Мы живем в мире, где данные стали основой всего: от работы государственных сервисов до бизнес-процессов в компаниях. Ежедневно автоматизированные системы обрабатывают терабайты информации: персональные данные, финансовые операции и технологические процессы. Но чем больше данных и автоматизации, тем выше риски. 

Сбой или утечка в одной системе может остановить производство, нарушить работу госуслуг или обернуться крупными потерями для бизнеса. По этим причинам защита данных в автоматизированных информационных системах (АИС) — не просто техническая мера, а необходимое условие стабильной работы любой организации.

Привет! Я Антон, инженер по информационной безопасности в Selectel. В тексте расскажу, как устроены автоматизированные системы, каким угрозам подвержены и какие меры действительно помогают защитить данные.

Если говорить просто, информационная система (ИС) — это совокупность программ, устройств и процессов, которые работают с данными: хранят, обрабатывают, передают и защищают их. Пример — база данных или учетная программа.

Автоматизированная система (АИС) — это разновидность ИС, где операции выполняются с помощью специализированного ПО, серверов и другого оборудования. Мы взаимодействуем с ними ежедневно — от банковских приложений до госуслуг. Именно поэтому так важно понимать, как такие системы устроены и как обеспечить их безопасность.

Нормативно-правовое регулирование 

В России информационная безопасность регулируется несколькими столпами: федеральными законами, указами президента, постановлениями правительства и приказами профильных служб. Эти документы задают правила, по которым инженеры и аудиторы строят устойчивые системы защиты. Рассмотрим основные нормативные акты. 

149-ФЗ «Об информации, информационных технологиях и защите информации» — основополагающий закон, который определяет принципы обращения с информацией и общие требования по ее защите. Регулирует права и обязанности владельцев информационных систем, а также вводит основные категории данных.

152-ФЗ «О персональных данных» — детализирует требования к обработке персональных данных граждан, включая сбор, хранение, обработку, передачу и уничтожение. Обязывает организации внедрять защитные меры, назначать ответственных лиц и вести логирование действий с персональными данными.

187-ФЗ «О безопасности критической информационной инфраструктуры РФ» — вводит особые требования для организаций, от которых зависит функционирование государственных и общественно важных систем: энергетики, банков, транспорта, здравоохранения и т. д. Требует создавать надежные системы защиты и уведомлять государственные органы о киберинцидентах.

Постановление Правительства № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» — конкретизирует 152-ФЗ, вводя уровни защищенности и перечни мер для ИСПДн.

Приказ ФСТЭК России № 21 — устанавливает состав и содержание организационных и технических мер по защите персональных данных.

Указ Президента № 250 «О дополнительных мерах по обеспечению информационной безопасности РФ» — задает стратегические ориентиры по обеспечению информационной безопасности и формирует курс на развитие нормативной базы.

Если вы создаете, используете или проверяете (проводите аудит) АИС, полезно разбираться в этих документах. Они определяют, какие меры защиты нужно реализовать и как подтвердить соответствие требованиям законодательства.

Security Center

Рассказываем о лучших практиках и средствах ИБ, требованиях и изменениях в законодательстве.

Исследовать →

Классификация угроз

Автоматизированные системы всегда находятся в зоне риска. Чтобы выстроить эффективную защиту, важно понимать, какие бывают угрозы. Разберем признаки, по которым их делят чаще всего.

По происхождению

• Естественные (объективные) — природные катаклизмы, которые могут вывести из строя оборудование или даже здание, а вместе с тем и информационную систему.

• Искусственные (субъективные) — угрозы, вызванные действиями человека. Это могут быть как хакерские атаки, так и случайно пролитый кофе на ноутбук.

По цели воздействия

• На каналы связи — перехват или блокировка трафика.

• На программное обеспечение — сбой, вредоносная модификация, удаление данных.

• На оборудование — выведение из строя серверов или рабочих станций.

По способу воздействия

• Активные угрозы — изменение состояния системы: подмена, повреждение или удаление данных.

• Пассивная угроза —  скрытое наблюдение и сбор информации, например перехват трафика или анализ метаданных.

По нарушаемому свойству безопасности

• Конфиденциальность — несанкционированный доступ к информации.

• Целостность — искажение или удаление данных.

• Доступность — невозможность получить доступ к системе или информации.

По масштабу воздействия.

• Целевые — направлены на конкретную систему или организацию.

• Глобальные — затрагивают множество систем сразу.

Угроза может относиться сразу к нескольким категориям. Например, компьютерный вирус — это искусственная, активная угроза, которая может выполнять большой спектр вредоносных функций.

Средства и методы обеспечения безопасности

Для защиты АИС используют различные инструменты и подходы. Глобально их делят на несколько групп: физические, организационные, технические и криптографические. Они работают совместно, формируя многоуровневую систему защиты. Если АИС будет использовать только часть мер, это существенно отразится на ее безопасности.

Принципы построения защиты

При проектировании защиты АИС важно соблюдать базовые принципы защиты. Они делают систему устойчивой к сбоям и атакам и обеспечивают соответствие требованиям законодательства.

Комплексность. Защита должна быть всесторонней — сочетать технические, правовые и организационные меры. Например, чтобы выполнить технические меры, можно установить межсетевые экраны, антивирусы, DLP и т. д. Правовые меры соблюдаются законами, а создание инструкций для сотрудников закроет часть организационных вопросов.

Системность. Меры должны рассматриваться не по отдельности, а как части единой архитектуры безопасности. Защита сети, приложений и данных должна быть взаимосвязана.

Многоуровневость (эшелонированная оборона). АИС должна быть защищена на нескольких уровнях: 

• физическом (СКУД, охрана, видеонаблюдение);

• сетевом (iptables, межсетевые экраны);

• программном (антивирусы, IDS/IPS);

• криптографическом (СКЗИ, криптошлюзы).

Такой подход минимизирует вероятность успешной атаки и повышает надежность системы.

Гибкость. Система должна адаптироваться к новым угрозам. Важно своевременно обновлять ПО, устанавливать патчи, актуализировать базы антивирусов и сигнатуры IDS.

Резервирование и отказоустойчивость. Критически важные узлы (серверы, коммутаторы, МЭ) должны дублироваться или работать в кластере. Данные — регулярно резервироваться и тестироваться на восстановление.

Неотвратимость ответственности. Все действия в системе должны логироваться в журналах событий с привязкой к конкретным пользователям. Это позволяет отследить инциденты и повышает дисциплину сотрудников.

Соблюдение этих принципов создает гибкую и надежную систему безопасности. Даже при атаке или сбое АИС продолжит работать и обеспечит сохранность данных.

Архитектурные подходы

Архитектура — ключевой элемент, от которого зависит устойчивость, управляемость и защищенность автоматизированной системы. Ниже — основные подходы к построению безопасной архитектуры.

Централизованный контроль и мониторинг

Все события системы собираются в одном месте и анализируются (желательно с резервным хранилищем). Журналы событий (логи) позволяют специалистам и системам мониторинга быстро обнаруживать сбои и признаки атак. Настройте алерты на критические события — это поможет оперативно реагировать на инциденты, не дожидаясь последствий.

Структурированное построение

Система делится на слои — физический, сетевой, логический, прикладной. На каждом уровне применяются свои защитные механизмы.
Такое разнесение ограничивает распространение угроз: даже если злоумышленник получит доступ к одному уровню, он не сможет напрямую атаковать другие.

Зональная организация

Инфраструктуру делят на зоны с разным уровнем доверия:

• внешняя (интернет);

• DMZ (демилитаризованная зона для публичных сервисов);

• внутренняя (корпоративная сеть и критические данные).

При таком разделении компрометация внешней зоны не дает прямого доступа к внутренним ресурсам.

Разделение полномочий и потоков информации

Применяйте принцип минимальных привилегий: пользователи и приложения получают только те права, которые нужны для работы. Например, разработчик не видит зарплатные ведомости, а бухгалтер — исходный код приложений. Это снижает риск утечек и ошибок, а также помогает поддерживать дисциплину доступа.

Практические аспекты защиты АИС

Практическая реализация защиты АИС требует комплексного подхода, который включает организационные и технические мероприятия. Несмотря на то, что нормативная база и архитектурные решения задают основу для построения безопасной ИС, именно практические аспекты определяют эффективность защиты в реальных условиях.

Эти шаги повышают готовность системы к угрозам, делают коллег более недоверчивыми внимательными и подготовленными, а также помогают быстрее восстанавливать работу после сбоев и атак.

Процедура оценки эффективности

Оценка эффективности защиты подтверждает, что система действительно обеспечивает сохранность данных при обработке, хранении и передаче. Она проводится на регулярной основе и включает несколько этапов.

Результаты оценки оформляются в отчет, где фиксируются выявленные отклонения и рекомендации по их устранению. На основании этих данных корректируются политики, усиливаются меры защиты и обновляются планы реагирования.

Заключение

Защита данных в автоматизированных ИС — это не разовая настройка, а постоянный процесс. Надежная система безопасности строится на трех ключевых опорах:

• архитектура — продуманная структура и разграничение уровней доверия;

• организация — четкое распределение ролей, политики и обучение сотрудников;

• контроль — мониторинг, аудит и регулярное тестирование.

Следуя этим принципам, можно обеспечить сохранность конфиденциальности, целостности и доступности данных даже в условиях кибератак или сбоев инфраструктуры.