Теоретическая база знаний
Техническая защита информации не может проектироваться в отрыве от правовой классификации данных. Технические меры без правовой основы не имеют юридической силы, а правовые режимы без технической реализации не обеспечивают реальной защиты конфиденциальной информации.
Методы технической защиты информации ограниченного доступа
Защита конфиденциальной информации реализуется через несколько классов технических мер:
| Объект защиты | Вектор угрозы | Технический метод |
|---|
| Каналы передачи данных | Перехват трафика | VPN, ГОСТ-шифрование |
| Рабочие станции | Несанкционированный доступ | EDR, СДЗ, контроль целостности |
| Периметр сети | Внешние вторжения | NGFW, IDS/IPS, сегментация |
| Пользователи | Компрометация учётных данных | PAM, MFA, системы контроля доступа |
| Документы и файлы | Утечка, копирование | DLP, IRM, защищённый документооборот |
Шифрование каналов связи через VPN и криптографию
Шифрование каналов связи закрывает угрозу перехвата трафика на промежуточных узлах. Для организаций с регуляторными требованиями обязательно применение ГОСТ VPN с сертификатом ФСБ. Решения: ViPNet Coordinator, Континент 4, КриптоПро NGFW – все реализуют алгоритмы ГОСТ 34.12-2018 и применимы в ГИС, ИСПДн УЗ1–УЗ2 и объектах КИИ. Конфиденциальность данных при передаче зависит не только от алгоритма, но и от корректного управления ключевыми документами: их генерации, хранения и уничтожения по регламенту.
Защита от утечек данных (DLP) и контроль доступа
Защита от утечек данных реализуется через DLP-системы, контролирующие все каналы передачи: почту, веб, USB, принтеры, облачные хранилища. Архитектура включает Network DLP (анализ периметрального трафика), Endpoint DLP (агент на рабочей станции) и модуль Discovery (поиск конфиденциальных данных в хранилищах). Эффективность DLP определяется качеством настройки политик: система «из коробки» генерирует тысячи ложных срабатываний и требует итеративной настройки.
Коммерческая тайна как правовой режим требует параллельного оформления: перечня сведений, соглашений с сотрудниками, маркировки документов. Без этого DLP не обеспечивает юридической защиты при судебных разбирательствах. Для привилегированного доступа применяются PAM-системы: фиксация сессий администраторов, just-in-time доступ, ротация паролей сервисных учётных записей.
Разработка регламентов информационной безопасности для бизнеса
Разработка политик информационной безопасности – обязательный элемент системы защиты. Без формализованных регламентов технические меры теряют управляемость: сотрудники не знают правил работы с конфиденциальными данными, администраторы действуют по собственному усмотрению, а аудитор не может верифицировать соответствие.
Минимальный состав регламентной базы для организации, обрабатывающей конфиденциальность данных:
- Политика информационной безопасности (верхнеуровневый документ)
- Регламент управления доступом и парольная политика
- Регламент работы с конфиденциальными данными и носителями
- Инструкция по реагированию на инциденты ИБ
- Регламент резервного копирования и восстановления
Защита информации на предприятии через регламенты работает только при условии регулярного обучения персонала и контроля исполнения. Документ, с которым сотрудник ознакомился под подпись и забыл – не работающий инструмент защиты.
Способы защиты конфиденциальной информации эффективны только в комплексе: шифрование каналов, DLP, контроль доступа и формализованные регламенты работают как единая система. Выбор каждого инструмента должен быть обоснован моделью угроз и требованиями применимых нормативных документов. Защита от кибератак и внутренних угроз не достигается покупкой отдельного продукта – она проектируется как архитектура.
Реализация требований приказа ФСБ № 117 (криптозащита ГИС)
Приказ ФСБ России № 117 от 18.03.2025 (действует с 06.04.2025, ранее — № 524) устанавливает требования к защите информации в ГИС с использованием шифровальных (криптографических) средств. Ключевые требования:
- Класс СКЗИ определяется по классу защищённости ГИС и модели угроз — по таблице приложения к приказу (чем выше класс ГИС, тем выше требуемый класс СКЗИ)
- Все СКЗИ учитываются в журнале поэкземплярного учёта
- Генерация ключей – только сертифицированными средствами, уничтожение – по акту
- Операторы СКЗИ проходят специальную подготовку
Несоответствие класса СКЗИ классу ГИС выявляется при аттестационных испытаниях и является основанием для отказа в выдаче аттестата.
«Кредо-С» – системный интегратор в Москве, реализующий проекты по технической защите информации любой сложности. Компания располагает лицензиями на работу с криптографическими средствами и конфиденциальной информацией, выполняет ИТ-решения для коммерческих организаций и госсектора.
Обеспечьте сохранность коммерческой тайны, внедрив комплексные юридические и технические меры в рамках нашей услуги организационной защиты.
