La nostra vida és constantment complicada en tots els àmbits. Estan sorgint enfocaments, tecnologies i actius nous i sense precedents. Per a les grans empreses modernes, els actius d’informació tenen un gran paper. Què són?
Informació general
Abans d’emprendre el tema principal, toquem el mínim teòric necessari. És a dir, parlem d’informació. És un dels actius de producció més importants, dels quals depèn en gran mesura l’eficiència de l’empresa i la seva viabilitat. Aquest pot ser el secret de creació d’un determinat producte, o dades financeres internes. Qualsevol organització més o menys gran té els seus propis actius d’informació, pel que és molt poc desitjable que formin part de tercers. Per tant, els problemes d’emmagatzematge i seguretat són aguts.
Sobre conceptes generals
Per tractar amb èxit totes les dades presentades, heu de conèixer uns quants punts:
- Informe d'actius. Es tracta de les dades amb els detalls que permeten la identificació. Són valuosos per a una determinada organització i estan a la seva disposició. Presentat en qualsevol mitjà tangible en un formulari que permet processar-lo, emmagatzemar-lo o transferir-lo.
- Classificació dels actius d'informació. Es tracta d'una divisió de les dades existents de l'organització en tipus que corresponen a la gravetat de les conseqüències resultants de la pèrdua de les seves propietats importants.
Com podeu entendre, no només són importants els números individuals i les seves explicacions, sinó també la possibilitat d’utilitzar-los ràpidament, la protecció contra l’accés no autoritzat i altres punts. Quan s’assigna i es forma l’actiu d’informació de l’empresa, sorgeix la qüestió de la seva correcta classificació amb la seguretat posterior. Per què? El fet és que amb l'ajut de la classificació és possible elaborar mètriques claus per a la informació utilitzada: el seu valor, poder d'influència sobre l'empresa, requisits de subministrament / manteniment / protecció i similars. Depèn molt de com es processin i protegeixin les dades. A més, hi ha una sèrie de normes reguladores que requereixen un inventari obligatori d’actius d’informació de l’organització. Tot i que no hi ha un procediment únic per a això.
Una mica sobre la classificació per a empreses
L’enfocament de dades depèn de les condicions i de què tractem. Considereu els actius d'informació com un exemple d'empresa privada. La classificació es realitza amb la finalitat de proporcionar un enfocament diferenciat de les dades, tenint en compte el nivell de crítica que afecten les activitats, la reputació, els socis comercials, els empleats i els clients. Això permet determinar la viabilitat econòmica i la prioritat de diverses mesures per a la formació de la seguretat de la informació de l'empresa. D’acord amb la legislació de la Federació Russa, hi ha:
- Informació disponible públicament (oberta).
- Dades personals.
- Informació que conté informació que constitueix secret bancari.
- Dades relacionades amb secrets comercials.
Com valorar la seva importància? Per a això s’utilitzen models especials. Mirem de prop.
Models de classificació
Sovint, es troben dos d’ells:
- Classificació d'un factor. En funció del grau de dany. Aquí és fàcil. Penseu en un exemple petit. Els actius del sistema d’informació es distribueixen en quatre blocs en funció del grau de dany probable causat per les fuites de dades.Com a exemple: mínim, doncs, mitjà, alt i finalment - crític. Si un cercle de persones insegures sap qui accepta el director a la seva oficina, es pot classificar com a tipus mínim de dany. Però si la informació sobre el suborn a un funcionari estatal es filtra a la fiscalia, aquesta és una situació crítica.
- Model de classificació multivariant. Basat en tres paràmetres clàssics. En aquest cas, tota la informació és d'interès en termes de confidencialitat, accessibilitat i integritat. Per a cada element, els requisits s’apliquen per separat: alt, mitjà, baix. Junts s’avaluen, per exemple, com a importància crítica o bàsica.
Sobre classes
Per tal d’avaluar els actius d’informació de la manera més eficaç possible i canviar de quantitat a qualitat, es poden introduir classes que reflectiran el valor de les dades i el nivell de requisits per a aquestes. En aquests casos, es sol distingir:
- Classe oberta. En aquest cas, no hi ha restriccions de distribució i ús, no hi ha danys financers per la fama.
- Per a ús oficial. Per a ús intern. Cap dany financer. Però poden aparèixer altres tipus de pèrdues per als empleats de l'organització o de tota l'estructura.
- Confidencial. L’ús previst es proporciona quan es treballa amb clients i contraparts. La divulgació comportarà danys financers.
Quant a dades confidencials
Aquesta informació es pot dividir condicionalment en diverses categories. Els primers dos s’utilitzen en estructures comercials, la resta, per regla general, exclusivament de l’estat:
- Amb accés restringit. Té la intenció d'utilitzar un determinat cercle d'empleats de l'organització. Els danys financers solen valorar-se fins a un milió de rubles.
- Secret Ofereix l’ús exclusivament de determinats membres del lideratge de l’organització. Els danys financers solen començar en un milió de rubles.
- Top Secret. Aquestes dades provenen de la política militar, econòmica, exterior, d’intel·ligència, d’àmbits científics i tècnics, d’activitats operatives i d’investigació, la divulgació de les quals pot perjudicar el ministeri o la indústria d’una o més d’aquestes àrees.
- De particular importància. Aquestes dades provenen de la política militar, econòmica, exterior, d’intel·ligència, d’àmbits científics i tècnics, d’activitats d’investigació operatives, la divulgació de les quals pot causar danys importants a la Federació Russa en una o més d’aquestes àrees.
Com es gestionen els recursos d'informació?
Analitzem un dels algoritmes possibles:
- Actius d’informació identificats que existeixen en qualsevol forma (documents electrònics i en paper, fluxos de dades, unitats flash, etc.) que circulen entre departaments de l’organització. Tot això es recopila, s’especifica i es construeix un gran esquema sobre el qual es mostra tot.
- Estem fent el mateix, però respecte a cada unitat individual.
- Els actius d’informació estan lligats a la infraestructura on s’emmagatzemen, es nota a través de quins canals es transmeten, on i en quins sistemes es troben i similars. Aquí hi ha un punt important. Aquest element proporciona treballs amb cada actiu d'informació individual. Per ell, es dibuixa tot l’entorn (com més detallat, millor, perquè serà més fàcil identificar amenaces). Heu de mostrar els ports de transmissió, canals i molt més.
- Prenem totes les bones pràctiques i les requalifiquem utilitzant característiques com ara confidencialitat, accessibilitat, integritat.
Cicle de vida
Aquesta és la forma en què surt aquest valuós bé abans de la seva classificació. Creieu-me, la seguretat de la informació té un paper important i no s’ha de descuidar. Al mateix temps, cal prestar molta atenció al cicle de vida.Què és això El cicle de vida és un conjunt de períodes determinats després dels quals disminueix la importància de l’objecte, per regla general. Convencionalment, podem distingir les següents etapes:
- La informació s'utilitza en mode operatiu. Això vol dir que participa en el cicle de producció i té una demanda constant.
- La informació s'utilitza en mode arxiu. Això vol dir que no participa directament en el cicle de producció, tot i que periòdicament es requereix per a activitats analítiques o altres.
- La informació s’emmagatzema en mode d’arxiu.
Probablement sigui tot. Les dades que s’emmagatzemen (una base d’informació d’actius o altra cosa) no és important. El més important és assegurar la confidencialitat, l’accessibilitat, la integritat. Llavors no haureu de preocupar-vos per la reputació i assumir-vos les pèrdues.