Бизнес-информация существует в сложной экосистеме, изобилующей множеством технологий, нормативных требований, стандартов, бизнес-процессов, поставщиков, угроз безопасности, уязвимостей системы и давления рынка. Эта информация проходит через сложные рабочие процессы в сетях, множества приложений, баз данных, серверы и политические границы. В современном мире большая часть этой информации должна соответствовать трем принципам информационной безопасности: доступности, целостности и конфиденциальности.
Управление информационными активами
Управление информационными активами начинается с их инвентаризации - документирования оборудования, приложений, баз данных и других информационных активов.
Оценка угроз и уязвимостей
Угрозы являются источниками вреда для информационных активов. Уязвимости существуют в людях, процессах и технологиях. Важно перечислить все соответствующие угрозы, классифицировать их и ранжировать в зависимости от их важности. Желательно составить список применимых уязвимостей и ранжировать их на основе влияния на организацию.
Управление рисками
Управление рисками направлено на предотвращение, смягчение или передачу рисков. Оно начинается со списка рисков, которые классифицируются в зависимости от вероятности их возникновения и влияния на организацию. Вероятность и ущерб вместе определяют приоритет рисков. Риск с большим ущербом и высокой вероятностью возникновения является высокоприоритетным риском для организации.
Многофакторная аутентификация
Дополнительная проверка доступа к учетной записи поможет снизить вероятность большинства успешных фишинговых атак.
Шифрация устройств
Все критически важные устройства должны быть зашифрованы - компьютеры, мобильные устройства, жесткие диски и хранилища данных. Шифрование устройств означает, что данные недоступны без ключа шифрации. Если кто-то получает доступ к ноутбуку или мобильному телефону, он может легко получить доступ к незашифрованным файлам и данным.
Использование брандмауэра следующего поколения
Брандмауэр следующего поколения является частью технологии брандмауэра третьего поколения, то есть сочетает в себе традиционный брандмауэр с более сложными функциями для обнаружения и предотвращения вторжений. Как правило, он включают в себя антивирусное программное обеспечение, которое постоянно обновляется по мере обнаружения новых угроз.
Фильтрация веб-контента
Использовать брандмауэр для настройки фильтрации веб-контента. Фильтр работает, идентифицируя происхождение или содержание веб-страницы на основе определенных правил. Это может помочь избежать посещения вредоносных страниц. Фильтрация контента значительно повысит безопасность, блокируя доступ к вредоносным или рискованным веб-сайтам, используя элементы управления на основе политик и предотвращая загрузку вредоносных программ.
Защита данных клиентов
Одно дело, если конфиденциальные данные организации потеряны или украдены, другое дело нарушение данных клиентов. Это связано с серьезными юридическими последствиями, поэтому стоит тщательно относиться к конфиденциальной информации клиентов. Как правило, данные клиентов передаются через множетсво узлов. Если используется сайт электронной коммерции или иным образом обрабатываются платежи через веб-сайт, первая передача конфиденциальной информации (включая имена и данные кредитной карты) осуществляется из веб-браузера клиента на веб-сервер электронной коммерции. Лучший способ защитить эти данные - убедиться, что сайт использует сертификат SSL и протокол HTTPS, по крайней мере, на страницах, которые собирают конфиденциальные данные. Это гарантирует, что данные клиентов будут зашифрованы при перемещении. Если данные клиентов передаются в пределах организации, следует применить все опции безопасности, которые описаны выше, особенно те, которые касаются облачного хранения и передачи.
Управление инцидентами и аварийное восстановление
Нарушения безопасности, непреднамеренная потеря ИТ-активов, случайное удаление критически важных данных или отключение питания в центре обработки данных являются примерами инцидентов. Хороший план реагирования на инциденты четко определяет, какие действия необходимы для наиболее распространенных инцидентов. Инциденты, которые имеют катастрофический характер, требуют плана аварийного восстановления (DR).
Обучение
Часто игнорируемый шаг - обучение сотрудников вопросам безопасности - ключ к обеспечению безопасности предприятия. Все виды защиты и мер безопасности ничего не значат, если сотрудники небрежно относятся к своим ноутбукам, подключаются к незащищенным сетям за пределами рабочего места или не осведомлены, что значит подозрительное поведение.
Управление третьими сторонами
Сложная экосистема информации часто включает в себя третьи стороны, такие как поставщики и посредники. Небезопасные сети или практики в сторонних организациях, которые связаны с бизнесом, могут создать бреши уязвимости в безопасности. Хорошей отправной точкой является перечисление всех третьих сторон, с которыми организация ведет бизнес, и ранжировка приоритетов в этом списке в зависимости от степени совпадения или совместного использования информации и ее важности. Затем организация может выяснить, какие меры безопасности применяются у третьей стороны, и требовать другие необходимые меры безопасности.
Обзор кибербезопасности
Обзор кибербезопасности дает четкое представление о проблемных областях организации и о том, с какими задачами нужно иметь дело в отношении безопасности организации.