Ochrona Informacji

W ostatnich czasach informacja stała się najcenniejszym zasobem dynamicznie rozwijającej się firmy. Z obserwacji EXE Group wynika, iż po wejściu Polski do struktur Unii Europejskiej, polskie przedsiębiorstwa, aby skuteczniej konkurować na europejskim rynku, przykładają znaczną wagę do ochrony informacji, patentów, własnego know-how oraz wszystkich elementów związanych ze strategią firmy. W przypadku kooperowania z europejskimi firmami oraz w celu wykazania, iż polskie przedsiębiorstwo jest wartościowym i poważnym partnerem - niejednokrotnie kładziony jest nacisk na to, aby zapewnić swoich partnerów biznesowych, iż ryzyko związane z wyciekiem informacji zostało właściwie zidentyfikowane oraz jest poprawnie zarządzane. Ochrona informacji stała się zatem kluczowym zagadnieniem dla kadry zarządzającej większości firm.

Firma EXE Group pragnie poniżej przedstawić zakres usług związanych z ochroną informacji, monitorowaniem wycieku informacji oraz kilka rad i wytycznych mających na celu wstępne zminimalizowanie zagrożenia dotyczącego poufności informacji w Państwa firmie.

• Ochrona informacji - zagadnienia ogólne
• Kontrola Dostępu
• Monitoring systemu
• Audyt zasobów
• EXE Group - usługi bezpieczeństwa informacji

Ochrona informacji - zagadnienia ogólne

Główną misją EXE Group jest upewnienie Państwa, iż techniki informacyjne Państwa firmy i systemy wspomagające Państwa interesy są właściwie kontrolowane, monitorowane oraz dobrane przy założeniu zapewnienia maximum efektywności i bezpieczeństwa.

Poniżej przedstawiamy zakres usług EXE Group związanych z ochroną informacji oraz staramy się przybliżyć kilka rad w celu ograniczenia ryzyk związanych z technologią IT. Z praktyki EXE Group wynika, iż techniki używane w celu zapewnienia bezpieczeństwa zmieniają się. W celu oszacowania poziomu wymaganego bezpieczeństwa, koniecznym jest zidentyfikowanie wszystkich ryzyk, które mają wpływ na Państwa firmę. Po zidentyfikowaniu ryzyk, celowym jest określenie tych zasobów informatycznych, które działając wspólnie dostarczą odpowiedniego poziomu bezpieczeństwa dla danych, systemów operacyjnych oraz dla całej firmy.

Mając na uwadze powyższe, następujące obszary aktywności zasobów IT powinny być monitorowane w stałych i regularnych odstępach czasu oraz na z góry określonych zasadach:
- Kontrola dostępu,
- Monitorowanie działalności Systemu,
- Audyt zasobów,
- EXE Group - usługi bezpieczeństwa informacji.

Kontrola Dostępu

Pojęcie to zawiera dodawanie nowych użytkowników do grupy użytkowników zarejestrowanych w systemie, modyfikowanie albo usuwanie użytkowników, zmienianie ustawień kont użytkowników oraz utrzymywanie odpowiedniego poziomu bezpieczeństwa systemu.

Zasady dostępu wprowadzane są w życie przez administratorów bezpieczeństwa jako zbiór reguł, które określają jacy użytkownicy albo grupy użytkowników mają uzyskać dostęp do ściśle określonej informacji w systemie IT. Dostęp jest przyznawany przeważnie na zasadach tzw. "need-to-know" albo "need-to-do".

Celem bezpieczeństwa na polu informatycznym jest optymalizacja produktywnego wykorzystania zasobów, zmniejszenie ryzyka błędu i oszustwa, eliminacja działalności osób nieupoważnionych oraz zabezpieczenie poufności informacji. Wspomniane zmiany powinny wpłynąć na właściwy podział obowiązków, aby dać pewność, iż potencjalna działalność osób nieupoważnionych oraz oszustwa informatyczne stwarzają mniejsze ryzyko dla firmy.

Monitoring systemu

Monitoring systemu informatycznego jest istotnym narzędziem w zarządzaniu ryzykiem IT, gdyż przy jego pomocy udaje się wyśledzić działanie systemu poprzez w pełni funkcjonalne procedury, mające na celu określenie w jakim stopniu oraz jak skutecznie używane są zasoby systemu.

Większość firm w chwili obecnej korzysta z komputerów o różnym stopniu zaawansowania w celu przetwarzania danych w kierunku informacji oraz wiedzy. Zbyt dużo nacisku kładzie się na zastosowanej technologii, a zbyt małą uwagę przykłada się do bezpieczeństwa istotnych dla firmy wartości, zawartych w informacji, która jest przetwarzana przez zasoby IT. Jest to prawdopodobnie najpoważniejsze z ryzyk przed jakim stoi biznes w obecnej chwili, ponieważ świadomość bezpieczeństwa zasobów IT wśród profesjonalistów komputerowych jest niska.

Większość systemów informatycznych doświadczyło spadku stabilności systemu lub nawet zniszczenia z powodu wady nawet bardzo drobnej części składowej oprogramowania działającego w danym systemie. Niespodziewane sytuacje krytyczne mają miejsce w dalszym ciągu. Jeśli nie podejmuje się kroków zaradczych - mogą one mieć znaczne i kosztowne reperkusje.

Dowolny użytkownik systemu może najzwyczajniej popełnić błąd i w konsekwencji tego, każda firma musi korzystać z efektywnych kontroli bezpieczeństwa informatycznego. Złośliwe czyny świadczące o sabotażu albo o oszustwie są bardziej prawdopodobne, iż będą miały miejsce, jeśli są niskie szanse ich wykrycia. Jednakże szansa może zostać znacznie zmniejszona poprzez zmniejszenie okazji do popełnienia wykroczenia poprzez rozwinięcie możliwości wykrywania efektywnymi systemami bezpieczeństwa oraz kontrolami.

Może się zdarzyć, iż kontrole wykonywane przez ekspertów IT w Państwa firmie będą również krytyczne. Niekontrolowany rozwój systemów informatycznych automatycznie stworzy system który nie jest kontrolowany. Wady oraz przypadkowe błędy mogą mnożyć się i systemy te mogą stać się znakomitym środowiskiem dla wycieków informacji.

W celu poprawy sytuacji, poniższe pytania mogą zostać zadane w zakresie potencjalnych obszarów ryzyka:

1. Czy awaria może się wydarzyć w danym miejscu?
2. W jaki sposób, w jakich okolicznościach?
3. Jakie konkretnie środki bezpieczeństwa zostały podjęte w celu zapobiegnięcia awarii?
4. Jakie możemy podjąć kroki zaradcze?

Nieodpowiednie zasady bezpieczeństwa systemu stwarza w firmie wiele ryzyk. Oto kilka z nich: fałszywe dane, wirusy, trojany, spam, bomby mailowe lub wyciek informacji i in.

Audyt zasobów

Podsystem bezpieczeństwa informatycznego powinien dostarczyć szczegółowych danych o tym, kto, kiedy i co zrobił, nawet w przypadku nieudanego ataku na system bezpieczeństwa. Dostępność dzienników systemu (log-ów) jest niezmiernie wartościowa. Dziennik dostarcza niezbędnych informacji dla audytora systemu w celu określenia, kto zainicjował połączenie, czas i daty wejścia, typ wejścia, jaki zakres informacji został naruszony oraz użyty terminal.

Dziennik systemowy powinien zostać poddany analizie w celu dostarczenia szczegółowych informacji o wszystkich normalnych i nienormalnych zdarzeniach podczas dowolnego okresu.

Dostęp do stacji komputerowej oraz usiłowanie pogwałcenia dostępu mogą automatycznie zostać wpisane przez komputer i są ewidencjonowane. Wykaz adresów i miejsc z danego komputera może zostać użyty, by poddać analizie oraz wyszukać błędne i niepoprawne zalogowania, brakujące albo dodatkowe komputery w sieci.

Implementując zasady bezpieczeństwa systemu informatycznego i audytu, które zostały opisane w sprawozdaniu z działalności EXE Group, prasowym powinny zapewnić, iż zasoby IT oraz utrzymywane na nich informacje są w Państwa firmie właściwie chronione, kontrolowane oraz monitorowane.

EXE Group pragnie zapewnić Państwa, iż jesteśmy w stanie opracować i wdrożyć zasady bezpieczeństwa w Państwa sieci komputerowej. Ponadto jesteśmy w stanie wykryć atak zewnętrzny na informacje w Państwa firmie, śledzić ten atak oraz monitorować wypływ informacji. W wielu przypadkach jesteśmy w stanie wykryć sprawców ataku oraz przedsięwziąć dalsze kroki w celu ochrony informacji, jaka wydostała się na zewnątrz.

Usługi związane z bezpieczeństwem informacji oraz detekcją, śledzeniem i monitorowaniem wycieku informacji są ściśle powiązane z usługami EXE Group świadczonymi w zakresie audytu bezpieczeństwa informacji. Są jednak przeprowadzane doraźnie oraz - z uwagi na konieczną w takich wypadkach szybkość działania - wykonywane są najczęściej w przeciągu 12 godzin od zgłoszenia zamówienia.

Pragniemy zaznaczyć, iż kadra specjalistów EXE Group posiada niezbędne doświadczenie w zakresie ochrony informacji, monitorowania wycieków informacji, lokalizowania intruzów. Specjaliści zaangażowani w prace EXE Group posiadają wszechstronną wiedzę dotyczącą doradztwa informatycznego oraz bezpieczeństwa sieci IT (legitymujemy się certyfikatami m.in. CISA, CCNA, CCNP, CNP, MCNP, MCSE, MCDBA, CCA, posiadamy tytuły m.in. inżynierów Microsoft® oraz inżynierów Allied Telesyn). Zlecenia firm traktujemy z najwyższą poufnością oraz udostępniamy niezbędne know-how w celu wykonania powierzonych nam zleceń.

Zachęcamy do kontaktu oraz skorzystania z usług EXE Group.