La sécurité d'un serveur virtuel ne peut être vue directement que comme "Sécurité des informations"... Beaucoup ont entendu cette phrase, mais tout le monde ne comprend pas ce que c'est ?
"Sécurité des informations" est le processus d'assurer disponibilité, intégrité et confidentialité des informations.
Sous "Disponibilité" s'entend en conséquence comme donnant accès à l'information. "Intégrité"- ceci afin de garantir l'exactitude et l'exhaustivité des informations. "Confidentialité" signifie fournir l'accès à l'information uniquement aux utilisateurs autorisés.
En fonction de vos objectifs et des tâches effectuées sur le serveur virtuel, vous aurez également besoin de diverses mesures et degrés de protection applicables à chacun de ces trois points.
Par exemple, si vous utilisez un serveur virtuel uniquement comme moyen de surfer sur Internet, alors des moyens nécessaires pour assurer la sécurité, il y aura tout d'abord l'utilisation de moyens protection antivirus, ainsi que le respect des règles élémentaires de sécurité lors du travail sur Internet.
Sinon, si vous avez un site de vente ou un serveur de jeu hébergé sur votre serveur, alors les mesures de protection nécessaires seront complètement différentes.
Connaître les menaces possibles, ainsi que les vulnérabilités que ces menaces exploitent habituellement, est nécessaire afin de choisir les mesures de sécurité les plus optimales, pour cela nous considérerons les points principaux.
Sous "Menace" le potentiel est compris comme violant la sécurité de l'information d'une manière ou d'une autre. Une tentative de mise en œuvre d'une menace est appelée "Attaque", et celui qui met en œuvre cette tentative s'appelle "Intrus"... Le plus souvent, la menace est une conséquence de la présence de vulnérabilités dans la protection des systèmes d'information.
Considérons les menaces les plus courantes auxquelles les systèmes d'information modernes sont exposés.
Menaces de sécurité de l'information qui causent le plus de dommages
Considérons ci-dessous la classification des types de menaces selon différents critères :- Menace directement sécurité de l'information:
- Disponibilité
- Intégrité
- Confidentialité
- Composants ciblés par les menaces :
- Données
- Programmes
- Équipement
- Infrastructures de soutien
- En guise de mise en œuvre :
- Accidentel ou délibéré
- Naturel ou artificiel
- Selon l'emplacement de la source de la menace, il y a :
- Interne
- Externe
Appliquées aux serveurs virtuels, les menaces que vous, en tant qu'administrateur de serveur, devez prendre en compte sont la menace pour la disponibilité, la confidentialité et l'intégrité des données. Vous assumez la responsabilité directe et indépendante de la possibilité de mettre en œuvre des menaces visant à la confidentialité et à l'intégrité des données qui ne sont pas liées au composant matériel ou d'infrastructure. Y compris l'application des mesures de protection nécessaires, c'est votre tâche immédiate.
Menaces visant les vulnérabilités des programmes que vous utilisez, souvent, en tant qu'utilisateur, vous ne pourrez pas influencer, sauf comment ne pas utiliser ces programmes. L'utilisation de ces programmes n'est autorisée que si la mise en œuvre de menaces utilisant les vulnérabilités de ces programmes n'est pas conseillée du point de vue d'un attaquant ou n'entraîne pas de pertes importantes pour vous en tant qu'utilisateur.
L'hébergeur que vous avez choisi et où vous louez vos serveurs est directement impliqué pour assurer les mesures de sécurité nécessaires contre les menaces visant le matériel, les infrastructures ou les menaces de nature humaine et naturelle. Dans ce cas, il est nécessaire d'aborder le choix avec le plus grand soin, l'hébergeur correctement choisi vous fournira la fiabilité des composants matériels et d'infrastructure au bon niveau.
En tant qu'administrateur de serveur virtuel, ces types de menaces ne doivent être pris en compte que dans les cas où même une perte d'accès à court terme ou un arrêt partiel ou complet des performances du serveur en raison de la faute de la société d'hébergement peut entraîner des problèmes incommensurables ou des pertes. Cela arrive assez rarement, mais pour des raisons objectives, aucune société d'hébergement ne peut fournir 100% de disponibilité.
Menaces directes sur la sécurité de l'information
Les principales menaces à l'accessibilité comprennent
- Défaillance interne du système d'information ;
- Défaillance de l'infrastructure de support.
- Violation (accidentelle ou intentionnelle) des règles de fonctionnement établies
- Déconnexion du système fonctionnement normal fonctionnement dû à des actions accidentelles ou délibérées des utilisateurs (dépassement du nombre estimé de demandes, quantité excessive d'informations traitées, etc.)
- Erreurs lors de la (re)configuration du système
- Logiciel malveillant
- Pannes matérielles et logicielles
- Destruction des données
- Destruction ou endommagement du matériel
- Perturbation (accidentelle ou intentionnelle) des systèmes de communication, de l'alimentation électrique, de l'alimentation en eau et/ou en chaleur, de la climatisation ;
- Destruction ou dégradation des locaux ;
- L'incapacité ou la réticence du personnel du service et/ou des usagers à remplir leurs fonctions (troubles civils, accidents de transport, acte terroriste ou sa menace, grève, etc.).
Menaces majeures pour l'intégrité
Il peut être divisé en menaces d'intégrité statiques et menaces d'intégrité dynamiques.Il doit également être divisé en menaces pour l'intégrité des informations de service et en données significatives. Les informations de service font référence aux mots de passe d'accès, aux itinéraires de transfert de données dans le réseau local et à des informations similaires. Le plus souvent et dans presque tous les cas, l'attaquant, consciemment ou non, s'avère être un employé de l'organisation qui connaît le mode opératoire et les mesures de protection.
Afin de violer l'intégrité statique, un attaquant peut :
- Saisir des données incorrectes
- Pour modifier les données
Principales menaces à la vie privée
Les informations confidentielles peuvent être divisées en informations de sujet et de service. Les informations de service (par exemple, les mots de passe des utilisateurs) ne sont pas liées à certains Domaine, il joue un rôle technique dans le système d'information, mais sa divulgation est particulièrement dangereuse, car elle est lourde d'accès non autorisé à toutes les informations, y compris les informations sur le sujet.Même si les informations sont stockées sur un ordinateur ou sont destinées à un usage informatique, les menaces à leur confidentialité peuvent être de nature non informatique et généralement non technique.
Les menaces désagréables contre lesquelles il est difficile de se défendre comprennent l'abus de pouvoir. Sur de nombreux types de systèmes, l'utilisateur root (par exemple Administrateur du système) est capable de lire n'importe quel fichier (non crypté), d'accéder à la messagerie de n'importe quel utilisateur, etc. Un autre exemple est les dommages de service. Habituellement, l'ingénieur de service reçoit accès illimitéà l'équipement et a la capacité de contourner les mécanismes de protection du logiciel.
Pour plus de clarté, ces types de menaces sont également présentés schématiquement ci-dessous dans la figure 1. 
Riz. 1. Classification des types de menaces à la sécurité de l'information
Pour appliquer les mesures de protection les plus optimales, il est nécessaire d'évaluer non seulement les menaces pour la sécurité de l'information, mais également les dommages possibles ; pour cela, la caractéristique d'acceptabilité est utilisée, ainsi, les dommages possibles sont déterminés comme acceptables ou inacceptables. Pour cela, il est utile d'établir vos propres critères d'admissibilité des dommages sous forme pécuniaire ou autre.
Toute personne qui commence à organiser la sécurité de l'information doit répondre à trois questions fondamentales :
- Que protéger ?
- De qui protéger, quels types de menaces prévalent : externes ou internes ?
- Comment protéger, par quelles méthodes et par quels moyens ?
Les principales méthodes et moyens de protection, ainsi que les mesures de sécurité minimales et nécessaires appliquées sur les serveurs virtuels, en fonction des principaux objectifs de leur utilisation et des types de menaces, nous examinerons dans les articles suivants sous la rubrique "Bases de la sécurité de l'information ".
Objectivement, la catégorie de "sécurité de l'information" est apparue avec l'émergence des moyens de communication de l'information entre les personnes, ainsi qu'avec la prise de conscience d'une personne que les personnes et leurs communautés ont des intérêts qui peuvent être lésés en influençant les moyens de communication de l'information, la présence et dont le développement assure l'échange d'informations entre tous les éléments de la société.
La sécurité de l'information est la protection de l'information et de l'infrastructure de soutien contre les influences accidentelles ou intentionnelles de nature naturelle ou artificielle, qui peuvent causer des dommages inacceptables aux sujets des relations d'information. Infrastructure de soutien - électricité, chauffage, eau, systèmes d'approvisionnement en gaz, systèmes de climatisation, etc., ainsi que personnel de service. Les dommages inacceptables sont des dommages qui ne peuvent être négligés.
Tandis que Sécurité des informations- Ce l'état de sécurité de l'environnement de l'information, protection des informations est une activité visant à empêcher la fuite d'informations protégées, les influences non autorisées et non intentionnelles sur les informations protégées, c'est-à-dire traiter, visant à atteindre cet état .
Sécurité de l'information de l'organisation- l'état de sécurité de l'environnement informationnel de l'organisation, assurant sa formation, son utilisation et son développement.
Sécurité de l'information de l'État- l'état de conservation des ressources informationnelles de l'Etat et la protection des droits légaux de l'individu et de la société dans sphère de l'information.
Dans la société moderne la sphère de l'information a deux composantes: informatique (le monde de la technologie, de la technologie, etc., créé artificiellement par l'homme) et informationnel et psychologique (le monde naturel de la nature vivante, y compris l'homme lui-même).
Sécurité des informations- protection de la confidentialité, de l'intégrité et de la disponibilité des informations.
1. Confidentialité: propriété des ressources d'information, y compris les informations liées au fait qu'elles ne deviendront pas disponibles et ne seront pas divulguées à des personnes non autorisées.
2. Intégrité: propriété des ressources d'information, y compris l'information, qui détermine leur exactitude et leur exhaustivité.
3. Disponibilité: propriété des ressources informationnelles, y compris les informations, qui détermine la possibilité de leur réception et de leur utilisation à la demande des personnes autorisées.
Une approche systématique de la description de la sécurité de l'information suggère de souligner les points suivants composants de sécurité de l'information:
1. Base législative, réglementaire et scientifique.
2. La structure et les tâches des organes (départements) qui assurent la sécurité informatique.
3. Mesures et méthodes organisationnelles, techniques et de sécurité (Politique de sécurité de l'information).
4. Méthodes logicielles et matérielles et moyens d'assurer la sécurité de l'information.
Compte tenu de l'impact sur la transformation des idées de sécurité de l'information, dans le développement des communications de l'information il y a plusieurs étapes:
Ø Étape I - avant 1816 - caractérisé par l'utilisation moyens naturels de communication de l'information... Au cours de cette période, la tâche principale de la sécurité de l'information a été dans la protection des informations sur les événements, les faits, les biens, l'emplacement et d'autres données qui sont d'une importance vitale pour une personne personnellement ou la communauté à laquelle elle appartenait .
Ø Étape II - depuis 1816 - associé au début d'utilisation moyens techniques de communication électrique et radio créés artificiellement... Pour assurer le secret et l'immunité au bruit des communications radio, il a fallu utiliser l'expérience de la première période de sécurité de l'information à un niveau technologique supérieur, à savoir application d'un codage correcteur d'erreurs d'un message (signal) avec décodage ultérieur du message reçu (signal).
Ø Stade III - depuis 1935 - liés à l'émergence des équipements radar et hydroacoustiques. Le principal moyen d'assurer la sécurité de l'information pendant cette période était une combinaison de mesures organisationnelles et techniques visant à renforcer la protection des équipements radar contre les effets du masquage actif et de l'imitation passive des interférences radio-électroniques sur leurs dispositifs de réception.
Ø Stade IV - depuis 1946 - associés à l'invention et à la mise en œuvre des calculateurs électroniques dans la pratique(des ordinateurs). Les tâches de sécurité de l'information ont été principalement résolues méthodes et moyens de limiter accès physiqueà l'équipement des moyens d'extraction, de traitement et de transmission d'informations .
Ø Étape V - depuis 1965 - en raison de la création et du développement réseaux locaux d'information et de communication... Les tâches de sécurité de l'information ont également été résolues principalement par des méthodes et des méthodes protection physique des moyens d'obtention, de traitement et de transmission d'informations, réunis en réseau local en administrant et en contrôlant l'accès aux ressources du réseau .
Ø Stade VI - depuis 1973 - associé à l'utilisation dispositifs de communication ultra-mobiles avec un large éventail de tâches... Les menaces à la sécurité de l'information sont devenues beaucoup plus sérieuses. Pour assurer la sécurité de l'information dans systèmes informatiques euh avec réseaux sans fil la transmission des données a nécessité le développement de nouveaux critères de sécurité. Des communautés de personnes - des hackers se sont formés, visant à nuire à la sécurité de l'information d'utilisateurs individuels, d'organisations et de pays entiers. La ressource informationnelle est devenue ressource essentielle l'État, et assurer sa sécurité est la composante la plus importante et la plus obligatoire de la sécurité nationale. La loi sur l'information se forme - une nouvelle branche du système juridique international.
Ø VII étape - depuis 1985 - est associé à la création et au développement de réseaux mondiaux d'information et de communication utilisant des installations de soutien spatial. On peut supposer que la prochaine étape du développement de la sécurité de l'information sera évidemment associée à l'utilisation généralisée d'appareils de communication ultra-mobiles avec un large éventail de tâches et une couverture mondiale dans l'espace et le temps, fournie par l'information et la communication spatiales. systèmes. Pour résoudre les problèmes de sécurité de l'information à ce stade, il est nécessaire de créer un macrosystème de sécurité de l'information de l'humanité sous les auspices des principaux forums internationaux .
Sous sécurité de l'information comprendre l'état de protection des données traitées, stockées et transmises contre la connaissance, la transformation et la destruction illégales, ainsi que l'état de protection des ressources d'information contre les influences visant à perturber leur performance.
La nature de ces influences peut être très diverse. Il s'agit de tentatives de pénétration par des intrus, d'erreurs de personnel, de pannes matérielles et logicielles, de catastrophes naturelles (tremblement de terre, ouragan, incendie, etc.). Les principales menaces de sécurité dans les réseaux informatiques d'entreprise sont analysées en détail dans la section 2.
La sécurité de l'information des systèmes et réseaux informatiques est obtenue en adoptant un ensemble de mesures pour assurer la confidentialité, l'intégrité, la fiabilité, la signification juridique des informations, un accès rapide à celles-ci, ainsi que pour assurer l'intégrité et la disponibilité des ressources d'information et des composants d'un système ou réseau. Les propriétés de base de l'information énumérées nécessitent une interprétation plus complète.
Confidentialité des informations - c'est sa propriété de n'être accessible qu'à un cercle restreint d'utilisateurs du système d'information dans lequel circulent ces informations. Essentiellement, la confidentialité des informations est sa propriété de n'être connue que des sujets admis et vérifiés du système (utilisateurs, processus, programmes). Pour le reste des sujets du système, l'information devrait être inconnue.
Sous intégrité des informations sa propriété s'entend de préserver sa structure et/ou son contenu en cours de transmission et de stockage. L'intégrité des informations est assurée si les données du système ne diffèrent pas sémantiquement des données des documents originaux, c'est-à-dire si elles n'ont pas été accidentellement ou intentionnellement déformées ou détruites.
Fiabilité des informations - une propriété exprimée dans la stricte appartenance de l'information au sujet qui en est la source, ou au sujet dont elle a été reçue.
Importance juridique des informations signifie que le document qui est le support d'information a force de loi.
Sous accès à l'information désigne la prise de connaissance de l'information et de son traitement, notamment la copie, la modification ou la destruction. Distinguer les accès autorisés et non autorisés à l'information. Accès autorisé à l'information ne viole pas les règles établies de contrôle d'accès.
L'accès non autorisé caractérisé par une violation des règles établies de contrôle d'accès. Une personne ou un processus effectuant un accès non autorisé à des informations enfreint ces règles de contrôle d'accès. L'accès non autorisé est le type de violation informatique le plus courant.
Règles de contrôle d'accès servent à réguler les droits d'accès aux composants du système.
Accès rapide aux informations Est-ce la capacité d'une information ou d'une ressource d'information à être disponible pour l'utilisateur final en fonction de ses besoins opérationnels.
Intégrité d'une ressource ou d'un composant système - c'est sa propriété d'être inchangée au sens sémantique pendant le fonctionnement du système dans des conditions de distorsions accidentelles ou délibérées ou d'influences destructrices.
Disponibilité d'une ressource ou d'un composant système - c'est sa propriété d'être disponible pour les utilisateurs légitimes du système. Un groupe de concepts tels que l'identification, l'authentification et l'autorisation est associé à l'accès aux informations et aux ressources système.
Chaque objet du système (réseau) est associé à des informations (numéro, chaîne de caractères) identifiant l'objet. Ces informations sont identifiant objet système (réseau). Un objet avec un identifiant enregistré est considéré légal (légal ).
Identification d'objet Est une procédure de reconnaissance d'un objet par son identifiant. Exécuté lorsqu'un objet essaie de se connecter au système (réseau).
L'étape suivante dans l'interaction du système avec l'objet est l'authentification. Authentification d'objet Est l'authentification de l'objet avec l'identifiant donné. La procédure d'authentification détermine si un objet est exactement celui qu'il prétend être.
Après identification et authentification de l'entité, l'autorisation est effectuée.
Autorisation d'objet Est une procédure pour fournir un objet légitime qui a passé avec succès l'identification et l'authentification, l'autorité appropriée et les ressources disponibles du système (réseau).
Sous menace pour la sécurité pour un système (réseau), les impacts possibles pouvant nuire directement ou indirectement à sa sécurité sont compris. Dommages à la sécurité implique une violation de l'état de sécurité des informations contenues et traitées dans le système (réseau).
La notion de vulnérabilité d'un système informatique (réseau) est étroitement liée à la notion de menace pour la sécurité. Vulnérabilité du système (réseau) désigne toute caractéristique d'un système informatique dont l'utilisation peut conduire à la réalisation d'une menace.
Attaque sur un système informatique (réseau) est une action entreprise par un attaquant pour trouver et exploiter une vulnérabilité particulière dans le système. Ainsi, une attaque est une prise de conscience d'une menace pour la sécurité.
La lutte contre les menaces de sécurité est l'objectif que les moyens de protection des systèmes informatiques et des réseaux sont conçus pour remplir. Système sûr ou sécurisé Est un système doté de défenses qui permettent de contrer avec succès et efficacité les menaces de sécurité.
Complexe de moyens de protection est un ensemble de logiciels et de matériel réseau. L'ensemble des moyens de protection est créé et entretenu conformément à la politique d'assurance de la sécurité de l'information du système adoptée dans cette organisation.
Politique de sécurité Est-ce un ensemble de normes, de règles et recommandations pratiques réglementer le fonctionnement des moyens de protection d'un système informatique (réseau) contre un ensemble donné de menaces à la sécurité.
Les réseaux d'entreprise sont des systèmes informatiques distribués qui effectuent un traitement automatisé de l'information. Le problème de la sécurité de l'information est au cœur de tels systèmes informatiques. Assurer la sécurité d'un réseau d'entreprise implique l'organisation de la lutte contre toute intrusion non autorisée dans le fonctionnement du réseau d'entreprise, ainsi que les tentatives de modification, de vol, de désactivation ou de destruction de ses composants, c'est-à-dire la protection de tous les composants du réseau d'entreprise. réseau (matériel, logiciel, données et personnel).
Il existe deux approches au problème d'assurer la sécurité d'un réseau d'entreprise : « fragmenté » et complexe.
« Fragmentaire » une approche vise à contrer des menaces bien définies dans des conditions données. Des exemples de mise en œuvre de cette approche comprennent : des contrôles d'accès séparés, des outils de chiffrement autonomes, des Logiciel antivirus etc. L'avantage de cette approche est qu'elle est hautement sélective pour une menace spécifique. Son inconvénient majeur est l'absence d'un environnement protégé unifié pour le traitement de l'information. Les mesures de protection des informations fragmentées protègent des objets spécifiques du réseau d'entreprise uniquement contre une menace spécifique. Même une petite modification de la menace entraîne une perte d'efficacité de la protection.
Une approche complexe se concentre sur la création d'un environnement sécurisé pour le traitement de l'information dans un réseau d'entreprise, réunissant des mesures hétérogènes pour contrer les menaces. L'organisation d'un environnement protégé pour le traitement de l'information permet de garantir un certain niveau de sécurité du réseau d'entreprise, qui peut être attribué aux avantages incontestables d'une approche intégrée. Ses inconvénients incluent les restrictions sur la liberté d'action des utilisateurs du réseau d'entreprise, la sensibilité aux erreurs lors de l'installation et de la configuration des outils de protection et la complexité de la gestion.
Une approche intégrée est utilisée pour protéger les réseaux d'entreprise de grandes organisations ou de petits réseaux d'entreprise qui effectuent des tâches critiques ou traitent des informations critiques. La violation de la sécurité de l'information dans les réseaux d'entreprise des grandes organisations peut causer d'énormes dommages matériels, à la fois aux organisations elles-mêmes et à leurs clients. Par conséquent, ces organisations sont obligées d'accorder une attention particulière aux garanties de sécurité et de mettre en œuvre protection complète... Une approche intégrée est suivie par la plupart des entreprises et institutions publiques et commerciales. Cette approche se reflète dans diverses normes.
Une approche intégrée du problème d'assurer la sécurité est basée sur une politique de sécurité développée pour un réseau d'entreprise spécifique.
Le fondateur de la cybernétique, Norbert Wiener, croyait que l'information a des caractéristiques uniques et ne peut être attribuée ni à l'énergie ni à la matière. Le statut particulier de l'information en tant que phénomène a donné lieu à de nombreuses définitions.
Dans le dictionnaire de la norme ISO/IEC 2382 : 2015 « Informatique» L'interprétation suivante est donnée :
Information (dans le domaine du traitement de l'information)- toutes données présentées sous forme électronique, écrites sur papier, exprimées lors d'une réunion ou sur tout autre support, utilisées par une institution financière pour prendre des décisions, se déplacer Argent, la fixation des taux, l'octroi de prêts, le traitement des transactions, etc., y compris les composants logiciels du système de traitement.
Pour développer le concept de sécurité de l'information (SI), l'information est comprise comme une information disponible pour la collecte, le stockage, le traitement (édition, transformation), l'utilisation et la transmission de diverses manières, y compris dans les réseaux informatiques et autres systèmes d'information.
Ces informations sont d'une grande valeur et peuvent devenir des objets d'empiètement de la part de tiers. Le désir de protéger l'information contre les menaces sous-tend la création de systèmes de sécurité de l'information.
Base légale
En décembre 2017, la Russie a adopté la doctrine de la sécurité de l'information. Dans le document, IB est défini comme l'état de protection des intérêts nationaux dans le domaine de l'information. Dans ce cas, les intérêts nationaux sont compris comme la totalité des intérêts de la société, de l'individu et de l'État, chaque groupe d'intérêts est nécessaire au fonctionnement stable de la société.
La doctrine est un document conceptuel. Les relations juridiques liées à la sécurité de l'information sont régies par Lois fédérales"Sur les secrets d'Etat", "Sur l'information", "Sur la protection des données personnelles" et autres. Sur la base des actes normatifs fondamentaux, des décrets gouvernementaux et des actes normatifs départementaux sont élaborés sur des questions privées de protection de l'information.
Définition de la sécurité de l'information
Avant d'élaborer une stratégie de sécurité de l'information, il est nécessaire d'adopter une définition de base du concept lui-même, qui permettra l'utilisation d'un certain ensemble de méthodes et de méthodes de protection.
Les praticiens de l'industrie suggèrent que la sécurité de l'information soit comprise comme un état stable de sécurité de l'information, de ses supports et de son infrastructure, qui garantit l'intégrité et la stabilité des processus liés à l'information contre les impacts intentionnels ou non intentionnels de nature naturelle et artificielle. Les impacts sont classés comme des menaces SI pouvant nuire aux sujets des relations informationnelles.
Ainsi, la protection de l'information sera comprise comme un ensemble de mesures juridiques, administratives, organisationnelles et techniques visant à prévenir les menaces réelles ou perçues à la sécurité de l'information, ainsi qu'à éliminer les conséquences des incidents. La continuité du processus de protection de l'information doit garantir la lutte contre les menaces à toutes les étapes du cycle de l'information : dans le processus de collecte, de stockage, de traitement, d'utilisation et de transmission de l'information.
La sécurité de l'information dans cette compréhension devient l'une des caractéristiques de la performance du système. À chaque instant, le système doit avoir un niveau de sécurité mesurable, et assurer la sécurité du système doit être un processus continu qui est effectué à tous les intervalles de temps pendant la durée de vie du système.
Dans la théorie de la sécurité de l'information, les sujets de la sécurité de l'information sont compris comme les propriétaires et les utilisateurs de l'information, et non seulement les utilisateurs sur une base continue (employés), mais aussi les utilisateurs qui accèdent aux bases de données dans des cas isolés, par exemple, les agences gouvernementales demandant des informations. Dans un certain nombre de cas, par exemple, dans les normes de sécurité de l'information bancaire, les actionnaires sont classés comme propriétaires de l'information - des entités juridiques qui possèdent certaines données.
L'infrastructure de soutien, du point de vue des bases de la sécurité de l'information, comprend des ordinateurs, des réseaux, des équipements de télécommunications, des locaux, des systèmes de survie et du personnel. Lors de l'analyse de la sécurité, il est nécessaire d'étudier tous les éléments des systèmes, en accordant une attention particulière au personnel en tant que porteur de la plupart des menaces internes.
Pour la gestion de la sécurité de l'information et l'évaluation des dommages, la caractéristique d'acceptabilité est utilisée, de sorte que les dommages sont déterminés comme acceptables ou inacceptables. Il est utile pour chaque entreprise d'établir ses propres critères d'admissibilité d'un dommage sous forme monétaire ou, par exemple, sous forme d'atteinte acceptable à la réputation. Dans les institutions publiques, d'autres caractéristiques peuvent être adoptées, par exemple, l'influence sur le processus de gestion ou le reflet du degré d'atteinte à la vie et à la santé des citoyens. Les critères de matérialité, d'importance et de valeur des informations peuvent changer au cours du cycle de vie de la matrice d'informations, par conséquent, ils doivent être révisés en temps opportun.
Une menace informationnelle au sens étroit est une opportunité objective d'influencer l'objet de la protection, ce qui peut conduire à une fuite, un vol, une divulgation ou une diffusion d'informations. Dans un sens plus large, les menaces à la sécurité de l'information incluront des impacts informationnels dirigés, dont le but est de nuire à l'État, à l'organisation et à l'individu. Ces menaces incluent, par exemple, la diffamation, les fausses déclarations délibérées et la publicité inappropriée.
Trois questions principales du concept de sécurité de l'information pour toute organisation
Que protéger ?
Quels types de menaces prévalent : externes ou internes ?
Comment protéger, par quelles méthodes et par quels moyens ?
Système SI
Le système de sécurité de l'information pour une entreprise - une personne morale comprend trois groupes de concepts de base : l'intégrité, la disponibilité et la confidentialité. Sous chacun se trouvent des concepts avec de nombreuses caractéristiques.
Sous intégrité signifie la stabilité des bases de données, d'autres tableaux d'informations à la destruction accidentelle ou intentionnelle, des modifications non autorisées. L'intégrité peut être considérée comme :
- statique, exprimé dans l'immuabilité, l'authenticité des objets d'information à ces objets qui ont été créés selon une tâche technique spécifique et contiennent la quantité d'informations requises par les utilisateurs pour leur activité principale, dans la configuration et l'ordre requis ;
- dynamique, impliquant la bonne exécution d'actions ou de transactions complexes, sans nuire à la sécurité de l'information.
Pour contrôler l'intégrité dynamique, des moyens techniques spéciaux sont utilisés pour analyser les flux d'informations, par exemple financières, et détecter les cas de vol, de duplication, de redirection et de réorganisation des messages. L'intégrité en tant que caractéristique clé est requise lorsque des décisions sont prises pour prendre des mesures sur la base d'informations entrantes ou disponibles. La violation de l'ordre des commandes ou de la séquence d'actions peut causer de gros dommages dans le cas de descriptions de processus technologiques, de codes de programme et dans d'autres situations similaires.
Disponibilité est une propriété qui permet aux sujets autorisés d'accéder ou d'échanger des données qui les intéressent. L'exigence clé de légitimation ou d'autorisation des sujets permet de créer différents niveaux d'accès. Le refus du système de fournir des informations devient un problème pour toute organisation ou groupe d'utilisateurs. Un exemple est l'inaccessibilité des sites de service public en cas de défaillance du système, qui prive de nombreux utilisateurs de la possibilité de recevoir les services ou informations nécessaires.
Confidentialité désigne la propriété de l'information d'être disponible pour ces utilisateurs : sujets et processus auxquels l'accès est initialement autorisé. La plupart des entreprises et organisations perçoivent la confidentialité comme un élément clé de la sécurité de l'information, mais dans la pratique, il est difficile de la mettre pleinement en œuvre. Toutes les données sur les canaux existants de fuite d'informations ne sont pas disponibles pour les auteurs de concepts de sécurité de l'information, et de nombreux moyens techniques de protection, y compris cryptographiques, ne peuvent pas être achetés librement, dans certains cas le chiffre d'affaires est limité.
Des propriétés égales de la sécurité de l'information ont des valeurs différentes pour les utilisateurs, d'où les deux catégories extrêmes lors du développement de concepts de protection des données. Pour les entreprises ou organisations liées aux secrets d'État, la confidentialité deviendra un paramètre clé, pour les services publics ou les établissements d'enseignement, le paramètre le plus important est l'accessibilité.
Résumé de la sécurité de l'information
Objets protégés dans les concepts de sécurité de l'information
La différence des sujets donne lieu à des différences dans les objets de protection. Les principaux groupes d'objets protégés :
- ressources informationnelles de tous types (une ressource désigne un objet matériel : Disque dur, un autre support, un document avec des données et des détails qui aident à l'identifier et à l'attribuer à un certain groupe de sujets);
- les droits des citoyens, des organisations et de l'État à accéder à l'information, la possibilité de l'obtenir dans le cadre de la loi ; l'accès ne peut être limité que par des actes juridiques réglementaires ; l'organisation de toute barrière qui violent les droits de l'homme est inadmissible ;
- un système de création, d'utilisation et de diffusion de données (systèmes et technologies, archives, bibliothèques, règlements);
- le système de formation de la conscience publique (médias, ressources Internet, institutions sociales, établissements d'enseignement).
Chaque objet suppose un système spécial de mesures de protection contre les menaces à la sécurité de l'information et à l'ordre public. Assurer la sécurité de l'information dans chaque cas devrait reposer sur une approche systématique qui prend en compte les spécificités de l'installation.
Catégories et supports de stockage
Le système juridique russe, la pratique de l'application de la loi et les relations sociales établies classent les informations selon des critères d'accessibilité. Cela vous permet de clarifier les paramètres essentiels nécessaires pour assurer la sécurité de l'information :
- des informations dont l'accès est limité sur la base d'exigences légales (secrets d'Etat, secrets commerciaux, données personnelles) ;
- informations dans accès libre;
- des informations accessibles au public qui sont fournies sous certaines conditions : des informations payantes ou des données pour lesquelles vous devez délivrer une admission, par exemple une carte de bibliothèque ;
- informations dangereuses, nuisibles, fausses et autres, dont la circulation et la diffusion sont limitées soit par les exigences des lois, soit par les normes de l'entreprise.
Les informations du premier groupe ont deux modes de protection. Secret d'état, selon la loi, il s'agit d'informations protégées par l'État, dont la libre diffusion peut nuire à la sécurité du pays. Il s'agit de données dans le domaine de l'armée, de la politique étrangère, du renseignement, du contre-espionnage et des activités économiques de l'État. Le propriétaire de ce groupe de données est l'État lui-même. Les organismes autorisés à prendre des mesures pour protéger les secrets d'État sont le ministère de la Défense, le Service fédéral de sécurité (FSB), le Service de renseignement extérieur et le Service fédéral de contrôle technique et des exportations (FSTEC).
Information confidentielle- un objet de régulation plus multiforme. La liste des informations pouvant constituer des informations confidentielles est contenue dans le décret présidentiel n° 188 « Sur l'approbation de la liste des informations confidentielles ». Il s'agit de données personnelles ; secret de l'enquête et des poursuites judiciaires ; secret officiel; secret professionnel (médical, notarial, d'avocat) ; secret de commerce; informations sur les inventions et les modèles d'utilité; informations contenues dans les dossiers personnels des condamnés, ainsi que des informations sur l'exécution forcée des actes judiciaires.
Les données personnelles existent dans un mode ouvert et confidentiel. Une partie des données personnelles ouvertes et accessibles à tous les utilisateurs comprend le prénom, le nom, le patronyme. Selon FZ-152 « Sur les données personnelles », les personnes concernées ont le droit de :
- autodétermination informationnelle;
- accéder aux données personnelles personnelles et y apporter des modifications ;
- bloquer les données personnelles et leur accès ;
- faire appel contre les actions illégales de tiers commises en relation avec les données personnelles ;
- pour réparer les dommages causés.
Le droit à cela est inscrit dans les réglementations sur les organes de l'État, les lois fédérales, les licences pour travailler avec des données personnelles délivrées par Roskomnadzor ou FSTEC. Les entreprises qui travaillent professionnellement avec les données personnelles d'un large éventail de personnes, par exemple les opérateurs de télécommunications, doivent s'inscrire au registre, qui est tenu par Roskomnadzor.
Un objet distinct dans la théorie et la pratique de la sécurité de l'information sont les supports d'information, dont l'accès est ouvert et fermé. Lors de l'élaboration d'un concept de sécurité de l'information, les méthodes de protection sont sélectionnées en fonction du type de média. Support de stockage principal :
- médias imprimés et électroniques, réseaux sociaux, autres ressources sur Internet;
- les employés de l'organisation qui ont accès à l'information sur la base de leurs liens amicaux, familiaux, professionnels ;
- moyens de communication qui transmettent ou stockent des informations : téléphones, centraux téléphoniques automatiques, autres équipements de télécommunication ;
- documents de tous types : personnels, officiels, gouvernementaux ;
- le logiciel en tant qu'objet d'information indépendant, notamment si sa version a été modifiée spécifiquement pour une entreprise spécifique ;
- supports de stockage électroniques qui traitent les données de manière automatique.
Aux fins du développement des concepts de sécurité de l'information, les moyens de protection de l'information sont généralement divisés en normatifs (informels) et techniques (formels).
Les moyens de protection informels sont des documents, des règles, des événements, les moyens formels sont des moyens techniques spéciaux et des logiciels. La délimitation permet de répartir les domaines de responsabilité lors de la création des systèmes de sécurité de l'information : avec la direction générale de la protection, les personnels administratifs mettent en œuvre les méthodes réglementaires, et les informaticiens, respectivement, les techniques.
Les bases de la sécurité de l'information présupposent la délimitation des pouvoirs non seulement en termes d'utilisation de l'information, mais aussi en termes de travail sur sa protection. Cette délimitation des pouvoirs nécessite également plusieurs niveaux de contrôle.
Recours formels
Un large éventail de moyens techniques de sécurité de l'information comprend :
Équipement de protection physique. Ce sont des mécanismes mécaniques, électriques, électroniques qui fonctionnent indépendamment des systèmes d'information et créent des barrières pour y accéder. Les serrures, y compris électroniques, les écrans, les stores sont conçus pour créer des obstacles au contact des facteurs de déstabilisation avec les systèmes. Le groupe est complété par des systèmes de sécurité, par exemple des caméras vidéo, des magnétoscopes, des capteurs qui détectent les mouvements ou les dépassements d'un degré un rayonnement électromagnétique dans le domaine de la localisation des moyens techniques de recherche d'informations, des dispositifs embarqués.
Protection matérielle. Il s'agit de dispositifs électriques, électroniques, optiques, laser et autres intégrés aux systèmes d'information et de télécommunication. Avant d'introduire du matériel dans les systèmes d'information, il est nécessaire de s'assurer de la compatibilité.
Logiciel sont des programmes simples et systémiques, complexes conçus pour résoudre des problèmes spécifiques et complexes liés à la sécurité de l'information. Exemples de solutions intégrées : les premières servent à empêcher les fuites, reformatent les informations et redirigent les flux d'informations, les secondes assurent une protection contre les incidents dans le domaine de la sécurité de l'information. Le logiciel est exigeant sur la puissance des périphériques matériels, et des réserves supplémentaires doivent être fournies lors de l'installation.
À des moyens spécifiques la sécurité de l'information comprend divers algorithmes cryptographiques qui cryptent les informations sur le disque et redirigées via des canaux de communication externes. La transformation de l'information peut se produire à l'aide de méthodes logicielles et matérielles fonctionnant dans les systèmes d'information d'entreprise.
Tous les moyens qui garantissent la sécurité de l'information doivent être utilisés en combinaison, après une évaluation préalable de la valeur de l'information et en la comparant au coût des ressources consacrées à la sécurité. Par conséquent, les propositions d'utilisation des fonds devraient être formulées dès le stade du développement des systèmes, et l'approbation devrait être faite au niveau de la direction qui est responsable de l'approbation des budgets.
Afin d'assurer la sécurité, il est nécessaire de surveiller tous les développements modernes, les moyens de protection logiciels et matériels, les menaces et d'apporter rapidement des modifications à nos propres systèmes de protection contre les accès non autorisés. Seules l'adéquation et la rapidité de la réponse aux menaces permettront d'atteindre haut niveau confidentialité dans le travail de l'entreprise.
Recours informels
Les recours informels sont regroupés en types normatifs, administratifs et moraux et éthiques. Au premier niveau de protection se trouvent les moyens réglementaires qui régulent la sécurité de l'information en tant que processus dans les activités de l'organisation.
- Moyens réglementaires
Dans la pratique mondiale, lors de l'élaboration d'outils réglementaires, ils sont guidés par des normes de protection des SI, la principale est ISO / IEC 27000. La norme a été créée par deux organisations :
- ISO - Commission internationale de normalisation, qui développe et approuve la plupart des méthodologies internationalement reconnues pour la certification de la qualité des processus de production et de gestion ;
- CEI - Commission internationale de l'énergie, qui a introduit dans la norme sa compréhension des systèmes de sécurité de l'information, des moyens et des méthodes de sa fourniture
La version actuelle de l'ISO / IEC 27000-2016 propose des normes prêtes à l'emploi et des méthodes éprouvées nécessaires à la mise en œuvre de la sécurité de l'information. Selon les auteurs des méthodes, la base de la sécurité de l'information réside dans la cohérence et la mise en œuvre cohérente de toutes les étapes, du développement au post-contrôle.
Pour obtenir un certificat confirmant le respect des normes de sécurité de l'information, il est nécessaire de mettre en œuvre intégralement toutes les techniques recommandées. S'il n'est pas nécessaire d'obtenir un certificat, il est permis d'accepter l'une des versions antérieures de la norme, à commencer par ISO / IEC 27000-2002, ou les GOST russes, qui sont de nature consultative, comme base pour le développement de leurs propres systèmes de sécurité de l'information.
Sur la base des résultats de l'étude de la norme, deux documents sont en cours d'élaboration concernant la sécurité de l'information. Le principal, mais moins formel, est le concept de sécurité de l'information d'une entreprise, qui définit les mesures et les méthodes de mise en œuvre d'un système de sécurité de l'information pour les systèmes d'information d'une organisation. Le deuxième document auquel tous les employés de l'entreprise doivent se conformer est le règlement sur la sécurité de l'information approuvé au niveau du conseil d'administration ou de l'organe exécutif.
En plus de la position au niveau de l'entreprise, des listes d'informations constituant un secret commercial, des annexes aux contrats de travail, garantissant la responsabilité de la divulgation de données confidentielles, d'autres normes et méthodes devraient être élaborées. Les règles et règlements internes devraient contenir des mécanismes de mise en œuvre et des mesures de responsabilité. Le plus souvent, les mesures sont de nature disciplinaire et le contrevenant doit être préparé au fait que la violation du régime du secret commercial sera suivie de sanctions importantes, pouvant aller jusqu'au licenciement.
- Mesures organisationnelles et administratives
Dans le cadre des activités administratives de protection de la sécurité de l'information pour le personnel de sécurité, il y a place à la créativité. Il s'agit de solutions d'architecture et de planification qui permettent de protéger les salles de réunion et les bureaux de direction des écoutes, et la mise en place de différents niveaux d'accès à l'information. Les mesures organisationnelles importantes seront la certification des activités de l'entreprise conformément aux normes ISO / IEC 27000, la certification des complexes matériels et logiciels individuels, la certification des sujets et des objets pour la conformité exigences nécessaires sécurité, en obtenant les licences nécessaires pour travailler avec des baies de données protégées.
Du point de vue de la régulation des activités du personnel, il sera important de formuler un système de demandes d'accès à Internet, externes e-mail, autres ressources. Un élément distinct sera la réception d'un signature numérique pour améliorer la sécurité des informations financières et autres qui sont transmises aux agences gouvernementales par courrier électronique.
- Mesures morales et éthiques
Des mesures morales et éthiques déterminent l'attitude personnelle d'une personne vis-à-vis des informations confidentielles ou des informations dont la circulation est limitée. L'augmentation du niveau de connaissance des employés concernant l'impact des menaces sur les activités de l'entreprise affecte le degré de conscience et de responsabilité des employés. Pour lutter contre les violations du régime d'information, y compris, par exemple, le transfert de mots de passe, la manipulation imprudente des médias, la diffusion de données confidentielles dans des conversations privées, il est nécessaire de se concentrer sur la conscience personnelle de l'employé. Il sera utile d'établir des indicateurs d'efficacité du personnel, qui dépendront de l'attitude envers système d'entreprise IB.
L'infographie utilise les données de nos propres recherches.RechercherInformer.
Tout le monde a entendu au moins une fois des phrases déchirantes sur la nécessité de maintenir un niveau élevé de sécurité des informations. Ce sont des histoires de cambriolage effrayantes remplies de cris et de désespoir. Les terribles conséquences discutées sur presque tous les sites ... Par conséquent, vous devez maintenant remplir l'ordinateur d'outils de sécurité à pleine capacité, ainsi que couper les fils ... Les conseils sur le thème de la sécurité sont sombres, mais pour une raison quelconque , juste au point d'eux, il s'avère pas grand-chose. Une grande partie de la raison réside dans le manque de compréhension de choses aussi simples que « ce que nous protégeons », « de qui nous protégeons » et « ce que nous voulons obtenir à la fin ». Mais, tout d'abord.
Sécurité des informations ce terme désigne diverses mesures, état de conservation, technologies, etc., mais tout est beaucoup plus simple. Et donc, d'abord, répondez-vous à la question, combien de personnes de votre environnement ont au moins lu la définition de ce concept, et n'implique pas simplement une comparaison des mots avec leur sens ? La plupart des gens associent la sécurité à l'antivirus, au pare-feu et à d'autres logiciels de sécurité. Bien sûr, ces outils aident à protéger votre ordinateur contre les menaces et à augmenter le niveau de protection du système, mais peu de gens peuvent imaginer ce que font réellement ces programmes.
Lorsque vous pensez à la sécurité de l'information, vous devez tout d'abord commencer par les questions suivantes:
- Objet protégé- vous devez comprendre ce que vous voulez exactement protéger. Ce sont des données personnelles stockées sur l'ordinateur (pour que d'autres personnes ne les obtiennent pas), ce sont les performances de l'ordinateur (pour que les virus et les chevaux de Troie n'amenent pas le système au niveau du premier pentium), c'est l'activité du réseau (afin que les programmes gourmands d'Internet n'envoient pas de statistiques vous concernant toutes les demi-heures) est la disponibilité de l'ordinateur (afin que écrans bleus la mort n'a pas inondé le système), ce ...
- Niveau de sécurité souhaité... Un ordinateur entièrement protégé est un ordinateur qui n'existe pas. Peu importe vos efforts, il y aura toujours la possibilité que votre ordinateur soit piraté. Considérez et rappelez-vous toujours qu'il existe une direction telle que l'ingénierie sociale (obtention de mots de passe dans les poubelles, écoute clandestine, espionnage, etc.). Cependant, ce n'est pas une raison pour laisser le système sans protection. Par exemple, protéger un ordinateur contre la plupart des virus connus est une tâche tout à fait réalisable, qui, en fait, est effectuée par chaque utilisateur ordinaire en installant l'un des antivirus populaires sur son ordinateur.
- Niveau de conséquences acceptable... Si vous comprenez que votre ordinateur peut être piraté, par exemple, par un pirate informatique qui ne s'intéresse qu'à vous (il se trouve que l'attaquant a aimé votre adresse IP), alors vous devriez réfléchir au niveau acceptable de conséquences. Un système en panne est désagréable, mais pas effrayant, car vous avez un disque de récupération à portée de main. Votre ordinateur visite constamment des sites épicés - agréables et désagréables, mais tolérables et réparables. Mais, par exemple, si vos photos personnelles se retrouvent sur Internet, ce que personne ne devrait connaître (un coup sérieux à la réputation), alors c'est déjà un niveau important de conséquences et il est nécessaire de prendre des mesures préventives (exagérer, prendre une vieil ordinateur sans Internet et regarder des images uniquement sur lui).
- Qu'est-ce que tu veux obtenir à la fin ? Cette question implique de nombreux points - combien d'actions inutiles vous devez effectuer, ce que vous devez sacrifier, comment la protection doit affecter les performances, s'il est possible d'ajouter des programmes aux listes d'exceptions, combien de messages et d'alarmes doivent apparaître à l'écran ( et devraient-ils apparaître du tout), ainsi que bien plus encore. Il existe aujourd'hui de nombreux outils de sécurité, mais chacun d'eux a ses propres avantages et inconvénients. Par exemple, le même UAC Windows dans système opérateur Vista n'a pas été fait d'une très bonne manière, mais déjà dans Windows 7, il a été amené au point que l'outil de protection est devenu relativement facile à utiliser.
Après avoir répondu à toutes ces questions, il vous sera beaucoup plus facile de comprendre comment vous allez organiser la protection des informations sur votre ordinateur. Bien sûr, c'est loin d'être la liste complète des questions, cependant, une partie suffisante des utilisateurs ordinaires ne pose même pas l'une d'entre elles.
L'installation et la configuration des outils de sécurité sur votre ordinateur ne sont qu'une partie des étapes à suivre. En ouvrant des liens suspects et en confirmant toutes les actions d'applications tout aussi suspectes, vous pouvez facilement annuler tous les efforts des programmes de protection. Pour cette raison, il vaut toujours la peine de penser à vos actions. Par exemple, si votre tâche est de protéger le navigateur, mais que vous ne pouvez pas vous empêcher d'ouvrir des liens suspects (par exemple, en raison de spécificités), vous pouvez toujours installer un navigateur supplémentaire utilisé exclusivement pour ouvrir des liens suspects, ou une extension pour vérifier les courts liens. Dans ce cas, si l'un d'entre eux s'avère être du phishing (vol de données, d'accès, etc.), l'attaquant n'obtiendra que peu de résultats.
Le problème de la détermination d'un ensemble d'actions pour protéger l'information réside généralement dans le manque de réponses aux questions du paragraphe précédent. Par exemple, si vous ne savez pas ou ne comprenez pas exactement ce que vous voulez protéger, il sera toujours difficile de proposer ou de trouver des mesures de sécurité supplémentaires (sauf pour des lieux communs tels que ne pas ouvrir de liens suspects, ne pas visiter des ressources douteuses , et d'autres). Essayons de considérer la situation à partir de l'exemple de la tâche de protection des données personnelles, qui est le plus souvent mise en tête des objets protégés.
Protection des renseignements personnels c'est l'un des défis de taille auxquels les gens sont confrontés. Avec la croissance rapide du nombre et du contenu des réseaux sociaux, services d'information et des ressources en ligne spécialisées, ce serait une énorme erreur de croire que la protection de vos données personnelles consiste à assurer un niveau de sécurité fiable pour votre ordinateur. Il n'y a pas si longtemps, il était presque impossible de savoir quoi que ce soit sur une personne vivant à des centaines de kilomètres de chez vous, ou même dans une maison voisine, sans avoir les relations appropriées. Aujourd'hui, presque tout le monde peut trouver de nombreuses informations personnelles sur tout le monde en quelques heures seulement en cliquant sur une souris dans le navigateur, voire plus rapidement. De plus, toutes ses actions peuvent être tout à fait légitimes, mais vous avez vous-même publié des informations vous concernant dans le domaine public.
Tout le monde a rencontré un écho de cet effet. Avez-vous entendu dire que le mot test pour une question de sécurité ne doit pas être associé à vous et aux autres ? Et ce n'est qu'une petite partie. Autant cela peut vous surprendre, mais à bien des égards, la protection des informations personnelles ne dépend que de vous. Aucun moyen de protection, même s'il ne permet à personne d'autre que vous d'accéder à l'ordinateur, ne pourra protéger les informations transférées en dehors de l'ordinateur (conversations, Internet, enregistrements, etc.). Vous avez laissé votre courrier quelque part - attendez-vous à une augmentation du spam. Vous avez laissé des photos dans une étreinte avec un ours en peluche sur des ressources tierces, attendez les "artisanats" humoristiques correspondants d'auteurs ennuyés.
Si un peu plus sérieusement, alors l'énorme ouverture des données Internet et votre frivolité / ouverture / frivolité, avec toutes les mesures de sécurité, peuvent annuler cette dernière. Pour cette raison, il est nécessaire de veiller au choix des méthodes de protection de l'information et d'inclure non seulement des moyens techniques, mais également des actions couvrant d'autres aspects de la vie.
Noter R : Bien sûr, vous ne devriez pas penser qu'un bunker souterrain est le meilleur endroit dans la vie. Cependant, comprendre qu'il vous appartient de protéger vos données personnelles vous donnera un grand avantage sur les intrus.
Méthodes de protection des informations sont souvent assimilées à des solutions techniques, ignorant une couche aussi énorme de menaces potentielles que les actions de la personne elle-même. Vous pouvez donner à l'utilisateur la possibilité d'exécuter un seul programme et de gérer l'élimination des conséquences en littéralement cinq minutes, si cela est possible. Un seul message dans le forum sur les informations entendues peut briser la protection la plus avancée (en exagérant, à propos de la prévention des nœuds de protection, en d'autres termes, l'absence temporaire de protection).
Déterminer les modalités de protection des données, il faut non seulement s'engager dans la recherche d'outils de sécurité adaptés, en cliquant paresseusement sur la souris dans la fenêtre du navigateur, mais aussi réfléchir à la manière dont l'information peut être diffusée et à quoi elle peut se rapporter. Peu importe comment cela sonne, mais pour cela, vous devez prendre du papier et un crayon, puis envisager toutes les manières possibles de diffuser l'information et à quoi elle peut être associée. Par exemple, prenons la tâche de garder le mot de passe aussi secret que possible.
Situation. Tu viens avec mot de passe complexe, sans aucun lien avec vous, respectant pleinement les exigences de sécurité les plus strictes, n'a laissé aucune mention nulle part (des aspects tels que les restes dans la mémoire de l'ordinateur, sur le disque et d'autres points ne sont pas pris en considération), ne utilisez des gestionnaires de mots de passe, entrez le mot de passe uniquement avec un ordinateur, en utilisant un clavier sécurisé, utilisez un VPN pour vous connecter, démarrez l'ordinateur uniquement à partir du LiveCD. En une phrase, un vrai paranoïaque et fanatique de la sécurité. Cependant, tout cela peut ne pas suffire à protéger le mot de passe.
Voici quelques situations possibles simples qui démontrent clairement la nécessité d'une vision large des méthodes de sécurité de l'information :
- Que ferez-vous si vous devez saisir un mot de passe alors que d'autres personnes sont présentes dans la salle, même les « meilleures » ? Vous ne pouvez jamais garantir qu'ils ne révéleront pas accidentellement des informations indirectes sur le mot de passe. Par exemple, assis dans une atmosphère agréable dans un restaurant, la phrase « il a un tel mot de passe long, jusqu'à une douzaine et un tas de caractères différents", ce qui réduit assez bien la zone du mot de passe pour un attaquant.
- Que ferez-vous si cela se produit et que vous avez besoin d'une autre personne pour effectuer l'opération à votre place ? Une autre personne pourrait accidentellement entendre le mot de passe. Si vous dictez un mot de passe à une personne qui connaît mal les ordinateurs, il est probable qu'il l'écrira quelque part, exiger de lui votre fanatisme ne sera pas justifié.
- Que ferez-vous si cela se produit et que quelqu'un découvre la façon dont vous créez les mots de passe ? De telles informations affinent également assez bien la sélection.
- Comment protéger votre mot de passe si l'un des nœuds assurant la transmission sécurisée du mot de passe a été compromis par un attaquant ? Par exemple, a été piraté Serveur VPN par lequel vous accédez à Internet.
- Votre mot de passe aura-t-il un sens si le système que vous utilisez a été compromis ?
- Et d'autres
Bien sûr, cela ne signifie pas la nécessité d'une recherche obstinée et persistante pendant plusieurs mois de méthodes de protection des informations. Le fait est que même les systèmes les plus complexes peuvent être brisés par de simples défauts humains, dont la considération a été abandonnée. Par conséquent, tout en organisant la sécurité de votre ordinateur, essayez de prêter attention non seulement à l'aspect technique du problème, mais également au monde qui vous entoure.
