Защита данных - Форум по вопросам информационной безопасности

КАк можно,кроме зарплаты,повлиять на человека,чтобы он не слил информацию?Какие орг.меры применяются в организациях,чтобы и помочь человеку с его работой,тем самым не беспокоясь за информацию при работе с флэш-носителями?

Спасибо за ответы :)

> ...необходимо поддерживать работоспособность продукции (изделий) за забором, как - то: обновление ПО, съем параметров и т.д. И как вы "накатите" обновление или снимите параметры с вашим ноутом без флехи?

Я имел в виду, что при постановке "человек ездит с флешкой" задача решения не имеет. Сочетание "ноут плюс средства разработки на нем плюс DLP на нем плюс оргмеры" могут эту пролему решить.

На практике сталкивался с подобной ситуацией. В этом случае человеку выдавался разъездной ноут, единственое средств связи которого с внешним миром - VPN до офиса и почта через этот VPN. В этом случае вся передача данных контролировалась корпоративными решениями, при этом оставались все необходимые для расследования следы передачи данных.

Если рассматривать техническую сторону вопроса, то схема "читать, но не копировать" сама по себе неосуществима: что мешает (по крайней мере, чисто теоретически) перехватывать интересующую информацию из оперативной памяти?
Тут либо полный запрет, либо организационные меры с аудитом вывода защищаемой информации за пределы информационной системы, чтобы знать кто, куда, что и в каком объеме пытается пронести. За пределами организации остается надеяться только на честь и совесть доверенных сотрудников.
По поводу мер воздействия: либо мотивация сотрудников из серии "Твоя компания - твоя семья, а семью не предают", либо тоталитаризм со всеми вытекающими карательными мерами. Лучше всего подбирать меры воздействия индивидуально, но большие предприятия не так часто могут позволить себе подобные психологические исследования.

> что мешает (по крайней мере, чисто теоретически) перехватывать интересующую информацию из оперативной памяти

Если без деталей - отсутствие у обычного пользователя необходимых для этого привилегий. Т.е. воппрос только в грамотной настройке.

А вот организационная составляющая аудита выводимой наружу информации - дейцствительно очень сложная проблема, и я еще не встречал организации. в которых она была бы решена.

> Если без деталей - отсутствие у обычного пользователя необходимых для этого привилегий. Т.е. воппрос только в грамотной настройке.

Здесь я говорил исключительно о сложности ситуации, когда информация ограниченного распространения выходит за пределы информационной системы. С привилегиями пользователей на местах естественно все проще будет.

> А вот организационная составляющая аудита выводимой наружу информации - дейцствительно очень сложная проблема, и я еще не встречал организации. в которых она была бы решена.

Согласен, одними организационными мерами не обойтись - DLP в помощь.