какие есть требования к защите информации

Статья 16. Защита информации

Статья 16. Защита информации

ГАРАНТ:

См. комментарии к статье 16 настоящего Федерального закона

1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа;

3) реализацию права на доступ к информации.

2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.

3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.

4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

6) постоянный контроль за обеспечением уровня защищенности информации;

Информация об изменениях:

Федеральным законом от 21 июля 2014 г. N 242-ФЗ часть 4 статьи 16 настоящего Федерального закона дополнена пунктом 7, вступающим в силу с 1 сентября 2015 г.

7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.

5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.

6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.

Источник

Как защитить свои данные

В статье расскажем, какие способы защиты информации используют в 2020 году, какие работают на 100%, а какие не эффективны, а также как защититься при подключении к незапароленному Wi-Fi.

Способы защиты информации

Начнём с того, как защитить информацию как таковую. О способах защиты рассказал эксперт RTM Group Евгений Царёв.

Физические средства защиты информации

Это сейфы, в случае с компанией – системы контроля доступа, запираемые шкафы и прочее. Подходят для безопасности тех носителей, которые не используются, но хранятся продолжительное время. Важно отметить, что металлические шкафы не подходят для хранения магнитных носителей (жёсткие диски), т.к. могут размагничивать носитель. Для жёстких дисков следует применять специальные сейфы.

Аппаратные средства защиты информации

Электрические, электронные, оптические, лазерные и другие устройства. Многие пользуются токенами. Например, для доступа в интернет-банк это самое популярное аппаратное средство защиты информации. Это надёжные средства, если используются правильно, но с удобством есть проблемы. Аппаратные средства можно потерять, сломать и прочее, нужно поддерживать систему управления, причём с элементами логистики.

Программные средства защиты информации

Это простые и комплексные программы. Пример – антивирусы, установленные на большинстве компьютеров.

DLP-система (от англ. Data Leak Prevention)

Это специализированное ПО, которое блокирует передачу конфиденциальной информации и даёт возможность наблюдать за ежедневной работой сотрудников, чтобы найти слабые места в безопасности и предотвратить утечки. Система анализирует циркулирующую внутри компании информацию. Если появляется угроза опасности, информация блокируется, о чём автоматически уведомляют ответственного сотрудника. DLP и SIEM – решения высокого класса, требуют наличия качественной системы обеспечения информационной безопасности. Используются средними и крупными компаниями. Важна правильная настройка. Это основной инструментарий в работе служб информационной безопасности.

Криптографические средства

Кодирование, шифрование, сюда же относится электронная подпись. Как говорил Эдвард Сноуден: «Криптография работает!». Но её использование часто недооценивают. Даже банальное шифрование флешек используют единицы, хотя на них хранится подчас ценная информация.

Храните данные удалённо

Удалённое хранение информации – часто залог сохранности, уверен Луис Корронс, ИБ-евангелист компании Avast: «Лучший способ защитить информацию – хранить непосредственно на устройствах, не загружая на внешние хранилища. Тогда, чтобы украсть данные, злоумышленникам придётся получить доступ к конкретному физическому устройству.

Но такой способ хранения информации трудно применим на практике, а потому не 100% эффективен. Пользователи обмениваются информацией, личными сведениями, часто требуется удалённый доступ.

Второй вариант противоположен первому – использование только облачных хранилищ. Провайдеры с широкими возможностями, например Google, Microsoft, отвечают потребностям большинства людей: предлагают надёжную защиту, пользователь получает доступ к информации из любого места, может обмениваться, совместно работать».

Итак, подведём итог. Обычному человеку достаточно установить на компьютер антивирус. Если информация хранится на флешке (что лучше всего), носитель можно зашифровать или убрать в сейф. Что касается компаний, лучшее решение – нанять эксперта по информационной безопасности. Не стоит экономить на таких сотрудниках. Ценную информацию следует хранить на флешках и жёстких дисках в сейфе, а на рабочие компьютеры установить ПО, отслеживающее угрозы безопасности.

Как защитить информацию при денежных переводах

Как для рядовых граждан, так и для предпринимателей актуальным остаётся вопрос защиты платёжных данных. Ведь в случае кражи будет нанесён прямой финансовый ущерб. Не всегда для защиты средств достаточно 3D-Secure. О правилах сохранности информации рассказал директор по внешним связям в Восточной Европе и Средней Азии координационного центра RIPE NCC Максим Буртиков: «Одних только фишинговых сайтов уже тысячи в одном только Рунете. Копируют сайты банков, авиакомпаний, развлекательных мероприятий. Если не хотите потерять часть сбережений, будьте внимательны, когда собираетесь отправить личную финансовую информацию в интернет, обращайте внимание на названия и ссылки. Создатели фишинговых сайтов используют доменные имена с изменениями, при этом дизайн и функциональность сайта не будет отличаться от оригинала. Эта схема рассчитана на невнимательность увлечённого пользователя.

Прежде чем воспользоваться переводом денег через онлайн-банк, закройте остальные приложения. Это нужно, чтобы исключить использование программы сканера. Её можно подцепить с недобросовестным скаченным приложением и не заметить. Выглядит сканер как прозрачный экран и ничем себя не выдаёт. До тех пор, пока не открываются банковские программы. Тогда пароли копируются в этом прозрачном экране и сохраняются. Через какое-то время приложение банка может начать жить своей жизнью уже без помощи пользователя и неприятно удивлять».

Отдельно стоит упомянуть о передаче данных при подключении к бесплатному незапароленному Wi-Fi. Если подключились к такой сети, лучше не передавайте конфиденциальную информацию (например, номер карты), не совершайте и не оплачивайте покупки – информация о карте не защищена и доступна мошенникам.

Несмотря на то, что банки блокируют подозрительные операции, лучше перестраховаться. Чтобы не переживать за сохранность информации, пользуйтесь специальным программным обеспечением. Например, бесплатным сервисом Hotspot Shield, который создан для организации виртуальной частной сети, гарантирующей безопасную передачу данных по зашифрованному соединению.

Как защитить информацию в почте и соцсетях

Гиганты, такие как Google, Яндекс, придумывают новые способы защитить данные, хранящиеся в почтовых ящиках пользователей. Например, в гугл-почту пользователи теперь заходят через разблокировку смартфона (при попытке зайти в почту на экране мобильного выскочит просьба подтвердить личность), используется двухфакторная аутентификация (такая же опция доступна, к примеру, в Инстаграм) и т.д.

Ещё недавно защита аккаунтов посредством введения кода из СМС (двухфакторная аутентификация) считалась надёжным методом. Однако эксперты говорят, что время этого способа защиты информации ушло.

Комментирует владелец компании Интернет-Розыск Игорь Бедеров: «Двухфакторная идентификация пользователей посредством СМС-сообщения постепенно становится ненадёжной. СМС-сообщения перехватываются, сим-карты пользователей копируются или перевыпускаются злоумышленниками. Сегодня к контрольному сообщению привязаны почты, соцсети, мессенджеры, онлайн-сервисы, банки. Перевыпустить же сим-карту стоит не больше 200 долларов США. Значит, пора искать более эффективный способ защиты аккаунтов. И он существует.

Это шифроблокнот – система кодов, которую невозможно взломать, если только не добраться до самого шифроблокнота. Какими способами такой шифроблокнот технически реализуется сегодня? Это токены для доступа к тем или иным ресурсам, аутентификаторы, которые стали внедрять в почтовые сервисы и соцсети. Принцип работы тут одинаков: у пользователя в непосредственном доступе некий предмет (токен) или запись (аутентификатор), или список кодов. Удалённо такой код не подобрать и не перехватить».

Такую опцию запустил и Инстаграм. На практике это выглядит так. Пользователь скачивает приложение, которое генерирует уникальные коды. Коды нужно записать или сделать скриншот. По ним, а не по коду из СМС, пользователь попадёт в аккаунт, если возникнут проблемы с доступом.

Источник

Законодательство об информационной безопасности: 5 ФЗ о том, как хранить и защищать информацию

В России действуют законы, где описано, как правильно работать с информацией: кто отвечает за ее сохранность, как ее собирать, обрабатывать, хранить и распространять. Стоит знать их, чтобы случайно что-нибудь не нарушить.

Мы собрали для вас пять основных ФЗ о защите информации и информационной безопасности и кратко рассказали их ключевые моменты.

149-ФЗ «Об информации, информационных технологиях и о защите информации»

149-ФЗ — главный закон об информации в России. Он определяет ключевые термины, например, говорит, что информация — это любые данные, сведения и сообщения, представляемые в любой форме. Также там описано, что такое сайт, электронное сообщение и поисковая система. Именно на этот закон и эти определения нужно ссылаться при составлении документов по информационной безопасности.

В 149-ФЗ сказано, какая информация считается конфиденциальной, а какая — общедоступной, когда и как можно ограничивать доступ к информации, как происходит обмен данными. Также именно здесь прописаны основные требования к защите информации и ответственность за нарушения при работе с ней.

Ключевые моменты закона об информационной безопасности:

152-ФЗ «О персональных данных»

Этот закон регулирует работу с персональными данными — личными данными конкретных людей. Его обязаны соблюдать те, кто собирает и хранит эти данные. Например, компании, которые ведут базу клиентов или сотрудников. Мы подробно рассматривали этот закон в отдельной статье «Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать»

Ключевые моменты закона:

При построении гибридной инфраструктуры для хранения персональных данных на платформе Mail.ru Cloud Solutions вы получаете облачную инфраструктуру, уже соответствующую всем требованиям законодательства. При этом частный контур нужно аттестовать, в этом могут помочь специалисты MCS, что позволит быстрее пройти необходимые процедуры.

98-ФЗ «О коммерческой тайне»

Этот закон определяет, что такое коммерческая тайна, как ее охранять и что будет, если передать ее посторонним. В нем сказано, что коммерческой тайной считается информация, которая помогает компании увеличить доходы, избежать расходов или получить любую коммерческую выгоду.

Ключевые моменты закона о защите информации компании:

63-ФЗ «Об электронной подписи»

Этот закон касается электронной подписи — цифрового аналога физической подписи, который помогает подтвердить подлинность информации и избежать ее искажения и подделки. Закон определяет, что такое электронная подпись, какую юридическую силу она имеет и в каких сферах ее можно использовать.

Ключевые моменты закона:

187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»

Этот закон касается компаний, которые работают в сферах, критически важных для жизни государства — таких, что сбой в их работе отразится на здоровье, безопасности и комфорте граждан России.

К таким сферам относится здравоохранение, наука, транспорт, связь, энергетика, банки, топливная промышленность, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Также сюда относят компании, которые обеспечивают работу предприятий из этих сфер, например, предоставляют оборудование в аренду или разрабатывают для них ПО.

Если на предприятии из этой сферы будет простой, это негативно отразится на жизни всего государства. Поэтому к IT-инфраструктуре и безопасности информационных систем на этих предприятиях предъявляют особые требования.

Ключевые моменты закона об информационной безопасности критически важных структур:

Источник

Какие есть требования к защите информации

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Safety of information. System of standards. Basic principles

ОКС 01.040.01
ОКСТУ 0090

Дата введения 2013-09-01

Предисловие

1 РАЗРАБОТАН Федеральным автономным учреждением «Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю» (ФАУ «ГНИИИ ПТЗИ ФСТЭК России»)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

5 ПЕРЕИЗДАНИЕ. Декабрь 2018 г.

1 Область применения

Настоящий стандарт устанавливает цель, задачи и структуру системы стандартов по защите (некриптографическими методами) информации, объекты и аспекты стандартизации в данной области.

Положения настоящего стандарта применяются при проведении работ по стандартизации в области противодействия техническим разведкам, технической защиты информации некриптографическими методами, обеспечения (некриптографическими методами) безопасности информации в ключевых системах информационной инфраструктуры.

Настоящий стандарт является основополагающим национальным стандартом Российской Федерации в области защиты (некриптографическими методами) информации.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ 1.1 Межгосударственная система стандартизации. Термины и определения

ГОСТ 1.2 Межгосударственная система стандартизации. Стандарты межгосударственные, правила и рекомендации по межгосударственной стандартизации. Правила разработки, принятия, применения, обновления и отмены

ГОСТ 1.5 Межгосударственная система стандартизации. Стандарты межгосударственные, правила и рекомендации по межгосударственной стандартизации. Общие требования к построению, изложению, оформлению, содержанию и обозначению

ГОСТ Р 1.0 Стандартизация в Российской Федерации. Основные положения

ГОСТ Р 1.2 Стандартизация в Российской Федерации. Стандарты национальные Российской Федерации. Правила разработки, утверждения, обновления, внесения поправок, приостановки действия и отмены

ГОСТ Р 1.4 Стандартизация в Российской Федерации. Стандарты организаций. Общие положения

ГОСТ Р 1.5 Стандартизация в Российской Федерации. Стандарты национальные Российской Федерации. Правила построения, изложения, оформления и обозначения

ГОСТ Р 1.7 Стандартизация в Российской Федерации. Стандарты национальные Российской Федерации. Правила оформления и обозначения при разработке на основе применения международных стандартов

ГОСТ Р 1.8 Стандартизация в Российской Федерации. Стандарты межгосударственные. Правила проведения в Российской Федерации работ по разработке, применению, обновлению и прекращению применения

ГОСТ Р 1.10 Стандартизация в Российской Федерации. Правила стандартизации и рекомендации по стандартизации. Порядок разработки, утверждения, изменения, пересмотра и отмены

ГОСТ Р 1.12 Стандартизация в Российской Федерации. Термины и определения

ГОСТ Р 7.0.8 Система стандартов по информации, библиотечному и издательскому делу. Делопроизводство и архивное дело. Термины и определения

ГОСТ Р 50922 Защита информации. Основные термины и определения

ГОСТ Р 53114 Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения

3 Термины и определения

В настоящем стандарте применены термины по ГОСТ Р 1.12, ГОСТ Р 50922, ГОСТ Р 7.0.8, ГОСТ Р 53114, ГОСТ 1.1, а также следующие термины с соответствующими определениями:

3.1 система стандартов по защите информации: Совокупность взаимосвязанных стандартов, устанавливающих характеристики продукции, правила осуществления и характеристики процессов, выполнения работ или оказания услуг в области защиты информации.

3.2 технология: Система взаимосвязанных методов, способов, приемов предметной деятельности.

3.3 продукция: Результат деятельности, представленный в материально-вещественной форме и предназначенный для дальнейшего использования в хозяйственных и иных целях.

3.4 процесс: Совокупность последовательных действий для достижения какого-либо результата.

4 Обозначения и сокращения

В настоящем стандарте применены следующие сокращения:

5 Общие положения

5.1 Система стандартов по защите информации является составной частью национальной системы стандартизации Российской Федерации и формируется в соответствии с программами разработки национальных стандартов.

Целью ССЗИ является достижение рациональной упорядоченности организации и содержания работ в области ЗИ, повышение эффективности ЗИ на основе установления общих правил и характеристик для их многократного использования, а также повышение эффективности работ по стандартизации за счет упорядочения структуры системы стандартов, процесса разработки стандартов, учета взаимосвязи стандартов различных систем.

5.2 Основными задачами по формированию и развитию ССЗИ являются:

— установление основополагающих принципов построения, требований к составу и содержанию системы документов в области ЗИ;

— обеспечение единства терминологии в области ЗИ;

— упорядочение объектов и аспектов стандартизации в области ЗИ;

— обеспечение единства организационных и методических подходов к проведению работ по ЗИ;

— установление системы требований по ЗИ, предъявляемых к различным видам ОЗИ, и методов контроля выполнения этих требований;

— установление общих технических требований к СЗИ и СКЭЗИ, методам их испытаний;

— установление общих требований к услугам по ЗИ;

— установление требований к методам и методикам испытаний и оценки качества СЗИ и СКЭЗИ, к методам и методикам измерений в процессе контроля эффективности мероприятий по ЗИ;

— установление требований к метрологическому, информационному и другим видам обеспечения ЗИ.

5.3 Формирование ССЗИ осуществляется во взаимосвязи с другими документами по стандартизации в области ЗИ, используемыми на территории Российской Федерации, с учетом основных принципов стандартизации, установленных ГОСТ Р 1.0, а также следующих дополнительных принципов:

— учет важности и характеристик ОЗИ при определении объектов и аспектов стандартизации в ходе планирования и разработки документов по стандартизации в области ЗИ;

— согласованность и непротиворечивость требований по ЗИ в документах по стандартизации, исключение их дублирования в различных документах, обеспечение унификации требований по ЗИ;

— комплексность охвата взаимосвязанных объектов стандартизации в области ЗИ.

5.4 Основными объектами стандартизации ССЗИ являются:

а) ЗИ как область деятельности:

— противодействие техническим разведкам;

— промышленные объекты, объекты науки, энергетики, жизнеобеспечения;

— объекты органов управления;

— процессы (работы, технологии);

в) угрозы безопасности информации и уязвимости ОЗИ;

г) организация и содержание работ по ЗИ;

д) методы (процессы, работы, технологии) ЗИ и методы контроля состояния ЗИ;

е) техника ЗИ, в том числе:

Источник

Требования к информационной безопасности

Защита данных
с помощью DLP-системы

И нформационная безопасность – это предотвращение любых несанкционированных действий с данными. Обеспечение информационной безопасности важно и для электронных, и для бумажных данных. Главное требование информационной безопасности – полноценная защита конфиденциальной информации, обеспечение ее целостности при полном отсутствии риска нанести ущерб работе предприятия.

Обеспечение информационной безопасности представляет собой комплекс организационных и технических мероприятий, которые должны выполняться в компании в соответствии с разработанной политикой и другими документами, регламентирующими это направление деятельности предприятия.

Выбирать автоматизированную систему, независимо от ее уровня (основная, вспомогательная), нужно в соответствии с отдельным проектом, который должен оформляться документами – техзаданием, техническими требованиями. В них определяются критерии оценивания всех параметров системы, такие как бизнес-функции, информационная архитектура, интерфейсы, требования к построению на предприятии системы информационной безопасности (как подсистемы общей безопасности). Уровень значимости каждого параметра для предприятия в целом определяется его потребностями и особенностями ведения деятельности.

Необходимый опыт и обязанности специалистов, отвечающих за информационную безопасность

Несмотря на то, что профессии, связанные с информационной безопасностью, достаточно популярные, отмечается острая нехватка высококвалифицированных работников.

Есть несколько групп работников, выполняющих функции по защите информации и обеспечению в компании информационной защиты. Каждая специальность имеет свои особенности, такой персонал может иметь разный размер зарплаты, а также специфические требования к обязанностям и наличию определенных навыков.

Специалисты по информационной безопасности (начальный уровень)

Средняя зарплата профессионалов в сфере информационных технологий составляет около 50-70 тысяч рублей в месяц.

К основным обязанностям таких работников относятся:

Главные требования к сотрудникам:

Работники, обеспечивающие информационную безопасность

Опыт работы составляет от трех до шести лет. Эти специалисты получают зарплату на порядок выше (от 70 до 100 тысяч рублей). Они подразделяются на две группы: сотрудники, занимающиеся исключительно работой с программами, и специалисты, обеспечивающие внутреннюю безопасность. Все они отлично разбираются в автоматизированных системах, хорошо владеют информационными программами, техникой.

К основным умениям профессионала по защите информационного ресурса относятся:

Пентестер

Это одна из высокооплачиваемых специальностей в сфере ИТ-технологий (схожая с предыдущей профессией). Отличием данной профессии от предыдущей является умение тестировать ПО на возможное проникновение в него злоумышленников.

В обязанности входит:

Требования по ИБ автоматизированных банковских систем

Давайте подробнее разберемся с требованиями к обеспечению ИБ автоматизированных банковских систем и к специалистам, которые должны защищать информацию.

Существует два вида ключевых требований к системам по ИБ: стандартные и узкоспециальные.

Общие требования: автоматизированная система должна гарантировать хранение конфиденциальной информации.

Автоматизацию надо организовать так, чтобы обеспечивалось выполнение следующих требований:

Специальные требования – это сложный уровень защиты конфиденциальных сведений компании от взлома, распространения и уничтожения.

К специальным требованиям относятся следующие позиции:

Основное средство аутентификации – это схема «имя организации и пароль». Всегда должна быть возможность проведения дифференциации считывания информации.

Требования к парольной политике:

К дополнительным и общим требованиям к работе с системами информационной безопасности относятся:

Основные требования к информационной безопасности

Общепринятым методом войти в систему во время атаки на информационные ресурсы является вход при помощи официального логин-запроса. Технические средства, позволяющие выполнить вход в нужную систему, – логин и пароль.

При авторизации стоит придерживаться нескольких общих требований:

Если используются удаленные терминалы, в компании должны соблюдаться такие основные требования:

К главным требованиям по информационной безопасности во время идентификации пользователей по логину и паролю относятся следующие:
у каждого пользователя должен быть пароль высокого уровня сложности для того, чтобы войти в систему;

Для полноценного обеспечения защиты от взлома пароля надо выполнить ряд требований:

Чтобы специалисты могли обеспечить информационную безопасность всех данных, руководитель компании обязан проводить инструктажи для работников на тему «Предотвращение утечки информации». Важно, чтобы работники предприятия знали о возможных опасностях, которые могут возникнуть в случае, если персональные компьютеры на какой-либо промежуток времени остаются без присмотра. Особенно это касается тех ПК, которые не имеют закрытых от постороннего доступа паролей и находятся в публичном месте или офисе.

Источник