• DevOps
  • Защита информации
  • ИТ-поддержка
  • Как обеспечить информационную безопасность на предприятии?

    Информационная безопасность является одним из важнейших факторов стабильного и успешного развития любой компании. Поэтому особое внимание при ИТ-обслуживании клиентов наши инженеры уделяют вопросам внедрения стандартов защиты информации и повышения общего уровня безопасности ИТ-структуры.


    Основные задачи, решаемые информационной безопасностью:

    • Устранение риска похищения и перехвата коммерческой информации.
    • Противодействие конкурентам, использующим незаконные методы получения информации.
    • Борьба с недобросовестностью и низкой сознательностью персонала.
    • Защита данных согласно Федеральному Закону № 152-ФЗ.
    • Невозможность хищения средств через систему «клиент-банк».

    Особенно актуальным соблюдение стандартов ИТ-безопасности является для малого бизнеса, где основные векторы усилий нацелены на развитие предприятия, расширение рынков сбыта и оптимизацию бюджета. При этом вопросы стабильности и безопасности откладываются на второй план как не самые «горящие». Задача наших инженеров – обеспечить достаточный уровень безопасности ИТ-структуры при минимальных затратах бюджета. Для каждого клиента составляется документ «Политика информационной безопасности объекта», который содержит основные положения по уровню информационной безопасности.

    Таблица 1. Ключевые технические меры, которые обязательны к внедрению


    Политика используемых паролей
    • Срок действия пароля составляет 90 дней. Таким образом, пользователю необходимо менять пароль минимум 1 раз на протяжении каждых 90 дней.
    • Пароль не может содержать имя учетной записи пользователя или какую-либо его часть.
    • Пароль должен состоять не менее, чем из шести символов.
    • В пароле должны присутствовать символы трех категорий из числа следующих четырех:
    1. прописные буквы английского алфавита от A до Z;
    2. строчные буквы английского алфавита от a до z;
    3. десятичные цифры (от 0 до 9);
    4. неалфавитные символы (например, !, $, #, %).
    Ограничения прав доступа
    • Все пользователи имеют ограниченную учетную запись. Права администратора пользователям не предоставляются.
    • Специфические приложения настраиваются ответственным ИТ- инженером для возможности их корректной работы с правами пользователя.
    • Все ключевые сервисы приложений (SQL, 1C Server, Exchange и т.д.) запускаются под отдельными служебными учетными записями, которые используются только для этой цели.
    • Доступ к файловым данным должен быть разграничен по правам и ролям пользователей.
    Блокировка рабочих консолей
    • Автоматическая блокировка терминального сеанса при отсутствии активности пользователя на протяжении 10 минут.
    • Автоматическая блокировка дисплея ПК при отсутствии активности пользователя на протяжении 10 минут.
    Защита от угроз извне
    • Внешние подключения происходят только с использованием шифрованных подключений по технологии OpenVpn, IpSec, SSH или Terminal Services Gateway.
    • Входящий трафик закрыт Firewall по всем портам за исключением тех, которые необходимы для разрешенных внешних подключений.
    Защита IP телефонии
    • Регистрация на сервере поставщика VoIp услуг разрешена только с внешнего IP-адреса сервера телефонии.
    • В случае 3-х неправильных попыток регистрации адрес, с которого была попытка регистрации, блокируется.
    • Отключение ответа сервера о неверном пароле, использование инструментов FailToBan.
    • Применение указанной выше политики паролей для абонентских добавочных номеров.
    • Ограничение направлений звонков, доступных абонентам, применение схемы «запрещено все, кроме разрешенного».
    • Отключение возможности совершения гостевых неавторизированных звонков изнутри и с панели голосового меню IVR.

    Применение на практике таких, казалось бы, очевидных и не требующих дополнительных затрат принципов, позволяет эффективно защитить ИТ-структуру от распространенных угроз, таких как: взломы и нарушение работоспособности ключевых серверных систем, внешних интерактивных сервисов компании, хищения коммерчески значимой информации и финансовых потерь от действий злоумышленников, как внешних так и внутренних. Получается, что при 20% затрат мы достигаем 80% результата, т.е. повышаем уровень защищенности системы до уровня, когда её взлом становиться экономически не оправданным.


    Не нашли ответа на свой вопрос?
    Содержание

    Есть вопросы?

    Закажите звонок специалиста!

    Есть вопросы?

    Закажите звонок специалиста!
    *нажимая на кнопку, Вы даете согласие на обработку персональных данных