ՀԱՄԱԼԻՐ ԿԻԲԵՌՀԻԳԻԵՆԱ
Բիզնես տեղեկատվությունը առկա է կոմպլեքս էկոհամակարգում, որը ներառում է բազմաթիվ տեխնոլոգիաներ, կարգավորող պահանջներ, ստանդարտներ, բիզնես գործընթացներ, մատակարարներ, անվտանգության սպառնալիքներ, համակարգային խոցելիություններ և շուկայական ճնշումներ։ Այս տեղեկատվությունը փոխանցվում է բարդ աշխատանքային հոսքերի միջոցով՝ ցանցերի, բազմաթիվ հավելվածների, տվյալների բազաների, սերվերների և նույնիսկ քաղաքական սահմանների միջով։ Այսօրվա աշխարհում այդ տեղեկատվության մեծ մասը պետք է համապատասխանի տեղեկատվական անվտանգության երեք հիմնարար սկզբունքներին՝ հասանելիություն, ամբողջականություն և գաղտնիություն։
Տեղեկատվական ակտիվների կառավարում
Տեղեկատվական ակտիվների կառավարումը սկսվում է գույքագրման գործընթացից, որի ընթացքում պետք է փաստաթղթավորվեն սարքավորումները, հավելվածները, տվյալների բազաները և այլ տեղեկատվական ակտիվները։ Տեղեկատվական ակտիվների արդյունավետ կառավարման համար անհրաժեշտ է կառուցվածքային կենսացիկլ, որը ներառում է՝ ակտիվների գույքագրում, դասակարգում, հասանելիության վերահսկում և պաշտպանություն։
Սպառնալիքների և խոցելիությունների գնահատում
Սպառնալիքները տեղեկատվական ակտիվների համար վտանգի աղբյուրներ են։ Խոցելիություններ գոյություն ունեն մարդկանց, գործընթացների և տեխնոլոգիաների մեջ։ Կարևոր է թվարկել բոլոր համապատասխան սպառնալիքները, դասակարգել դրանք և դասավորել ըստ իրենց կարևորության։ Կազմել համապատասխան խոցելիությունների ցանկ և դասակարգել դրանք՝ ըստ կազմակերպության վրա ունեցած ազդեցության։
Ռիսկերի կառավարում
Ռիսկերի կառավարումը կենտրոնանում է ռիսկերի կանխարգելման, նվազեցման կամ փոխանցման վրա։ Այն սկսվում է ռիսկերի ցանկի կազմմամբ, որտեղ ռիսկերը դասակարգվում են՝ ըստ դրանց առաջացման հավանականության և կազմակերպության վրա հնարավոր ազդեցության։ Առաջացման հավանականությունն ու ազդեցության մակարդակը միասին որոշում են ռիսկերի առաջնահերթությունը։ Բարձր ազդեցություն ունեցող և միաժամանակ բարձր հավանականությամբ առաջացող ռիսկերը համարվում են կազմակերպության համար բարձր առաջնահերթության ռիսկեր։
Բազմագործոն նույնականացման կիրառում
Օգտահաշիվ մուտք գործելու համար լրացուցիչ ստուգման մեխանիզմների կիրառումը կարող է նվազեցնել հաջող ֆիշինգային հարձակումների մեծ մասը։
Սարքերի գաղտնագրում
Բոլոր կարևոր սարքավորումները պետք է լինեն գաղտնագրված՝ այդ թվում համակարգիչները, շարժական սարքավորումները, կոշտ սկավառակները և տվյալների պահոցները։ Սարքավորումների գաղտնագրումը նշանակում է, որ տվյալները դառնում են անընթեռնելի առանց համապատասխան բանալիի։ Այլ կերպ ասած՝ եթե որևէ մեկը հասանելիություն ունենա դյուրակիր համակարգչին կամ բջջային հեռախոսին, առանց գաղտնագրման նա կարող է հեշտությամբ հասանելիություն ստանալ ֆայլերին և տվյալներին։
Հաջորդ սերնդի firewall-ի օգտագործում
Հաջորդ սերնդի միջցանցային էկրանը (Next Generation Firewall) պատկանում է միջցանցային էկրանի տեխնոլոգիայի երրորդ սերնդին, ինչը նշանակում է, որ այն համատեղում է ավանդական միջցանցային էկրանի գործառույթները ավելի առաջադեմ հնարավորությունների հետ՝ ներխուժումների հայտնաբերման և կանխարգելման համար։ Սովորաբար այն ներառում է հակավիրուսային պաշտպանություն, որը մշտապես թարմացվում է՝ նոր սպառնալիքների հայտնաբերման դեպքում։
Վեբ բովանդակության ֆիլտրում
Վեբ բովանդակության ֆիլտրը գործում է նույնականացնելով վեբ էջի աղբյուրը կամ բովանդակությունը` հիմնվելով սահմանված կանոնների վրա: Սա օգնում է խուսափել վնասաբեր կայքեր այցելելուց: Բովանդակության ֆիլտրումը զգալիորեն բարձրացնում է անվտանգությունը արգելափակելով հասանելիությունը դեպի վնասաբեր կամ ռիսկային կայքեր` կիրառելով քաղաքականության վրա հիմնված վերահսկողություն և կանխելով վնասաբեր ծրագրերի ներբեռնումը:
Հաճախորդների տվյալների պաշտպանություն
Հաճախորդների տվյալների պաշտպանության համար անհրաժեշտ է բազմաշերտ մոտեցում` տեղեկատվության անվտանգությունը ապահովելու, համապատասխանությունը պահպանելու և վստահություն ձևավորելու համար: Կենտրոնանալ տվյալների նվազեցմանը` հավաքագրելով միայն այն տեղեկատվությունը, որն անհրաժեշտ է, ինչպես նաև ապահովել հասանելիության կառավարում և օգտագործել գաղտնագրում` ինչպես պահպանվող, այնպես էլ փոխանցվող տվյալների համար:
Միջադեպերի կառավարում և աղետների վերականգնում
Անվտանգության խախտումները, տեղեկատվական ակտիվների ոչ կանխամտածված կորուստը, կարևոր տվյալների պատահական հեռացումը կամ տվյալների կենտրոնում էլեկտրաէներգիայի անջատումը միջադեպերի օրինակներ են: Լավ մշակված միջադեպերի արձագանքման ծրագիրը հստակ սահմանում է, թե ինչ քայլեր պետք է ձեռնարկվեն ամենատարածված միջադեպերի դեպքում: Իսկ այն միջադեպերը, որոնք կրում են աղետալի բնույթ, պետք է մշակվեն արտակարգ վիճակների ծրագրով (Disaster Recovery Plan):
Վերապատրաստումների իրականացում
Հաճախ անտեսվող, սակայն շատ կարևոր քայլ է աշխատողների վերապատրաստումը անվտանգության հարցերով, որը հանդիսանում է կազմակերպության անվտանգության ծրագրի արդյունավետ կիրառման հիմնական գործոնը: Բոլոր տեխնոլոգիական պաշտպանական միջոցներն ու անվտանգության համակարգերը կորցնում են իրենց արդյունավետությունը, եթե աշխատողները անփույթ են վերաբերվում իրանց դյուրակիր համակարգիչներին, աշխատանքային միջավայրից դուրս միանում են անապահով ցանցերին կամ չեն ճանաչում կասկածելի վարքագծի նշանները:
Երրորդ կողմերի կառավարում
Տեղեկատվական բարդ էկոհամակարգը հաճախ ներառում է երրորդ կողմեր` մատակարարներ, գործընկերներ և միջնորդներ: Երրորդ կողմերի կազմակերպություններում առկա ոչ անվտանգ ցանցերը կամ պրակտիկաները կարող են ստեղծել անվտանգության խոցելիություններ, որոնք կարող են օգտագործվել հարձակումների համար: Լավ մեկնարկային քայլ է կազմել այն բոլոր երրորդ կողմերի ցանկը, որոնց հետ կազմակերպությունը համագործակցում է և դասակարգել այդ ցանկը ըստ տվյալների փոխանակման ծավալի և տեղեկատվության կարևորության: Այնուհետև կազմակերպությունը պետք է գնահատի երրորդ կողմերի կողմից կիրառվող անվտանգության միջոցառումները և անհրաժեշտության դեպքում պարտադրի լրացուցիչ անվտանգության միջոցներ:
Կիբեռանվտանգության վերանայում
Կիբեռանվտանգության վերանայումը պետք է տա հստակ պատկերացում նրա խնդրահարույց ոլորտների վերաբերյալ և բացահայտի այն խնդիրները, որոնց պետք է անդրադառնալ` կազմակերպության անվտանգության ընդհանուր մակարդակը (security posture) բարելավելու համար։