Информационная безопасность

Информационная безопасность — это совокупность мер по защите данных от несанкционированного доступа, изменений, уничтожения или потери. Защита обеспечивается с помощью специальных инструментов и подходов.

В основе информационной безопасности лежит так называемая CIA-триада — три принципа, которые определяют, как данные должны быть защищены. К ним относятся конфиденциальность (confidentiality), целостность (integrity) и доступность (availability).

Конфиденциальность гарантирует, что данные доступны только тем, кому они предназначены. Это как замок от входной двери: только у жильцов есть ключ, и никто другой не может войти. Конфиденциальность защищает личные данные, такие как пароли или банковские реквизиты, и корпоративные секреты от чужих глаз. Например, в мессенджерах с шифрованием, таких как Telegram, сообщения видны только отправителю и получателю.

Целостность означает, что данные остаются точными и не искажаются без разрешения владельца. Целостность защищает документы от подделки, транзакции — от изменения, файлы — от повреждения. Так, цифровые подписи в банковских системах подтверждают, что перевод не был изменён.

Доступность гарантирует, что тот, кому нужна информация, её получит. Сотрудник пограничной службы должен иметь доступ к системе проверки личности путешественника, а СМС-рассылка МЧС должна работать без сбоев, чтобы вовремя предупреждать о пожарах или ураганах.

Злоумышленники используют вирусы, трояны и другое вредоносное ПО, чтобы проникнуть в систему и получить доступ к персональным данным. В некоторых случая хакеры просто шифруют информацию на дисках и требуют выкуп. Например, по такой схеме работал вирус WannaCry. Он шифровал данные и вынуждал жертв переводить деньги за разблокировку.

Внутренние угрозы возникают из-за неосторожных действий сотрудников. Например, работник может оставить рабочий ноутбук без пароля, потерять флешку с паролями или вовсе намеренно передать коммерческую тайну конкурентам.

Риск возрастает из-за отсутствия контроля или недостаточного обучения персонала. Даже самые надёжные системы уязвимы, если сотрудник не понимает базовых правил безопасности или действует против интересов компании. Из-за этого внутренние угрозы сложнее предотвращать.

• Антивирусы и файрволы

  Антивирусы — это базовый инструмент защиты от вредоносного ПО. Они сканируют устройство, находят вирусы и удаляют их, предотвращая кражу данных или повреждение системы.

  Помимо антивирусов, следует использовать файрволы — программные фильтры, которые проверяют каждый входящий пакет данных. Если компьютер подключится к сомнительной сети, то система сразу же разорвёт соединение.

• Шифрование данных

  Шифрование превращает данные в секретный код, который нельзя прочитать без ключа. Если даже хакер сможет украсть информацию, у него не получится её расшифровать.

  Такой подход часто используют в мессенджерах и почтовых клиентах. Если злоумышленник сможет перехватить сообщение, то прочитать его он не сможет.

• Многофакторная аутентификация

  Аутентификация — это процесс подтверждения личности пользователя с помощью пароля. Однако пароля не всегда достаточно: хакеры могут его украсть или перехватить. Для большей безопасности используют многофакторную аутентификацию — это когда помимо пароля нужно ввести дополнительный одноразовый код, например, из СМС-сообщения.

  Если злоумышленник узнает пароль, то он всё равно не сможет войти без одноразового кода. Перехватывать такие коды сложно, что повышает общий уровень безопасности.

• Безопасность Wi-Fi и сетей
  
  Общественные сети Wi-Fi часто представляют угрозу, так как данные в них можно перехватить с минимальными усилиями. Это открывает возможность для кражи паролей, банковских данных и другой личной информации. Чтобы снизить риски, для домашнего Wi-Fi важно использовать сложные и уникальные пароли.

• 152-ФЗ «О персональных данных» — главный российский закон по защите личной информации. Он требует шифровать персональные данные и сообщать об утечках.
• 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» — описывает требования к безопасности банков и энергетики.

Например, если вы решите запустить интернет-магазин, то вам надо будет соблюдать эти законы: хранить данные клиентов на территории России, шифровать всю информацию и при утечке сразу же уведомлять пользователей.