Bank nümunəsində biznesdə informasiya təhlükəsizliyi. Xülasə: Biznesdə informasiya təhlükəsizliyi. İnformasiya təhlükəsizliyi sahəsində işlərin qurulması planı

İnformasiya təhlükəsizliyi müəssisələr
Biznes məlumat təhlükəsizliyi

* Vikipediyadan

İnformasiya təhlükəsizliyi- bu, informasiya mühitinin təhlükəsizlik vəziyyətidir. İnformasiyanın mühafizəsi qorunan informasiyanın sızmasının, qorunan informasiyaya icazəsiz və qəsdən təsirlərin qarşısının alınması üzrə fəaliyyətdir, yəni bu vəziyyətə nail olmağa yönəlmiş prosesdir.

Müəssisənin informasiya təhlükəsizliyi: daxili təhlükə

Bir sıra ciddi mütəxəssislər təşkilatın informasiya təhlükəsizliyi potensial risklərin ümumi sayının 80%-ə qədərini verməklə daxili təhlükəni ən vacib adlandırır. Həqiqətən də, haker hücumlarından orta hesabla zərəri nəzərə alsaq, çox sayda haker cəhdi və çox aşağı effektivliyi səbəbindən sıfıra yaxın olacaq. Bir kadr səhvi və ya insayderin uğurlu vəhşiliyi şirkətə milyonlarla dollarlıq itkilərə (birbaşa və dolayı), məhkəmə çəkişmələrinə və müştərilərin gözündə bədnamlığa səbəb ola bilər. Əslində, şirkətin mövcudluğu təhlükə altında ola bilər və bu, təəssüf ki, reallıqdır. Necə təmin etmək ? Özünüzü məlumat sızmasından necə qorumalısınız? Daxili təhlükəni vaxtında necə tanımaq və qarşısını almaq olar? Onunla mübarizənin hansı üsulları bu gün daha effektivdir?

İçindəki düşmən

Daxili təcavüzkar və ya insayder, girişi olan faktiki olaraq hər hansı bir işçi ola bilər məxfi informasiyaşirkətlər. İnsayderin hərəkətlərinin motivi həmişə aydın olmur, bu da onun müəyyən edilməsində ciddi çətinliklərə səbəb olur. İşəgötürənə qarşı kin saxlayan, yaxınlarda işdən çıxarılan işçi; məlumat sataraq əlavə pul qazanmaq istəyən vicdansız işçi; müasir Herostrat; bir rəqibin və ya cinayətkar qrupun xüsusi yerləşdirilmiş agenti insayderin arxetiplərindən yalnız bir neçəsidir.

İnsayderlərin qərəzli hərəkətlərinin gətirə biləcəyi bütün bəlaların kökü bu təhlükənin əhəmiyyətinin lazımınca qiymətləndirilməməsində yatır. Perimetrix şirkətinin apardığı araşdırmaya görə, şirkətin məxfi məlumatlarının 20%-dən çoxunun sızması əksər hallarda onun çökməsinə və iflasına gətirib çıxarır. Xüsusilə tez-tez rast gəlinən, lakin yenə də insayderlərin ən həssas qurbanıdır Maliyyə institutları, və istənilən ölçüdə - yüzlərlə və bir neçə min işçi heyəti ilə. Əksər hallarda şirkətlərin insayderlərin hərəkətlərindən dəyən zərərin real rəqəmlərini gizlətməyə və ya əhəmiyyətli dərəcədə aşağı qiymətləndirməyə cəhd etmələrinə baxmayaraq, hətta rəsmi olaraq elan edilmiş itkilərin məbləğləri də həqiqətən təsir edicidir. Şirkət üçün maliyyə itkilərindən qat-qat ağrılısı şirkətin reputasiyasının zədələnməsi və müştərilərin etibarının kəskin şəkildə azalmasıdır. Çox vaxt dolayı itkilər faktiki birbaşa zərərdən dəfələrlə çox ola bilər. Belə ki, 2008-ci ildə bir bank işçisinin əmanətçilərin məlumat bazasını Almaniya, ABŞ, Böyük Britaniya və digər ölkələrin xüsusi xidmətlərinə ötürdüyü zaman Lixtenşteyn bankı LGT ilə bağlı iş geniş yayılmışdır. Məlum olduğu kimi, böyük məbləğ Bankın xarici müştəriləri öz ölkələrində qüvvədə olan vergi qanunlarından yan keçərək əməliyyatlar aparmaq üçün LGT-nin xüsusi statusundan istifadə ediblər. Maliyyə araşdırmaları və əlaqəli məhkəmə prosesləri dünyanı bürüdü, LGT isə bütün əhəmiyyətli müştərilərini itirdi, kritik itkilərə məruz qaldı və bütün Lixtenşteyni ağır iqtisadi və diplomatik böhrana sürüklədi. Çox təzə nümunələr üçün də uzağa getməyə ehtiyac yoxdur - 2011-ci ilin əvvəlində Bank of America kimi maliyyə nəhəngi müştərilərin şəxsi məlumatlarının sızması faktını etiraf etdi. Dələduzluq fəaliyyəti nəticəsində bank adları, ünvanları, sosial təminat və telefon nömrələri, bank hesabı və sürücülük vəsiqəsinin nömrələri, e-poçt ünvanları, PİN kodlar və əmanətçilərin digər şəxsi məlumatları olan məlumatları sızdırıb. Yalnız “10 milyon dollardan çox” məbləğ rəsmi şəkildə açıqlansa, bankın itkilərinin real miqyasını dəqiq müəyyən etmək çətin ki, mümkün olacaq. Məlumatların sızmasına səbəb mütəşəkkil cinayətkar qruplaşmaya məlumat ötürən insayderin hərəkətləridir. Bununla belə, təkcə banklara və fondlara deyil, insayder hücumları təhlükəsi altında WikiLeaks resursunda məxfi məlumatların dərci ilə bağlı bir sıra yüksək səviyyəli qalmaqalları xatırlatmaq kifayət edəcək - ekspertlərin fikrincə, kifayət qədər məlumat əldə edilib. dəqiq insayderlər vasitəsilə.

Həyat nəsri

Qəsdən zərər, sızma və ya məxfi şirkət məlumatlarının itirilməsi insayderlərin vurduğu zərərdən daha tez-tez və prozaik bir şeydir. İşçi heyətin diqqətsizliyi və informasiya təhlükəsizliyi üçün lazımi texniki dəstəyin olmaması korporativ sirlərin birbaşa sızmasına səbəb ola bilər. Bu cür səhlənkarlıq nəinki büdcəyə və şirkətin reputasiyasına ciddi itkilər gətirir, həm də geniş ictimai nifaq yarada bilər. Sərbəst, məxfi məlumatları sındırmaq dar bir dairənin deyil, bütün informasiya məkanının mülkiyyətinə çevrilir - sızma internetdə, televiziyada, mətbuatda müzakirə olunur. Rusiyanın ən böyük mobil operatoru Megafon tərəfindən SMS mesajlarının dərci ilə bağlı səs-küylü qalmaqalı xatırlayaq. Texniki heyətin diqqətsizliyi ucbatından SMS-lər internet axtarış sistemləri tərəfindən indeksləşdirilib, abunəçilərin həm şəxsi, həm də biznes xarakterli məlumatlardan ibarət yazışmaları şəbəkəyə daxil olub. Çox yaxın bir hadisə: Rusiya Pensiya Fondunun müştərilərinin şəxsi məlumatlarının dərci. Fondun regional idarələrindən birinin nümayəndələrinin səhvi 600 nəfərin şəxsi məlumatlarının indeksləşdirilməsinə səbəb olub - adlar, qeydiyyat nömrələri, PFR müştərilərinin əmanətlərinin ətraflı məbləğləri istənilən internet istifadəçisi tərəfindən oxuna bilər.

Məxfi məlumatların səhlənkarlıq nəticəsində sızmasının çox yayılmış səbəbi şirkət daxilində sənədlərin gündəlik dövriyyəsi ilə bağlıdır. Məsələn, işçi ofisdən kənarda məlumatlarla işləmək üçün məxfi məlumatlardan ibarət faylı noutbuka, USB diskə və ya PDA-ya köçürə bilər. Həmçinin, məlumat fayl hostinq xidmətinə və ya işçinin şəxsi poçtuna daxil ola bilər. Belə vəziyyətlərdə məlumatlar qəsdən sızmadan istifadə edə bilən müdaxilə edənlər üçün tamamilə müdafiəsizdir.

Qızıl zireh yoxsa bədən zirehi?

İnformasiya təhlükəsizliyi sənayesində məlumat sızmasından qorunmaq üçün ənənəvi olaraq ingilis dilindən DLP abbreviaturası ilə işarələnən müxtəlif informasiya sızmasından mühafizə sistemləri yaradılır. Məlumat sızmasının qarşısının alınması. Bir qayda olaraq, bunlar məxfi məlumatların zərərli və ya təsadüfən sızmasının qarşısını almaq üçün geniş funksionallığa malik ən mürəkkəb proqram sistemləridir. Bu cür sistemlərin bir xüsusiyyəti ondan ibarətdir ki, onların düzgün işləməsi üçün məlumat və sənədlərin daxili dövriyyəsinin ciddi şəkildə düzəldilmiş strukturu tələb olunur, çünki məlumatla bütün hərəkətlərin təhlükəsizliyinin təhlili verilənlər bazası ilə işləməyə əsaslanır. Bu, peşəkar DLP həllərinin quraşdırılmasının yüksək qiymətini izah edir: hətta birbaşa tətbiq etməzdən əvvəl, müştəri şirkət verilənlər bazası idarəetmə sistemini (adətən Oracle və ya SQL) almalı, məlumat axını strukturunun bahalı təhlili və auditini sifariş etməli və yeni təhlükəsizlik sistemi hazırlamalıdır. siyasət. Ümumi vəziyyət, şirkətdəki məlumatların 80% -dən çoxunun strukturlaşdırılmamış olmasıdır ki, bu da hazırlıq işlərinin miqyası haqqında vizual təsəvvür yaradır. Təbii ki, DLP sisteminin özü də çox pul tələb edir. Təəccüblü deyil ki, peşəkar DLP sistemini yalnız əldə edə bilərsiniz böyük şirkətlər milyonlar xərcləməyə hazırdır təşkilatın informasiya təhlükəsizliyi.

Amma kiçik və orta biznesin nə etməli olduğunu təmin etmək lazımdır biznes məlumat təhlükəsizliyi, lakin peşəkar DLP sistemini tətbiq etmək üçün vəsait və imkanlar yoxdur? Şirkət rəhbəri və ya təhlükəsizlik işçisi üçün ən vacib məsələ hansı məlumatı qorumaq və işçilərin informasiya fəaliyyətinin hansı aspektlərinə nəzarət etməkdir. Rusiya biznesində, məlumatı təsnif etmədən və qorunma vasitələrinin effektivliyini hesablamadan tamamilə hər şeyin qorunmasına ehtiyac olduğu fikri hələ də üstünlük təşkil edir. Bu yanaşma ilə, xərclərin miqdarını öyrəndiyiniz olduqca aydındır müəssisənin informasiya təhlükəsizliyi, kiçik və orta biznesin rəhbəri əlini yelləyib “bəlkə də” ümid edir.

Verilənlər bazalarına təsir etməyən və qurulmuş alternativ qorunma üsulları var həyat dövrü məlumat, lakin müdaxilə edənlərin hərəkətlərindən və işçilərin səhlənkarlığından etibarlı qorunma təmin edir. Çevikdir modul komplekslər həm aparat, həm də proqram təminatı ilə (məsələn, antivirus proqramı) digər təhlükəsizlik vasitələri ilə problemsiz işləyir. Yaxşı dizayn edilmiş təhlükəsizlik sistemi həm xarici, həm də daxili təhdidlərdən çox etibarlı qorunma təmin edərək, ideal qiymət və funksionallıq balansını təmin edir. Rusiyanın informasiya təhlükəsizliyi sistemlərinin inkişaf etdiricisi şirkətinin ekspertlərinin fikrincə SafenSoft, optimal xarici təhdidlərdən qorunma elementlərinin (məsələn, müdaxilənin qarşısının alınması üçün HIPS, üstəlik antivirus skaneri) istifadəçinin və proqramların ayrı-ayrı informasiya sektorlarına girişinin monitorinqi və nəzarəti üçün alətlərlə birləşməsidir. Bu yanaşma ilə təşkilatın bütün şəbəkə strukturu mümkün hakerlik və ya virus infeksiyasından tamamilə qorunur və məlumatla işləyərkən personalın hərəkətlərinə nəzarət və monitorinq vasitələri məlumat sızmasının qarşısını effektiv şəkildə ala bilir. Qoruyucu vasitələrin bütün zəruri arsenalının mövcudluğu şəraitində modul sistemlərin dəyəri mürəkkəb DLP həllərindən on dəfə azdır və şirkətin informasiya strukturunun ilkin təhlili və uyğunlaşdırılması üçün heç bir xərc tələb etmir.

Beləliklə, ümumiləşdirək. Təhdidlər müəssisənin informasiya təhlükəsizliyi tamamilə realdır, onları küçümsememek lazımdır. Xarici təhlükələrə qarşı mübarizə ilə yanaşı, daxili təhlükələrə də xüsusi diqqət yetirilməlidir. Xatırlamaq lazımdır ki, korporativ sirlərin sızması təkcə pis niyyətlə baş vermir - bir qayda olaraq, bunlar işçinin elementar səhlənkarlığı və diqqətsizliyi nəticəsində baş verir. Qoruma vasitələrini seçərkən, bütün təsəvvür edilən və ağlasığmaz təhdidləri əhatə etməyə çalışmaq lazım deyil, bunun üçün sadəcə kifayət qədər pul və enerji olmayacaq. Kənardan müdaxilə risklərindən qorunan və şirkət daxilində məlumat axınına nəzarət etməyə və nəzarət etməyə imkan verən etibarlı modul təhlükəsizlik sistemi qurun.

“İqtisadi Təhlükəsizlik Bürosu (Biznes)” şirkəti müəssisələrdə informasiya təhlükəsizliyinin təmin edilməsi ilə peşəkarcasına məşğul olur.

Birinci yerdə maliyyə məlumatlarının mühafizəsi, ikincisi sızmalara qarşı, üçüncüsü isə DDoS hücumlarına qarşı qorunmadır. Və əgər ilk iki xal uzun müddətdir ki, ilk üçlükdə olubsa, deməli, hücumlarla bağlı problem bu yaxınlarda ortaya çıxıb. Bu marağın səbəbi kiçik və orta şirkətlərə DDoS hücumlarının sayının artmasıdır.

Biznesin informasiya təhlükəsizliyinin əsas üsulları:

1. Müdaxilədən qorunma

- şəbəkədə trafikə nəzarət etmək üçün lazım olan proqramların və ya avadanlıqların quraşdırılması. İlk təhlükə (giriş) görünəndə sistem reaksiya verir və girişi bloklayır. Eyni zamanda məsul işçiyə məlumat verilir.

2. Sızıntıdan qorunma

- məxfi məlumatların yanlış əllərə keçməsinin qarşısını almaq üçün tədbirlər kompleksi. Sızıntı iki şəkildə baş verə bilər:

- zərərli oğurluq (casusluq, basqınlar, insayderlər);
- işçilərin nəzarəti ilə əlaqədar (medianın itirilməsi, poçtla parol göndərilməsi, viruslu səhifəyə keçid, məlumat əldə etmək hüquqlarının ötürülməsinə cavabdeh olan şəxslərin olmaması və s.).

Zərərli oğurluq zamanı qorunma üsulları aşağıdakılardır - müəssisəyə giriş rejiminin məhdudlaşdırılması, müşahidə kameralarının quraşdırılması, serverlərdə məlumatların məhv edilməsi vasitələrinin quraşdırılması, məlumatların şifrələnməsi, məlumatların xarici serverlərdə saxlanması.

Bundan əlavə, təsadüfi səhvlərdən qorunmaq üçün təşkil etmək vacibdir - qeyd telefon danışıqları, trafikin və işçinin PC-də işinin monitorinqi, USB kartların şifrələnməsi, RMS-dən istifadə, DLP sistemlərinin tətbiqi və s.

3. İP şəbəkələrinin mühafizəsi

İP şəbəkələrinin, o cümlədən İnternetin sürətli inkişafı çoxlu sayda zamanla sınaqdan keçirilmiş və biznes tərəfindən təsdiqlənmiş təhlükəsizlik alətləri və mexanizmlərinin yaradılmasına və təkmilləşdirilməsinə öz töhfəsini vermişdir. Onların istifadəsi İP şəbəkələri üzərindən məlumat mübadiləsini xüsusi rabitə xətləri ilə məlumatların ötürülməsindən daha təhlükəsiz edir.

IP təhlükəsizliyi reallıqdır.

4. Faylın qorunması

şirkət daxilində kompüterlərdə və serverlərdə saxlanılan bütün ən vacib məlumatların təhlükəsizliyini nəzərdə tutur. O, aşağıdakı kimi həyata keçirilir:

- fayl sistemlərinin (məlumatların) şifrələnməsi- EFS, Qnap, CryptoPro və s. sistemlərdən istifadə;

- noutbukların (netbukların) şifrələnməsi; yaddaş daşıyıcıları, mobil qurğular - proqram təminatı həlləri (Kasperskiy, SecretDisk, Endpoint Encryption) və ya Sony, Asus və digər şirkətlərin şifrələmə modulları;

- sistem administratorundan məlumatların qorunması məsələn, TrueCrypt istifadə edərək;

- monitorinq sistemlərinin izləyicilərində mobilin qeydiyyatı(Kaspersky və ya Prey istifadə edərək);

- müxtəlif elektron fayllara girişin qadağan edilməsi (məhdudlaşdırılması).(ən yaxşı variantlardan biri Active Directory Hüquqlarının İdarə Edilməsi Xidmətləridir).

- tək identifikasiya. Siz iki sxemdən istifadə edə bilərsiniz - domen avtorizasiyası üçün (avadanlıq domen strukturuna bağlıdır), elektron açar E-tokendən və ya SMS bildirişindən istifadə etməklə.

5. 1C-nin optimallaşdırılması və qorunması

- 1C bazası ilə işləyərkən- disklərin şifrələnməsi, giriş hüquqlarının məhdudlaşdırılması, məlumat mübadiləsi proseslərinin və faylların mühafizəsi sisteminin quraşdırılması;

- 1C verilənlər bazası DBMS ilə işləyərkən- istifadəçilər üçün inzibatçı hüquqlarının məhdudlaşdırılması, şifrələmə sistemlərindən istifadə, serverlərə uzaqdan və ya fiziki girişin məhdudlaşdırılması üçün tədbirlərin görülməsi və s.;

- məxfi məlumatların qorunması NS.

Yuxarıda sadalanan tədbirlərə əlavə olaraq, informasiya təhlükəsizliyinin təmin edilməsi üsullarına aşağıdakılar daxildir:

- korporativ kommunikasiyaların mühafizəsi;
- məlumatın serverdən tez çıxarılması;
- işçilərin əməyinə nəzarət;
- bütün iş proseslərinin xətalara dözümlülüyünün və sabitliyinin təmin edilməsi.

Rusiya Federasiyasının Təhsil və Elm Nazirliyi

federal dövlət büdcəli təhsil müəssisəsi

ali peşə təhsili

"PERM MİLLİ TƏDQİQAT

POLİTEXNIK UNİVERSİTET”

Test

intizamla

MÜƏSSİSƏNİN İNFORMASİYA TƏHLÜKƏSİZLİYİ

Mövzu "Alfa-Bank" ASC timsalında biznesdə informasiya təhlükəsizliyi

Tələbə tərəfindən tamamlandı

FK-11B qrupu:

Smışlyaeva Mariya Sergeevna

Müəllim tərəfindən yoxlanılır:

Şaburov Andrey Sergeyeviç

Perm - 2013

Giriş

Nəticə

Biblioqrafiya

Giriş

Əksər şirkətlərin informasiya resursları ən qiymətli resurslar arasındadır. Bu səbəbdən kommersiya, məxfi məlumatlar və şəxsi məlumatlar icazəsiz istifadədən etibarlı şəkildə qorunmalı, lakin eyni zamanda bu məlumatların emalında iştirak edən və ya təyin edilmiş vəzifələrin yerinə yetirilməsi prosesində ondan istifadə edən subyektlər üçün asanlıqla əlçatan olmalıdır. Bunun üçün xüsusi alətlərdən istifadə şirkətin işinin sabitliyinə və onun həyat qabiliyyətinə töhfə verir.

Təcrübə göstərir ki, biznesin qorunmasının təşkili məsələsi müasir şəraitən aktualına çevrilmişdir. Onlayn mağazalar "açılır" və müştərilərin kredit kartları boşaldılır, kazinolar və lotereyalar şantaja məruz qalır, korporativ şəbəkələr xarici idarəetmə, kompüterlər "zombiləşdirilib" və botnetlərə daxil edilib və oğurlanmış şəxsi məlumatlardan istifadə edərək fırıldaqçılıq milli fəlakətə çevrilir.

Buna görə də şirkət rəhbərləri informasiya təhlükəsizliyinin vacibliyini dərk etməli, bu sahədə trendləri proqnozlaşdırmağı və idarə etməyi öyrənməlidirlər.

Bu işin məqsədi Alfa-Bank nümunəsindən istifadə edərək biznesin informasiya təhlükəsizliyi sisteminin üstünlüklərini və çatışmazlıqlarını müəyyən etməkdir.

"Alfa-Bank" ASC-nin fəaliyyətinin xüsusiyyətləri

Alfa-Bank 1990-cı ildə yaradılıb. Alfa-Bank, maliyyə xidmətləri bazarında bütün əsas bank əməliyyatlarını həyata keçirən universal bankdır, o cümlədən şəxsi və korporativ müştərilər, investisiya bankçılığı, ticarət maliyyəsi və aktivlərin idarə edilməsi.

Alfa-Bank-ın baş ofisi Moskvada yerləşir, ümumilikdə bankın Rusiya regionlarında və xaricdə 444 filial və filialı, o cümlədən Hollandiyadakı törəmə bankı və maliyyə bağlı şirkətlər ABŞ, Böyük Britaniya və Kiprdə. Alfa-Bankda 17 minə yaxın işçi çalışır.

Alfa-Bank cəmi aktivləri, məcmu kapitalı və depozitləri baxımından Rusiyanın ən böyük özəl bankıdır. Bank həm korporativ müştərilərdən, həm də müştərilərdən ibarət geniş müştəri bazasına malikdir şəxslər... Alfa-Bank olaraq inkişaf edir universal bankəsas istiqamətlər üzrə: korporativ və investisiya biznesi (kiçik və orta biznes(SME), ticarət və strukturlaşdırılmış maliyyə, lizinq və faktorinq), pərakəndə biznes(bank filialları sistemi, avtomobil kreditləri və ipotekalar daxil olmaqla). Kütləvi və KOM seqmentlərində korporativ biznes üçün bank məhsullarının inkişafına, o cümlədən uzaqdan özünəxidmət kanallarının və internet ekvayrinqin inkişafına xüsusi diqqət yetirilir. Alfa-Bank-ın strateji prioritetləri Rusiyada aparıcı özəl bank statusunu saxlamaq, sabitliyin möhkəmləndirilməsi, gəlirliliyin artırılması, istehsal qabiliyyəti, səmərəlilik, müştəri xidmətlərinin keyfiyyəti və komanda işi üçün sənaye standartlarının müəyyən edilməsidir.

Alfa-Bank dünya kapital bazarlarında ən fəal Rusiya banklarından biridir. Aparıcı beynəlxalq reytinq agentlikləri Alfa-Banka Rusiya özəl bankları arasında ən yüksək reytinqlərdən birini verir. Ardıcıl dörd dəfə Müştəri Təcrübəsi İndeksində birinci yeri tutdu. Maliyyə böhranından sonra pərakəndə bank sektoru ", Senteo tərəfindən PricewaterhouseCoopers ilə birgə keçirilir. Həmçinin 2012-ci ildə Alfa-Bank tanınıb. ən yaxşı internet Fond Bazarı İştirakçılarının Milli Assosiasiyası (NAUFOR) tərəfindən ən yaxşı analitikaya görə mükafatlandırılan GlobalFinance jurnalına görə, Romir tədqiqat holdinqinin hesabladığı etimad indeksinə görə Rusiyanın ən yaxşı özəl bankı oldu.

Bu gün Bankın 83 satış nöqtəsindən ibarət federal miqyaslı şəbəkəsi var. Alfa Bankda ən çox biri var böyük şəbəkələr kommersiya bankları arasında 55 ofisdən ibarət olmaqla 23 şəhəri əhatə edir. Şəbəkənin genişlənməsi nəticəsində Bank əldə etmişdir əlavə funksiyalar müştəri bazasının artırılması, bank məhsullarının çeşidinin və keyfiyyətinin genişləndirilməsi, regionlararası proqramların həyata keçirilməsi, hərtərəfli xidmətən böyük müəssisələr arasından magistral müştərilər.

Biznesin informasiya təhlükəsizliyi məsələsinin nəzəri əsaslarının təhlili

Uyğunluqvə informasiya təhlükəsizliyinin təmin edilməsi probleminin əhəmiyyəti aşağıdakı amillərlə bağlıdır:

· İnformasiya təhlükəsizliyi vasitələrinin müasir səviyyələri və inkişaf templəri inkişaf səviyyələrindən və sürətlərindən xeyli geri qalır informasiya texnologiyaları.

· İnsan fəaliyyətinin müxtəlif sahələrində istifadə olunan fərdi kompüterlər parkının yüksək artım templəri. Gartner Dataquest-in araşdırmasına görə, hazırda dünyada bir milyarddan çox fərdi kompüter var.

informasiya təhlükəsizliyi biznes bankı

· Hesablama resurslarına və məlumat massivlərinə birbaşa çıxışı olan istifadəçilər dairəsinin kəskin genişlənməsi;

Hazırda banklarda saxlanılan məlumatların əhəmiyyəti əhəmiyyətli dərəcədə artıb, maliyyə və iqtisadi fəaliyyət bir çox insanlar, şirkətlər, təşkilatlar və hətta bütün dövlətlər. Bank çoxlu sayda insanın maraqlarına toxunan qiymətli məlumatları saxlayır və emal edir. Bank müştəriləri haqqında vacib məlumatları saxlayır ki, bu da bu cür məlumatları oğurlamaqda və ya zədələməkdə maraqlı olan potensial müdaxilə dairəsini genişləndirir.

Bütün cinayətlərin 90%-dən çoxu bankın avtomatlaşdırılmış məlumat emalı sistemlərinin istifadəsi ilə bağlıdır. Nəticə etibarı ilə ASOİB-in yaradılması və modernləşdirilməsi zamanı banklar onun təhlükəsizliyinin təmin edilməsinə ciddi diqqət yetirməlidirlər.

Əsas diqqət bankların kompüter təhlükəsizliyinə verilməlidir, yəni. bank məlumatlarının mühafizəsi sahəsində ən aktual, mürəkkəb və aktual problem kimi bank məlumatlarının emalı üçün avtomatlaşdırılmış sistemlərin təhlükəsizliyi.

İnformasiya texnologiyalarının sürətli inkişafı biznes üçün yeni imkanlar açsa da, yeni təhlükələrin yaranmasına səbəb olub. Rəqabət səbəbindən müasir proqram məhsulları səhv və qüsurlarla satılır. Tərtibatçıların, o cümlədən məhsullarındakı bütün funksiyaları, yaradılmışların yüksək keyfiyyətli sazlanmasına vaxtları yoxdur. proqram sistemləri... Bu sistemlərdə qalan səhvlər və çatışmazlıqlar informasiya təhlükəsizliyinin təsadüfi və bilərəkdən pozulmasına gətirib çıxarır. Məsələn, məlumatların təsadüfən itirilməsinin əksəriyyəti proqram təminatının və texniki vasitələrin işindəki nasazlıqlardan qaynaqlanır və kompüter sistemlərinə edilən hücumların əksəriyyəti proqram təminatında aşkar edilmiş xətalara və qüsurlara əsaslanır. Beləliklə, məsələn, server buraxıldıqdan sonra ilk altı ayda əməliyyat sistemi Microsoft Windows 6-sı kritik olan 14 boşluq aşkar edib. Zaman keçdikcə Microsoft müəyyən edilmiş çatışmazlıqları aradan qaldıran xidmət paketləri hazırlamasına baxmayaraq, istifadəçilər artıq qalan səhvlər səbəbindən baş vermiş informasiya təhlükəsizliyi pozuntularından əziyyət çəkirlər. Bu bir çox digər problemlər həll olunmayana qədər, informasiya təhlükəsizliyinin kifayət qədər səviyyəsi informasiya texnologiyalarının inkişafına ciddi maneə olacaq.

Altında informasiya təhlükəsizliyiinformasiyanın və dəstəkləyici infrastrukturun təbii və ya süni xarakterli təsadüfi və ya məqsədyönlü təsirlərdən mühafizəsi deməkdir ki, bu da informasiya münasibətlərinin subyektlərinə, o cümlədən informasiya və köməkçi infrastrukturun sahiblərinə və istifadəçilərinə yolverilməz zərər vura bilər.

Müasir iş dünyasında maddi aktivlərin informasiya aktivlərinə doğru miqrasiyası prosesi gedir. Təşkilat inkişaf etdikcə, onun əsas vəzifəsi daim dəyişən rəqabət bazarında maksimum biznes səmərəliliyini təmin etmək olan informasiya sistemi daha da mürəkkəbləşir.

İnformasiyanı əmtəə kimi nəzərə alsaq, deyə bilərik ki, ümumilikdə informasiya təhlükəsizliyinin təmin edilməsi xeyli qənaətə, ona dəymiş zərər isə maddi xərclər... Məsələn, orijinal məhsulun istehsal texnologiyasının açıqlanması oxşar məhsulun meydana çıxmasına səbəb olacaq, lakin başqa istehsalçıdan və informasiya təhlükəsizliyinin pozulması nəticəsində texnologiyanın sahibi və bəlkə də müəllif, bazarın bir hissəsini itirəcək və s. Digər tərəfdən, informasiya nəzarətin subyektidir və onun dəyişməsi idarəetmə obyektində fəlakətli nəticələrə səbəb ola bilər.

GOST R 50922-2006-a uyğun olaraq, informasiya təhlükəsizliyi məlumat sızmasının, qorunan məlumatlara icazəsiz və qəsdən təsirlərin qarşısını almağa yönəlmiş fəaliyyətdir. İnformasiya təhlükəsizliyi həm müəssisələr, həm də dövlət qurumları üçün aktualdır. İnformasiya ehtiyatlarının hərtərəfli mühafizəsi məqsədi ilə informasiya təhlükəsizliyi sistemlərinin qurulması və inkişafı istiqamətində işlər aparılır.

Yerli və qlobal şəbəkələrin fəaliyyətinə ciddi təsir göstərə bilən, qiymətli məlumatların itirilməsinə səbəb olan bir çox səbəblər var. Onların arasında aşağıdakılar var:

Kənardan icazəsiz giriş, məlumatın surətinin çıxarılması və ya dəyişdirilməsi, təsadüfi və ya qəsdən hərəkətlər aşağıdakılara gətirib çıxarır:

məlumatların təhrif edilməsi və ya məhv edilməsi;

səlahiyyəti olmayan şəxslərin bank, maliyyə və ya dövlət sirrini təşkil edən məlumatlarla tanış edilməsi.

Proqram təminatının düzgün işləməməsi aşağıdakı səbəblərə görə məlumatların itirilməsi və ya korlanması ilə nəticələnir:

proqram və ya şəbəkə proqramında səhvlər;

sistemləri kompüter virusları ilə yoluxdurmaq.

Avadanlıqların texniki nasazlıqları aşağıdakı səbəblərdən yaranır:

elektrik kəsilməsi;

disk sistemlərinin və məlumatların arxivləşdirmə sistemlərinin nasazlığı;

serverlərin, iş stansiyalarının, şəbəkə kartlarının, modemlərin pozulması.

Texniki qulluqçuların səhvləri.

Əlbəttə ki, bütün bu səbəbləri istisna edən vahid həll yolu yoxdur, lakin bir çox təşkilat məlumatların itirilməsi və ya onlara icazəsiz giriş riskini minimuma endirmək üçün texniki və inzibati tədbirlər hazırlayıb tətbiq edib.

Bu gün Alfa-Bank-da da istifadə olunan informasiya təhlükəsizliyini təmin etmək üçün geniş üsullar arsenalı var:

· istifadəçilərin identifikasiyası və autentifikasiyası vasitələri (3A kompleksi);

· kompüterlərdə saxlanılan və şəbəkələr vasitəsilə ötürülən məlumatların şifrələmə vasitələri;

· təhlükəsizlik divarları;

· virtual özəl şəbəkələr;

· məzmun filtrləmə vasitələri;

· disklərin məzmununun bütövlüyünü yoxlamaq üçün alətlər;

· virusdan qorunma vasitələri;

· şəbəkə zəifliyinin aşkarlanması sistemləri və şəbəkə hücumu analizatorları.

"Kompleks 3A" autentifikasiya (və ya identifikasiya), icazə və idarəetmə daxildir. İdentifikasiyavə avtorizasiya informasiya təhlükəsizliyinin əsas elementləridir. Hər hansı bir proqrama daxil olmağa çalışdığınız zaman identifikasiya funksiyası suala cavab verir: "Sən kimsən?" və proqramın səlahiyyətli istifadəçisisinizsə, "Sən haradasan?". Avtorizasiya funksiyası konkret istifadəçinin hansı resurslara çıxışı olduğuna görə məsuliyyət daşıyır. İdarəetmə funksiyası istifadəçiyə müəyyən bir şəbəkə daxilində müəyyən identifikasiya xüsusiyyətləri vermək və onun üçün icazə verilən hərəkətlərin həcmini müəyyən etməkdir. Alfa-Bank-da proqramları açarkən hər bir işçinin parolu və loqini tələb olunur, hər hansı əməliyyatlar həyata keçirərkən bəzi hallarda rəhbərin və ya onun şöbədəki müavininin icazəsi tələb olunur.

Firewallicazəsiz məlumat paketlərinin şəbəkəyə daxil olmasının və ya çıxmasının qarşısını almaq üçün iki və ya daha çox şəbəkə arasında qoruyucu maneə yaradan sistem və ya sistemlərin birləşməsidir. Firewallların əsas prinsipi. hər bir məlumat paketinin icazə verilən ünvanlar bazasına daxil olan və gedən IP ünvanlarına uyğunluğunu yoxlamaq. Beləliklə, firewall informasiya şəbəkələrinin seqmentləşdirilməsi və məlumatların dövriyyəsinə nəzarət imkanlarını əhəmiyyətli dərəcədə genişləndirir.

Kriptoqrafiya və firewalllara gəldikdə, qeyd edilməli olan təhlükəsiz virtual şəxsi şəbəkələr (VPN) var. Onların istifadəsi açıq rabitə kanalları ilə ötürülən məlumatların məxfilik və bütövlüyü problemlərini həll etməyə imkan verir.

Məxfi məlumatların itirilməsindən qorunmaq üçün effektiv vasitədir. Gələn və gedən e-poçtların məzmununun filtrasiyası. Təşkilati qaydalara əsaslanan e-poçt mesajlarının və onların qoşmalarının təsdiqlənməsi, həmçinin şirkətləri hüquqi iddialara görə məsuliyyətdən çəkindirməyə və işçilərini spamdan qorumağa kömək edə bilər. Məzmun filtrləmə alətləri sıxılmış və qrafik daxil olmaqla bütün ümumi formatların fayllarını skan etməyə imkan verir. Eyni zamanda, şəbəkə bant genişliyi praktiki olaraq dəyişməz olaraq qalır.

Müasir antivirustexnologiyalar şübhəli faylın kodunu antivirus verilənlər bazasında saxlanılan nümunələrlə müqayisə etməklə, demək olar ki, bütün məlum virus proqramlarını aşkar etməyə imkan verir. Bundan əlavə, yeni yaradılmış virus proqramlarını aşkar etmək üçün davranış modelləşdirmə texnologiyaları hazırlanmışdır. Aşkar edilə bilən obyektlər dezinfeksiya edilə, təcrid oluna (karantinə yerləşdirilə) və ya silinə bilər. Virusdan qorunma iş stansiyalarında, fayl və poçt serverlərində, prosessorlarda demək olar ki, hər hansı ümumi əməliyyat sistemləri (Windows, Unix - və Linux_systems, Novell) altında işləyən firewalllarda quraşdırıla bilər. fərqli növlər... Spam filtrləri spamın təhlili ilə bağlı əlavə xərcləri əhəmiyyətli dərəcədə azaldır, trafik və server yükünü azaldır, komandanın psixi sağlamlığını yaxşılaşdırır və işçilərin saxta əməliyyatlarda iştirak riskini azaldır. Bundan əlavə, spam filtrləri yeni viruslara yoluxma riskini azaldır, çünki virusları ehtiva edən mesajlar (hətta hələ antivirus verilənlər bazasına daxil edilməmiş mesajlar) tez-tez spam əlamətləri göstərir və süzülür. Düzdür, əgər filtr lazımsız mesajlarla birlikdə spam və faydalı mesajları, işgüzar və ya şəxsi mesajları silirsə və ya qeyd edərsə, spamın filtrlənməsinin müsbət effekti üzərindən xətt çəkilə bilər.

Ən tipik bir neçə növ və üsul var. məlumat təhdidləri:

Kommersiya sirrinin məxfilikdən çıxarılması və oğurlanması. Əvvəllər sirrlər məxfi yerlərdə, kütləvi seyflərdə, etibarlı fiziki və (sonradan) elektron mühafizə altında saxlanılırdısa, bu gün bir çox işçilər çox vaxt çox həssas məlumatları, məsələn, eyni müştəri məlumatlarını ehtiva edən ofis məlumat bazalarına çıxış əldə edirlər.

Kompromatların yayılması. Yəni, bankın reputasiyasına kölgə salan belə məlumatların işçilər tərəfindən qəsdən və ya təsadüfən elektron yazışmalarda istifadə edilməsi.

Əqli mülkiyyətin pozulması. Unutmaq olmaz ki, banklarda istehsal olunan hər hansı intellektual məhsul, hər bir təşkilatda olduğu kimi, ona məxsusdur və təşkilatın maraqları istisna olmaqla, işçilər (o cümlədən, intellektual dəyərlərin generatorları və müəllifləri) tərəfindən istifadə edilə bilməz. Bu arada Rusiyada bu münasibətlə tez-tez təşkilatlar və işçilər arasında münaqişələr yaranır, onların yaratdığı intellektual məhsulu iddia edərək ondan şəxsi maraqları naminə, təşkilatın ziyanına istifadə edirlər. Bu, çox vaxt müəssisədəki qeyri-müəyyən hüquqi vəziyyət səbəbindən baş verir əmək müqaviləsi işçilərin hüquq və vəzifələrini müəyyən edən dəqiq müəyyən edilmiş qaydalar və qaydalar yoxdur.

Gizli olmayan, lakin rəqiblər (digər banklar) üçün faydalı ola biləcək daxili məlumatların yayılması (çox vaxt qəsdən).

Rəqabət edən bankların internet səhifələrinə daxil olmaq. İndi getdikcə daha çox şirkət öz açıq saytlarında (xüsusən də CRM üçün nəzərdə tutulmuş) proqramlardan istifadə edir ki, bu da ziyarətçiləri tanımağa və onların marşrutlarını ətraflı izləməyə, onların sayt səhifələrinə baxma vaxtını və müddətini qeyd etməyə imkan verir. Rəqib internet saytları təhlil və proqnozlaşdırma üçün dəyərli mənbə olub və olaraq qalır.

Ofis rabitəsindən şəxsi məqsədlər üçün sui-istifadə (dinləmək, musiqiyə və işə aid olmayan digər məzmuna baxmaq, ofis kompüterini yükləmək) informasiya təhlükəsizliyinə birbaşa təhlükə yaratmır, əksinə əlavə yüklər yaradır. korporativ şəbəkə, səmərəliliyi azaldır, həmkarlarının işinə mane olur.

Və nəhayət, xarici təhlükələr - icazəsiz müdaxilələr və s.

Bankın qəbul etdiyi qaydalar dövlət və kommersiya sirrinin, şəxsi və şəxsi məlumatların mühafizəsi üzrə həm milli, həm də beynəlxalq səviyyədə tanınmış standartlara uyğun olmalıdır.

Alfa-Bank-da məlumatların təşkilati mühafizəsi

“Alfa Bank” ASC girişə nəzarətin seçmə üsuluna əsaslanan təhlükəsizlik siyasətini həyata keçirmişdir. "Alfa Bank" ASC-də bu cür idarəetmə inzibatçı tərəfindən müəyyən edilmiş icazə verilən giriş münasibətləri ilə xarakterizə olunur. Giriş matrisi birbaşa şirkətin sistem administratoru tərəfindən doldurulur. Seçilmiş informasiya təhlükəsizliyi siyasətinin tətbiqi rəhbərliyin tələblərinə və informasiya təhlükəsizliyi və girişə nəzarət, hesabatlılıq tələblərinə uyğundur, həmçinin onun təşkili üçün məqbul qiymətə malikdir. İnformasiya təhlükəsizliyi siyasətinin həyata keçirilməsi tamamilə “Alfa Bank” ASC-nin sistem inzibatçısına həvalə olunub.

“Alfa Bank” ASC mövcud təhlükəsizlik siyasəti ilə yanaşı, xüsusi aparat və proqram təminatı mühafizə vasitələrindən istifadə edir.

Təhlükəsizlik avadanlığı Cisco 1605-dir. Router iki Ethernet interfeysi ilə təchiz edilmişdir (birində TP və AUI interfeysləri, digərində yalnız TP) yerli şəbəkə və Cisco 1600 seriyalı marşrutlaşdırıcılar üçün modullardan birinin quraşdırılması üçün bir genişləndirmə yuvası. proqram təminatı Cisco IOS Firewall FeatureSet Cisco 1605-R-ni kiçik ofis üçün ideal çevik marşrutlaşdırıcı / təhlükəsizlik sistemi edir. Quraşdırılmış moduldan asılı olaraq, marşrutlaşdırıcı həm ISDN vasitəsilə, həm də dial-up və ya icarəyə götürülmüş xətt vasitəsilə 1200 bit/s-dən 2 Mbit/s, FrameRelay, SMDS, x.25 vasitəsilə əlaqəni dəstəkləyə bilər.

Məlumatı qorumaq üçün LAN sahibi şəbəkənin "perimetrini" təmin etməlidir, məsələn, daxili şəbəkənin xarici şəbəkə ilə qovşağında nəzarət qurmaqla. Cisco IOS həm standart vasitələrlə yüksək çeviklik və təhlükəsizlik təmin edir: Genişləndirilmiş Giriş Siyahıları (ACL), Bloklama Sistemləri (Dinamik ACL) və Marşrutlaşdırma Avtorizasiyası. Bundan əlavə, 1600 və 2500 seriyalı marşrutlaşdırıcılar üçün mövcud olan Cisco IOS FirewallFeatureSet hərtərəfli təhlükəsizlik xüsusiyyətlərini təmin edir, o cümlədən:

kontekstli giriş nəzarəti (CBAC)

Java bloklaması

jurnal

hücumların aşkarlanması və qarşısının alınması

dərhal xəbərdarlıq

Bundan əlavə, marşrutlaşdırıcı virtual overlay şəbəkələrini, tunelləri, prioritet nəzarəti, resurs rezervasiyasını və müxtəlif marşrutlaşdırma nəzarət üsullarını dəstəkləyir.

Kaspersky OpenSpaceSecurity həlli proqram təminatının qorunması vasitəsi kimi istifadə olunur. Kaspersky OpenSpaceSecurity korporativ şəbəkələr üçün təhlükəsizlik sistemləri üçün müasir tələblərə tam cavab verir:

bütün növ şəbəkə qovşaqlarının qorunması üçün həll;

bütün növ kompüter təhdidlərindən qorunma;

effektiv texniki dəstək;

ənənəvi imza mühafizəsi ilə birləşmiş “proaktiv” texnologiyalar;

innovativ texnologiyalar və performansı artıran yeni antivirus mühərriki;

istifadəyə hazır mühafizə sistemi;

mərkəzləşdirilmiş idarəetmə;

şəbəkədən kənar istifadəçilərin tam qorunması;

üçüncü tərəf həlləri ilə uyğunluq;

şəbəkə resurslarından səmərəli istifadə.

Hazırlanan sistem fərdi məlumatların qorunmasına tam nəzarəti, avtomatlaşdırılmış uçotu və təhlili təmin etməli, müştərilərə xidmət müddətini azaltmağa, məlumatların və fərdi məlumatların qorunması üçün kodlar haqqında məlumat almağa imkan verməlidir.

Hazırlanan sistemə olan tələbləri formalaşdırmaq üçün verilənlər bazasının təşkili, işlənib hazırlanan sistem üçün məlumat uyğunluğu tələblərini formalaşdırmaq lazımdır.

Verilənlər bazasının dizaynı konkret təşkilatın son istifadəçilərinin fikirlərinə - sistem üçün konseptual tələblərə əsaslanmalıdır.

Bu halda, İS şirkətin işçiləri haqqında məlumatları ehtiva edir. İnformasiya sisteminin işini əhəmiyyətli dərəcədə göstərən texnologiyalardan biri sənədlər üçün iş axını sxeminin hazırlanmasıdır.

Hazırlanan sistemin funksiyalarına kompüter texnologiyası və proqram təminatından istifadə etməklə nail olmaq olar. Nəzərə alsaq ki, bank mütəxəssislərinin fəaliyyətində məlumat, məlumat və mühasibat sənədlərinin axtarışı iş vaxtının təqribən 30 faizini təşkil edir. avtomatlaşdırılmış sistem mühasibat uçotu ixtisaslı mütəxəssisləri əhəmiyyətli dərəcədə azad edəcək, əmək haqqı fondunda qənaətə, işçilərin sayının azalmasına səbəb ola bilər, lakin bu, həm də şöbənin işçilərinin tətbiqinə səbəb ola bilər. ştat vahidi məsuliyyətlərinə davam edən biznes prosesləri haqqında məlumatların daxil edilməsi daxildir: şəxsi məlumatların uçot sənədləri və giriş kodları.

Qeyd etmək lazımdır ki, hazırlanmaqda olan sistemin tətbiqi şəxsi və məlumat və təhlükəsizlik kodlarının uçotunda səhvləri azaldacaq və ideal olaraq tamamilə aradan qaldıracaq. Beləliklə, menecer üçün avtomatlaşdırılmış iş yerinin tətbiqi əhəmiyyətli iqtisadi effektə, işçilərin 1/3 ixtisarına, əmək haqqı fondunda qənaətə və əmək məhsuldarlığının artmasına səbəb olacaqdır.

Alfa-Bank, hər hansı digər bank kimi, informasiya təhlükəsizliyinin təmin edilməsi probleminə baxışlar sistemini müəyyən edən və mühafizənin məqsəd və vəzifələrinin sistematik ifadəsi olan bir və ya bir neçə qayda, prosedur, informasiya təhlükəsizliyi sahəsində təcrübə və təlimatlar.

Siyasət nəzərə alınır ən son vəziyyət və Bankda informasiya texnologiyalarının inkişafının yaxın perspektivləri, məqsədləri, məqsədləri və onların fəaliyyətinin hüquqi əsasları, iş rejimləri, həmçinin Bankın informasiya münasibətlərinin obyekt və subyektləri üçün təhlükəsizlik təhdidlərinin təhlilini ehtiva edir.

Bu sənədin əsas müddəaları və tələbləri Bankın bütün struktur bölmələrinə, o cümlədən əlavə ofislərə şamil edilir. Siyasətin əsas məsələləri Bankın informasiya resurslarının bu və ya digər şəkildə təchizatçıları və istehlakçıları kimi Bankla qarşılıqlı əlaqədə olan digər təşkilat və qurumlara da şamil edilir.

Bu Siyasətin qanunvericilik əsasını Rusiya Federasiyasının Konstitusiyası, Mülki və Cinayət Məcəllələri, qanunlar, fərmanlar, qərarlar və digərləri təşkil edir. qaydalar Rusiya Federasiyasının mövcud qanunvericiliyi, Rusiya Federasiyasının Prezidenti yanında Dövlət Texniki Komissiyasının, Rusiya Federasiyasının Prezidenti yanında Hökumət Rabitə və İnformasiya Federal Agentliyinin sənədləri.

Siyasət aşağıdakılar üçün metodoloji əsasdır:

· Bankda informasiya təhlükəsizliyi sahəsində vahid siyasətin formalaşdırılması və həyata keçirilməsi;

· informasiya təhlükəsizliyi siyasətinin həyata keçirilməsi üçün idarəetmə qərarlarının qəbul edilməsi və praktiki tədbirlərin işlənib hazırlanması və həyata keçirilməsinin nəticələrinin müəyyən edilməsi, əks etdirilməsi və aradan qaldırılmasına yönəlmiş əlaqələndirilmiş tədbirlər kompleksinin hazırlanması fərqli növlər informasiya təhlükəsizliyi təhdidləri;

· fəaliyyətlərin əlaqələndirilməsi struktur bölmələri Bank informasiya təhlükəsizliyinin təmin edilməsi tələblərinə uyğun olaraq informasiya texnologiyalarının yaradılması, inkişafı və istismarı üzrə işlər apararkən;

· Bankda məlumatların hüquqi, normativ, texniki və təşkilati təhlükəsizliyinin təkmilləşdirilməsi üzrə təkliflərin hazırlanması.

Sistem yanaşması Bankda informasiya təhlükəsizliyi sisteminin qurulması Bankın məlumatlarının təhlükəsizliyinin təmin edilməsi probleminin başa düşülməsi və həlli üçün əhəmiyyətli olan bütün qarşılıqlı əlaqəli, qarşılıqlı əlaqədə olan və zaman dəyişən elementlərin, şərtlərin və amillərin nəzərə alınmasını nəzərdə tutur.

İnformasiya təhlükəsizliyinin təmin edilməsi- Bankın Rəhbərliyi, informasiyanın mühafizəsi bölmələri və bütün səviyyəli işçilər tərəfindən həyata keçirilən proses. Bu, nəinki müəyyən müddət ərzində həyata keçirilən prosedur və ya siyasət və ya bir sıra tədbirlər deyil, Bank daxilində bütün səviyyələrdə daim davam etməli və Bankın hər bir əməkdaşının iştirak etməli olduğu bir prosesdir. bu prosesdə. İnformasiya təhlükəsizliyi üzrə fəaliyyətlər Bankın gündəlik əməliyyatlarının tərkib hissəsidir. Onun effektivliyi isə bank rəhbərliyinin informasiya təhlükəsizliyinin təmin edilməsində iştirakından asılıdır.

Bundan əlavə, əksər şəxslər və texniki vasitələröz funksiyalarının səmərəli yerinə yetirilməsi üçün mühafizə daimi təşkilati (inzibati) dəstək tələb edir (adların, parolların, şifrələmə açarlarının, səlahiyyətlərin yenidən müəyyənləşdirilməsinin və s.-nin vaxtında dəyişdirilməsi və düzgün saxlanması və istifadəsini təmin etmək). Mühafizə vasitələrinin işində fasilələr müdaxilə edənlər tərəfindən tətbiq edilən mühafizə üsul və vasitələrini təhlil etmək, xüsusi proqram-texniki “nişanlar” və mühafizəni aradan qaldırmaq üçün digər vasitələr tətbiq etmək üçün istifadə edilə bilər.

Şəxsi məsuliyyəthər bir işçiyə öz səlahiyyətləri daxilində informasiyanın və onun emalı sisteminin təhlükəsizliyinin təmin edilməsi üçün məsuliyyətin verilməsini nəzərdə tutur. Bu prinsipə uyğun olaraq işçilərin hüquq və vəzifələrinin bölgüsü elə qurulub ki, hər hansı pozuntu baş verdikdə, təqsirkarların dairəsi aydın şəkildə məlum olsun və ya minimuma endirilib.

Alfa-Bank hər bir istifadəçinin fəaliyyətinə daim nəzarət edir, hər bir mühafizə vasitəsi və hər hansı mühafizə obyektinə münasibətdə operativ nəzarət və qeydiyyatdan istifadə əsasında həyata keçirilməli və istifadəçilərin həm icazəsiz, həm də icazəli hərəkətlərini əhatə etməlidir.

Bank aşağıdakı təşkilati və inzibati sənədləri işləyib hazırlamışdır:

· Kommersiya sirri haqqında Əsasnamə. Sözügedən Əsasnamə təşkilatı, Bankın kommersiya sirri təşkil edən məlumatlarla işləmə qaydasını, bu məlumatlara yol verilmiş işçilərin vəzifə və məsuliyyətlərini, Bankın kommersiya sirri təşkil edən məlumatları ehtiva edən materialların dövlət (kommersiya) təşkilatına verilməsi qaydasını tənzimləyir. müəssisə və təşkilatlar;

· Rəsmi və kommersiya sirri təşkil edən məlumatların siyahısı. Siyahı məxfi kimi təsnif edilən məlumatları, mühafizə olunan informasiyaya girişə məhdudiyyətlərin təmin edilməsi səviyyəsini və şərtlərini müəyyən edir;

· Məlumat üçün təhlükəsizlik rejiminin yaradılması üçün əmr və göstərişlər:

· məhdud paylanmış məlumatlarla işə işçilərin qəbulu;

· korporativ informasiya sistemində məhdud məlumatlarla işləmək üçün məsul şəxslərin və inzibatçıların təyin edilməsi;

· Təlimatlar və funksional məsuliyyətlər işçilər:

· təhlükəsizliyin təşkili və girişə nəzarət üzrə;

· ofis işinin təşkili üzrə;

· korporativ informasiya sisteminin informasiya ehtiyatlarının inzibatçılığı;

· digər normativ sənədlər.

Nəticə

Bu gün informasiya təhlükəsizliyinin təşkili məsələsi istənilən səviyyəli təşkilatları - iri korporasiyalardan tutmuş təhsili olmayan sahibkarları narahat edir. hüquqi şəxs... Müasir bazar münasibətlərində rəqabət mükəmməllikdən uzaqdır və çox vaxt ən qanuni üsullarla həyata keçirilmir. Sənaye casusluğu çiçəklənir. Amma təşkilatın kommersiya sirri ilə bağlı məlumatların təsadüfən yayılması hallarına da tez-tez rast gəlinir. Burada bir qayda olaraq işçilərin səhlənkarlığı, vəziyyəti anlamaması, başqa sözlə desək, “insan amili” rol oynayır.

Alfa-Bank aşağıdakı məlumatları qoruyur:

ticarət sirri

bank sirri

bank sənədləri (Təhlükəsizlik Departamentinin hesabatları, bankın illik smetası, bank işçilərinin gəlirləri haqqında məlumat və s.)

Bankdakı məlumatlar aşağıdakı təhlükələrlə qorunur:

· Təbii

· Süni təhdidlər (informasiya sisteminin və onun elementlərinin dizaynındakı səhvlər, personalın hərəkətlərindəki səhvlər və s. nəticəsində yaranan qəsdən (qəsdən, təsadüfi) təhlükələr; insanların eqoist, ideoloji və ya digər istəkləri ilə əlaqəli qəsdən (qəsdən) təhlükələr (). müdaxilə edənlər).

İnformasiya sisteminin özü ilə bağlı təhdid mənbələri həm xarici, həm də daxili ola bilər.

Biblioqrafiya

1. Rusiya Federasiyası Prezidentinin 17.03.2008-ci il tarixli, 351 nömrəli "Beynəlxalq məlumat mübadiləsinin informasiya və telekommunikasiya şəbəkələrindən istifadə zamanı Rusiya Federasiyasının informasiya təhlükəsizliyinin təmin edilməsi tədbirləri haqqında" Fərmanı;

Qalatenko, V.A. İnformasiya təhlükəsizliyinin əsasları. İnternet İnformasiya Texnologiyaları Universiteti. INTUIT. ru, 2008;

Qalatenko, V.A. İnformasiya təhlükəsizliyi standartları. İnternet İnformasiya Texnologiyaları Universiteti. INTUIT. ru, 2005;

Biznes təhlükəsizliyi Hərtərəfli mühafizəyə yönəlmiş tədbirlər və tədbirlər məcmusudur sahibkarlıq fəaliyyəti müxtəlif növ təhlükələrdən (informasiya, hüquqi, fiziki, iqtisadi, təşkilati və kadr). Biznesin hərtərəfli mühafizəsi və görülən tədbirlərlə bağlı bütün qərarlar mühafizə xidmətinə, aidiyyəti struktur bölmələrinin rəhbərlərinə və təşkilatın direktoruna həvalə edilir.

Biznes təhlükəsizliyi problemlərinin növləri və onların həlli yolları

İstənilən iş növündə risk üçün həmişə yer var. Eyni zamanda, yaxşı bir lider problemləri gözləməyəcək - ən çox ehtimal olunan biznes problemlərindən qorunmaq üçün vaxtında tədbirlər görəcək. Bunlara daxildir:

- korporativ problemlər- mübahisələr və münaqişə vəziyyətlərişirkətin səhmdarları arasında, top menecerlər arasında münaqişələr və ya şirkət sahibləri ilə şöbə rəhbərləri arasında münasibətlərin mürəkkəbliyi;

- xarici təhlükələr- cinayət strukturlarından təhdidlər, hüquq-mühafizə və dövlət strukturları ilə münaqişələr, reydlər və s.;

- maliyyə itkiləri- işçilərin (müştərilərin) fırıldaqçılıq hərəkətləri, oğurluq, vicdansız vasitəçilər və ya təchizatçılar, şirkətin resurslarından məqsədəuyğun istifadə edilməməsi, şirkətin maraqlarına zidd olan müəyyən fəaliyyətlər üçün rüşvət;

- informasiya təhlükələri- şirkətin məxfi məlumatlarının sızması (onun gizlədilməsi və ya məhv edilməsi), məxfi məlumatlara icazəsiz girişin əldə edilməsi, kommersiya sirrinin açıqlanması və s.;

- təhlükəsizlik "deşikləri"- maddi-texniki dəyərlərin icazəsiz şəxslər tərəfindən oğurlanması, müəssisənin ərazisinə icazəsiz daxil olması, əmək intizamının pozulması;

- reputasiya problemləri- strukturda pis reputasiyaya malik işçilərin olması, pis reputasiyası olan insanlarla (qarşı tərəflərlə) əməkdaşlıq.

Bütün sadalanan biznes problemlərini həll etmək üçün sizə lazımdır aşağıdakı növlər müdafiə:

- fiziki- təhlükəsizlik sistemləri, mühafizəçilər, müşahidə kameraları və s.;
- iqtisadi- qarşı tərəfin yoxlanılması, müştəri bankın qorunması, vergilərin optimallaşdırılması;
- təşkilati və kadr- işə daxil olan kadrların yoxlanılması, artıq mövcud olan işçilərə nəzarət;
- məlumatlandırıcı- müdaxilələrdən qorunma, fayl və sənədlərin mühafizəsi, 1C-nin optimallaşdırılması və qorunması, vahid autentifikasiya, məlumat sızmasından qorunma və s.;
- qanuni- başa çatdırılmış əməliyyatların ekspertizası, sənədlərin layihələrinin yoxlanılması, abunə xidmətləri və s.

Biznes

Statistikaya görə, bütün biznes problemlərinin yarıdan çoxu informasiya təhlükəsizliyində “boşluqlar” səbəbindən yaranır. Rəqiblərə məlumatların sızması, məlumatların itirilməsi, gizli şirkət məlumatlarının yanlış əllərə ötürülməsi - bütün bunlar biznes üçün böyük risk daşıyır. Belə bir şəraitdə şirkətin İT menecerləri şirkətin hərtərəfli mühafizəsini təmin etmək üçün bir sıra təsirli tədbirlər görürlər.

Birinci yerdə maliyyə məlumatlarının mühafizəsi, ikincisi sızmalara qarşı, üçüncüsü isə DDoS hücumlarına qarşı qorunmadır. Və əgər ilk iki xal uzun müddətdir ki, ilk üçlükdə olubsa, deməli, hücumlarla bağlı problem bu yaxınlarda ortaya çıxıb. Bu marağın səbəbi kiçik və orta şirkətlərə DDoS hücumlarının sayının artmasıdır.

Rusiya şirkətlərinin təhlükəsizlik sahəsində gördüyü əsas tədbirlər arasında zərərli proqramlardan qorunma, yeniləmələrin idarə edilməsi, tətbiqlərə nəzarət, şəbəkə strukturu, maliyyə köçürmələrinin qorunması üçün həllər, xarici cihazların istifadəsinə nəzarət, qorunma daxildir. mobil telefonlar və s.

Biznesin informasiya təhlükəsizliyinin əsas üsulları aşağıdakılardır:

1. Müdaxilədən qorunma- şəbəkədə trafikə nəzarət etmək üçün lazım olan proqramların və ya avadanlıqların quraşdırılması. İlk təhlükə (giriş) görünəndə sistem reaksiya verir və girişi bloklayır. Eyni zamanda məsul işçiyə məlumat verilir.

Mühafizə sistemi iki üsuldan biri ilə həyata keçirilir:

- IPS sistemi. Onun vəzifəsi "lazımsız" trafiki effektiv şəkildə süzərək istənilən şübhəli şəbəkə fəaliyyətini bloklamaqdır. Sistemin üstünlüyü yalnız aşkar etmək deyil, həm də müdaxilənin qarşısını almaq qabiliyyətidir. Minus - yoxlama zamanı işçilərin işdən daim yayınmasına və kompüter şəbəkəsinin dayanmasına səbəb olan yalan pozitivlərin yüksək faizi;

- IDS sistemi- cari anomal fəaliyyətə nəzarət edir, görünəndə administratora siqnal verilir. Müsbət xüsusiyyətlər - müdaxiləyə qarşı effektiv mübarizə, qərar qəbul etmə səlahiyyətinin inzibatçıya ötürülməsi. İşin mənfi tərəfi odur ki, məsul işçinin tədbir görməyə vaxtı olmaya bilər və sistem düzəlməz dərəcədə zədələnəcək.

İdeal müdaxilədən müdafiə sistemi aşağıdakı kimidir:

2. Sızıntıdan qorunma- məxfi məlumatların yanlış əllərə keçməsinin qarşısını almaq üçün tədbirlər kompleksi. Sızıntı iki şəkildə baş verə bilər:

Zərərli oğurluqla (casusluq, basqınçılar, insayderlər);
- işçilərin nəzarəti ilə əlaqədar (medianın itirilməsi, poçtla parol göndərilməsi, viruslu səhifəyə keçid, məlumat əldə etmək hüquqlarının ötürülməsinə cavabdeh olan şəxslərin olmaması və s.).

Zərərli oğurluq zamanı qorunma üsulları aşağıdakılardır - qəbul rejiminin məhdudlaşdırılması, müşahidə kameralarının quraşdırılması, serverlərdə məlumatların məhv edilməsi vasitələrinin quraşdırılması, məlumatların şifrələnməsi, məlumatların xarici serverlərdə saxlanması.

Kadrların səhvlərindən qorunmaq üçün aşağıdakı üsulları effektiv adlandırmaq olar - məxfi məlumatlara giriş hüququnun minimuma endirilməsi, işçilərin fərdi məsuliyyəti, təhlükəsiz kanallardan istifadə, işçilərin mühüm sənədlərlə işləməsi üçün qaydaların yaradılması, ötürülən məlumat daşıyıcılarına görə məsuliyyətin tətbiqi işçilərə.

Bundan əlavə, təsadüfi səhvlərdən qorunmaq üçün təşkil etmək vacibdir - telefon danışıqlarının qeyd edilməsi, trafikin və PC-də işçilərin işinin monitorinqi, USB kartların şifrələnməsi, RMS-dən istifadə, DLP sistemlərinin tətbiqi və s.

3. Faylın qorunmasışirkət daxilində kompüterlərdə və serverlərdə saxlanılan bütün ən vacib məlumatların təhlükəsizliyini nəzərdə tutur. O, aşağıdakı kimi həyata keçirilir:

- fayl sistemlərinin (məlumatların) şifrələnməsi- EFS, Qnap, CryptoPro və s. sistemlərdən istifadə;

Giriş

Biznes liderləri informasiya təhlükəsizliyinin vacibliyini anlamalı, bu sahədə trendləri proqnozlaşdırmağı və idarə etməyi öyrənməlidirlər.

Müasir biznes informasiya texnologiyaları olmadan mövcud ola bilməz. Məlumdur ki, dünya ümumi milli məhsulunun təqribən 70%-i bu və ya digər şəkildə saxlanılan informasiyadan asılıdır informasiya sistemləri... Kompüterlərin geniş şəkildə tətbiqi təkcə məlum rahatlıqlar deyil, həm də problemlər yaratmışdır ki, bunlardan ən ciddisi informasiya təhlükəsizliyi problemidir.

Standartda kompüterlər və kompüter şəbəkələri üçün idarəetmə elementləri ilə yanaşı, təhlükəsizlik siyasətinin işlənib hazırlanmasına, kadrlarla işə (işə qəbul, təlim, işdən azad edilməsi), istehsal prosesinin fasiləsizliyinin təmin edilməsinə, qanunvericilik tələblərinə böyük diqqət yetirilir.

Şübhəsiz ki, kurs işinin bu mövzusu müasir şəraitdə çox aktualdır.

Kurs işinin obyekti: informasiya təhlükəsizliyi peşəkar fəaliyyət təşkilatlar.

Tədqiqat mövzusu: informasiya təhlükəsizliyi.

V kurs işi layihəsinin yaradılması nəzərdə tutulur idarəetmə qərarı real təşkilat əsasında informasiya təhlükəsizliyinin təşkili üzrə.

Fəsil 1. Peşəkar fəaliyyətin informasiya təhlükəsizliyi

İnformasiya təhlükəsizliyi mütəxəssislərin peşəkar fəaliyyətinin nisbətən yeni sahəsidir. Bu cür fəaliyyətlərin əsas məqsədləri:

İnformasiya ehtiyatlarının formalaşması, yayılması və istifadəsi zamanı xarici və daxili təhlükələrdən müdafiənin təmin edilməsi;

Vətəndaşların və təşkilatların məlumatların məxfiliyini və məxfiliyini qorumaq hüquqlarının pozulmasının qarşısının alınması;

Bunun üçün hüquqi əsaslar olmadıqda məlumatın qəsdən təhrif edilməsinin və ya gizlədilməsinin qarşısını alan şərtlərin təmin edilməsi.

Bu sahədə mütəxəssislərin müştəriləri aşağıdakılardır:

Rusiya Federasiyasının federal dövlət hakimiyyəti və idarəetmə orqanları;

Rusiya Federasiyasının təsis qurumlarının dövlət orqanları;

Dövlət orqanları, təşkilat və müəssisələr;

Müdafiə sənayesi;

Yerli idarəetmə orqanları;

Qeyri-dövlət qurumları, təşkilatları və müəssisələri
əmlak.

MTS mobil şirkətinin müştərilərinin məlumat bazasının pulsuz, qeyri-qanuni də olsa satışında görünməsi bizi kompüter təhlükəsizliyi problemini həll etməyə məcbur edir. Deyəsən bu mövzu tükənməzdir. Onun aktuallığı nə qədər böyükdürsə, kompüterləşdirmə səviyyəsi də bir o qədər yüksəkdir. kommersiya firmaları və qeyri-kommersiya təşkilatları. Yüksək texnologiya biznesin və müasir cəmiyyətin praktiki olaraq bütün digər aspektlərinin inkişafında inqilabi rol oynayan istifadəçiləri informasiya və son nəticədə iqtisadi təhlükəsizlik baxımından çox həssas edir.

Bu, təkcə Rusiyada deyil, dünyanın əksər ölkələrində, ilk növbədə Qərb ölkələrində problemdir, baxmayaraq ki, şəxsi məlumatlara girişi məhdudlaşdıran və onların saxlanmasına ciddi tələblər qoyan qanunlar mövcuddur. Bazarlar kompüter şəbəkələrini qorumaq üçün müxtəlif sistemlər təklif edir. Bəs özünüzü öz “beşinci kolonunuzdan” - məxfi məlumatlara çıxışı olan vicdansız, sədaqətsiz və ya sadəcə diqqətsiz işçilərdən necə qorumalısınız? MTS müştəri məlumat bazasının qalmaqallı sızması, görünür, şirkət işçilərinin sövdələşməsi və ya cinayətkar səhlənkarlığı olmadan baş verə bilməzdi.

Görünən odur ki, əksər sahibkarlar olmasa da, bir çoxları sadəcə olaraq problemin ciddiliyini anlamırlar. Hətta inkişaf etmiş bazar iqtisadiyyatı olan ölkələrdə, bəzi araşdırmalara görə, şirkətlərin 80%-nin yaddaş və əməliyyat məlumat bazalarının mühafizəsi üçün yaxşı düşünülmüş, planlaşdırılmış sistemi yoxdur. Məşhur “bəlkə”yə arxalanmağa adət etmiş bizim haqqımızda nə deyək.

Ona görə də məxfi məlumat sızmasının təhlükələri mövzusuna keçmək, bu cür riskləri azaltmaq üçün tədbirlərdən danışmaq əbəs deyil. Hüquqi məsələlərə həsr olunmuş nəşr olan Legal Times (21 oktyabr 2002-ci il) nəşri (Mark M. Martin, Evan Wagner, “Zəiflik və İnformasiya Təhlükəsizliyi”) bu işdə bizə kömək edəcəkdir. Müəlliflər informasiya təhdidlərinin ən tipik növlərini və üsullarını sadalayırlar. Hansılar?

Kommersiya sirrinin məxfilikdən çıxarılması və oğurlanması. Burada hər şey az-çox aydındır. Klassik, daxil olur qədim tarix, iqtisadi casusluq. Əvvəllər sirrlər məxfi yerlərdə, kütləvi seyflərdə, etibarlı fiziki və (sonradan) elektron mühafizə altında saxlanılırdısa, bu gün bir çox işçilər çox vaxt çox həssas məlumatları, məsələn, eyni müştəri məlumatlarını ehtiva edən ofis məlumat bazalarına çıxış əldə edirlər.

Kompromatların yayılması. Burada müəlliflər işçilərin elektron yazışmalarda şirkətin nüfuzuna xələl gətirən məlumatların qəsdən və ya təsadüfən istifadəsini nəzərdə tuturlar. Məsələn, şirkətin adı öz məktublarında böhtan, təhqir, bir sözlə, təşkilata güzəştə gedə biləcək hər şeyi etiraf edən müxbirin domenində əks olunur.

Əqli mülkiyyətin pozulması. Unutmamaq lazımdır ki, təşkilatda istehsal olunan hər hansı intellektual məhsul təşkilata məxsusdur və təşkilatın maraqları istisna olmaqla, işçilər (o cümlədən intellektual dəyərlərin generatorları və müəllifləri) tərəfindən istifadə edilə bilməz. Bu arada Rusiyada bu münasibətlə tez-tez təşkilatlar və işçilər arasında münaqişələr yaranır, onların yaratdığı intellektual məhsulu iddia edərək ondan şəxsi maraqları naminə, təşkilatın ziyanına istifadə edirlər. Bu, çox vaxt müəssisədəki qeyri-müəyyən hüquqi vəziyyətlə, əmək müqaviləsində işçilərin hüquq və vəzifələrini əks etdirən dəqiq müəyyən edilmiş qaydalar və qaydalar olmadıqda baş verir.

Gizli olmayan, lakin rəqiblər üçün faydalı ola biləcək daxili məlumatların yayılması (çox vaxt qəsdən). Məsələn, biznesin genişləndirilməsi ilə əlaqədar yeni vakansiyalar, ezamiyyətlər və danışıqlar haqqında.

Rəqiblərin saytlarına baş çəkmək. İndi getdikcə daha çox şirkət öz açıq saytlarında (xüsusən də CRM üçün nəzərdə tutulmuş) proqramlardan istifadə edir ki, bu da ziyarətçiləri tanımağa və onların marşrutlarını ətraflı izləməyə, onların sayt səhifələrinə baxma vaxtını və müddətini qeyd etməyə imkan verir. Aydındır ki, əgər rəqibin veb-saytına səfəriniz onun operatoruna ətraflı şəkildə məlumdursa, sonuncu üçün sizi tam olaraq nəyin maraqlandırdığı barədə nəticə çıxarmaq çətin deyil. Bu, rəqabətli informasiyanın kritik kanalını tərk etməyə çağırış deyil. Rəqib internet saytları təhlil və proqnozlaşdırma üçün dəyərli mənbə olub və olaraq qalır. Ancaq saytları ziyarət edərkən, izlər buraxdığınızı və siz də izlənildiyinizi xatırlamalısınız.

Ofis rabitəsindən şəxsi məqsədlər üçün sui-istifadə (dinləmək, musiqiyə və işə aid olmayan digər məzmuna baxmaq, ofis kompüterini yükləmək) informasiya təhlükəsizliyinə birbaşa təhlükə yaratmır, lakin korporativ şəbəkədə əlavə yüklər yaradır, səmərəliliyi aşağı salır və həmkarlarının işinə mane olur.

Və nəhayət, xarici təhlükələr - icazəsiz müdaxilələr və s. Bu başqa bir ciddi söhbət üçün mövzudur.

Özünüzü daxili təhlükələrdən necə qoruya bilərsiniz? Öz işçilərinizin vurduğu zərərə qarşı sadəcə olaraq 100% zəmanət yoxdur. Bu, tam və qeyd-şərtsiz nəzarətə borc verməyən insan faktorudur. Eyni zamanda yuxarıda adları çəkilən müəlliflər verirlər faydalı məsləhət- şirkət daxilində aydın şəkildə formalaşmış kommunikasiya (və ya informasiya) siyasətini işləyib hazırlamaq və həyata keçirmək. Belə bir siyasət ofis rabitəsindən istifadədə nəyin icazəli və nəyin icazə verilmədiyi arasında aydın sərhəd çəkməlidir. Sərhədi keçmək cəzaya səbəb olur. Kompüter şəbəkələrindən kimin və necə istifadə etdiyinə nəzarət sistemi olmalıdır. Şirkətdə qəbul edilən qaydalar dövlət və kommersiya sirrinin, şəxsi, şəxsi məlumatların mühafizəsi üzrə həm milli, həm də beynəlxalq səviyyədə tanınmış standartlara uyğun olmalıdır.

Fəsil 2. İnformasiya təhlükəsizliyi

"Laspi" MMC-də peşə fəaliyyəti

2.1. "Laspi" MMC-nin qısa təsviri

“Laspi” MMC 1995-ci ildə Çexiya şirkətinin Rusiyadakı nümayəndəliyi kimi yaradılmışdır. Şirkət Çexiya avadanlıqlarının tədarükü ilə məşğuldur və Təchizat müxtəlif beton məmulatlarının istehsalı üçün (səki plitələrindən tutmuş hasarlara, çiçək qablarına və s.). Avadanlıq yüksək keyfiyyətli və sərfəli qiymətə malikdir. Samara ofisinə müraciət edən müştərilər Rusiyanın və MDB-nin müxtəlif şəhərlərindən (Kazan, Ufa, İjevsk, Moskva, Nijni Novqorod və s.) təşkilatlardır. Təbii ki, belə genişmiqyaslı fəaliyyət şirkət daxilində informasiya təhlükəsizliyinə xüsusi diqqət yetirməyi tələb edir.

İnformasiya təhlükəsizliyi bu gün arzuolunan çox şey qoyur. Müxtəlif sənədlər (texniki, iqtisadi) ictimai mülkiyyətdədir ki, bu da şirkətin demək olar ki, hər hansı bir əməkdaşına (təsisçidən tutmuş sürücüyə qədər) maneəsiz onunla tanış olmağa imkan verir.

Kritik qeydlər seyfdə saxlanılır. Seyfin açarları yalnız direktor və onun katibindədir. Amma burada insan amili deyilən faktor mühüm rol oynayır. Çox vaxt açarlar ofisdə stolun üstündə unudulur və seyfi hətta təmizlikçi xanım da aça bilir.

Təsərrüfat sənədləri (hesabat, hesab-faktura, qaimə-faktura və s.) kilidlənə bilməyən kabinetdə qovluq və rəflərdə düzülür.

İşçilər işə müraciət edərkən kommersiya sirri olan məlumatların açıqlanmaması ilə bağlı heç bir müqavilə bağlamırlar ki, bu da onlara bu cür məlumatların yayılmasını qadağan etmir.

İşçilərin işə qəbulu iki mərhələdən ibarət müsahibə yolu ilə həyata keçirilir: 1.İşçilərlə ünsiyyət dərhal üstün(onlarda potensial işçinin bacarıq və bacarıqları üzə çıxır) 2. təsisçi ilə ünsiyyət (daha şəxsi xarakter daşıyır və belə bir dialoqun yekunu ya “birgə işləyəcəyik” və ya “birgə işləməyəcəyik” ola bilər. ).

Bütün bunlar rəhbərlikdən daha ciddi diqqət və şirkətin informasiya təhlükəsizliyini təmin etmək üçün səriştəli proqram tələb edir, çünki bu gün “Laspi” MMC-nin, məsələn, şirkətin müştəri bazasından və ya müştəri bazasından faydalanmaq fürsətini əldən verməyəcək çoxlu rəqibləri var. təchizatçı bazası.

2.2. Laspi MMC-nin peşəkar fəaliyyətinin informasiya təhlükəsizliyini təmin etmək üçün idarəetmə həlli layihəsi.

Elmi-istehsalat və elmin informasiya təminatı problemlərini keyfiyyətcə həll etməyə imkan verən təşkilati, inzibati, hüquqi və digər tədbirlər sistemində yer tutmaq vacibdir. kommersiya fəaliyyəti, məxfi məlumatların maddi daşıyıcılarının fiziki təhlükəsizliyi, onların sızmasının qarşısının alınması, kommersiya sirrinin qorunması ifaçıların məxfi sənədlərə və məlumatlara çıxışının icazəli sistemi ilə məşğul olur.

RSFSR-in "Müəssisələr və sahibkarlıq fəaliyyəti haqqında" Qanununu nəzərə alaraq, mülkiyyət formasından asılı olmayaraq müəssisənin (firmanın) rəhbəri kommersiya sirrini və onun daşıyıcılarını saxlayan məlumatların əldə edilməsi üçün xüsusi qaydalar müəyyən edə bilər. onların təhlükəsizliyinin təmin edilməsi.

Təhlükəsizlik tədbirləri sistemində müvafiq işlərin və sənədlərin konkret icraçıları arasında müəssisənin sirrini qoyaraq istehsal, kommersiya və maliyyə-kredit məlumatlarının optimal bölüşdürülməsi mühüm əhəmiyyət kəsb edir. Məlumatı yayarkən, bir tərəfdən, konkret işçinin ona həvalə edilmiş işi yüksək keyfiyyətli və vaxtında yerinə yetirməsi üçün tam həcmdə məlumatla təmin olunmasını təmin etmək, digər tərəfdən də ifaçının işə ehtiyacı olmayan lüzumsuz məxfi məlumatlarla tanışlığını istisna etmək.

Podratçının şirkətin kommersiya sirrini təşkil edən məlumatlara qanuni və əsaslı çıxışını təmin etmək üçün müəssisələrdə müvafiq lisenziyalaşdırma sisteminin işlənib hazırlanması və tətbiqi tövsiyə olunur.

Giriş dedikdə, işçinin xidməti vəzifələri (vəzifə səlahiyyətləri) nəzərə alınmaqla, konkret (və ya tam həcmdə) məxfi məlumatların verilməsi üçün şirkətin rəhbərindən (və ya onun təsdiqi ilə digər rəhbər şəxslərdən) yazılı icazə alınması başa düşülür.

KT-yə girişin qeydiyyatı şirkətin vəzifəli şəxslərinin məlumatların yayılması və istifadəsi üzrə səlahiyyətlərinin qanuni şəkildə təsbit edildiyi direktor tərəfindən təsdiq edilmiş girişin icazə sistemi haqqında Əsasnaməyə uyğun olaraq həyata keçirilə bilər. Təşkilat rəhbəri hər hansı mühafizə olunan məlumatdan istehsalat və istehsalat tərəfindən heç bir məhdudiyyət qoyulmadıqda, bu müəssisənin hər hansı əməkdaşına və ya başqa təşkilatdan obyektə gələn hər hansı bir məsələnin həlli üçün gələn şəxsə icazə verə bilər. birgə istehsal üçün kommersiya tərəfdaşları və s. NS. Belə ki, “Laspi” MMC-də kommersiya sirri təşkil edən məlumatlara (təchizatçı və müştərilərlə müqavilələr, əməliyyatlar üzrə yekun hesabatlar) çıxışın aşağıdakı işçilərə məhdudlaşdırılması tövsiyə olunur:

1. şirkətin təsisçisi.

2. şirkətin direktoru.

3. direktorun katibi.

Yalnız firmanın təsisçisi və direktoru digər işçilərin məlumat əldə etməsinə icazə verə bilər.

Bu əməliyyatları həyata keçirən yuxarıda göstərilən bütün işçilərin və menecerlərin müştərilərlə cari əməliyyatlar haqqında məlumat əldə etmək imkanı olmalıdır.

Avadanlıqların alış qiymətləri haqqında ilkin məlumatlar eyni şəkildə məhdudlaşdırılmalıdır. Yalnız təsisçi, şirkətin direktoru, qalan işçilərini yalnız əvvəlcədən işlənmiş qiymətlərlə (müxtəlif "əlavələrlə") təmin edən, habelə təşkilatda bütün sənəd dövriyyəsini aparan katibə çıxışı var. .

İcazə sisteminin effektiv işləməsi yalnız müəyyən qaydalara əməl olunarsa mümkündür:

1. Avtorizasiya sistemi, məcburi qayda olaraq, giriş məsələsinin həll olunduğu məxfi məlumatın əhəmiyyətini nəzərə almaqla, girişə icazə verilməsinə differensiallaşdırılmış yanaşmanı ehtiva edir.

2. Bu və ya digər qorunan informasiyadan istifadə hüququ üçün verilmiş icazənin sənədli əksi tələb olunur. Bu o deməkdir ki, istifadə hüququna icazə vermiş rəhbər bunu məcburi olaraq müvafiq sənəddə və ya müəssisədə qüvvədə olan uçot formasında yazılı şəkildə qeyd etməlidir. Hər kəsdən (müəssisə rəhbəri istisna olmaqla) hər hansı şifahi göstəriş və müraciətlər hüquqi qüvvəyə malik deyil. Bu tələb məxfi məlumat və onun daşıyıcıları ilə işləyən bütün səviyyələrdə menecerlərə də aiddir. Beləliklə, yalnız rəhbərin yazılı icazəsi (səlahiyyətlər daxilində) müəyyən bir şəxsə qorunan məlumatların verilməsi üçün icazədir.

3. Nəzarət prinsipinə ciddi əməl edilməlidir. Hər bir icazənin qeydiyyatı və verilmə tarixi olmalıdır.

Rəhbərin məxfi sənədə dair qərarı kimi ənənəvi qətnamə forması geniş yayılmışdır. Belə icazə sənədlərlə tanış olmağa və ya onları icra etməyə borclu olan işçilərin adlarının siyahısını, icra müddətini, digər göstərişləri, rəhbərin imzasını və tarixini ehtiva etməlidir. Menecer, zəruri hallarda, konkret işçilərin müəyyən məlumatlara çıxışına məhdudiyyətlər qoya bilər.

Qətnamə icazə növü kimi, əsasən, xaricdən alınan və müəssisədə yaradılan sənədlərdə və məhsullarda olan məxfi məlumatların maraqlı şəxslərə operativ çatdırılması üçün istifadə olunur.

Müəssisənin rəhbəri giriş üçün icazə verə bilər inzibati sənədlər: müəssisə üçün əmrlər, göstərişlər, göstərişlər. Onlarda şəxslərin adları, vəzifələri, konkret təsnifat sənədləri və buraxılış (tanış olmaq) mümkün olduğu məhsullar göstərilməlidir.

İcazələrin digər növü - məxfi sənədlər və məhsullarla tanış olmaq və hər hansı hərəkətləri etmək hüququ olan şəxslərin ailə siyahıları üzrə. Ailə siyahıları müəssisənin direktoru və ya mövcud lisenziyalaşdırma sisteminə uyğun olaraq, bir qayda olaraq, müvafiq şöbələrin rəhbərlərindən aşağı olmayan vəzifələrdə çalışan rəhbərlər tərəfindən təsdiq edilir.

Müəssisə üçün xüsusi əhəmiyyət kəsb edən məxfi sənədlərə və məhsullara çıxışın təşkili zamanı, məhdud ərazilərə, müxtəlif növ qapalı tədbirlərə (konfranslar, müşavirələr, sərgilər, elmi-texniki müşavirələr) girişi qeydə alınarkən şəxslərin ailə siyahılarından istifadə oluna bilər. şuralar və s.). Ailə siyahılarında, menecer tərəfindən müvafiq yazılı icazələr olmadan bütün qapalı sənədlərə və məhsullara icazə verilən xüsusi menecerlər müəyyən edilə bilər. Onlar şəxsin tam adını göstərirlər. qəbul edildiyi işin icraçısı, şöbəsi, tutduğu vəzifə, sənədlərin və məhsulların kateqoriyası. Praktikada iş siyahılarının seçimi də tətbiq olunur, bu da aşağıdakıları göstərir: podratçının mövqeyi, sənədlərin həcmi (sənədlərin kateqoriyaları) və siyahıya uyğun vəzifə tutan müəssisələrin işçiləri tərəfindən istifadə edilməli olan məhsul növləri. . Qeyd etmək lazımdır ki, məxfi sənədləri və məhsulları az olan müəssisələr üçün sənədin özü, ailə siyahıları, vəzifə siyahıları üzrə rəhbərin qərarı kimi icazə növlərindən istifadə etmək kifayət ola bilər.

Təşkilati baxımdan ailə siyahıları maraqlı struktur bölmələrinin rəhbərləri tərəfindən hazırlanmalıdır. Siyahıya daxil edilmiş işçilərin siyahısı Təhlükəsizlik Şurasının rəhbəri tərəfindən təsdiq edilir və təsdiq hüquqlarını rəhbərlikdən digər şəxslərə həvalə edə bilən müəssisənin rəhbəri tərəfindən təsdiq edilir.

İcazə sistemi aşağıdakı tələblərə cavab verməlidir:

· Yerləşdiyi yerdən və yaradılmasından asılı olmayaraq müəssisədə mövcud olan bütün növ məxfi sənədlərə və məhsullara müraciət etmək;

· KT ilə işləmək hüququ almış bütün kateqoriyalı işçilərin, habelə müəssisəyə müvəqqəti gələn və birgə qapalı əmrlərlə əlaqəli olan mütəxəssislərin giriş prosedurunu müəyyən etmək;

· Müəssisədə informasiya sahəsində baş verən dəyişikliklərə dərhal reaksiya verməyə imkan verən qorunan sənədlərə və məhsullara giriş üçün icazələrin verilməsinin sadə və etibarlı prosedurunu müəyyən etmək;

· Müvafiq kateqoriyalı ifaçılar üçün çıxışın layihələndirilməsində müxtəlif vəzifə səviyyəli menecerlərin hüquqlarını aydın şəkildə müəyyən etmək;

· Sənədlərin və məhsulların kiməsə nəzarətsiz və icazəsiz verilməsi ehtimalını istisna etmək;

· Məxfi məlumat və obyektlərlə işləyən şəxslərə hətta məlumatlarda dəyişiklik etməyə, habelə mühasibat sənədlərini dəyişdirməyə icazə verməyin.

İcazə sistemini hazırlayarkən müəssisə üçün xüsusilə qiymətli olan, onlara ciddi şəkildə məhdud çıxışı təmin edəcək əsas məlumatların vurğulanmasına xüsusi diqqət yetirilməlidir. Digər müəssisələr (təşkilatlar), xarici firmalar və ya onların ayrı-ayrı nümayəndələri ilə birgə iş olduqda, bu kateqoriyaların müəssisənin kommersiya sirlərinə çıxış qaydasını təmin etmək lazımdır. Xidmət göstərən dövlət təşkilatlarının nümayəndələri ilə qarşılıqlı əlaqə qaydasını müəyyən etmək məqsədəuyğundur: texniki nəzarət, sanitar-epidemioloji stansiya və s.

Şirkətin lisenziyalaşdırma sistemi haqqında Əsasnamədə qeyd edilməlidir ki, məxfi sənədlərin və məhsulların podratçıdan podratçıya verilməsi yalnız struktur bölmə daxilində və onun rəhbərinin icazəsi ilə mümkündür. Belə məhsul sənədlərinin köçürülməsi, qaytarılması şirkət tərəfindən müəyyən edilmiş qaydada və yalnız həmin günün iş vaxtı ərzində həyata keçirilir.

Müəssisə tərəfindən qəbul edilmiş və hazırlanmış bütün məxfi sənədlər və məhsullar orta rəhbər və katib tərəfindən qəbul edilir və nəzərə alınır. Qeydiyyatdan keçdikdən sonra sənədlər qəbz edilməklə baxılmaq üçün müəssisə rəhbərinə verilir.

Cəmiyyətin lisenziyalaşdırma sistemi haqqında Əsasnamədə qeyd etmək lazımdır ki, təsərrüfat işləri ilə bağlı qapalı iclaslar yalnız müəssisə rəhbərinin və ya onun müavinlərinin icazəsi ilə keçirilir. Elmi şuraların iclaslarına, elmi-tədqiqat və maliyyə və kommersiya fəaliyyətlərinin nəticələrinə baxılması üçün keçirilən iclaslara və s. xüsusi tələblər tətbiq oluna bilər. Bu cür tədbirlər üçün mütləq icazə siyahılarının tərtib edilməsi və onlara yalnız planlaşdırılan tədbirlərlə birbaşa əlaqəli olan və rəsmi zərurətdən irəli gələn iştirak edən müəssisə işçilərinin daxil edilməsi tövsiyə olunur.

Yuxarıda qeyd edildiyi kimi, digər firmaların işçiləri qapalı iclaslarda yalnız firma rəhbərliyinin şəxsi icazəsi ilə iştirak edə bilərlər. Siyahıları hazırlayır, bir qayda olaraq, maraqlı struktur bölmələrinin rəhbərləri ilə əlaqə saxlayaraq görüşün təşkilinə cavabdehdir. Siyahı bu iclasa qəbula nəzarətin təşkili üçün əsasdır. İclas başlamazdan əvvəl iclasda iştirak edənlərə müzakirə olunan məlumatların məxfi xarakter daşıdığı və cəmiyyət tərəfindən müəyyən edilmiş dövriyyədən kənarda yayıla bilməyəcəyi barədə xəbərdarlıq edilir və uçotun aparılmasına dair göstərişlər verilir.

Xüsusilə vurğulamaq lazımdır ki, şirkətdə məxfi məlumat və məhsullarla işləmək üçün müəyyən bir prosedurun yaradılması kommersiya sirrinin qorunmasının etibarlılığını əhəmiyyətli dərəcədə artırır, bu məlumatların açıqlanması, daşıyıcılarının itirilməsi ehtimalını azaldır.

Sənədlərin təhlükəsizliyini təmin etmək üçün sənədlərin etibarlı şəkildə bağlanmasına imkan verən müvafiq mebellərin alınması təklif olunur. Həm də hər gün, getməzdən əvvəl şkafları möhürləmək lazımdır.

Seyf və şkafların açarları imza qarşılığında mühafizə xidmətinə təhvil verilməlidir. Açarların saxlanması üçün xüsusi bir boru almaq və eyni şəkildə möhürləmək tövsiyə olunur.

Kompüter məlumatlarının təhlükəsizliyinə xüsusi diqqət yetirilməlidir. “Laspi” MMC-də bu gün bir neçə məlumat bazası yaradılmışdır: şirkətin müştəriləri (təkcə onların iş ünvanları və telefon nömrələri deyil, həm də ev, habelə şəxsi məlumatlar göstərilməklə); tədarük olunan avadanlığın qiymətlərini və xüsusiyyətlərini özündə əks etdirən məlumat bazası; təşkilatın işçilərinin məlumat bazası. Kompüter həmçinin müxtəlif müqavilələri, müqavilələri və s.

Hər halda, bu məlumatın rəqiblərin əlinə keçməsi çox arzuolunmazdır. Hadisələrin bu cür inkişafının qarşısını almaq üçün hər bir verilənlər bazasına daxil olmaq üçün parollar yaratmaq tövsiyə olunur (və proqram vasitələri bunu etməyə imkan verir). Kompüteri yükləyərkən, həmçinin iki səviyyəli mühafizənin qurulması tövsiyə olunur (BIOS yüklənərkən və bu əməliyyat sisteminin əvvəlki versiyalarından fərqli olaraq, sabit diskin məzmununa parolsuz daxil olmağa imkan verməyən OS Windows'2000 yüklənərkən). Təbii ki, parollar yalnız bu verilənlər bazası ilə birbaşa işləyən şirkət işçiləri (katib, menecerlər, proqramçılar) üçün də mövcud olmalıdır.

Kompüterlə bağlı hər hansı problem və üçüncü tərəflə əlaqə saxlamaq zərurəti yarandıqda, avadanlıqların təmiri prosesinə tam nəzarət etmək lazımdır. Məhz belə bir məqamda bütün parolların silindiyi, proqramçının “kənardan” sərt diskin məzmununa sərbəst və maneəsiz çıxışı olduğu bir vaxtda onun informasiyanı geri götürməsi və sonra ondan müxtəlif məqsədlər üçün istifadə etməsi mümkündür.

Kompüterlərə virusların daxil olmasının və yayılmasının qarşısını almaq üçün antivirus proqram təminatını daim yeniləmək lazımdır.

Yeni işçilərin işə qəbulu məsələlərinə xüsusi diqqət yetirilməlidir. Bu gün bir çox təşkilatlar bu prosesə sərtləşdirilmiş yanaşma tətbiq edirlər ki, bu da şirkət daxilində məlumatı qorumaq və "insan amili" səbəbindən onun hüdudlarından kənara çıxmasına imkan verməmək istəyi ilə əlaqələndirilir.

Əksər hallarda işə qəbul iki mərhələdə həyata keçirildiyi halda (onlar yuxarıda ümumiləşdirilmişdir), daha sonra burada dörd mərhələ təklif olunur.

1. Kadrlar şöbəsinin müdiri ilə söhbət. Kadrlar şöbəsinin müdiri namizədlə, onun CV-si ilə tanış olur, onun peşə fəaliyyəti ilə bağlı suallar verir, ilkin qeydlər aparır. Bu mərhələ peşəkar xarakter daşıyır. Sonra kadrlar şöbəsinin müdiri namizədlərdən daxil olan məlumatları təhlil edir və rəhbərə ötürür.

2. Namizədlərin tərcümeyi-halı və onlar haqqında kadrlar şöbəsinin müdirinin qeydləri ilə tanış olmaq, onlara uyğun olanların seçilməsi və müsahibəyə dəvət edilməsinə nəzarət etmək. Müsahibə şəxsi xarakter daşıyır və qeyri-standart suallardan ibarətdir (məsələn, insan nə yeməyi sevir, hobbi nədir və s.) Beləliklə, menecer bu şəxsin onun üçün nə dərəcədə uyğun olduğuna dair qərar qəbul etmək üçün məlumat alır. , proqnozlaşdırır mümkün problemlər bu namizədlə ünsiyyət qurarkən qarşılaşa bilər.

3. Sınaq. Burada artıq işçinin intellekt səviyyəsi müəyyən edilir, onun psixoloji portreti əsas götürülür. müxtəlif testlər... Ancaq əvvəlcə menecerin və həmkarlarının yeni işçini necə görmək istədiklərini müəyyənləşdirməlisiniz.

4. Mühafizə xidməti. Burada iki mərhələ təklif olunur: a) namizədlərin müxtəlif instansiyalarda yoxlanılması (məhkəməyə cəlb edilib-edilməməsi, azadlıqdan məhrum etmə yerlərində cəza çəkib-çəkməməsi, narkoloji dispanserdə qeydiyyatda olub-olmaması, əvvəlki iş yerləri barədə verdiyi məlumatların doğru olub-olmaması); b) ən çox "yalan detektoru" adlanan xüsusi avadanlıqların yoxlanılması. İkinci mərhələdə işçinin şirkətə nə dərəcədə sadiq olduğu, təxribatçı suallara (məsələn, həmkarlarından birinin sənədləri evə apardığını bilsə nə edəcək) və s.

Və yalnız namizəd bütün bu dörd mərhələni keçdikdən sonra qərar qəbul etmək olar - onu işə götürüb-qoşmamaq.

Müsbət qərar qəbul edildikdən sonra işçi üçün sınaq müddəti təyin edilir (Rusiya Federasiyasının qanunvericiliyinə uyğun olaraq, 1 aydan üçə qədər dəyişə bilər, lakin 2 aydan az olmamaq tövsiyə olunur və tercihen 3). ərzində Sınaq müddəti rəhbərlik və mühafizə xidməti yeni işçiyə nəzarət etməli, onun fəaliyyətini müşahidə etməlidir.

Bundan əlavə, işə qəbul edildikdən dərhal sonra nəticə ilə birlikdə lazımdır əmək müqaviləsi, kommersiya sirrinin açıqlanmaması haqqında müqavilə imzalamaq. Bu müqavilənin tövsiyə olunan müddəaları:

Bu, müqaviləyə daxil edilə bilənlərin tam siyahısı deyil.

Nəticə

Bu gün informasiya təhlükəsizliyinin təşkili məsələsi istənilən səviyyəli təşkilatları - iri korporasiyalardan tutmuş hüquqi şəxs olmayan sahibkarlara qədər narahat edir. Müasir bazar münasibətlərində rəqabət mükəmməllikdən uzaqdır və çox vaxt ən qanuni üsullarla həyata keçirilmir. Sənaye casusluğu çiçəklənir. Amma təşkilatın kommersiya sirri ilə bağlı məlumatların təsadüfən yayılması halları da var. Burada bir qayda olaraq işçilərin səhlənkarlığı, vəziyyəti anlamaması, başqa sözlə desək, “insan amili” rol oynayır.

Kurs işi Laspi MMC-də informasiya təhlükəsizliyinin təşkili üçün idarəetmə həlli layihəsini təqdim edir. Layihə təhlükəsizliyin təşkilinin üç əsas sahəsinə toxunur: 1. sənədləşmə sahəsi (bu girişin sərhədləri müəyyən edilməklə kağız üzərində təqdim olunan materiallara çıxış); 2. kompüter təhlükəsizliyi; 3. yeni işçilərin işə qəbulu baxımından təhlükəsizlik.

Nəzərə almaq lazımdır ki, bu layihə müəyyən bir təşkilat üçün hazırlansa da, onun müddəaları orta ölçülü şirkətlər kateqoriyasına aid olan digər firmalarda təhlükəsizliyin təşkili üçün istifadə edilə bilər.