конкретной организации, быстро внедряется и постоянно обновляется.

Подведем итог — информация с ограниченным доступом нуждается в усиленной защите от утечки. Важно ввести регламент для сотрудников, отслеживать все действия с данными, внедрить надежные технические инструменты управления. Один из них — Solar inRights, который подойдет для организаций любой специфики.