Что защищает Организация
Информационная безопасность и работа с корпоративными данными в Организации
Организация ежедневно создаёт и обрабатывает большой объём данных. Каждый вид данных требует защиты, потому что его утрата, искажение или утечка могут повлиять на результаты работы, репутацию и обязательства перед заказчиками.
Основа деятельности Испытательного центра. Ошибка или утечка результатов может привести к пересмотру заключений, потере доверия заказчиков и финансовым последствиям.
Доверительная информация, переданная заказчиком. Её разглашение может нарушить договорные обязательства и нанести репутационный ущерб.
ФИО, паспортные данные, зарплата, кадровая информация. Утечка ПДн — нарушение закона с административной ответственностью.
Договоры, счета, расчёты. Утрата или искажение финансовых данных ведёт к ошибкам в отчётности и потерям.
Ключи доступа к системам. Компрометация пароля — прямой путь к несанкционированному доступу ко всем данным работника.
Информация о серверах, сетях, настройках. Раскрытие этих данных упрощает злоумышленникам атаку на системы Организации.
Данные редко относятся только к одной категории. Один и тот же документ может быть одновременно финансовым, кадровым, содержать ПДн и результаты испытаний. Это означает, что защита должна учитывать все аспекты.
Для заказчика — подтверждение результата испытания. Для лаборатории — прослеживаемость процесса. Для службы качества — соответствие требованиям. Для ФЭО — основание для оплаты.
Для прослеживаемости лабораторных процессов, валидации результатов, аудитов и подтверждения компетентности Организации.
Персональные и кадровые данные работников, расчёт зарплаты, отпусков, больничных. Одновременная защита ПДн и финансовой информации.
Финансовые и учётные данные организации. Одновременно — информация о контрагентах, договорах и расчётах.
Подтверждение проведённых инструктажей. Для отдела персонала — кадровые данные. Для службы качества — соответствие требованиям охраны труда.
Защита данных — это не отдельная задача ИТ-подразделения, а часть повседневной работы каждого работника. Соблюдение правил работы с корпоративными системами — основа информационной безопасности Организации.
Информационная безопасность — это система правил и привычек, которые каждый работник применяет в ежедневной работе: где хранить документ, кому можно отправить, как оформить доступ, что делать при ошибке.
«ИБ — это забота ОАиЦ, антивирусы и пароли. Моя работа к этому не относится.» — такое отношение приводит к ошибкам, утечкам и инцидентам.
Каждое подразделение работает со своими данными и системами. Понимание того, какие данные защищает ваше подразделение, помогает выстроить правильные рабочие привычки.
Организационно-распорядительные документы, приказы, распоряжения, корреспонденция руководства.
Документация СМК, протоколы аудитов, результаты внутренних проверок, претензии и рекламации.
Финансовые документы, договоры, счета, расчёты, первичная документация, данные в 1С: Бухгалтерия.
ИТ-инфраструктура, учётные записи, доступы, FileServer, FileServer, защита систем и данных от технических угроз.
Кадровые данные работников, ПДн, данные в 1С: ЗУП, инструктажи, обучение.
Результаты испытаний, протоколы, данные об образцах, LIMS LabWare, сведения о стандартных образцах.
Закупки, поставки, заявки, документы поставщиков, данные в 1С: Документооборот.
Лабораторные данные, журналы, результаты измерений, данные приборов и оборудования.
Данные не живут в одной системе — они перемещаются между ними. Защита должна обеспечиваться на каждом этапе: от получения заявки до отправки протокола заказчику и хранения документов.
Многие работники считают, что защищать нужно только секретные данные. Но утечка даже «несекретного» документа — например, протокола или заявки — может нанести ущерб заказчику и Организации.
«Отправлю черновик через личную почту — один раз не страшно.» Каждый «один раз» создаёт риск. Чем чаще правила нарушаются, тем выше вероятность инцидента.
ОАиЦ обеспечивает техническую защиту, но не может контролировать каждое действие работника. Безопасность данных зависит от ежедневных решений каждого работника.
Каждый рабочий документ должен храниться в утверждённой системе. Каждая передача данных — через корпоративный канал. Каждое действие с данными — осознанным и обоснованным.
По всем вопросам информационной безопасности, доступа к системам и инцидентам обращайтесь в Отдел автоматизации и связи:
ОАиЦ — это Отдел автоматизации и связи. При любом инциденте, подозрении или вопросе — обращайтесь. Лучше задать вопрос, чем допустить ошибку.
В модуле 2 мы подробно разберём корпоративные системы Организации: Битрикс24, 1С, LIMS LabWare, FileServer — и какие данные в них защищаются.