Три принципа информационной безопасности
Доступность. Это значит, что к информации могут получить доступ те, у кого есть на это право. Например, пользователь может зайти в свой аккаунт и увидеть все, что в нем есть. Клиент может перейти в каталог и посмотреть на товары. Сотрудник может зайти во внутреннюю базу данных для его уровня доступа. А если на систему производится атака и она перестает работать, доступность падает порой до полного отказа.
Конфиденциальность. Второй принцип — конфиденциальность. Он означает, что информация должна быть защищена от людей, не имеющих права ее просматривать. То есть в тот же аккаунт пользователя не сможет войти чужой человек. Без регистрации нельзя комментировать что-то на сайте, без личного кабинета — оплатить заказ. Человек, который не работает в компании, не может зайти в ее внутреннюю сеть и посмотреть там на конфиденциальные данные. Если систему взламывают, конфиденциальность оказывается нарушенной.
Целостность. Целостность означает, что информация, о которой идет речь, не повреждена, существует в полном объеме и не изменяется без ведома ее владельцев. Комментарий не сможет отредактировать посторонний человек — только автор или иногда модератор. Сведения в базе данных меняются только по запросу тех, у кого есть доступ. А в вашем аккаунте не появятся письма, написанные от вашего лица без вашего ведома. При взломе системы целостность опять же может нарушиться: информацию могут модифицировать, повредить или стереть.
Какие данные охраняет ИБ
Персональные. Персональные данные — информация, которая связана с какими-то людьми. Это ФИО, телефон, адрес жительства, электронная почта и многое другое. По российским законам эти данные нужно охранять от несанкционированного доступа. Поэтому компании спрашивают разрешение на обработку персональных данных, если вы регистрируетесь на сайтах или заказываете какие-то услуги. Они обязаны это делать. А потом — хранить эту информацию, чтобы к ней не получили доступ чужие люди.
Истории про нарушение конфиденциальности этих данных вы наверняка слышали. Например, мошенники могут звонить клиентам банков, а их номера получают из слитых баз. Вот пример того, к чему может привести недостаточная информационная безопасность.
Тайные. Еще одна категория сведений — те, которые составляют тайну: государственную, коммерческую, профессиональную и служебную.
К гостайне относятся сведения, важные для безопасности страны, и они засекречены максимально строго. Коммерческая тайна — информация, критичная для нормальной работы компании: если она раскроется, организация может потерять деньги или конкурентное преимущество. При этом компания не имеет право засекречивать некоторые сведения: имена владельцев, условия труда и так далее.
Отдельно стоят профессиональная и служебная тайна. Профессиональная тайна — это, например, врачебная: история болезни пациента не должна раскрываться посторонним людям, как и данные о его состоянии. А еще — адвокатская, нотариальная и некоторые другие. А служебная тайна — некоторая информация, которая принадлежит определенным службам, например налоговой.
Все эти сведения нужно защищать: их утечка или повреждение способны причинить серьезные проблемы.
Общедоступные. Не удивляйтесь. Информация, которая известна всем, все еще должна быть доступной и целостной. Поэтому ее тоже следует защищать, иначе кто угодно сможет изменить цену товара в интернет-магазине и подставить этим покупателей. Или «уронить» сайт, чтобы никто не смог на него войти.