Вступ

Крім чисто технічних і економічних наслідків у проблем з інформаційною безпекою присутній ще іміджевий аспект - підривається довіра клієнтів, партнерів по бізнесу, інвесторів. За даними Forrester Research, 95% проблем, повязаних з безпекою мереж, викликано невірними настройками, 85% опитаних повідомили про випадки проникнення шкідливих програм. Приведені цифри показують, наскільки важливо підтримувати інформаційну безпеку на належному рівні.

Цикл робіт по проектуванню і побудові IT-инфраструктуры, що включає підключення до зовнішніх каналів комунікацій, повинен починатися з етапу ідентифікації можливих погроз. Їх номенклатура залежить від набору сервісів, які компанія припускає використовувати (їх відомих уязвімостей, наявність пакетів виправлень і т. п.). Наступним кроком стає вибір найбільш відповідної для поставлених цілей політики безпеки, супроводжуючої новостворюване рішення на всіх етапах його життєвого циклу. На третьому етапі підбираються відповідні програмні продукти.

Безпека

Дані необхідно захищати від неавторизованого знищення і зміни. Часто зовнішні атаки направлені не стільки на крадіжку інформації, скільки на внесення до записів шкідливих змін, що зберігаються. Захистом від цієї риски служить перевірка цілісності, збереження резервних копій і в першу чергу постійне протоколювання доступу до важливих інформаційних обєктів.

Конфіденційність

Інформація повинна бути захищена від несанкціонованого доступу. Можливість анонімного доступу до даним - перша ознака проблем з безпекою. Крім випадків, коли анонімності не уникнути (наприклад, на публічному веб-вузлі).

Надійність

Збої на серверах, оброблювальних дані, не менш небезпечні, чим дії хакерів. Крім того, хоча доступність інформації для зовнішніх користувачів певною мірою залежить від апаратного забезпечення інфраструктури безпечних підключень, цілий клас атак направлений на перевантаження серверів надмірним потоком запитів, що веде до відмови в обслуговуванні звичайних користувачів.

Бізнес-інтеграція

Піклуючись про досягнення безпеки інфраструктури, не можна ні на момент забувати, що основним завданням інформаційної системи є підтримка бізнес процесів. Вирішення всіх цих завдань повинне здійснюватися одночасно, інакше одна уразлива ланка, виправлення якої було відкладене «на потім», може привести до втрати всіх позитивних результатів на решті фронтів боротьби за безпеку в рамках всього підприємства. Більш того, Microsoft бачить процес роботи з ризиками як циклічну послідовність заходів, що не дає системі безпеки IT-інфраструктури застаріти.

У загальному випадку цей процес починається з побудови інфраструктури безпечного доступу, адекватній по рівню захищеності поточним вимогам на момент її запуску в експлуатацію. Далі починається етап виявлення потенційних рисок і реальних атак, а також постійного оновлення встановленого програмного забезпечення за допомогою пакетів виправлень і «гарячих латочок» і баз антивірусних програм. Крім того, на цьому етапі повинен проводитися поточний аналіз системних журналів, які можуть містити свідоцтва спроб атак.