Выявление каналов НСД к И.

1. Подготовительный этап проведения комплексных специальных проверок помещений

1.1. Уточнение перечня охраняемых сведений и степени важности защищаемой информации 1.2. Определение вероятного противника и тактики его действий(модели действий вероятного противника: мотив, методы, уровень знаний, тех.оснащенность) 1.3. Разработка замысла проведения специальной проверки помещений 1.3.1. выработка целевой установки: для противодействия какому противнику следует провести поисковые мероприятия; 1.3.2. определение масштаба и места проведения поисковых мероприятий; 1.3.3. выбор времени проведения проверки; 1.3.4разработка легенды, под прикрытием которой будет проводится специальная проверка; 1.3.5выработка замысла активизации активации внедренных средств НСИ; 1.3.6.выработка вариантов действий в случае обнаружения средств НСИ. 1.4. Изучение и предварительный осмотр объектов проверки(Изучение планов помещений, схем технических коммуникаций, связи, организации охраны, доступа и других необходимых документов. Предварительный осмотр помещений) 1.5. Выбор аппаратуры для проведения проверки, распределение сил и средств(разработка перечня аппаратуры) 1.6. Разработка дополнительных мер по активизации внедренных средств НСИ на время проведения поиска. 1.7. Составление плана проведения специальной проверки, утверждение его у руководителя 1.8. Предварительный анализ радиоэлектронной обстановки обследуемых помещений(карта занятости радиоэфира в условиях обычного режима работы предприятия, база данньк идентифицированных радиосигналов, а также база данных подозрительных радиоизлучений, требующих дополнительного исследования) 1.9.Подготовка документов прикрытия в соответствии с легендой.

2. Этап непосредственного проведения комплексной специальной проверки помещений 2.1. Визуальный осмотр ограждающих конструкций, мебели и других предметов интерьера помещений 2.2. Проверка элементов строительных конструкций, мебели и других предметов с использованием специальных технических средств. Выполнение запланированных мер по активизации средств НСИ. 2.3. Проверка линий и оборудования проводных коммуникаций(силовой и осветительной электросети; офисной и абонентской телефонной сети; радиотрансляционной связи; пожарной и охранной сигнализации и др. проводных сетей) 2.4. Радиомониторинг проверяемых помещений, локализация радиоизлучающих средств негласного съёма информации 2.5. Поиск средств негласного съёма информации, внедрённых в электронные приборы. Также исследование звукопроницаемости элементов конструкций, проверка трубопроводных и других инженерно - технических коммуникаций на наличие в них акустических и виброакусшческих сигналов из проверяемого помещения. Исследование ПЭМИнов компьютеров, ргтехники и другого оборудования для выявления в них информативных сигналов.

3. Заключительный этап комплексной специальной проверки помещений 3.1. Обработка результатов исследования 3.2. Определение характеристик изъятых средств негласного съёма информации 3.3. Составление описания проведённых работ 3.4. Разработка рекомендаций по повышению защищённости помещений(составление перечня и схем выявленных технических каналов утечки информации по каждому помещению; оценка степени существующей защиты каждого помещения от негласного съема информации по выявленным каналам ее утечки; разработка дополнительных мер и способов защиты по каждому каналу и помещению; составление свободного перечня технических средств и систем, рекомендуемых к установке; разработка предложений по способам использования рекомендуемых ТС) 3.5. Составление акта проведения комплексной специальной проверки помещений 3.6. Предоставление итоговых и отчетных документов руководителю для утверждения.

1. Определение возможностей несанкционированного доступа к защищаемой информации при организации КСЗИ.

Использование того или другого канала осуществляется с помощью определенных, присущих конкретному каналу методов и технологий несанкционированного доступа.

Самым распространенным, многообразным по ме­тодам несанкционированного доступа, а потому и самым опасным каналом является установление контакта с лица­ми, имеющими или имевшими доступ к конфиденциальной информации.

В первую группу входят лица, работающие на данном предприятии, а также не работающие на нем, но имеющие доступ к конфиденциальной информации предприятия в силу служебного положения (из органов власти, вышесто­ящих, смежных предприятий и др.). Вторая группа вклю­чает уволенных или отстраненных от данной конфиден­циальной информации лиц, в том числе продолжающих работать на предприятии, а также эмигрантов и «перебеж­чиков». Эта группа наиболее опасна, поскольку нередко имеет дополнительные причины для разглашения инфор­мации (обида за увольнение, недовольство государствен­ным устройством и др.).

Контакт с этими людьми может быть установлен раз­личными путями, например на семинарах, выставках, кон­ференциях и других публичных мероприятиях. Опосредо­ванный контакт, осуществляемый через посредников (без прямого общения, диалога), устанавливается через коллег, родственников, знакомых, которые и выступают в роли посредников.

Использование данного канала может иметь целью уничтожение или искажение информации с помощью лиц, имеющих к ней доступ, или для получения конфиденци­альной информации. При этом применяются различные ме­тоды несанкционированного доступа к информации.

Наиболее распространенным методом является выведы­вание информации под благовидным предлогом. Это может осуществляться в неофициальных беседах на публичных мероприятиях и т. д. с включением в них пунктов, касающихся конфиденциальной информации.

Широко используется метод переманивания сотрудни­ков конкурирующих предприятий с тем, чтобы, помимо использования их знаний и умения, получить интересующую конфиденциальную информацию, относящуюся к прежнему месту их работы.

При использовании метода покупки конфиденциальной информации активно ищут недовольных заработком, руководством, продвижением по службе.

Следующий метод — принуждение к выдаче конфиденциальной информации шантажом, различного рода угроза! ми, применением физического насилия как к лицу, владею­щему информацией, так и к его родственникам и близким!

Можно использовать склонение к выдаче конфиденциальной информации убеждением, лестью, посулами, обманом, в том числе с использованием национальных, политических, религиозных факторов.

С ростом промышленного шпионажа все более опас­ным каналом становится вербовка и внедрение агентов. Отличие агентов от лиц, осуществляющих разовые продажи конфиденциальной информации, состоит в том, что агенты работают на постоянной основе, занимаются систематическим сбором конфиденциальной информации и могут оказывать на нее другое дестабилизирующее воздействие.

С помощью агентов разведывательные службы обычно стремятся получить доступ к такой информации, которую I нельзя добыть через другой, менее опасный канал. И хотя агентурная разведка, именуемая в уголовном праве шпио­нажем, сурово карается, она практикуется в широких масш­табах, поскольку агенты могут получать не только конфиденциальную информацию, относящуюся к их служебной деятельности, но и иную, используя различные методы не­санкционированного доступа к ней, а также оказывать дру­гое дестабилизирующее воздействие на информацию.

Третий канал — организация физического проник­новения к носителям конфиденциальной информации со­трудников разведывательных служб — используется срав­нительно редко, поскольку он связан с большим риском и требует знаний о месте хранения носителей и системе за­щиты информации, хотя уровень защиты информации в некоторых государственных и многих частных структурах дает возможность получать через этот канал необходимую информацию.

Физическое проникновение лиц, не работающих на объекте, включает два этапа: проникновение на террито­рию (в здания) охраняемого объекта и проникновение к но­сителям конфиденциальной информации.

При проникновении на территорию объекта возможно применение следующих методов:

— использование подложного, украденного или куп­ленного (в том числе и на время) пропуска;

— маскировка под другое лицо, если пропуск не выда­ется на руки;

— проход под видом внешнего обслуживающего пер­сонала;

— проезд спрятанным в автотранспорте;

— отвлечение внимания охраны для прохода незаме­ченным (путем создания чрезвычайных ситуаций, с помо­щью коллеги и т. д.);

— изоляция или уничтожение охраны (в редких, чрезвычайных обстоятельствах);

преодоление заграждающих барьеров (заборов), минуя охрану, в том числе и за счет вывода из строя техничес­ких средств охраны

Проникновение к носителям конфиденциальной информации может осуществляться путем взлома дверей хранилищ и сейфов (шкафов) или их замков, через окна, ее проникновение производится в нерабочее время, с отключением (разрушением) сигнализации, телевизионных средств наблюдения (при необходимости), или, при проникновении в рабочее время, путем прохода в комнаты исполнителей, работающих с конфиденциальными документами, в производственные и складские помещения для осмотра технологических процессов и продукции, а также в помещения, которых производится обработка информации.

Проникновение к носителям конфиденциальной формации осуществляется и во время их транспортировки: с использованием, в зависимости от вида, условий и маршрута транспортировки, соответствующих методов.

Целью проникновения является, как правило, получение конфиденциальной информации, но она может с стоять и в оказании на информацию дестабилизирую! воздействий, приводящих к ее уничтожению, искажению блокированию.

Подключение к средствам отображения, хранения, работки, воспроизведения и передачи информации, средства связи (четвертый канал несанкционированного доступа к конфиденциальной информации) может осуществляться с лицами, находящимися на территории объекта и вне него. Несанкционированное подключение, а, следовательно, и санкционированный доступ к конфиденциальной инфор­мации может производиться:

— с персонального компьютера с использованием те­лефонного набора или с несанкционированного термина­ла со взломом парольно-ключевых систем защиты или без взлома с помощью маскировки под зарегистрированного пользователя; с помощью программных и радиоэлектронных за­падных устройств;

— с помощью прямого присоединения к кабельным линиям связи, в том числе с использованием параллельных телефонных аппаратов;

— за счет электромагнитных наводок на параллельно проложенные провода или методов высокочастотного на­вязывания.

Пятый канал — прослушивание речевой конфиденци­альной информации — всегда широко использовался, его опасность увеличивается по мере появления новых техни­ческих средств прослушивания. При этом речь идет о про­слушивании не агентами, находящимися внутри помеще­ния, а лицами, расположенными вне задания, иногда на значительном расстоянии от него. Такое прослушивание чаще всего осуществляется по двум направлениям:

— подслушивание непосредственных разговоров лиц, допущенных к данной информации;

— прослушивание речевой информации, зафиксиро­ванной на носителе, с помощью подключения к средствам ее звуковоспроизведения.

Визуальный съем конфиденциальной информации (седьмой канал несанкционированного доступа к ней) мо­жет осуществляться следующими методами:

— чтением документов на рабочих местах пользо­вателей (в том числе с экранов дисплеев, с печатающих устройств) в присутствии пользователей и при их отсут­ствии;

— осмотром продукции, наблюдением за технологи­ческим процессом изготовления продукции;

просмотром информации, воспроизводимой средс­твами видеовоспроизводящей техники и телевидения;

— чтением текста, печатаемого на машинке и размно­жаемого множительными аппаратами;

— наблюдением за технологическими процессами изготовления, обработки, размножения информации;

— считыванием информации в массивах других поль­зователей, в том числе чтением остаточной информации.

Перехват электромагнитных излучений (седьмой канал) включает в себя перехват техническими средствам, как функциональных сигналов, так и особенно побочный создаваемых техническими средствами отображения, хранения, обработки, воспроизведения, передачи информации средствами связи, охранной и пожарной сигнализации системами обеспечения функционирования этих средств техническими средствами технологических процессов на которых промышленных объектов, образцами вооружение и военной техники, вспомогательными электрическими радиоэлектронными средствами (электрическими часами бытовыми магнитофонами, видеомагнитофонами, ради приемниками, телевизорами).

Методами перехвата являются поиск сигналов, выделе­ние из них сигналов, несущих конфиденциальную инфор­мацию, съем с них информации, ее обработка и анализ.

Этот канал имеет, по сравнению с другими каналами,! преимущества: большой объем и высокая достоверное™ получаемой информации, оперативность ее получение возможность съема в любое время, скрытность получения, возможность обнародования без угрозы перекрытия канала.

Методами, применяемыми при использовании восьмо­го канала — исследование выпускаемой продукции, производственных отходов и отходов процессов обработки ин­формации — могут быть:

— приобретение и разработка (расчленение, выделе­ние отдельных составных частей, элементов) выпускаемых изделий, их химический и физический анализ (обратный инжиниринг) с целью исследования конструкции, компо­нентов и других характеристик;

— сбор и изучение поломанных изделий, макетов из­делий, бракованных узлов, блоков, устройств, деталей, со­зданных на стадии опытно-конструкторских разработок, а также руды и шлаков, позволяющих определить состав материалов, а нередко и технологию изготовления продук­ции;

— сбор и прочтение черновиков и проектов конфиден­циальных документов, копировальной бумаги, красящей ленты печатающих устройств, прокладок, испорченных магнитных дискет.

Следует отметить, что эти методы возможны, как пра­вило, при нарушении требований по хранению носителей конфиденциальной информации и обращению с ними.

Использование девятого канала— изучение доступ­ных источников информации, из которых можно получить конфиденциальные сведения, — осуществляется путем:

— изучения научных публикаций, содержащихся в специализированных журналах (сборниках);

— просмотра (прослушивания) средств массовой ин­формации (газет, журналов, теле- и радиопередач);

— изучения проспектов и каталогов выставок;

— прослушивания публичных выступлений на семинарах, конференциях и других публичных мероприятиях;

— изучения формируемых специализированными ком­ическими структурами банков данных о предприятиях.

Целью изучения является не только получение прямой конфиденциальной информации, но и накопление, обоб­щение, сопоставление открытой информации, собранной из различных источников и за определенный промежуток времени, что позволяет «вывести» конфиденциальную ин­формацию. Несмотря на кажущийся парадокс (в открыть источниках закрытая информация), такой анализ даст возможность получить значительное количество конфиденциальной информации

1. Определение компонентов комплексной системы защиты информации.

Организация КСЗИ на каждом конкретном предпри­ятии зависит от параметров рассмотренных характерис­тик данного предприятия. Эти характеристики определяют цели и задачи КСЗИ, объем ее материального обеспечения, состав и структуру КСЗИ, состав технических средств за­щиты, численность и квалификацию сотрудников СЗИ т. д. Однако степень воздействия различных характеристик предприятия на организацию КСЗИ различна. Из числа наиболее влиятельных можно выделить следующие:

— характер деятельности предприятия;

— состав защищаемой информации, ее объем, спосо­бы представления и отображения;

— численный состав и структура кадров предприятия;

— техническая оснащенность предприятия;

— экономическое состояние предприятия;

— организационная структура предприятия;

— нормативно-правовое обеспечение деятельности предприятия.

В меньшей степени на организацию КСЗИ на предпри­ятии могут влиять:

— режим работы предприятия;

— технология производства и управления;

— тип и объем производства;

— местоположение и архитектурные особенности пред­приятия;

— форма собственности предприятия.

Компоненты КСЗИ со слабой защитой – должны обеспечивать защиту информации в пределах серийных средств обработки информации с использованием общедоступных организационно-правовых мер.

Компоненты со средней защитой – дополнительно к вышеуказанным мерам должны иметь системы (средства) разграничения доступа и средства регулирования (управления) защитой информации.

Компоненты сильной защиты – должны обеспечиваться комплексом средств защиты и обязательная организационная структура по защите информации (служба защиты информации).

Компоненты очень сильной защиты – компоненты должны строиться на основе типового проектирования с наличием непрерывного цикла защиты информации.

Компоненты особой защиты – данные компоненты должны реализовываться на основе индивидуального проектирования, а также реализовываться мандатный доступ к информации.

Классификационная структура типовых компонентов КСЗИ (с учетом требуемых уровней защиты)

Более светлым цветом показано то, что возможно может быть допущено, более темным цветом – то, что должно быть.

Применительно к конфиденциальной информации можно указать следующие четыре требуемых уровня защиты информации:

1. Очень высокая защита (особо конфиденциально);

2. Высокая защита (строго конфиденциально);

3. Средняя защита (конфиденциально);

4. Низкая защита (открытая информации).

Допустимые и целесообразные компоненты КСЗИ (типы систем защиты информации) для различных уровней защиты

По активности реагирования на несанкционированные действия все компоненты КСЗИ (средства защиты информации) целесообразно делить на следующие три типа:

1. Пассивные. В которых не предусматривается сигнализация о несанкционированных действиях и не предусматривается воздействие на нарушителя.

2. Полуактивные. Предусматривается сигнализация о несанкционированных действиях, но не предусматривается воздействие на нарушителя.

3. Активные. Предусматривается сигнализация о несанкционированных действиях и воздействие на нарушителя.

Светлым цветом – базовые компоненты, более темным – допустимые компоненты.

К – конфиденциально

СК – строго конфиденциально

ОС – особо конфиденциально

С - секретно

Применительно к практике потенциально не обходимые компоненты КСЗИ (средств защиты информации) целесообразно привязать к типовым объектам защиты, например, подсистеме компьютерной безопасности:

· персональный компьютер,

· групповая ЭВМ (сервер),

· вычислительный центр предприятия,

· вычислительный центр коллективного пользования,

· локальная вычислительная сеть,

· городская вычислительная сеть.

· Региональная вычислительная сеть.

· Глобальная вычислительная сеть.

Выделены базовые позиции

Ц – целесообразные

Д – допустимые

* - в особых случаях

1. Определение условий функционирования комплексной системы защиты информации.

Изучение объекта защиты является важнейшим этапом в проектировании КСЗИ. Ошибки, допущенные в ходе этой работы, могут существенно снизить эффектив­ность создаваемой системы защиты, и, наоборот, тщатель­но проведенное обследование позволит сократить затраты на внедрение и эксплуатацию системы.

Изучение объекта защиты сводится к сбору и анализу следующей информации:

1) об организации процесса функционирования объекта. В состав этих данных входят сведения, характеризующие:

— график работы объекта и его отдельных подразде­лений;

— правила и процедуры доступа на объект, в отде­льные помещения и к оборудованию персонала и посетите­лей (регулярный, случайный, ограниченный доступ);

— численность и состав сотрудников и посетителей объекта (постоянный штат, персонал, работающий по кон­тракту, клиенты);

— процедуру доступа на территорию транспортных средств.

Для получения этих данных можно применять сле­дующие способы: анкетирование сотрудников; опрос со­трудников; личное наблюдение; изучение директивных и инструктивных документов. Следует иметь в виду, что ни один из этих способов не дает объективной информации: каждый имеет свои достоинства и недостатки. Поэтому их применяют вместе, в совокупности;

2) об организации транспортных и информационных потоков. В состав этих данных входят сведения, характеризующие:

— пути и организацию транспортировки и хранения материальных ценностей на территории объекта; уровни конфиденциальности информации, пути и способы ее обработки и транспортировки (документы, те­лефонная и радиосвязь и т. п.);

3) об условиях функционирования объекта. В состав этих данных входят сведения, характеризующие:

— пространство, непосредственно прилегающее к тер­ритории объекта;

— ограждение периметра территории и проходы;

— инженерные коммуникации, подземные хранилища и сооружения на территории;

— размещение подразделений и сотрудников по отде­льным помещениям (с поэтажными планами);

— инженерные коммуникации в помещениях;

— состояние подвальных и чердачных помещений;

— размещение, конструкции и состояние входов, две­рей, окон;

— существующую систему защиты;

— состав и настроение населения, экономические фак­торы и криминогенную обстановку на прилегающей тер­ритории.

На основе результатов анализа всех перечисленных сведений должны быть определены: назначение и основ­ные функции системы защиты; основные виды возможных угроз и субъекты угроз; внешняя среда; условия функци­онирования системы защиты (наличие энергетических и других ресурсов, естественные преграды и т. п.).

Эти данные рекомендуется систематизировать в виде пояснительной записки, структурных схем и планов.

Целесообразно иметь следующие планы:

1) план территории объекта с указанием расположе­ния всех зданий и других наземных сооружений; подземных сооружений; всех коммуникаций и мест их выхода за территорию объекта; всех ограждений, в том числе по пе­риметру территории объекта, с обозначением их техничес­кого состояния на момент обследования; средств защиты (существующей системы, если она имеется);

2) поэтажные планы, где должно быть указано распо­ложение всех помещений с обозначением дверных и окон­ных проемов, внутренних и наружных (пожарных) лест­ниц, толщины материала стен и существующих средств защиты; всех коммуникаций с обозначением коммуника­ционных шкафов и других мест санкционированного до­ступа к каналам связи и жизнеобеспечения;

3) планы помещений с указанием мест размещения оборудования и других технических средств (телефонов, персональных ЭВМ, принтеров и т. д.); расположения ком­муникаций и мест размещения коммутационного обору­дования (коробки, розетки и т. п.); функционального на­значения и степени конфиденциальности получаемой и обрабатываемой информации; особенностей технологичес­кого процесса (для производственных помещений), важ­ных с точки зрения обеспечения безопасности.

На основе этих планов целесообразно подготовить структурные схемы:

— ограждения каждого помещения, указав на ней (схе­матично) все стены и другие инженерно-технические со­оружения, окружающие помещение;

— документооборота (для документов с ограничен­ным доступом), указав источник и приемники документа; его связи с другими документами; способ подготовки (руч­ной, машинный); способ транспортировки (с курьером, по телефону, по факсу, по компьютерной сети и т. п.); место хранения;

1. Разработка модели комплексной системы защиты информации.

Целями моделирования КСЗИ являются:

1. Поиск оптимальных решений по управлению КСЗИ;

2. Оценка эффективности использования различных подсистем и мероприятий по защите информации;

3. Определение потребных параметров защиты информации

4. И другие цели

Применительно к КСЗИ создаются не одна, а несколько моделей различных типов:

· Модели анализа исследуемых процессов систем и подсистем;

· Модели синтеза (построения различных систем, подсистем и мероприятий);

· Модели управления исследуемыми процессами (подсистемами) с целью поиска оптимальных управленческих решений.

При этом рассматриваются

· общие модели (в масштабе всей КСЗИ или подсистемы)

· частные модели с целью определения отдельных параметров функционирования КСЗИ (подсистемы)

В основе каждой модели лежит определенный метод моделирования:

· Аналитические методы (модели);

· Имитационные методы (модели);

· Экспертные методы (модели).

Как правило, все указанные типы методов (моделей) реализуются на основании использования различных видов математических аппаратов: теории вероятности, исследовании операций, дискретной математики, теории нечетких множеств и т.д.

Виды моделей по защите информации

На практике при моделировании как правило используется сочетание различных видов моделей.

Обобщенная модель КСЗИ

Обобщенная модель представляет собой совокупность частных моделей отдельных компонентов, входящих в КСЗИ. Данная модель позволяет обосновывать стратегические решения (стратегии) по защите информации на основе перспективных планов развития предприятия.

Структура локальной пятимерной модели доступа к информации

Основные рекомендации по использованию моделей:

1. (основная) моделями должен пользоваться только квалифицированный специалист-профессионал по защите информации;

2. Модели надо использовать не просто для получения конкретных значений показателей, а для оценки поведения этих значений в тех или других ситуациях;

3. Для оценки адекватности моделей (правильности решений) в рассматриваемых условиях необходимо привлекать квалифицированных (опытных) экспертов по защите информации;

4. Необходимо постоянно уточнять исходные данные при использовании моделей, т.к. они имеют высокую степень неопределенности в различных ситуациях.

1. Содержание работ по организации КСЗИ.

Для решения сложных проблем, требуется организационная деятельность многих людей. Решение этих задач необходимо для обеспечения корректной работы КСЗИ. Такая деятельность в искусственных формированиях (сделанных человеком) называется организационными системами (ОС). ОС эквивалентно КСЗИ.

Технологические этапы ОС (не обязательно должны быть последовательными): 1. Постановка проблемы 2. Исследование проблемы: сбор и анализ всех данных и знаний о проблеме, и факторах, влияющих на ее решение 3. Определение границ проблемного объекта, т.е. потенциальных участников решения проблемы 4. Обследование проблемного объекта. Формируется целевая программа по решению проблемы и решается вопрос о целесообразности создания ОС. 5. Выбор критерия эффективности ОС 6. Выбор границ объекта управления 7. Обследование объекта управления 8. Разработка технического задания на создание ОС. Выбор эффективного варианта построения ОС. 9. Техническое и рабочее проектирование ОС 10. Внедрение ОС.

РИС. Общая схема решения организационных проблем. Проблема à Знания à Ресурсы: 1. Постановления, приказы, планы, договоры. 2. Целевые комплексные программы 3. Организационные системы.

1. Характеристика основных стадий создания КСЗИ.

Рекомендуются следующие стадии создания системы защиты информации:

1. Предпроектная стадия, включающая предпроектное обследование объекта информатизации, разработку аналитического обоснования необходимости создания системы защиты информации и технического (частного технического) задания на ее создание;

2. Стадия проектирования (разработки проектов), включает разработку системы защиты информации в составе объекта информатизации;

3. Стадия ввода в действие системы защиты информации, включающая опытную эксплуатацию и приемо-сдаточные испытания средств защиты информации, а также аттестацию объекта информатизации на соответствующие требования безопасности информации.

Выполняемые работы на предпроектной стадии по обследованию объекта информатизации

На предпроектной стадии по обследованию объекта информатизации выполняются следующие мероприятия:

1. Установление необходимости обработки (обсуждения) конфиденциальной информации на данном объекте информатизации;

2. Определяется перечень сведений конфиденциального характера подлежащих защите;

3. Определяются (уточняются) угрозы безопасности информации и модель вероятного нарушителя применительно к конкретным условиям функционирования объекта;

4. Определяются условия расположения объекта информатизации относительно границ контролируемой зоны;

5. Определяются конфигурация и топология автоматизированной системы и систем связи в целом и их отдельных компонентов, физические, функциональные и технологические связи как внутри этих систем, так и с другими системами различного уровня и назначения;

6. Определяются технические средства и системы, предполагаемые к использованию в разработанной автоматизированной системе и в системах связи, темные и прикладные программы средств, имеющиеся на рынке и предполагаемые к разработке;

7. Определяются режимы обработки информации в автоматизированных системах в целом и в отдельных компонентах;

8. Определяется класс защищенности в автоматизированной системе;

9. Определяется степень участия персонала в обработке (обсуждении, передачи, хранении) информации, характер их взаимодействия между собой и со службой безопасности;

10. Определяются мероприятия по обеспечению конфиденциальности информации на этапе проектирования объекта информатизации.

Содержание аналитического обоснования необходимости создания системы защиты информации

По результатам предпроектного обследования разрабатывается аналитическое обоснование необходимости создания системы защиты информации.

На основе действующих нормативно-методических документов по технической защите конфиденциальной информации с учетом установленного класса защищенности автоматизированной системы задаются конкретные требования по защите информации, включаемые в техническое (частное техническое) задание на разработку системы защиты информации.

Предпроектное обследование в части касающейся определения защищаемой информации должно базироваться на документально оформленного перечня сведений конфиденциального характера составленного заказчиком объекта информатизации и утверждается руководителями организации-заказчика.

Аналитическое обоснование необходимости создания системы защиты информации должно содержать:

1. Информационную характеристику и организационную структуру объекта информатизации;

2. Характеристику комплекса основных и вспомогательных технических средств, программное обеспечение, режимов работы, технологического процесса обработки информации;

3. Возможные каналы утечки информации и перечень мероприятий по их устранению и ограничению;

4. Перечень предлагаемых к использованию сертифицированных средств защиты информации;

5. Обоснование необходимости привлечения специализированных организаций, имеющие необходимые лицензии на право проведения работ по защите информации;

6. Оценку материальных, трудовых и финансовых затрат на разработку и внедрение системы защиты информации;

7. Перечень мероприятий по обеспечению конфиденциальности информации на стадии проектирования объекта информатизации.

Аналитическое обоснование подписывается руководителем организации, проводившей предпроектное обследование, согласовывается с главным конструктором (должностным лицом обеспечивающим научно-техническое руководство создания объекта информатизации), руководителем службы безопасности и утверждается руководителями организации-заказчика.

Содержание технического задания на разработку системы защиты информации

Техническое (частное техническое) задание на разработку системы защиты информации должно содержать:

1. Обоснование разработки;

2. Исходные данные создаваемого (модернизируемого) объекта информатизации в техническом, программном, информационном и организационном аспектах;

3. Класс защищенности автоматизированных систем;

4. Ссылку на нормативно-методические документы, с учетом которых будет разрабатываться система защиты информации и приниматься в эксплуатацию объект информатизации;

5. Требования к системе защиты информации на основе нормативно-методических документов и установленного класса защищенности автоматизированной системы;

6. Перечень предполагаемых к использованию сертифицированных средств защиты информации;

7. Обоснование проведения разработок собственных средств защиты информации, невозможности или нецелесообразности использования имеющихся на рынке сертифицированных средств защиты информации;

8. Состав, содержание и сроки проведения работ по этапам разработки и внедрения;

9. Перечень подрядных организаций-исполнителей видов работ;

10. Перечень предъявляемый заказчику научно-технической продукции и документации.

Техническое (частное техническое) задание на разработку системы защиты информации подписывается разработчиком, согласованным со службой безопасности организации-заказчика, подрядными организациями и утверждается заказчиком.

В целях дифференцированного подхода к защите информации производится классификация автоматизированных систем по требованиям защищенности от несанкционированного доступа к информации;

Класс защищенности автоматизированных систем от несанкционированного доступа к информации устанавливается совместно заказчиком и разработчиком автоматизированной системы с привлечением специалистов по защите информации соответствующих требованиям действующих нормативно-методических документов, а также СТР-К и оформляется актом.

Пересмотр класса защищенности автоматизированных систем производится в обязательном порядке, если произошло изменение хотя бы одного из критериев, на основании которых он был установлен.

Содержание работ на стадии проектирования и создания объекта информатизации и системы защиты информации в его составе

На стадии проектирования и создания объекта информации и системы защиты информации в его составе на основе предъявленных требований и заданных заказчиком ограничении на финансовые, материальные, трудовые и временные ресурсы осуществляются следующими мероприятиями:

· Разработку задания и проекта на строительные, строительно-монтажные работы (реконструкцию) объекта информатизации с учетом требований технического задания на разработку системы защиты информации;

· Разработку раздела технического проекта на объект информатизации в части защиты информации;

· Строительно-монтажные работы в соответствии с проектной документацией, утвержденной заказчиком, размещением и монтажом технических средств и систем;

· Разработку организационно-технических мероприятий по защите информации в соответствии с предъявленными требованиями;

· Закупка сертифицированных образцов и серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации либо их сертификации;

· Закупка сертифицированных технических средств защиты информации программных и программно-технических средств защиты информации и их установка;

· Разработка, доработка или закупка и последующая сертификация по требованиям безопасности информации, программных средств защиты информации в случае, когда на рынке отсутствует требуемые сертифицированные программные средства;

· Организация охраны и физической защиты помещений объекта информатизации, исключая несанкционированный доступ к техническим средствам обработки, ранения и передачи информации, их хищение и нарушение работоспособности, хищение носителей информации;

· Разработка и реализация разрешительной системы доступа пользователей и эксплуатации персонала к обрабатываемой (обсуждаемой) на объекте информатизированной информации;

· Выполнение инсталляции пакета прикладных программ в комплексе с программными средствами;

· Разработка эксплуатации документации на объект информатизации и средства защиты информации, а также организационно-распорядительной документации по защите информации (приказы, инструкции и другие документы);

· Выполнение других мероприятий специфичных для конкретных объектов информатизации и направлений защиты информации.

Техническое задание на проектирование объекта информатизации оформляется отдельным документом, согласовывается с проектной организацией, службой (специалистом) безопасности организации-заказчика в части достаточности мер по технической защите информации и утверждается заказчиком.

Мероприятие по защите информации от утечки по техническим каналам относятся основным элементам проектных решений, которые включаются в соответствующие разделы проекта и разрабатываются одновременно с ними.

На стадии проектирования и создания объекта информатизации оформляются также технический (технорабочий) проект и эксплуатационная документация системы защиты информации, состоящая из следующих документов:

· Пояснительной записки с изложением решений по комплексу организационных мер и программно-техническим средствам обеспечения безопасности информации, составу средств защиты информации с указанием их соответствия требованиям ТЗ;

· Описание технического, программного информационного обеспечения и технологии обработки (передачи) информации;

· Плана организационно-технических мероприятий по подготовки объекта информатизации к внедрению средств и мер защиты информации;

· Технического паспорта объекта информатизации (формы технических паспортов на автоматизированные системы и защищенные помещения приведены в СТР-К);

· Инструкций и руководств по эксплуатации технических и программных средств защиты для пользователей, администраторов системы, а также для сотрудников службы безопасности.

На стадии ввода в действие объекта информатизации и системы защиты информации осуществляются:

· Опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации;

· Приемосдаточные испытания средств защиты информации по результатам опытной эксплуатации с оформлением приемосдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;

· Аттестация объекта информатизации по требованию безопасности информации.

На стадии ввода в действие объекта информатизации и системы защиты информации оформляются:

· Акты внедрения средств защиты информации по результатам их приемо-сдаточных испытаний;

· Протоколы аттестационных испытаний и заключение по их результатам;

· Аттестат соответствия объекта информатизации требованиям по безопасности информации (формы «аттестатов соответствия» для автоматизированных систем и защищенного помещения приведены в приложениях СТР-К).

Кроме вышеуказанной документации в организации оформляются приказы, указания и решения:

· На проектирование объекта информатизации и назначение ответственных исполнителей;

· На проведение работ по защите информации;

· О назначении лиц, ответственных за эксплуатацию объекта информатизации;

· На обработку в защищенном помещении (обсуждение) или в автоматизированной системе конфиденциальной информации.

Эксплуатация объекта информатизации осуществляется в полном соответствии с утвержденной организационно-распорядительной и эксплуатационной документацией с учетом требовании и положений СТР-К по защите речевой конфиденциальной информации и обрабатываемой в автоматизированных системах. С целью своевременного выявления и предотвращения утечки информации по техническим каналам, исключения или существенного затруднения несанкционированного доступа к ней и предотвращение специальных программно-технических воздействий, вызывающих нарушение конфиденциальности, целостности или доступности информации, в организации проводятся периодический (не реже 1 раза в год) контроль состояния защиты информации. Контроль осуществляется службой безопасности информации.

Аттестация объекта информатизации – комплекс организационно-технические мероприятий, в результате которых посредством специального документа – аттестата соответствия подтверждается, что объект соответствует требованиям стандартов и иных нормативно-технических документов по безопасности информации, утвержденных федеральным органом по сертификации и аттестации.

1. Назначение и структура технического задания на проектирование КСЗИ.

Основная цель это­го этапа — разработка и обоснование требований к струк­туре системы защиты и обеспечение совместимости и вза­имодействия всех средств. Главное на этом этапе — сбор и подготовка исходных данных, определение состава систе­мы, плана ее создания и оценка затрат. Разработка техни­ческого задания начинается после утверждения ТЭО(технико – экономическое обоснование).

Техническое задание должно содержать: 1. Обоснование разработки; 2. Исходные данные создаваемого объекта в техническом, программном, информационном и организационном аспектах; 3. Класс защищенности АС. 4. Ссылку на нормативно-методические документы, с учетом которых будет разрабатываться СЗИ 5. Требования к СЗИ 6. Перечень предполагаемых СЗИ 7. Обоснование проведения разработок собственных средств ЗИ, и обоснование почему нельзя использовать готовые сертифицированные средства ЗИ имеющиеся на рынке; 8. Состав, содержание и сроки проведения работ по этапам разработки и внедрения; 9. Перечень работ подрядных организаций 10. Перечень продукции и документации предъявляемый заказчику научно-технической продукции и документации.

Техническое (частное техническое) задание на разработку системы защиты информации подписывается разработчиком, согласованным со службой безопасности организации-заказчика, подрядными организациями и утверждается заказчиком.

В целях дифференцированного подхода к защите информации производится классификация автоматизированных систем по требованиям защищенности от несанкционированного доступа к информации;

Класс защищенности автоматизированных систем от несанкционированного доступа к информации устанавливается совместно заказчиком и разработчиком автоматизированной системы с привлечением специалистов по защите информации соответствующих требованиям действующих нормативно-методических документов, а также СТР-К и оформляется актом.

Пересмотр класса защищенности автоматизированных систем производится в обязательном порядке, если произошло изменение хотя бы одного из критериев, на основании которых он был установлен.

1. Назначение и структура технико-экономического обоснования на проектирование КСЗИ.

На этом этапе анализируется деятельность объекта, готовят­ся исходные данные для технико-экономического обосно­вания (ТЭО) и готовятся ТЭО. Главное на этом этапе — обоснование целесообразности и необходимости создания системы защиты, ориентировочный выбор защищаемых каналов, определение объемов и состава работ по созданию системы защиты, сметы и сроков их выполнения.

Технико-экономическое обоснование должно согласо­вываться со всеми организациями и службами, ответствен­ными за обеспечение безопасности, и утверждаться лицом, принимающим решения.

Структура технико-экономического обоснования. Последовательность разработки: 1. Исходные данные и условия 2. Рынок и мощность предприятия 3. Материальные факторы производства 4. Местонахождение предприятия 5. Проектно-конструкторская документация 6. Организация предприятия и накладные расходы. 7. Трудовые ресурсы. 8. Планирование сроков осуществления проекта 9. Финансово- Стратегическое и организационное. проекта.

1. Организационное построение комплексной системы защиты информации: характеристика предпроектного обследования объекта защиты.

На предпроектной стадии выполняется важнейшая ра­бота: изучается объект защиты. Ошибки, допущенные в ходе этой работы, могут существенно снизить эффектив­ность создаваемой системы защиты, и, наоборот, тщатель­но проведенное обследование позволит сократить затраты на внедрение и эксплуатацию системы.

Изучение объекта защиты сводится к сбору и анализу следующей информ ации:

1) об организации процесса функционирования объекта. В состав этих данных входят сведения, характеризующие:

— график работы объекта и его отдельных подразде­лений;

— правила и процедуры доступа на объект, в отде­льные помещения и к оборудованию персонала и посетите­лей (регулярный, случайный, ограниченный доступ);

— численность и состав сотрудников и посетителей объекта (постоянный штат, персонал, работающий по кон­тракту, клиенты);

— процедуру доступа на территорию транспортных средств.

Для получения этих данных можно применять: анкетирование сотрудников; опрос со­трудников; личное наблюдение; изучение директивных и инструктивных документов. Следует иметь в виду, что ни один из этих способов не дает объективной информации: каждый имеет свои достоинства и недостатки. Поэтому их применяют вместе, в совокупности;

2) об организации транспортных и информационных
потоков. В состав этих данных входят сведения, характе-
ризующие:

— пути и организацию транспортировки и хранения материальных ценностей на территории объекта; уровни конфиденциальности информации, пути и способы ее обработки и транспортировки (документы, те­лефонная и радиосвязь и т. п.);

3) об условиях функционирования объекта. В состав этих данных входят сведения, характеризующие:

— пространство, непосредственно прилегающее к тер­ритории объекта;

— ограждение периметра территории и проходы;

— инженерные коммуникации, подземные хранилища и сооружения на территории;

— размещение подразделений и сотрудников по отде­льным помещениям (с поэтажными планами);

— инженерные коммуникации в помещениях;

— состояние подвальных и чердачных помещений;

— размещение, конструкции и состояние входов, две­рей, окон;

— существующую систему защиты;

— состав и настроение населения, экономические фак­торы и криминогенную обстановку на прилегающей тер­ритории.

На основе результатов анализа всех перечисленных сведений должны быть определены: назначение и основ­ные функции системы защиты; основные виды возможных угроз и субъекты угроз; внешняя среда; условия функци­онирования системы защиты (наличие энергетических и других ресурсов, естественные преграды и т. п.).

Эти данные рекомендуется систематизировать в виде пояснительной записки, структурных схем и планов.

Целесообразно иметь следующие планы:

1) план территории объекта с указанием расположе­ния всех зданий и других наземных сооружений; подзем­_нЫх сооружений; всех коммуникаций и мест их выхода за территорию объекта; всех ограждений, в том числе по пе­риметру территории объекта, с обозначением их техничес­кого состояния на момент обследования; средств защиты (существующей системы, если она имеется);

2) поэтажные планы, где должно быть указано распо­ложение всех помещений с обозначением дверных и окон­ных проемов, внутренних и наружных (пожарных) лест­ниц, толщины материала стен и существующих средств защиты; всех коммуникаций с обозначением коммуника­ционных шкафов и других мест санкционированного до­ступа к каналам связи и жизнеобеспечения;

3) планы помещений с указанием мест размещения оборудования и других технических средств (телефонов, персональных ЭВМ, принтеров и т. д.); расположения ком­муникаций и мест размещения коммутационного обору­дования (коробки, розетки и т.п.); функционального на­значения и степени конфиденциальности получаемой и обрабатываемой информации; особенностей технологичес­кого процесса (для производственных помещений), важ­ных с точки зрения обеспечения безопасности.

На основе этих планов целесообразно подготовить структурные схемы:

— ограждения каждого помещения, указав на ней (схе­матично) все стены и другие инженерно-технические со­оружения, окружающие помещение. Эта схема позволит оценить возможности эшелонирования защиты, вырабо­тать рекомендации по рубежам защиты, выбрать и определить зоны безопасности и оценить «прочность» рубежей;

— документооборота (для документов с ограничен­ным доступом), указав источник и приемники документа; ^его связи с другими документами; способ подготовки (руч­ной, машинный); способ транспортировки (с курьером, по телефону, по факсу, по компьютерной сети и т. п.); место хранения; для описания документооборота можно исполь­зовать специально разработанные формы.

1. Организационное построение комплексной системы защиты информации: характеристика технического проекта.

На этом этапе раз­рабатываются и обосновываются все проектные решения: Разработан и обоснован выбранный вариант проекта; уточ­нены перечни технических средств, порядок и сроки их поставки. В техническом проекте могут рассматриваться 2-3 варианта решения поставленной задачи по созданию системы защиты. Все варианты должны сопровождаться расчетом эффективности, на основе которого могут быть сделаны выводы о рациональном варианте.

При создании системы защиты небольшого или про­стого объекта этап технического проектирования может быть исключен.

Цель технического проекта – определение основных методов, используемых при создании КСЗИ и окончательное определение ее сметной стоимости.

Результат – разработка:

• общесистемных решений, необходимых и достаточных для выпуска эксплуатационной документации на систему в целом,
• проектов заявок на разработку новых технических средств,
• документации специального математического и информационного обеспечения.

Все данные вносятся в единый документ. Техническое проектирование подсистем осуществляется в соответствии с утвержденным техническим заданием. Технический проект должен включать данные об объемах и интенсивности потоков обрабатываемой информации, количестве пользователей автоматизированной системы, характеристиках оборудования и программного обеспечения.

1. Организационное построение КСЗИ: характеристика рабочего проекта.

Разработка рабочего проекта имеет своей целью дета­лизировать проектные решения, принятые на предыдущем этапе. В частности:

— определяется и фиксируется регламент взаимодейс­твия отдельных служб и составляющих системы обеспече­ния безопасности;

— составляются технологические и должностные инс­трукции персонала;

— разрабатывается рабочая документация.

В состав рабочей документации входят: спецификация оборудования и материалов, схемы размещения техничес­ких средств системы защиты (охранно-пожарной сигна­лизации, охранного телевидения, охранного освещения и т. п.), схемы прокладки кабельной связи системы защиты, схемы прокладки электропитания системы защиты.

Каждая система защиты уникальна, поэтому докумен­тация, как правило, строго индивидуальна и зависит не только от типа и размера объекта защиты, но и от возмож­ностей и опыта заказчика, который будет ее эксплуатиро­вать.

Поскольку документация содержит конфиденциаль­ные сведения, круг лиц, допущенных к ознакомлению и ра­боте с ней, должен быть ограничен.

1. Организационное построение КСЗИ: характеристика этапа апробации и ввода в эксплуатацию.

Стадия эксплуатации

Включает процессы:

· Принятие изделия заказчиком от поставщика;

· Ввод в эксплуатацию;

· Приведение в установленную степень готовности к использованию по назначению;

· Поддержание в установленной степени готовности и использование;

· Хранение и транспортирование при эксплуатации;

· Техническое обслуживание текущий и средний ремонт;

· Использование по назначению;

· Контроль эффективности.

Ввод в эксплуатацию — это стадия создания системы защиты, состоящая из нескольких этапов

1) ввод в действие отдельных элементов системы;

2) комплексная стыковка элементов системы;

3) опытная эксплуатация;

4)приемочные испытания и сдача в эксплуатацию.

На практике при создании систем защиты границы между этими этапами размыты.

Состав выполняемых работ следую­щий:

— комплектация технического обеспечения системы;

— монтажные или строительно-монтажные работы и пуско-наладочные работы;

— обучение персонала (предварительно должны быть укомплектованы все службы системы обеспечения безо­пасности с учетом требуемой квалификации);

—_: опытная эксплуатация компонентов и системы в це­лом;

— приемочные испытания и приемка системы в экс­плуатацию.

Все эти работы начинаются только после утверждения всех документов и выделения финансовых средств. Разра­ботчик системы защиты проводит техническое и коммер­ческое сравнение всех предложений от конкурирующих фирм-изготовителей защитного оборудования, после чего выбирает поставщика, заключает договор на поставку обо­рудования и оплачивает его.

При получении оборудования желательно сразу прово­дить его проверку на соответствие сопроводительным доку­ментам и техническим условиям, а также (если это возмож­но) проверку работоспособности в условиях эксплуатации.

Все работы по монтажу и отладке системы защиты должны выполнять специалисты. Силами заказчика можно выполнять только специфические и небольшие по трудо­затратам работы такие, как, например установка скрытого теленаблюдения, перенос датчиков охранной сигнализа­ции, ремонт системы радиосвязи и т. п.

Желательно, чтобы в монтаже и настройке защитных систем участвовали те сотрудники службы охраны объек­та, которые будут их эксплуатировать.

После окончания работ и испытаний необходимо уточ­нить все вопросы гарантийного и послегарантийного об­служивания системы защиты.

1. Кадровое обеспечение функционирования КСЗИ: определение кадрового состава.

Понимая ведущую роль кадров в сохранении секретов, руководителям предприятия важно помнить, какие личные качества человека не способствуют сохранению доверен­ной ему тайны. То есть причины нарушения безопасности информации связаны с психологическими особенностями человека, его личными качествами, следовательно, и спо­собы предотвращения перечисленных нарушений вытека­ют из анализа побудительных мотивов: тщательный подбор персонала, подготовка персонала, поддержание здорового рабочего климата, мотивация и стимулирование деятель­ности сотрудников.

При подборе кадров необходимо ориенти­роваться не только на отдельные характеристики психики, а на черты личности как ее системные свойства. Выделим наиболее результативные методы изучения личности:

— изучение жизненного пути личности;

— изучение мнения коллектива, в котором работает личность;

— изучение ближайшего окружения личности;

— создание ситуации, наиболее подходящей для про­явления профессионально важных качеств и свойств;

— изучение высказывания личности о собственной роли в делах коллектива.

К качествам, соответствующим работе в таких усло­виях, относятся: честность, добросовестность, принципи­альность (строгое следование основным правилам), ис­полнительность, пунктуальность, дисциплинированность, эмоциональная устойчивость (самообладание), стремле­ние к успеху и порядку в работе, самоконтроль в поступ­ках и действиях, правильная самооценка собственных спо­собностей и возможностей, осторожность, умение хранить секреты, тренированное внимание и неплохая память.

Качества, не способствующие сохранению доверенной тайны: эмоциональное расстройство, неуравновешенность поведения, разочарование в себе, отчужденность от кол­лег по работе, недовольство своим служебным положени­ем, ущемленное самолюбие, эгоистичные интересы, нечес­тность, употребление наркотиков и алкоголя, постепенно разрушающих личность.

ИЛИ

Сначала необходимо планирование отбора, затем подразделениями, где есть вакансии, составляется заявка, в которой указывается число необходимых специалистов, их должностные обязанности, квалификационные требования(опыт, образование, навыки и пр.), желательные личностные качества, описывается система стимулирования труда. Подготавливается пакет документов: должностная инструкция будущего сотрудника, перечень конфиденциальной информации, с которой будет работать сотрудник, трудовой договор с пунктами о неразглашении, опросные материалы(анкета).

После чего начинается поиск сотрудников, привлечение через рекламу различного рода(внешний поиск) либо поиск внутри предприятия.

По мере поступления кандидатов происходит предварительное собеседование, для того что бы отсеять совершенно неподходящие кандидатуры. При таком собеседовании собирается первичная информация(коммуникабельность, стремление сотрудничать и пр.). Если этот этап (первоначальное знакомство) проходит удачно – претендентам предлагается написать стандартные сведения о себе(анкету). Анализ анкетных данных позволяет выявить не только соответствие образования