Принято выделять несколько базовых принципов, без которых невозможна реализация эффективной и полноценной системы информационной безопасности.
- Необходимая стойкость. Данный принцип кибербезопасности основывается на том, что киберпреступники и иные третьи лица не должны иметь возможности просто проникать во внутреннюю сеть компании. К примеру, необходимо обеспечить, чтобы хакер подбирал пароль максимально длительное время или использовал максимальное количество вредоносного ПО для успешного получения доступа.
- Минимальное количество похожих процедур. Система информационной безопасности не должна иметь аналогичных для нескольких пользователей процедур. Например, ввода одинакового пароля. Такой подход позволяет уменьшить масштабы кибератак.
- Минимальные привилегии. Согласно этому принципу, каждому пользователю должно быть выделено минимально необходимое количество прав и доступа к минимально необходимому функционалу для работы, чтобы она выполнялась в полной мере и продуктивно.
- Открытая архитектура ИС. Обеспечение информационной безопасности не должно происходит через неясность. Организация защиты информсистемы за счет усложнения, запутывания, маскировки уязвимых мест информационной системы – неправильный подход, только отсрочивающий успешную атаку киберпреступников или инсайдеров.
- Контроль каждой операции. Здесь предполагается создание условий для беспрерывного контроля состояния информационной безопасности и событий, которые влияют на кибербезопасность. Требуется обеспечения контроля доступа ко всем объектам информационной системы с возможностью блокировать нежелательные действия и восстанавливать стандартную конфигурацию ИС.
- Простота эксплуатации ИС. Чтобы свести к минимуму количество возникающих ошибок, требуется максимально упростить процесс эксплуатации информационной системы. При ее использовании пользователи допускают ненамеренные ошибки, часть из которых становится причиной невыполнения политики безопасности или уменьшения уровня кибербезопасности. С учетом повышения сложности использования ИС пропорционально растет и количество ошибок, допускаемых пользователями. При организации простого использования ИС нельзя жертвовать ее функциональностью и архитектурой.
- Запрет на всё, что не разрешено. Пользователи должны иметь доступ к определенным объектам информационной системы только при условии наличия конкретного правила, которое может быть отражено в бизнес-регламентах, конфигурации защитного ПО. За счет реализации данного принципа допускаются безопасные действия.
- Разграничение доступа. Принцип разграничения доступа в информационной безопасности подразумевает, что пользователи имеют доступ к данным и носителям согласно их полномочиям, которые не могут быть превышены. Каждый сотрудник/отдел/должностные лица должны иметь свои права на выполнение действие в корпоративной сети при взаимодействии с объектами информационной системы.
