Если в Вашей организации по тем или иным причинам не предусмотрена должность штатного системного администратора это еще не значит, что информационная безопасность предприятия должна находиться на уровне "ниже существующей канализации".
Для начала выберите себе внештатного консультанта с хорошей репутацией. Создайте из существующих сотрудников, являющихся продвинутыми пользователями, группу по оценке надежности системы информационной безопасности компании. Для результативности работы группы, выстройте правильный регламент ее работы с документальным подтверждением ее деятельности в контрольных журналах, где необходимо предусматреть занесение отчетной информации на протяжении всего срока проводимых работ.
Группа по контролю за системой информационной безопасности компании должна "выдавать на гора" для руководителей среднего звена и высшего руководства организации серию отчетов и рекомендаций, которые в свою очередь должны после соответствующего ознакомления с этими результатами работ далее использоваться в качестве руководства к действию с целью защиты информационной безопасности предприятия.
Для систематизации и профессионального подхода к вопросам информационной безопасности предприятия приведем десять недорогих способов укрепления системы обеспечения внутренней информационной безопасности организации (собственно говоря, с чего и может начать свою работу вышеуказанная группа):
1) С момента внедрения новых методов работы по информационной защите предприятия, в обязательном порядке следует выяснять о нанимаемых на работу людях несколько больше, чем можно узнать из их резюме. Посоветуйтесь со своим кадровым специалистом о целесообразности ввода при проведении собеседований с соискателями, претендующими на вакансии руководителей среднего и высшего звена системы психотестов, позволяющей выявить этические принципы кандидатов, их характерные негативные особенности, способные поставить под сомнение благонадежность интервьюера. То же касается и сотрудников, занимающих те или иные должности, где существует большая вероятность утечки информации, посредством доступа этой категории персонала к системе конфиденциальной составляющей информационных ресурсов предприятия.
2) Принять меры к защите информации посредством снятия (или отключения) дисководов и отключения флеш-разьемов с пользовательских ПК и ноутбуков. Эти мероприятия в значительной мере могут затруднить нерадивым сотрудникам установку своего собственного программного обеспечения и компьютерных игр. Данный шаг помешает персоналу заразить систему вирусами, а также беспрепятственно производить копирование информации с целью ее несанкционированного выноса. Такая мера позволит избежать и еще одной угрозы, представляющий опасность для информационной безопасности предприятия - диски и флешки, разбросанные на рабочем столе у сотрудников, являются легкой "добычей" для похитителей информации.
3) Не следует допускать, чтобы на одну сетевую станцию приходилось более одного идентификатора пользователя. Нужно установить безопасные экранные заставки - это поможет решить ряд административных проблем.
4) Важно организовать регламент предоставления корневых привилегий только тем администраторам, которым они реально нужны. Всегда помните, что каждый раз, когда Вы даете такие привилегии, в системе информационной защиты появляется новая потенциальная "дырка".
5) Уничтожайте с помощью уничтожителей документов (шредеров) или, в крайнем случае, правильно сжигайте важную закрытую информацию (ДСП), а именно:
- списки персонала;
- идентификационные имена сотрудников;
- сводки отдела кадров и службы безопасности;
- финансовые и бухгалтерские документы;
- папки с данными о клиентах;
- конфиденциальные памятки руководства;
- схемы компьютерных сетей и вообще все, что может представлять интерес для злоумышленников.
6) Мусорные контейнеры должны находиться на территории организации, в противном случае злоумышленник не устоит перед соблазном в них порыться.
7) Необходимо выстроить такую систему взаимоотношений между сотрудниками и дирекцией, при которой персонал компании стал в большей степени союзником в борьбе за корпоративную информационную безопасность, чем его противником. Группе оценки информационной безопасности необходимо тесно поддерживать контакты с независимым внештатными консультантами, а также другими организациями с целью разработки и реализации в рамках своего предприятия, программы партнерства. Стимулом в данном вопросе также может являться обещанное вознаграждение тому, кто обнаружит недочеты в системе информационной безопасности или уличит кого-либо в недобросовестности.
8) Уделяйте должное внимание изучению всех продуктов, которые обеспечивают информационную безопасность. Следует убедиться в том, что они работают именно так, как было обещано его разработчиком. Внедрите комплекс мероприятий используя исключительно существующий ресурс программного обеспечения, для того, чтобы укрепить систему информационной защиты, при этом не устанавливая новый программный продукт, который может потребовать, в случае его покупки, дополнительных усилий.
9) Распорядительным порядком закрепите за одним из сотрудников компании обязанность иметь право принимать в случае возникновения угрозы информационной безопасности оперативные меры реагирования на такую угрозу. Круг решаемых вопросов должен в себя включать принятия решений начиная от аварийной остановки Web-сервера до вызова охраны для удаления проштрафившегося сотрудника за пределы организации.
|
10) Постоянно проводите предупредительно-профилактическую работу в трудовом коллективе с целью информирования сотрудников о том, что администрация компании использует самые передовые средства мониторинга компьютерной сети и контроля за действиями работников предприятия. В данном случае может существенно поменять баланс сил в пользу защиты информационных потоков от несанкционированной утечки конфидента - приобретение недорогой но эффективной программы "Амальгама", разработанной специально для контроля действий сотрудников при работе в системе на своих персональных компьютерах. Важным также является этико-психологический аспект данных нововведений. Следует объяснять персоналу, что администрация компании не собирается устанавливать тоталитарный режим, а просто борется с возможными злоумышленниками и данные мероприятия в большей степени являются мерами предупредительного характера. В большинстве небольших компаний зачастую пренебрегается самыми элементарными методами защиты внутренней информационной безопасности. Как правило руководители таких предприятий считают, что для организации информационной защиты от несанкционированного съема нужно выделять значительные ресурсы, которых у него нет.
Как Вы видете, из нашего изложения десяти недорогих способов обеспечения внутренней информационной безопасности следует, что выполняя наши рекомендации, уже сейчас на Вашем предприятии можно без каких-либо серьезных финансовых вливаний организовать достойный отпор действиям вероятных злоумышленников и уберечь Ваш бизнес от ненужных потрясений.
|
Десять способов укрепления системы информационной безопасности компании
