Виды защиты информации

Средства защиты информации (СЗИ) делятся на четыре группы: программные, аппаратные, комплексные и организационные. Другой разрез той же картины - технические средства, которые работают сами, и нетехнические, которые зависят от людей и процессов. Ни одна группа по отдельности не даёт результата: работает только эшелонированная защита, когда каждый слой страхует соседний.

Ниже - что входит в каждую группу, какие требования предъявляет российское законодательство и с чего начинать внедрение.

Что такое СЗИ

Средство защиты информации (СЗИ) - это программа, устройство или регламент, который закрывает канал утечки данных или сигнализирует о попытке несанкционированного доступа. Аббревиатура читается именно так и в профессиональной среде используется постоянно; рядом встречается СКЗИ - средство криптографической защиты информации, то есть частный случай СЗИ, работающий через шифрование.

Четыре базовые категории:

• Программные - антивирусы, DLP-системы, средства шифрования дисков и трафика, сканеры уязвимостей.
• Аппаратные - межсетевые экраны, аппаратные модули шифрования (HSM), токены, серверы аутентификации.
• Комплексные - связка программного и аппаратного уровня: UTM-устройства, PAM-решения, SIEM вместе с SOAR в одной экосистеме.
• Организационные - политики доступа, регламенты работы с носителями, обучение персонала, физическая охрана серверных.

Технические и нетехнические средства

Тот же набор можно разложить по другому основанию - зависит средство от человека или нет. В нормативных документах и учебниках технические часто называют формальными, нетехнические - неформальными.

Разница практическая, а не теоретическая: техническое средство работает круглосуточно и одинаково, нетехническое работает ровно настолько, насколько его соблюдают.

Что именно вы защищаете

Прежде чем закупать средства, стоит понять, что охраняем. Классификация помогает распределить бюджет: не тратиться на охрану публичного прайс-листа и не оставить без внимания базу клиентов.

• По уровню конфиденциальности - общедоступная, служебная, конфиденциальная, секретная (гостайна).
• По типу носителя - электронные документы, базы данных, бумажные архивы, резервные копии.
• По принадлежности - персональные данные (152-ФЗ), коммерческая тайна (98-ФЗ), интеллектуальная собственность.

Каждая категория требует своего набора средств. И тут важная оговорка: коммерческую тайну недостаточно закрыть соглашением о неразглашении и DLP-системой. По 98-ФЗ режим коммерческой тайны считается введённым, только если утверждён перечень таких сведений, ограничен и учтён доступ к ним, а на носители нанесён гриф. Без этих формальностей суд режим не признает, и взыскать с нарушителя не получится.

Персональные данные

Персональные данные (ПДн) - любая информация, по которой можно определить конкретного человека: от фамилии и телефона до cookie-файлов и IP-адреса (Роскомнадзор трактует их именно так).

Категории по 152-ФЗ:

• Общедоступные - данные из открытых источников с согласия человека.
• Специальные - здоровье, расовая принадлежность, судимости, политические убеждения. Только с письменного согласия.
• Биометрические - отпечатки, распознавание лица, голосовой слепок.
• Иные - всё остальное: должность, стаж, образование, номер договора.

Обратите внимание, кто именно наказывает. Регулятор по персональным данным - Роскомнадзор, он проводит проверки и составляет протоколы. ФСТЭК занимается другим: лицензирует деятельность по технической защите информации, сертифицирует средства защиты и устанавливает требования к государственным информационным системам и объектам критической информационной инфраструктуры. Путать их - типичная ошибка, которая дорого обходится при подготовке к проверке.

Есть и уголовная статья: за неправомерный доступ к компьютерной информации - ст. 272 УК РФ, за создание и распространение вредоносных программ - ст. 273, за нарушение правил эксплуатации средств хранения и обработки - ст. 274.

Нетехнические средства: право, организация, культура

Правовой уровень. Базовая нормативка для ИБ в России:

Ноу-хау дополнительно защищено Гражданским кодексом (ст. 1465-1472) как объект интеллектуальной собственности.

Организационный уровень. Политика ИБ, ролевая модель доступа, процедуры приёма и увольнения с отзывом прав, сегментация сети между отделами, запрет на съёмные носители в зонах обработки ПДн. Это самая дешёвая часть защиты и при этом та, что закрывает основную массу инцидентов с человеческим фактором - просто потому, что большинство утечек происходит не через взлом периметра, а через сотрудника с избыточными правами.

Культура. Регулярное обучение, учебные фишинговые рассылки, разбор реальных инцидентов. Если сотрудник не отличает поддельное письмо от настоящего, никакой межсетевой экран не спасёт.

Технические средства защиты

Физические

Фундамент, без которого остальное теряет смысл: получив физический доступ к серверу, злоумышленник получает доступ ко всему.

• СКУД - контроллеры доступа с двумя факторами (карта плюс PIN, карта плюс биометрия) на входах в серверные.
• Видеонаблюдение с записью и хранением архива. Глубина архива не менее 30 суток требуется для отдельных категорий объектов по постановлениям об антитеррористической защищённости; в 152-ФЗ такой нормы нет, поэтому срок хранения определяйте по своему типу объекта и внутренней политике.
• Инженерная защита серверной - контроль температуры и влажности, газовое пожаротушение, бесперебойное питание, экранирование от побочных электромагнитных излучений и наводок (ПЭМИН). Подробности - в материале про требования к серверным помещениям.
• Пропускной режим - журнал посещений, сопровождение гостей, ограничения на пронос устройств в режимные зоны.

Аппаратные

Межсетевые экраны нового поколения (NGFW), аппаратные модули хранения криптоключей (HSM), серверы с поддержкой TPM 2.0, Secure Boot и аппаратной изоляции нагрузок (Intel SGX, AMD SEV).

Про выбор конкретных решений оговорка обязательна: Palo Alto, Check Point, Splunk и ряд других зарубежных вендоров ушли с российского рынка в 2022 году - поддержка и обновления для них недоступны. Актуальный выбор идёт из реестра отечественного ПО и реестра сертифицированных средств ФСТЭК: из межсетевых экранов это, например, UserGate и «Континент».

Программные

• DLP (InfoWatch, Solar Dozor, Staffcop) - анализируют исходящий трафик и блокируют передачу конфиденциальных файлов.
• SIEM (MaxPatrol SIEM, Kaspersky KUMA) - собирают логи со всей инфраструктуры и находят связи между событиями. Как это устроено на практике, разбирали отдельно: мониторинг безопасности серверов, SIEM и IDS.
• EDR и XDR - следующий уровень после антивируса: определяют атаку по поведению, а не по сигнатуре известного вредоноса.
• Межсетевые экраны и WAF - фильтрация трафика на периметре и защита веб-приложений. Что делает файрвол и чего не делает - в отдельном разборе.

Криптографические

Криптография защищает не доступ к данным, а сами данные: при компрометации хранилища зашифрованная информация остаётся бесполезной без ключа.

При передаче. TLS 1.3 для веб-трафика, IPsec или WireGuard для соединения площадок, SSH для администрирования. Версии ниже TLS 1.2 отключены в актуальных операционных системах и браузерах - использовать их нельзя.

При хранении. Полнодисковое шифрование (BitLocker, LUKS), шифрование на уровне базы данных, шифрование резервных копий. Для соответствия российским требованиям применяются сертифицированные СКЗИ: КриптоПро CSP, ViPNet, «Континент».

Электронная подпись. Квалифицированная электронная подпись (КЭП) равна собственноручной по юридической силе, применяется в электронном документообороте, госзакупках и отчётности. Ключи хранятся на защищённых токенах (Рутокен, JaCarta).

Порядок внедрения

Набор средств бесполезен, если внедрять его вразнобой. Разумная последовательность такая:

1. Инвентаризация и классификация. Составьте реестр информационных активов и присвойте категории по ценности и конфиденциальности. Пока непонятно, что где лежит, защищать нечего.
2. Сегментация сети. Изолируйте зоны обработки ПДн, финансовых данных и общего доступа через VLAN и правила межсетевого экрана.
3. Контроль доступа. Ролевая модель и принцип минимальных привилегий. Привилегированные учётные записи - под PAM-систему.
4. Мониторинг. SIEM для связывания событий, анализ сетевого трафика для обнаружения перемещения злоумышленника внутри сети.
5. Резервное копирование по правилу 3-2-1: три копии, два типа носителей, одна вне площадки. Про подбор оборудования - как выбрать сервер для бэкапов, и там же про серверы резервного копирования в каталоге. И проверяйте восстановление: копия, из которой ни разу не разворачивали данные, - это надежда, а не резервная копия.

Если нужно оценить, насколько инфраструктура готова к проверке, у нас есть отдельный материал: как подготовить серверную инфраструктуру к ИБ-аудиту.

Уровни защищённости и классы, по которым ФСТЭК требует подбирать меры, - тема соседней статьи: классификация обеспечения информационной безопасности.

SOC и автоматизация реагирования

SOC (Security Operations Center) - команда, которая круглосуточно следит за инфраструктурой, выявляет инциденты и координирует реагирование. Три модели построения:

• Внутренний - собственный штат аналитиков и своя платформа. Полный контроль, но дорого: содержание команды и лицензий измеряется десятками миллионов рублей в год.
• Гибридный - первую линию мониторинга отдают провайдеру, разбор сложных инцидентов остаётся внутри.
• Как услуга - полностью на стороне подрядчика. Обычный выбор для компаний, где своя команда экономически не оправдана.

Ядро SOC - связка SIEM и SOAR. SIEM собирает и сопоставляет события, SOAR автоматизирует реагирование по заранее написанным сценариям.

IRP (Incident Response Platform) фиксирует инцидент, запускает сценарий, координирует команду и хранит хронологию для разбора. SOAR - его развитие: помимо ведения заявки платформа сама выполняет действия - изолирует заражённый компьютер, блокирует адрес на межсетевом экране, подтягивает данные об угрозе из внешних источников. Аналитику остаётся подтвердить решение.

Как это выглядит: SIEM видит перебор паролей по RDP, SOAR блокирует адрес источника, отключает скомпрометированную учётную запись в домене, заводит заявку и уведомляет дежурного. Время реакции - секунды вместо минут.

На российском рынке это R-Vision, Security Vision, Innostage.

Многофакторная аутентификация

MFA - когда одного пароля для входа мало и нужен второй фактор из другой категории: то, что знаешь (пароль), то, что имеешь (токен, телефон), то, чем являешься (биометрия).

Смысл в том, что скомпрометированные учётные данные остаются одной из основных причин утечек, а второй фактор блокирует вход, даже когда логин и пароль уже у злоумышленника.

Типы второго фактора по убыванию надёжности:

Адаптивная аутентификация смотрит на контекст входа - устройство, географию, время. Привычная картина - достаточно пароля; аномалия - запрашивается второй фактор.

Угрозы, от которых всё это защищает

Внешние:

• Шифровальщики - остаются главной угрозой для бизнеса: простой измеряется неделями, а восстановление без рабочих бэкапов часто невозможно.
• Фишинг и социальная инженерия - самая частая точка входа в целевых атаках. Адресное письмо конкретному сотруднику проходит мимо спам-фильтров.
• Эксплуатация уязвимостей - непропатченные сервисы на периметре: почтовые серверы, VPN-шлюзы, открытый наружу RDP. Промежуток между публикацией уязвимости и появлением рабочего эксплойта сократился до нескольких дней.
• Атаки через подрядчика - компрометация доверенного поставщика услуг или обновления программы.

Внутренние:

• Инсайдер - сотрудник с законным доступом копирует базу клиентов. DLP помогает, если настроена под реальные сценарии, а не «из коробки».
• Человеческий фактор - файл не тому адресату, потерянный ноутбук, слабые пароли.
• Теневые ИТ - личные облака и мессенджеры в обход корпоративных правил.

Задачи специалиста по ИБ

Инженер ИБ - не «человек, который ставит антивирус». В зону ответственности входят:

• Аудит и оценка рисков - анализ угроз, тесты на проникновение, аудит настроек.
• Проектирование архитектуры - сегментация, выбор и внедрение средств, разработка политик.
• Мониторинг и реагирование - работа в SOC, разбор инцидентов, расследование после атак.
• Соответствие требованиям - подготовка к проверкам ФСТЭК, ФСБ и Банка России.
• Обучение персонала - программы повышения осведомлённости, тестирование на устойчивость к фишингу.

Зрелый подход отличается постановкой вопроса. Незрелый звучит как «сделайте так, чтобы нас не взломали». Зрелый - «когда нас взломают, за какое время мы это заметим и насколько быстро восстановимся».

Частые вопросы

Что такое СЗИ простыми словами?

Средство защиты информации - любая программа, устройство или регламент, которые закрывают канал утечки данных или сигнализируют о попытке несанкционированного доступа. Антивирус, межсетевой экран, токен и политика доступа - всё это СЗИ.

Чем СЗИ отличается от СКЗИ?

СКЗИ - средство криптографической защиты информации, частный случай СЗИ. Работает через шифрование и электронную подпись, и для соответствия российским требованиям должно быть сертифицированным.

Какие бывают виды защиты информации?

По типу средств - программные, аппаратные, комплексные и организационные. По зависимости от человека - технические (формальные) и нетехнические (неформальные). По направлению - правовая, организационная, техническая, криптографическая и физическая защита.

Кто штрафует за утечку персональных данных?

Роскомнадзор - он проводит проверки и составляет протоколы. ФСТЭК занимается лицензированием, сертификацией средств защиты и требованиями к государственным системам и объектам КИИ.

С чего начать защиту информации в компании?

С инвентаризации: составить реестр данных и понять, что где хранится и насколько это критично. Дальше - разграничение доступа и резервное копирование. Это самые дешёвые меры с наибольшим эффектом.

Обязательно ли покупать сертифицированные средства защиты?

Зависит от того, что защищаете. Для государственных информационных систем, объектов КИИ и ряда случаев обработки персональных данных сертификация обязательна. Для коммерческой тайны компания вправе выбирать средства сама.

По теме: как организовать защиту данных, как защитить ИТ-инфраструктуру от угроз изнутри.