hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
w				to							Г Л А В А 7
w Click
									o	m
	w
	.							.c
		p					g
			df			n		e
				-xcha

Безопасность данных

Архитектура

Качество	данных
	данных

	проектирование
Моделирование		данных	операции
			данными
и		Хранение
			с

Метаданные	Руководство	Безопасность данных
	данными

		данных				и
						документамиинтероперабельность
и
	-аналитика						Интеграция
	Ведение				данные
хранилищ			Справочные			и	данных
	бизнес					Управление
				основные		контентом
			и

DAMA-DMBOK2 Data Management Framework

1. ВВЕДЕНИЕ

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Деятельность в области безопасности данных включает в себя планирование, разработку и осуществление политик и процедур, обеспечивающих надлежащую аутентификацию, авторизацию и доступ пользователей, а также аудит данных и информационных ресурсов. Специфические требования по информационной безопасности (ИБ), в частности перечни данных, подлежащих защите, варьируются по отраслям и странам, однако общая цель остается неизменной повсеместно и заключается в защите информационных активов в соответствии с действующими законодательными нормами защиты информации о частной жизни, персональных и конфиденциальных данных, условиями действующих договоров и соглашений, а также потребностями бизнеса. Требования по обеспечению ИБ обусловлены следующими факторами.

Безопасность данных

257

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
	w Click										m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Заинтересованные лица. Организации должны выявлять и учитывать потребности в защите информации о частной жизни, персональных данных и конфиденциальных данных всех за интересованных лиц, к которым могут относиться (в зависимости от типа и характера орга низации), например, клиенты, пациенты, студенты, граждане, поставщики, деловые партнеры

ит. п. Все сотрудники организации несут ответственность за соблюдение требований, касаю щихся безопасности данных.

Нормативно-правовое регулирование. Нормативно-правовое регулирование различных аспектов безопасности данных и интересов определенных заинтересованных сторон. Законы

иправительственные постановления могут преследовать различные цели: одни ограничива ют доступ к определенным данным, другие, напротив, призваны обеспечить открытость, прозрачность и подотчетность.

Охрана интеллектуальной собственности и коммерческой тайны. В каждой организации имеются данные, которые можно расценивать в качестве предмета ее интеллектуальной соб ственности или коммерческой тайны. Такие данные нуждаются в защите. К примеру, клиент ские базы данных помогают организации эффективно вести бизнес и получать преимущество перед конкурентами. В случае кражи, взлома системы хранения или уничтожения данных та кое преимущество будет сразу же утеряно.

Безопасность данных:	• Ограничения доступа
• О частной жизни	к информации
и конфиденциальных	• Требования
данных клиентов	открытости
• О коммерческой тайне	и подотчетности
• О деятельности	• Права доступа для
партнеров	отдельных субъектов
• О слиянии и поглощении	• Другие требования
ИНТЕРЕСЫ	НОРМАТИВНО-
ЗАИНТЕРЕСОВАННЫХ	ПРАВОВОЕ
СТОРОН	РЕГУЛИРОВАНИЕ
НЕОБХОДИМЫЕ	ЗАКОННЫЕ
ПОТРЕБНОСТИ	ИНТЕРЕСЫ
БИЗНЕСА В ДОСТУПЕ	БИЗНЕСА
К ДАННЫМ
• Чрезмерная защита	Безопасность данных:
мешает вести бизнес	• О коммерческой тайне
• Защита данных	• Об интеллектуальной
не должна мешать	собственности
пользователям	• О потребностях клиентов
выполнять их работу	• Об отношениях
• Баланс простого	с бизнес-партнерами
и сложного	и готовящихся сделках

Рисунок 62. Источники требований по защите данных (Ray, 2012)

258	Г Л А В А 7

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

БЕЗОПАСНОСТЬ ДАННЫХ

Определение: Планирование, разработка и осуществление политик и процедур, обеспечивающих надлежащую аутентификацию, авторизацию и доступ пользователей, а также аудит данных и информационных ресурсов организации

Цели:

1.Обеспечение санкционированного доступа и исключение возможности несанкционированного доступа к информационным активам организации

2.Обеспечение соблюдения нормативно-правовых требований и политик в отношении защиты информации о частной жизни, персональных и конфиденциальных данных

3.Обеспечение соблюдения требований всех заинтересованных сторон в отношении защиты информации о частной жизни, персональных и конфиденциальных данных заинтересованных сторон

Бизнесдрайверы

Входные материалы:		Проводимые работы:			Результаты:
• Цели и стратегия бизнеса		1.	Выявление требований		• Архитектура безопасности
• Бизнес-правила			по безопасности данных (П)		данных
и процессы		2.	Определение политики		• Политика безопасности
• Нормативно-правовые			безопасности данных (К)		данных
требования		3.	Определение стандартов		• Стандарты безопасности
• Корпоративная			в области безопасности		данных о частной жизни
архитектура			данных (Р)		и конфиденциальных
• Корпоративная модель		4.	Оценка текущих рисков		данных
данных			безопасности данных (П)		• Механизмы контроля
		5.	Внедрение механизмов		доступа к данным
			контроля и процедур (O)		• Представления данных,
					соответствующие
					требованиям
					безопасности
					• Классификация данных
					с точки зрения безопасности
					• История операций
					аутентификации
					и доступа пользователей
					• Отчеты по результатам
					аудиторских проверок
					безопасности

Поставщики:		Участники:		Потребители:
• Управляющий комитет		• Распорядители данных		• Бизнес-пользователи
по ИТ		• Команды по обеспечению		• Аудиторы в области оценки
• Органы, отвечающие		безопасности		нормативно-правового
за корпоративную		• Внутренние аудиторы		соответствия
архитектуру		• Аналитики процессов
• Регулирующие
органы
		Технические
		драйверы
Методы:		Инструменты:		Метрики:
• CRUD-матрицы		• Системы контроля доступа		• Эффективность внедрения
• Немедленное		• Программные средства защиты		мер безопасности
развертывание		• Технологии управления		• Осведомленность
обновлений безопасности		идентификацией		сотрудников в области ИБ
• Атрибуты безопасности		• Программные средства		• Защита данных
в метаданных		обнаружения/предотвращения		• Инциденты безопасности
• Учет потребностей		вторжений		• Предотвращение
в безопасности данных		• Отслеживание метаданных		необоснованного
в проектных требованиях		• Маскировка/шифрование данных		распространения
• Санитизация документов				конфиденциальных данных

(П) Планирование, (К) Контроль, (Р) Разработка, (О) Операции

Рисунок 63.

Контекстная диаграмма: безопасность данных

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Безопасность данных

259

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
	w Click										m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Потребности в санкционированном доступе к данным. Защита данных не должна огра

ничивать законного доступа к данным тех лиц, которые имеют на это право согласно дей ствующему законодательству, равно как и санкционированного доступа к ним с целью ис пользования, обслуживания, сопровождения, упорядочения и обработки в рамках бизнеспроцессов.

Договорные обязательства. Договорные обязательства и условия соглашений о неразгла шении данных также сказываются на требованиях по обеспечению ИБ. Например, стандарт безопасности индустрии платежных карт (PCI-DSS) требует от платежных систем, банковэмитентов и коммерческих предприятий строго определенных мер по защите данных (напри мер, обязательного шифрования паролей).

Эффективные политики и процедуры в области безопасности данных гарантируют доступ к дан ным и возможность их целевого использования всем, кому это положено по праву или обя занности, и исключают возможность несанкционированного доступа или изменения данных (см. рис. 62). Обеспечение понимания и соблюдения потребностей и интересов всех сторон в от ношении безопасности информации о частной жизни, персональных и конфиденциальных дан ных — важный аспект деятельности любой организации, поскольку ее отношения с клиентами, поставщиками и прочими заинтересованными сторонами строятся всецело на доверии, ключе вой составляющей которого является ответственное обращение с данными.

1.1 Бизнес-драйверы

Основным драйвером деятельности в области обеспечения ИБ выступает стремление миними зировать риски и обеспечить устойчивый рост бизнеса. Эффективное обеспечение безопасности данных снижает риски и дает дополнительные конкурентные преимущества. Безопасность дан ных саму по себе можно рассматривать в качестве ценного актива организации.

Риски в области безопасности данных связаны с нормативно-правовыми требованиями, от ветственностью руководства и/или владельцев перед компаниями, репутацией, исполнением юридических и моральных обязательств перед сотрудниками, партнерами и клиентами в части неразглашения их личных сведений, конфиденциальных данных и прочей нежелательной для рас крытия (чувствительной — sensitive) информации. С организаций могут взыскиваться крупные штрафы за несоблюдение установленных законом норм или неустойки за нарушение договорных обязательств. Утечки данных могут повлечь непоправимый репутационный ущерб и утрату до верия клиентов (см. главу 2).

Рост бизнеса включает достижение поставленных и формулировку новых целей. Проблемные вопросы безопасности, утечки данных, равно как и необоснованные ограничения доступа к ним сотрудников могут напрямую помешать успешному решению текущих задач.

Цели минимизации рисков и роста бизнеса могут быть согласованы и взаимно дополнять друг друга, если они объединены в комплексную стратегию управления информацией и обеспе чения информационной безопасности.

260	Г Л А В А 7

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

1.1.1 Снижение рисков

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

По мере появления всё новых нормативно-правовых актов, регламентирующих всевозможные аспекты хранения и циркуляции данных, — а появляются они, как правило, в ответ на очередные эпизоды хищения или утечки данных, — возникают и новые требования по обеспечению норма тивно-правового соответствия. Структурам организации, отвечающим за безопасность, всё чаще поручают управление не только выполнением соответствующих требований в отношении ИТ, но также политиками, практиками, классификацией данных и правилами авторизации доступа в масштабах организации.

Как и другие аспекты управления данными, обеспечение безопасности данных лучше всего рассматривать как корпоративную инициативу. Без должной координации каждое подразделе ние будет изыскивать собственные решения в области ИБ, что приведет к неоправданному росту затрат и даже возможному снижению общего уровня безопасности из-за несогласованности или несовместимости средств защиты данных различных подразделений. Неэффективная архитек тура или рассогласованные процессы обеспечения безопасности данных могут дорого обойтись организации, поскольку чреваты утечками и падением производительности информационных систем. Снизить эти риски поможет полноценно финансируемая и системно-ориентированная операционная стратегия безопасности данных, действующая в масштабах организации.

Информационная безопасность начинается с классификации данных, которыми располагает организация, и выявления тех их категорий, которые нуждаются в защите. В общих чертах про цесс включает следующие основные этапы.

Выявление и классификация информационных активов с чувствительными данными.

В зависимости от отрасли и специфики организации она может обладать различными по объ емам и структуре массивами чувствительных данных (включая персональные, медицинские, финансовые и многие другие).

Определение мест расположения чувствительных данных в организации. Требования по ИБ могут варьироваться в зависимости от фактического места хранения данных. Особую озабочен ность вызывают хранилища с высокой концентрацией чувствительных данных, поскольку в та ких случаях лишь одного взлома базы данных достаточно для причинения огромного ущерба.

Определение мер по защите каждого из выявленных активов с чувствительными данны

ми. Необходимые меры могут варьироваться в зависимости от содержания данных и техно логий управления данными.

Определение характера взаимодействия чувствительных данных с бизнес-процессами.

Анализ бизнес-процессов необходим для определения условий доступа к данным.

Помимо классификации данных, необходимо провести оценку внешних угроз (хакерских атак, криминальных взломов и т. п.) и внутренних рисков (обусловленных ошибками и злонамеренны ми действиями сотрудников или недостатками процессов). Самой распространенной причиной утери или утечки данных являются некомпетентность персонала, непонимание сотрудниками

Безопасность данных

261

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
	w Click										m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

степени чувствительности или значимости данных или пренебрежение правилами безопасно сти1. Данные о продажах, оставшиеся на веб-сервере, который подвергся взлому; отправка спи ска сотрудников с личными данными на электронную почту подрядчика, у которого после этого похитили ноутбук; хранение данных, составляющих коммерческую тайну, в незашифрованном виде на переносном жестком диске, который был утерян, — все подобные случаи утечки данных происходят от отсутствия правил обеспечения информационной безопасности или из-за прене брежения ими на фоне отсутствия надлежащего контроля.

Несоблюдение правил информационной безопасности в последние годы привело ко множе ству скандалов и колоссальным убыткам вследствие репутационных потерь и утраты доверия потребителей к самым, казалось бы, солидным брендам. Помимо нарастания интенсивности, изощренности и целенаправленности внешних атак со стороны криминального хакерского сооб щества, год от года стабильно растет и объем ущерба, обусловленного внешними и внутренними рисками намеренных или непреднамеренных нарушений (Kark, 2009).

В мире практически всецело электронной инфраструктуры бизнеса достоверность данных, содержащихся в информационных системах, становится существенным козырем в конкурент ной борьбе.

1.1.2 Рост бизнеса

Электронные технологии в глобальных масштабах проникли во все офисы и производства, тор говые площади и жилые дома. Десктопы и ноутбуки, смартфоны и планшеты, а также всевоз можные другие устройства стали неотъемлемыми и крайне важными элементами в деятельности большинства коммерческих и правительственных структур. Взрывной рост электронной ком мерции кардинально изменил подход организаций к предложению своих товаров и услуг потре бителям. В частной жизни люди привыкли улаживать все дела в режиме онлайн: делать покупки, оплачивать коммунальные счета, записываться на прием к врачам, обращаться в госучреждения, управлять банковскими счетами. Доверие к электронной коммерции — залог прибыльности и роста бизнеса, тогда как качество продуктов и услуг напрямую зависит от информационной безопасности, ведь без надежной защиты персональных данных и онлайновых транзакций ни о каком доверии потребителей не может быть и речи.

1.1.3 Безопасность как актив

Особо следует отметить подход к управлению чувствительными данными с помощью метаданных. Классификацию в области безопасности и степень чувствительности к требованиям регулирую щих органов можно фиксировать на уровне элементов и наборов данных. Существуют технологии

1 По данным корпорации Cisco, «70% специалистов в области информационных технологий считают использование неразрешенных программ причиной не менее половины случаев утери данных их компанией; чаще всего такие встре чались в США (74%), Бразилии (75%) и Индии (79%)», а из совместного отчета Ponemon Institute и Symantec следует, что «в 2012 году две трети утечек данных стали следствием человеческих ошибок и системных проблем». Источники: http://bit.ly/1dGChAz, http://symc.ly/1FzNo5l, http://bit.ly/2sQ68Ba, http://bit.ly/2tNEkKY

262	Г Л А В А 7