Категорування інформації в корпоративних інформаційних ресурсах (ІР) є ключовою функцією забезпечення інформаційної безпеки (ІБ) [3-5]. Дане завдання в тому чи іншому вигляді вирішується в кожній інформаційній системі (ІС) підприємств державного та приватного сектору і формалізуєтеся у відповідній політиці ІБ підприємства. Завдяки процесу зіставлення категорій інформації і прав користувачів забезпечується процес захисту інформації з обмеженим доступом (ІзОД) від несанкціонованого використання [1-2].

У корпоративній мережі кожного підприємства зберігається і обробляється інформація, яка є критичною для ведення бізнесу і може власником відноситься до комерційної та/або службової таємниці підприємства, інформація щодо персональних даних співробітників, а також інша конфіденційна інформація підприємства, доступ до якої може обмежуватися її власником. Виходячи з досвіду впровадження DLP та DAG систем, на суб'єктивну думку авторів, діюче законодавство не відповідає сучасним викликам та загрозам інформаційним активам підприємств. Наочною демонстрацією може служити атака на українські інформаційні ресурси шифрувальника notPetya. Аналіз передумов танаслідків однозначно показує необхідність проведення кардинальних змін та доповнень у чинному законодавстві у відповідності до існуючого та прогнозованого ландшафту інформаційних та кібернетичних загроз. Очевидно, що частина проблемних питань може бути вирішена простою імплементацією діючих міжнародних стандартів, а не придумуванням своїх, що, як показують останні сумні наслідки, не завжди є кращими, а в багатьох випадках обмежують використання сучасних засобів протидії зловмисникам. Очевидно, що у відповідності до доктрин відносно питань інформаційної та кібернетичної безпеки, що прийняті провідними країнами світу ми повинні розглядати загрози інформаційним ресурсам підприємствам не тільки в кримінальному аспекті, а і в глобальному - як боротьба за вплив в інформаційному просторі.

Одне із питань, що потребує достатньо прискіпливого підходу при розробці політик інформаційної безпеки при впровадженні DLP та DAG систем - це категорування інформації, що власником відноситься до ІзОД підприємства. З цією метою для забезпечення захисту ІР від їх незаконного використання повинна бути розроблена на підприємстві політика інформаційної безпеки (ПІБ) [6-7] щодо порядку доступу до ІзОД, а також формалізований та введений в дію єдиний для всіх користувачів порядок надання, зміни та скасування доступу до ІзОД у відповідності до встановлених політик, який є обов'язковим для виконання всіма без виключення користувачами (сюди відноситься і весь топ-менеджмент підприємства без будь якого виключення).

Нижче наведено базові складові, що рекомендується включати в політику категорування ІзОД. Ці складові формалізовано на основі практичного досвіду впровадження DLP та DAG систем, а також на реальному прикладі продемонструвати один із варіантів підходу щодо забезпечення безпеки інформаційних активів, що беруть участь в бізнес-процесах підприємства, і можуть бути використані про розгортанні DLP та DAG систем (система запобігання витокам інформації та система управління доступом до неструктурованих даних) для захисту ІзОД.

Рекомендації спрямовані на забезпечення проведення наступних робіт:

формування реєстру інформаційних активів;

формування системи управління інформаційними активами;

розгортання системи управління доступом до неструктурованих даних;

розгортання системи протидії витокам інформації.

Зрозуміло, що у роботах з категорування інформаційних активів і забезпечення управління ними повинні брати участь усі керівники структурних підрозділів або особи, уповноважені ними, співробітники підрозділів ІТ-адміністратори сховищ, на яких розміщуються інформаційні активи, а також фахівці з ІБ. В процесі виконання рекомендацій повинен бути визначений структурний підрозділ, який буде управляти і є власником перерахованих нижче процесів. Як правило, це служба інформаційної безпеки (СлІБ).

Терміни та визначення. Для однозначного трактування термінів, що використанні при розробці політики категорування інформації, їх визначення наведено в табл.1.

Таблиця 1Терміни та визначення

Виклад основного матеріалу дослідження

Зважаючи на ріст рівня інформаційних та кібернетичних загроз для підприємств різних форм власності, варто виокремити декілька основних тверджень щодо підходу до політики категорування ІзОД.

Твердження 1. Формування реєстру інформаційних активів

Для формування реєстру інформаційних активів необхідно визначити:

перелік інформаційних активів, що обробляються кожним підрозділом, і провести їх категорування (визначити категорію ІзОД);

перелік ІС, в яких обробляються та зберігаються інформаційні активи;

перелік місць зберігання носіїв, що містять інформаційні активи (електронні та паперові);

власника інформаційного активу та перелік підрозділів, доступ яким необхідний до активу для виконання співробітниками службових обов'язків.

Прикладами інформаційних активів можуть бути: договір з клієнтами, фінансова звітність, технологічна карта, журнал реєстрації листів, проекти нових продуктів або послуг, ноутбук з інформацією про фінансовий стан підприємства, сервер з інформацією про клієнтів, архів (приміщення) з паперовими справами співробітників підприємства, планшет керівника підприємства з планом перспективної та оперативної діяльності.

Інформаційні активи володіють основними властивостями фінансових та матеріальних активів підприємства: вартість, вартість для підприємства, можливість накопичення, можливість трансформації в інші активи. Дуже часто цінність інформаційного активу підприємства може перевершувати цінність всіх фінансових активів. Прикладом такого активу може бути імідж підприємства. Формування реєстру здійснюється шляхом отримання інформації від керівників структурних підрозділів, що обробляють інформаційні активи. При цьому керівники структурних підрозділів або уповноважені ним особи повинні надавати інформацію про всі види інформаційних активів, що отримуються, створюються і передаються в ході реалізації бізнес - процесів співробітниками їх підрозділів.

Твердження 2. Інформаційне наповнення реєстру

Реєстр повинен містити наступну інформацію:

1) назва інформаційного активу;

2) місце обробки інформаційного активу (інформаційна система, називання БД, файловий ресурс, обробка в паперовому вигляді і т.д.);

3) критичність інформаційного активу - конфіденційність, цілісність, доступність;

4) опис активу - характеристика оброблюваної інформації, опис типових форм і документів (наприклад, картка Т2, форма договору, анкета);

5) термін зберігання інформаційного активу;

6) доступ до інформаційного активу - перелік ролей і їх прав.

Примітка - будь-які додаткові відомості про інформаційні активи (порядок отримання активу, порядок передачі всередині підприємства, передаються чи активи третім особам і т.д.).

На першому етапі, для спрощення процедури збору інформації про інформаційні активи пропонується розробити СлІБ та впровадити на підприємстві типові форми опитування. При цьому до керівника структурного підрозділу повинно бути доведено, що він буде власником даного інформаційного активу і він відповідає за правильне категорування інформації щодо даного інформаційного активу. Надалі, надання доступу до інформаційного активу в обов'язковому порядку повинно узгоджуватися з його власником.

За результатами отримання інформації від керівників структурних підрозділів представляється можливим заповнити частину граф реєстру інформаційних активів. Надалі керівники структурних підрозділів, на підставі затвердженого "Переліку відомостей підприємства, що становить інформацію з обмеженим доступом", визначають або уточнюють для кожного інформаційного активу його категорію. Ми будемо розглядати п'ять типових класів активів для підприємства, як найбільш типовий перелік при впровадженні DLP систем: публічна інформація, інформація для внутрішнього (службового) користування, персональні дані, комерційна таємниця, суворо конфіденційна інформація (див. як приклад табл.2).

Зрозуміло, що даний перелік не може претендувати на повноту охвату всього існуючого переліку інформації з обмеженим доступом на кожному підприємстві, але він може бути базовим для формування політики категорування ІзОД і для кожного підприємства цей перелік повинен бути сформований з врахуванням його особливостей обробки і зберігання ІзОД. Результати класифікації вписуються в реєстр інформаційних активів. Реєстр інформаційних активів доцільно вести в електронному вигляді що спрощує його підтримку в актуальному стані, а також дозволяє використовувати відповідні автоматизовані системи його ведення. Також повинні бути визначені власник, місце зберігання і обов'язки з ведення реєстру інформаційних активів.

Твердження 3. Управління інформаційними активами

Для забезпечення безпеки інформаційних активів необхідно документувати і впровадити такі процеси:

1) надання доступу до інформаційних активів;

2) забезпечення безпеки носіїв;

3) структурування інформаційних активів у сховищах; Приклад переліку відомостей підприємства, що становлять інформацію з обмеженим доступом

А1. СУВОРО КОНФІДЕНЦІЙНІ ВІДОМОСТІ

А1.1 Відомості про структуру підприємства та її власників

Таблиця 2. А1.2 Відомості щодо забезпечення загальної безпеки

А2. ВІДОМОСТІ, ЩО СКЛАДАЮТЬ КОМЕРЦІЙНУ ТАЄМНИЦЮ

А2.1 Відомості фінансового і економічного характеру

А2.2 Відомості про системи автоматизації, зв'язку і технічних засобах

А2.3 Відомості що представляють собою "ноу-хау", стосуються технології виробництва продукції, проведення робіт і надання послуг

А2.4 Відомості по зовнішньої діяльності та взаємовідносинам

А2.5 Відомості про виробничі процеси

А3. ВІДОМОСТІ ДЛЯ СЛУЖБОВОГО КОРИСТУВАННЯ

А3.1 Відомості з організаційно-штатних питань

А3.2 Відомості про виробничі процеси

А3.3 Відомості про забезпечення охорони об'єктів

А3.4 Відомості щодо забезпечення інформаційної безпеки

4) повідомлення працівників про правила використання корпоративних ресурсів;

5) контроль за дотриманням вимог розміщення інформаційних активів.

Твердження 4. Надання доступу до інформаційних активів

Для управління доступом до інформаційних активів доцільно розробити та використовувати рольову модель користувача, яка повинна включати в себе структуру прав доступу до відповідних інформаційних активів.

Надання доступу до інформаційних активів доцільно здійснювати за заявкою від керівника підрозділу, якому належить співробітник з обов'язковим погодженням доступу з власником інформаційного активу і СлІБ. Надання доступу має ґрунтуватися на принципі "need to know", тобто співробітники повинні мати доступ тільки до тих активів (даними), які необхідні їм для виконання їх посадових обов'язків, і вони (співробітники) повинні володіти мінімально необхідними привілеями.

Оригінали узгоджених заявок повинні зберігатися в управлінні інформаційних технологій (УІТ). Копії погоджених заявок повинні передаватися в електронному вигляді в СлІБ.

Періодично необхідно проводити інвентаризацію облікових записів, що підтверджує, що:

1) для всіх активних облікових записів існують узгоджені заявки;

2) усі облікові записи звільнених співробітників заблоковані;

3) неперсоніфіковані, колективні, групові облікові записи не використовуються для цілей адміністрування;

4) всі тестові облікові записи активні тільки на час проведення робіт.

Результати інвентаризації повинні оформлятися у вигляді акту, що описує результати перевірки.

Всі знайдені невідповідності реальних прав доступу наявними заявками повинні бути усунені.

Твердження 5. Забезпечення безпеки носіїв

Носії інформаційних активів необхідно захищати. Для цього доцільно:

1) промаркувати носії інформації;

2) регулярно проводити інвентаризацію носіїв інформації;

3) забезпечити їх фізичну безпеку;

4) визначити порядок доступу до носіїв інформації.

Носії інформації рекомендується промаркувати наклейками, що містять обліковий номер і найменування класу активу. При цьому носії інформації доцільно враховувати у відповідних журналах і проводити регулярну інвентаризацію носіїв (рекомендується проводити інвентаризацію не менше, ніж раз на рік).

Для забезпечення фізичної безпеки носіїв інформаційних активів рекомендується обмежити доступ в приміщення, де здійснюється їх обробка та зберігання. Носії, на яких зберігається і / або обробляється суворо конфіденційні відомості, комерційна таємниця або інформація для внутрішнього користування, доцільно зберігати в приміщеннях, обладнаних системою контролю доступу. Матеріальні носії доцільно зберігати в сейфах або шафах, що замикаються. Порядок забезпечення різних аспектів фізичної безпеки носіїв, які використовуються для зберігання та обробки ІзОД, повинні бути визначені додатковими процедурами та інструкціями.

Доступ до носіїв, які містять інформаційні активи, необхідно надавати відповідно з виробничою необхідністю, в рамках виконання співробітниками своїх посадових обов'язків.

Твердження 6. Структурування інформаційних активів на файлових ресурсах

Пропонується упорядкувати інформаційні активи, що розміщуються у сховищах різного типу.

Для цього УІТ з урахуванням інформації, документованої в реєстрі інформаційних активів, формує архітектуру каталогів. Спрощена структура каталогів може бути представлена у вигляді поданому на рис.1.

Рис.1. Пропонована структура каталогів

ІТ фахівці - адміністратори сховищ, формують нову структуру каталогів і розмежовують права доступу до нових папок відповідно до реєстру інформаційних активів. ІТ фахівці також визначають максимальний розмір дискового простору каталогів верхнього рівня.

Після завершення процесу створення структури каталогів, керівники структурних підрозділів або уповноважені особи все дані, що зберігаються на корпоративних ресурсах, переглядають і переносять (копіюють) їх відповідно до визначених каталогів. При цьому всіх користувачів інформаційних ресурсів необхідно повідомити про процес перенесення даних і представити їм опис нової структури та інструкції щодо порядку обробки та зберігання інформаційних активів підприємства.

Після цього рекомендується впровадження автоматизованих систем інтелектуального аналізу сховищ даних, використання яких дозволяє підвищити ефективність управління доступом і зберігання ІзОД підприємства.

Твердження 7. Повідомлення працівників про правила використання корпоративних ресурсів

Пропонується по захищеній електронній пошті або через захищений корпоративний веб-ресурс провести розсилку внутрішнім адресатам інструктивних матеріалів з визначенням вимог щодо розміщення інформаційних ресурсів підприємства на корпоративних ресурсах. Вимоги щодо розміщення інформаційних активів пропонується оформити окремим документом - "Правила розміщення інформаційних активів на корпоративних ресурсах".

До складу правил пропонується включити: вимоги щодо необхідності зберігання документів тільки відповідно до прийнятої структури;

перелік категорій інформації, доступної для розміщення на корпоративних ресурсах (наприклад, документи, призначені для роботи);

перелік інформації, розміщення якої заборонено на корпоративних ресурсах (наприклад, інформація особистого характеру, відеофільми, фотографії та ін.);

вимога своєчасно видаляти інформацію, яка не потрібна для виконання бізнес-процесів і цілі обробки якої, досягнуті.

Будь-яку іншу інформацію, що стосується підвищення корпоративної культури роботи з сховищами даних. У внутрішні документи підприємства доцільно прописати відповідальність працівників за дотримання поточних вимог.

Твердження 8. Контроль за дотриманням вимог розміщення інформаційних активів

Контроль за дотриманням вимог щодо розміщення інформаційних активів здійснюють власники інформаційних активів. З періодичністю не рідше одного разу на півроку-рік власник інформаційного активу повинен переглядати дані в каталогах на предмет виконання вимог щодо їх розміщення.

Висновки