Система поддержки принятия управленческих решений при выборе вариантов информационной безопасности

УТЕЧКА ИНФОРМАЦИИ КАК УГРОЗА ЭКОНОМИЧЕСКОЙ БЕЗОПАСНОСТИ
ПРЕДПРИЯТИЯ
О.Г. Назарова, В.А. Довыденко
В современных реалиях информационно-коммуникационные технологии стали неотъемлемым атрибутом деятельности любого хозяйствующего субъекта. Особое значение ИКТ имеют для информационной системы, все она охватывает все функциональные блоки предприятия. В этих условиях особую актуальность приобретает практика предотвращения несанкционированного доступа и использования конфиденциальной информации для защиты экономической безопасности предприятия. В работе рассмотрены вопросы обеспечения экономической безопасности с точки зрения защиты конфиденциальной информации хозяйствующего субъекта. Произведен анализ утечек конфиденциальной информации из организаций за последние годы на базе отчетов компании InfoWatch, отчетов ACR, Ponemon Institute. Предложены некоторые варианты обеспечения информационной безопасности предприятия.

Поддержка управления информационной безопасностью: разработка метода классификации информации
АВТОР: Эрик Бергстрём; Роуз-Мхари Ольфельдт; Фредрик Карлссон; Ева Сёдерстрём; Стивен Фернелл; Högskolan i Skövde; []
В высоко оцифрованном мире, в котором мы живем сегодня, информация и информационные системы стали критически важными активами для организаций и, следовательно, должны быть защищены соответствующим образом. Для реализации и структурированной работы с информационной безопасностью может быть внедрена Система управления информационной безопасностью (СМИБ). Управление активами является центральным направлением деятельности в СМИБ, которое направлено на выявление, назначение прав собственности и усиление защиты информационных активов. Одним из видов деятельности в рамках управления активами является классификация информации, целью которой является обеспечение того, чтобы информация получала соответствующий уровень защиты в соответствии с ее важностью для организации. Классификация информации является хорошо известной практикой для всех видов организаций, как в частном, так и в государственном секторе, и включена в различные варианты в такие стандарты, как ISO/IEC 27002, COBIT и NIST-SP800. Тем не менее, классификация информации получила мало внимания со стороны научных кругов, и многие организации борются с внедрением. Причины, по которым это проблематично, и как решать такие проблемы, в значительной степени неизвестны. Кроме того, существующие подходы, описанные, например, в стандартах и национальных рекомендациях, не обеспечивают последовательного и систематического подхода к классификации информации. Краткие описания в стандартах и литературе упускают существенные аспекты, необходимые многим организациям для принятия и внедрения классификации информации. Например, отсутствуют подробные описания в отношении (1) процедур и концепций, (2) того, как адаптировать подход к различным ситуациям, (3) структуры, которая структурирует и направляет классификацию, (4) какие роли должны быть задействованы в классификации и (5) как обрабатывается информация с различной степенью детализации. Данная диссертация направлена на повышение применимости классификации информации путем разработки метода классификации информации в СМИБ, основанного на установленных стандартах и практике. Для достижения этой цели в три цикла было проведено исследование Design Science Research (DSR). Был собран широкий спектр данных, включая серию интервью с экспертами и новичками по вопросам классификации информации, обследование, большую часть шведской политики классификации информации в государственном секторе и наблюдения. Этот тезис вносит три основных вклада: (1) выявление проблем и факторов, способствующих классификации информации, (2) принципы проектирования, лежащие в основе разработки метода классификации информации, и (3) сам метод классификации информации. Был также внесен вклад в контекст, связанный с классификацией информации, такой как, например, 20 практических предложений о том, как решать документально подтвержденные проблемы на практике.