Разработка и реализация комплекса мер по обеспечению безопасности Компании от внутренних угроз

Зюльманов А.Д.
Выпускник группы CISO-02
Школы IT-менеджмента
РАНХиГС при Президенте РФ

В последние несколько лет в среде специалистов и экспертов по информационной безопасности не стихают разговоры о важности, опасности и распространенности внутренних угроз и злонамеренных действий инсайдеров. Внутренние угрозы могут быть реализованы сотрудниками компании и принести разного рода ущерб их работодателю при успешном осуществлении. Таких внутренних нарушителей обычно и называют инсайдерами, а их деструктивные действия, в т.ч. потенциальные, могут лежать как в плоскости информационной, так и экономической, физической, психологической, кадровой деятельности компании.

Кроме применения классических технических и организационных мер защиты информации, экспертами отмечается также важность использования таких методов предотвращения внутренних угроз, как контроль психологического состояния сотрудников, их экономического положения, уровня их преданности компании, сферы их интересов, а также создание благоприятного для лояльных и неблагоприятного для нелояльных сотрудников микроклимата в компании.

Таким образом, для уменьшения количества вероятных атак, осуществляемых внутренними нарушителями (инсайдерами), необходимо выстраивание доверенной защищенной информационной среды, в которой присутствуют элементы информационной, экономической, физической, кадровой, информационно-психологической безопасности. В данной среде следует создать такие условия, в которых инсайдеру будет затруднительно предпринять действия, создающие хотя бы предпосылки для создания и реализации угрозы.

Целью настоящей Работы является описание реализованных мер по созданию подобной защищенной среды в Компании. Для достижения данной цели были поставлены следующие задачи:

1. Разработка и реализация комплекса мер информационной безопасности;
2. Разработка и реализация комплекса мер экономической безопасности;
3. Разработка и реализация комплекса мер физической безопасности;
4. Разработка и реализация комплекса мер кадровой безопасности;
5. Разработка и реализация комплекса мер информационно-психологической безопасности.

Объектом настоящей Работы является retail-Компания численностью около 1000 работников, занимающаяся производством и продажей модной одежды, аксессуаров, имеющая собственное производство и поставщиков в различных странах мира, точки сбыта продукции (магазины), филиалы в странах СНГ. Данная Компания может рассматриваться как типовая retail-компания, работающая в секторе B2C.

Предметом работы выступают методы создания доверенной защищенной информационной среды в Компании, примененные для минимизации рисков информационной, экономической, физической, кадровой, информационно-психологической безопасности.

В первой части данной Работы описываются пройденные предварительные шаги для достижения поставленных целей:

1. Разработка внутренней нормативной и организационно-распорядительной документации.
2. Описание модели и типа предполагаемого нарушителя, модели угроз.
3. Описана вкратце ИТ-инфраструктура Компании и исходное состояние до начала реализации комплекса мер.

Во второй части Работы описывается методология выбора некоторых решений для реализации мер по обеспечению безопасности Компании от внутренних угроз, указываются плюсы и минусы решений, выявленные по результатам их использования:

1. Выбор DLP-решения.
2. Выбор антивирусного решения.
3. Выбор решения для контроля действий пользователя за ПК.
4. Выбор прокси-сервера.
5. Выбор ПО для контроля сетевого взаимодействия пользователей.
6. Выбор ПО для программной поддержки деятельности в области обеспечения экономической безопасности.

Также во второй части Работы проводится оценка экономической эффективности реализованных мер на основе сведений о проведенных внутренних проверках по инцидентам информационной безопасности, зафиксированным системой DLP.

В третьей части Работы детально описаны пакеты реализованных мер по обеспечению информационной, экономической, физической, кадровой, информационно-психологической безопасности Компании от внутренних угроз, с указанием названия мероприятия, цели, исходного состояния, результата и примечания. В конце части указаны консолидированные результаты применения разработанных и реализованных мер.

В четвертой части Работы приведены некоторые инциденты информационной и экономической безопасности, в отношении которых были проведены внутренние проверки. Кроме того, проведен анализ типов нарушителей и каналов утечки, осуществлено сравнение данных по инцидентам с концепцией «80/20». В данной части также приведены пути для улучшения и перспективы развития сформированной доверенной защищенной информационной среды.

Основные результаты настоящей Работы таковы:

1. Поднята тема взаимосвязанности многих видов безопасности (информационной, экономической, физической, кадровой, информационно-психологической) и затронута тема создания доверенной защищенной информационной среды в типовой retail-компании.
2. Описан набор шагов для создания такой информационной среды, с методологией выбора продуктов и приведением реализованных мер защиты.
3. Проведен расчет экономической эффективности реализованных мер (на примере инцидентов информационной безопасности).
4. Приведены описания «боевых» инцидентов информационной и экономической безопасности с комментариями и анализом.