Пример курсовой работы по информационным технологии: Анализ угроз использующих уязвимости защиты и разработка методов повышения уровня защищенности объектов информационных процессов

Содержание

Содержание

1 Анализ уязвимостей и угроз объекта6

1.1 Виды угроз6

1.2 Характер и виды происхождения угроз7

1.3 Классы каналов несанкционированного получения информации8

1.4 Возможные причины нарушения целостности информации11

1.5 Возможные причины нарушения доступности информации11

1.6 Определение класса защиты информации в соответствии с Руководящими документами Гостехкомиссии России.12

2 Предложения по повышению уровня защиты объекта13

2.1 Требования к системе защиты13

2.2 Факторы, влияющие на требуемый уровень14

2.2.1 Физические и аппаратные факторы14

2.2.2 Программные факторы16

2.3 Программно-аппаратные и организационно-административные способы защиты объекта26

2.4Защита информации от несанкционированного доступа30

2.5 Основы политики безопасности34

Заключение35

Литература36

Выдержка из текста работы

Защита информации в современных условиях становится все более сложной проблемой, что обусловлено рядом обстоятельств, основными из которых являются: массовое распространение средств электронной вычислительной техники (ЭВТ); усложнение шифровальных технологий; необходимость защиты не только государственной и военной тайны, но и промышленной, коммерческой и финансовой тайн; расширяющиеся возможности несанкционированных действий над информацией.

Кроме того, в настоящее время получили широкое распространение средства и методы несанкционированного и негласного добывания информации. Они находят все большее применение не только в деятельности государственных правоохранительных органов, но и в деятельности разного рода преступных группировок.

Необходимо помнить, что естественные каналы утечки информации образуются спонтанно, в силу специфических обстоятельств, сложившихся на объекте защиты.

Что касается искусственных каналов утечки информации, то они создаются преднамеренно с применением активных методов и способов получения информации. Активные способы предполагают намеренное создание технического канала утечки информации с использованием специальных технических средств. К ним можно отнести незаконное подключение к каналам, проводам и линиям связи, высокочастотное навязывание и облучение, установка в технических средствах и помещениях микрофонов и телефонных закладных устройств, а также несанкционированный доступ к информации, обрабатываемой в автоматизированных системах (АС) и т.д. [10]

Поэтому особую роль и место в деятельности по защите информации занимают мероприятия по созданию комплексной защиты, учитывающие угрозы национальной и международной безопасности и стабильности.

Казалось бы, на первый взгляд, ничего нового в этом нет. Требуются лишь известные усилия соответствующих органов, сил и средств, а также их соответствующее обеспечение всем необходимым.

Вместе с тем, проблемных вопросов по защите информации множество, их решение зависит от объективных и субъективных факторов, в том числе и дефицит возможностей.

Таким образом, проблема зашиты информации и обеспечения конфиденциальности приобретает актуальность.

1. Анализ технологий обработки информации

За последнее десятилетие развитие технологий, средств обработки и передачи информации помогли увеличить производительность и уменьшить стоимость банковских операций. Современные технологии позволяют практически моментально получать и использовать информацию о клиентах, продуктах и рисках, что, несомненно, оказывает влияние на конкурентоспособность банков. Однако пока очень немногие банки в полной мере используют эти возможности. Средства телекоммуникаций вместе с новыми информационными технологиями становятся инструментом при разработке новых продуктов и механизмов их распространения, что расширяет сферу деятельности банков. Электронные платежи и средства расчета в точке продажи — примеры использования новых технологий, коренным образом меняющих банковскую индустрию. Тем не менее, информационные технологии и поддерживающие их организационные структуры могут стать барьером на пути развития. Вложив большие средства в определенную технологию, очень сложно переориентироваться на какую-либо другую. Этого недостатка лишены новые конкуренты, которые будут сразу приобретать перспективные технологии.

Выход из этого тупика — разработка эффективных способов обработки данных. В идеале следует заставить клиентов расплачиваться за улучшение параметров обслуживания (например, скорости). Так, скажем, операции передачи денег традиционно имеют большой объем и все больше зависят от применяемых технологий для сокращения расходов. Выполнение этих операций для большого числа клиентов может дать банкам существенную прибыль. Объемы же операций, связанных с обработкой чеков и других бумажных документов будут уменьшаться пропорционально распространению электронных банковских карт.

Современные технологии предлагают альтернативы традиционным банковским продуктам и услугам. Изменения, которые привели к уменьшению объема локальных операций, оказываются в центре внимания.

Так, Deutsche Bank в 1992 г. объявил об убытках, связанных с обслуживанием частных лиц, в сумме DM 200 млн. Тем не менее он продолжал выполнять программу расширения сети самообслуживания путем эмитирования 3-х миллионов электронных карт [1].

Использование современных технологий создало новый рынок, где технологии становятся товаром в таких областях как обмен электронными данными, системы электронных платежей в точке продажи и т.д. Прежде всего это касается улучшения обслуживания клиентов и оказания более специфических услуг.

Идя навстречу требованиям клиентов, и в соответствии с другими факторами конкурентной борьбы, банки должны будут выбрать один из следующих путей развития:

1. Оказывать все виды услуг в большинстве своих отделений, включая, возможно, и небанковские услуги — универсальный банк;

2. Предоставлять узкому кругу клиентов небольшой, но специфичный перечень услуг в определенном регионе — специализированный банк.

Существующий круг клиентов — это ключевой ресурс банка, который необходимо сохранить и попытаться увеличить. С этой целью многие банки приспосабливают свои технологии для продажи новой продукции. Более того, они переопределяют назначение традиционных механизмов распределения (единые филиальные и корпоративные банковские сети) и вводят в эксплуатацию новые (телекоммуникационные средства связи с другими банками и корпоративными клиентами).

Растет необходимость жесткого контроля за расходами, особенно в условиях увеличения затрат на регулирование деятельности и появления на рынке новых дешевых товаров и услуг, производимых и оказываемых небанковскими организациями. Такой контроль может быть осуществлен с помощью централизованной обработки информации и совершенствования управлением. Эти меры, безусловно, оказывают воздействие на штат банка.

Возрастает необходимость обработки постоянно растущего потока информации о состоянии рынка для более точного определения места специфической продукции на расширяющемся рынке.

Возможность доступа клиента к банку с помощью существующих филиальных сетей теперь уже не является ключевым фактором успеха. Изменение требований клиентов, новые технологии и фиксировано высокая стоимость содержания таких сетей заставляют искать альтернативные стратегии. Предлагаются следующие подходы:

— мобильные пункты продажи товаров и услуг;

— механизмы прямой продажи товаров и услуг;

— технологии расчета в точке продажи;

— электронное и телефонное банковское обслуживание и др.

Применение новых технологий оказывает влияние на стратегические направления и направления бизнеса в деятельности банка.

Банки издавна внедряют и используют самые современные достижения науки и техники для облегчения ручного труда и ускорения выполняемых операций. Однако сейчас этого уже недостаточно и победителями будут те, кто полностью перестроит свою деятельность в соответствии с современными технологиями.

Развитие современных информационных технологий может осуществляться под воздействием бизнеса и для бизнеса. Особенно важным в этом процессе является то, что информационные технологии развиваются в тесном взаимодействии с экономикой. Информационные технологии влияют на размер получаемых доходов и на то, как они складываются и распределяются.

Информационные технологии пронизывают каждый элемент цепи приоритетов банка, наполняя их новым содержанием и воздействуя на связь элементов между собой. Кроме того, технологии влияют на конкурентоспособность банков, изменяя жизненный цикл продукции, предлагаемой клиентам.

Стратегии применения информационных технологий определяют методы, с помощью которых они изменяют современный бизнес, и пути управления этими переменами.

Важным моментом является разработка архитектуры компьютерной системы банка. Под архитектурой системы понимается совокупность ее функциональных компонентов и их взаимодействие друг с другом. Целью разработки архитектуры компьютерной системы банка является создание внутренне логичной и гибкой системы, которая будет следовать за изменениями стратегии деятельности банка с минимальным разрушающим воздействием на нее. Любая архитектура должна сочетаться с стратегией банка и упрощать проведение ее в жизнь.

Появление каждой новой технологии обязательно влечет за собой отказ от существующих систем обработки данных. Естественно, это является барьером на пути внедрения новых разработок. Неуклонно возрастает в связи с этим интерес к стандартизованным и открытым системам, в которых программы и представления данные совместимы и их работа не зависит от поставщика оборудования и программ.

Это направление особенно важно при выработке взаимных соглашений и между организациями и их слиянии. Например, слияния Dutch Postbank и Naturale Nederlanden, английских Lloyds и Abbey Life, германских — Deutsche Bank и Deutsch Lebensversicherung — привели к возникновению проблем, связанных с информационными технологиями. Задача заключается в том, чтобы разработать такую архитектуру, которая свяжет вместе критичную деятельность клиентов и каналы распределения товаров и услуг банка, не нарушая при этом порядка работы организации [1].

Во многом прибыльность банка зависит от обеспечения высшего руководства нужной, своевременной и точной информацией. Системы управления информацией должны быть действительными помощниками в деятельности банка, обеспечивая, например, информацию о положении на рынке, прибыльности банковской продукции, состоянии клиентов и т.д. Получаемая с их помощью информация может использоваться банком для улучшения обслуживания клиентов или для представления им с целью использования в собственных интересах.

Банкам необходима постоянная информация о степени риска их деятельности. Оценка риска — это процесс, который коренным образом может быть изменен с помощью современных технологий. В него могут быть вовлечены более «интеллектуальные» системы, которые способны оценивать процентные ставки, курсы валют, кредитоспособность клиента и т.п., выдавая при этом рекомендации относительно возможных действий и их результатов.

Современные технологии дают банкам огромные преимущества в организации систем доставки товаров и услуг. Использование электронных средств связи позволяет реализовать:

— электронные платежи и расчеты в точке продажи;

— клиентские терминалы, осуществляющие прямую связь с банком;

— домашнее банковское обслуживание с помощью персонального компьютера или телефона;

— обмен электронными данными в сети с расширенным набором услуг;

— технологии электронных банковских карт, включая магнитные пластиковые и интеллектуальные карты.

Реализация этих и других методов банковского обслуживания в конкретных системах требует разработки жестких мер защиты для предотвращения случайных и умышленных нарушений их функционирования.

Одна из важных проблем банков сегодня — это управление инвестициями в электронные банковские системы с тем, чтобы последние полностью отражали перемены в банковской индустрии. Успех на новых стратегических направлениях бизнеса во многом зависит от реализации информационных систем.

1.1 Электронные платежи

Суть концепции электронных платежей заключается в том, что пересылаемые по линиям связи сообщения, должным образом оформленные и переданные, являются основанием для выполнения одной или нескольких банковских операций. Никаких бумажных документов для выполнения этих операций в принципе не требуется (хотя они могут быть выданы). Другими словами, пересылаемое по линиям связи сообщение несет информацию о том, что отправитель выполнил некоторые операции над своим счетом, в частности над корреспондентским счетом банка-получателя (в роли которого может выступать клиринговый центр), и что получатель должен выполнить определенные в сообщении операции. На основании такого сообщения можно переслать или получить деньги, открыть кредит, оплатить покупку или услугу и выполнить любую другую банковскую операцию. Такие сообщения называются электронными деньгами, а выполнение банковских операций на основании посылки или получения таких сообщений — электронными платежами. Естественно, весь процесс осуществления электронных платежей нуждается в надежной защите. Иначе банк и его клиентов ожидают серьезные неприятности [1].

Электронные платежи применяются при межбанковских, торговых и персональных расчетах.

Межбанковские и торговые расчеты производятся между организациями (юридическими лицами), поэтому их иногда называют корпоративными. Расчеты с участием физических лиц-клиентов получили название персональных.

Большинство крупных хищений в банковских системах прямо или косвенно связано именно с системами электронных платежей.

На пути создания систем электронных платежей, особенно глобальных, охватывающих большое число финансовых институтов и их клиентов в различных странах, встречается множество препятствий. Основными из них являются:

1. Отсутствие единых стандартов на операции и услуги, что существенно затрудняет создание объединенных банковских систем. Каждый крупный банк стремится создать свою сеть ОЭД, что увеличивает расходы на ее эксплуатацию и содержание. Дублирующие друг друга системы затрудняют пользование ими, создавая взаимные помехи и ограничивая возможности клиентов.

2. Возрастание мобильности денежных масс, что ведет к увеличению возможности финансовых спекуляций, расширяет потоки «блуждающих капиталов». Эти деньги способны за короткое время менять ситуацию на рынке, дестабилизировать ее.

3. Сбои и отказы технических и ошибки программных средств при осуществлении финансовых расчетов, что может привести к серьезным осложнениям для дальнейших расчетов и потере доверия к банку со стороны клиентов, особенно в силу тесного переплетения банковских связей (своего рода «размножение ошибки»). При этом существенно возрастает роль и ответственность операторов и администрации системы, которые непосредственно управляют обработкой информации.

Любая организация, которая хочет стать клиентом какой-либо системы электронных платежей, либо организовать собственную систему, должна отдавать себе в этом отчет.

Для надежной работы система электронных платежей должна быть хорошо защищена.

Торговые расчеты производятся между различными торговыми организациями. Банки в этих расчетах участвуют как посредники при перечислении денег со счета организации-плательщика на счет организации-получателя.

Торговые расчеты чрезвычайно важны для общего успеха программы электронных платежей. Объем финансовых операций различных компаний обычно составляет значительную часть общего объема операций банка.

Виды торговых расчетов сильно различаются для разных организаций, но всегда при их осуществлении обрабатывается два типа информации: платежных сообщений и вспомогательная (статистика, сводки, уведомления). Для финансовых организаций наибольший интерес представляет, конечно, информация платежных сообщений — номера счетов, суммы, баланс и т.д. Для торговых организаций оба вида сведений одинаково важны — первый дает ключ к финансовому состоянию, второй — помогает при принятии решений и выработке политики.

Чаще всего распространены торговые расчеты следующих двух видов: [16]

* Прямой депозит (direct deposit).

Смысл этого вида расчетов заключается в том, что организация поручает банку осуществлять некоторые виды платежей своих служащих или клиентов автоматически, с помощью заранее подготовленных магнитных носителей или специальных сообщений. Условия осуществления таких расчетов оговариваются заранее (источник финансирования, сумма и т.д.). Они используются в основном для регулярных платежей (выплаты различного рода страховок, погашение кредитов, зарплата и т.д.). В организационном плане прямой депозит более удобен, чем, например, платежи с помощью чеков.

С 1989 г. число служащих, использующих прямой депозит, удвоилось и составило 25% от общего количества. Более 7 млн. американцев получают сегодня заработную плату в виде прямого депозита. Банкам прямой депозит сулит следующие выгоды:

— уменьшение объема задач, связанных с обработкой бумажных документов и, как следствие, экономия значительных сумм;

— увеличение числа депозитов, так как 100% объема платежей должны быть внесены на депозит.

Кроме банков в выигрыше остаются и хозяева, и работники; повышаются удобства и уменьшаются затраты.

* Расчеты при помощи ОЭД.

В качестве данных здесь выступают накладные, фактуры, комплектующие ведомости и т.д.

Для осуществления ОЭД необходима реализация следующего набора основных услуг:

— электронная почта по стандарту Х.400;

— передача файлов;

— связь «точка-точка»;

— доступ к базам данных в режиме on-line;

— почтовый ящик;

— преобразование стандартов представления информации.

Примерами существующих в настоящее время систем торговых расчетов с использованием ОЭД могут служить:

— National Bank и Royal Bank (Канада) связаны со своими клиентами и партнерами с помощью IBM Information Network;

— Bank of Scotland Transcontinental Automated Payment Service (TAPS), основанная в 1986 г., связывает Bank of Scotland с клиентами и партнерами в 15 странах с помощью корреспондентских банков и автоматизированных клиринговых палат [1].

Электронные межбанковские расчеты бывают в основном двух видов:

* Клиринговые расчеты с использованием мощной вычислительной системы банка-посредника (клирингового банка) и корреспондентских счетов банков-участников расчетов в этом банке. Система основана на зачете взаимных денежных требований и обязательств юридических лиц с последующим переводом сальдо. Клиринг также широко используется на фондовых и товарных биржах, где зачет взаимных требований участников сделок проводится через клиринговую палату или особую электронную клиринговую систему.

Межбанковские клиринговые расчеты осуществляются через специальные клиринговые палаты, коммерческие банки, между отделениями и филиалами одного банка — через головную контору. В ряде стран функции клиринговых палат выполняют центральные банки. Автоматизированные клиринговые палаты (АКП) предоставляют услуги по обмену средствами между финансовыми учреждениями. Платежные операции в основном сводятся либо к дебютированию, либо к кредитованию. Членами системы АКП являются финансовые учреждения, которые состоят в ассоциации АКП. Ассоциация образуется для того, чтобы разрабатывать правила, процедуры и стандарты выполнения электронных платежей в пределах географического региона. Необходимо отметить, что АКП не что иное, как механизм для перемещения денежных средств и сопроводительной информации. Сами по себе они не выполняют платежных услуг. АКП были созданы в дополнение к системам обработки бумажных финансовых документов. Первая АКП появилась в Калифорнии в 1972 г., в настоящее время в США функционируют 48 АКП. В 1978 г. была создана Национальная Ассоциация АКП (National Automated Clearing House Association; NACHA), объединяющая все 48 сети АКП на кооперативных началах [1].

Объем и характер операций постоянно расширяются. АКП начинают выполнять деловые расчеты и операции обмена электронными данными. После трехлетних усилий различных банков и компаний была создана система СТР (Corporate Trade Payment), предназначенная для автоматизированной обработки кредитов и дебетов. По мнению специалистов в ближайшее время тенденция расширения функций АКП будет сохраняться.

* Прямые расчеты, при которых два банка осуществляют связь непосредственно между собой с помощью счетов «лоро-ностро», возможно, при участии третьего лица, играющего организационную или вспомогательную роль. Естественно, объем взаимных операций должен быть достаточно велик для оправдания затрат на организацию такой системы расчетов. Обычно такая система объединяет несколько банков, при этом каждая пара может связываться непосредственно между собой, минуя посредников. Однако в этом случае возникает необходимость управляющего центра, занимающегося защитой взаимодействующих банков (рассылкой ключей, управлением, контролем функционирования и регистрацией событий).

В мире существует достаточно много таких систем — от небольших, связывающих несколько банков или филиалов, до гигантских международных, связывающих тысячи участников. Наиболее известной системой этого класса является SWIFT.

В последнее время появился третий вид электронных платежей — обработка электронных чеков (electronic check truncation), суть которого состоит в прекращении пути пересылки бумажного чека в финансовой организации, в которой он был предъявлен. В случае необходимости дальше «путешествует» его электронный аналог в виде специального сообщения. Пересылка и погашение электронного чека осуществляются с помощью АКП [1].

В 1990 г. NACHA анонсировала первый этап тестирования национальной экспериментальной программы «Electronic Check Truncation». Ее целью является сокращение расходов на обработку огромного количества бумажных чеков.

Пересылка денег с помощью системы электронных платежей включает следующие этапы (в зависимости от конкретных условий и самой системы порядок может меняться):

1. Определенный счет в системе первого банка уменьшается на требуемую сумму.

2. Корреспондентский счет второго банка в первом увеличивается на ту же сумму.

3. От первого банка второму посылается сообщение, содержащее информацию о выполняемых действиях (идентификаторы счетов, сумма, дата, условия и т.д.); при этом пересылаемое сообщение должно быть соответствующим образом защищено от подделки: зашифровано, снабжено цифровой подписью и контрольными полями и т.д.

4. С корреспондентского счета первого банка во втором списывается требуемая сумма.

5. Определенный счет во втором банке увеличивается на требуемую сумму.

6. Второй банк посылает первому уведомление о произведенных корректировках счета; это сообщение также должно быть защищено от подделки способом, аналогичным защите платежного сообщения.

7. Протокол обмена фиксируется у обоих абонентов и, возможно, у третьего лица (в центре управления сетью) для предотвращения конфликтов.

На пути передачи сообщений могут быть посредники — клиринговые центры, банки-посредники в передаче информации и т.п. Основная сложность таких расчетов — уверенность в своем партнере, то есть каждый из абонентов должен быть уверен, что его корреспондент выполнит все необходимые действия.

Для расширения применения электронных платежей проводится стандартизация электронного представления финансовых документов. Она была начата в 70-х годах в рамках двух организаций [1]:

1) ANSI (American National Standart Institute) опубликовал документ ANSI X9.2-1080, (Interchange Message Specification for Debit and Credit Card Message Exchange Among Financial Institute, Спецификация обменных сообщений для дебетных и кредитных карточек обмена между финансовыми организациями). В 1988 аналогичный стандарт был принят ISO и получил название ISO 8583 (Bank Card Originated Messages Interchange Message Specifications — Content for Financial Transactions);

2) SWIFT (Society for Worldwide Interbank Financial Telecommunications) разработало серию стандартов межбанковских сообщений.

В соответствии со стандартом ISO 8583 финансовый документ содержит ряд элементов данных (реквизитов), расположенных в определенных полях сообщения или электронного документа (электронной кредитной карточки, сообщения в формате Х.400 или документа в синтаксисе EDIFACT). Каждому элементу данных (ЭД) назначается свой уникальный номер. Элемент данных может быть как обязательным (то есть входить в каждое сообщение данного вида), так и необязательным (в некоторых сообщениях может отсутствовать).

Битовая шкала определяет состав сообщения (те ЭД, которые в нем присутствуют). Если некоторый разряд битовой шкалы установлен в единицу, это означает, что соответствующий ЭД присутствует в сообщении. Благодаря такому методу кодирования сообщений уменьшается общая длина сообщения, достигается гибкость в представлении сообщений со многими ЭД, обеспечивается возможность включения новых ЭД и типов сообщений в электронный документ стандартной структуры [5].

Существует несколько способов электронных межбанковских платежей. Рассмотрим два из них: оплата чеком (оплата после услуги) и оплата аккредитивом (оплата ожидаемой услуги). Другие способы, как например оплата с помощью платежных требований или платежных поручений, имеют сходную организацию.

Оплата чеком основана на бумажном или другом документе, содержащим идентификацию подателя. Этот документ является основанием для перевода определенной в чеке суммы со счета владельца на счет подателя. Платеж чеком включает следующие этапы:

— получение чека;

— представление чека в банк;

— запрос о переводе со счета владельца чека на счет подателя;

— перевод денег;

— уведомление о платеже.

Основными недостатками таких платежей являются необходимость существования вспомогательного документа (чека), который легко подделать, а также значительные затраты времени на выполнение платежа (до нескольких дней).

Поэтому в последнее время более распространен такой вид платежей как оплата аккредитивом. Он включает следующие этапы:

— уведомление банка клиентом о предоставлении кредита;

— уведомление банка получателя о предоставлении кредита и перевод денег;

— уведомление получателя о получении кредита.

Такая система позволяет осуществлять платежи в очень короткие сроки. Уведомление о предоставлении кредита можно направлять по (электронной) почте, на дискетах, магнитных лентах.

Каждый из рассмотренных выше видов платежей имеет свои преимущества и свои недостатки. Чеки наиболее удобны при оплате незначительных сумм, а также при нерегулярных платежах. В этих случаях задержка платежа не очень существенна, а использование кредита нецелесообразно. Расчеты с помощью аккредитива обычно используются при регулярной оплате и для значительных сумм. В этих случаях отсутствие клиринговой задержки позволяет экономить много времени и средств за счет уменьшения периода оборота денег. Общим недостатком этих двух способов является необходимость затрат на организацию надежной системы электронных платежей [1].

1.2 Аналитическое обеспечение мероприятий безопасности

Среднее украинское коммерческое предприятие рассматривается как некоторый объект.

В общем случае объект, как некоторое образование, имеет свои структуру, функции и источники существования.

В применении к среднему предприятию, структуру фирмы в общем случае можно представить как совокупность помещений, персонала, оборудования, транспорта, коммуникаций, сырья, готовой продукции, информации, имиджа; функции фирмы могут быть самыми разными.

Обеспечение безопасности фирмы в этих условиях можно рассматривать как реализацию комплекса защитных мероприятий в отношении объекта, если принять условие, что объекту что-либо угрожает. Для формализации этих процессов целесообразно ввести такие понятия: источники угроз объекту (потенциальные противники), угрозы объекту (цели угроз, угрозы, как таковые, результаты (реакции) воздействия угроз). Учитывая состав объекта, угрозы возможно разделить на виды: угрозы физического воздействия, угрозы психологического воздействия, угрозы информационного воздействия. Источники этих угроз можно представить как угрозу структуре, функциям и источниками существования объекта [5].

Изображение в табличной (матричной) форме приведенных выше положений и понятий можно назвать матрицей анализа безопасности фирмы.

Построение этой матрицы стало возможно только на основе предложенного «объектового» подхода к вопросам безопасности фирмы. Дело в том, что на сегодняшний день в большинстве случаев коммерческое применение понятия безопасности несколько обезличено. Фирме предлагаются услуги в области охраны (личная охрана, охрана периметра помещений), ТЗИ.

Ядром всего этого процесса является анализ выбранного нами объекта. Анализ конкретного объекта обычно осуществляется руководством фирмы или службой безопасности фирмы. Другими словами, первой конкретной задачей ответственного за безопасность фирмы лица должен быть анализ защищаемого объекта, только после этого можно говорить о выделении разнообразных источников угроз этому объекту.

1.2.3 Анализ рисков

Анализ риска состоит из следующих основных этапов.

Этап 1. Описание состава системы:

— аппаратные средства;

— программное обеспечение;

— данные;

— документация;

— персонал.

Этап 2. Определение уязвимых мест: выясняется уязвимость по каждому элементу системы с оценкой возможных источников угроз.

Этап 3. Оценка вероятностей реализации угроз.

Этап 4. Оценка ожидаемых размеров потерь.

Этот этап сложен, поскольку не всегда возможна количественная оценка данного показателя (например, ущерба репутации банка при нарушении конфиденциальности информации о счетах и операциях клиентов).

Этап 5. Анализ возможных методов и средств защиты.

Этап 6. Оценка выигрыша от предлагаемых мер. Если ожидаемые потери больше допустимого уровня, необходимо усилить меры защиты.

1.3 Категорирование информации по важности

Категорирование информации по важности существует объективно и не зависит от желаний руководства, поскольку определяется механизмом деятельности банка и характеризует опасность уничтожения либо модификации информации. Можно указать много вариантов такого категорирования. Здесь приводится наиболее простой [10]:

1. Важная информация — незаменимая и необходимая для деятельности банка информация, процесс восстановления которой после уничтожения невозможен либо очень трудоемок и связан с большими затратами, а ее ошибочное изменение или подделка приносит большой ущерб.

2. Полезная информация — необходимая информация, которая может быть восстановлена без больших затрат, причем ее модификация или уничтожение приносит относительно небольшие материальные потери.

Категорирование информации по конфиденциальности выполняется субъективно руководством или персоналом в соответствии с выделенными ему полномочиями в зависимости от риска ее разглашения. Для деятельности коммерческого банка достаточно двух степеней градации.

1. Конфиденциальная информация — информация, доступ к которой для части персонала или посторонних лиц нежелателен, так как может вызвать материальные и моральные потери.

2. Открытая информация — информация, доступ к которой посторонних не связан ни с какими потерями.

Руководство должно принять решение о том, кто и каким образом будет определять степень важности и конфиденциальности информации. Без такого решения невозможна никакая целесообразная работа по созданию банковской электронной системы.

1.4 План защиты

Анализ риска завершается принятием политики безопасности и составлением плана защиты со следующими разделами:

1. Текущее состояние. Описание статуса системы защиты в момент подготовки плана.

2. Рекомендации. Выбор основных средств защиты, реализующих политику безопасности.

3. Ответственность. Список ответственных сотрудников и зон ответственности.

4. Расписание. Определение порядка работы механизмов защиты, в том числе и средств контроля.

5. Пересмотр положений плана, которые должны периодически пересматриваться.

Ключевым вопросом начального этапа создания системы безопасности является назначение ответственных за безопасность системы и разграничение сфер их деятельности. Как правило, при начальной постановке таких вопросов выясняется, что за этот аспект безопасности организации никто отвечать не хочет. Системные программисты и администраторы систем склонны относить эту задачу к компетенции общей службы безопасности, тогда как последняя, в свою очередь, считает, что подобная проблема должна находиться в компетенции специалистов по компьютерам.

1.5 Положения о безопасности

При решении вопросов распределения ответственности за безопасность компьютерной системы необходимо учитывать следующие положения [7]:

1. никто, кроме руководства, не может принять основополагающих решений в области политики компьютерной безопасности;

2. никто, кроме специалистов, не сможет обеспечить правильное функционирование системы безопасности;

3. никакая внешняя организация или группа специалистов жизненно не заинтересованы в экономической эффективности мер безопасности.

К области стратегических решений при создании системы компьютерной безопасности должна быть отнесена разработка общих требований к классификации данных, хранимых и обрабатываемых компьютерной системой. Во многих случаях существует путаница между понятиями конфиденциальности (секретности) и важности информации.

2. Анализ угроз ТЗИ

2.1 Короткое описание возможной утечки информации каналами ПЭМВН

Чтобы справиться со стремительно нарастающим потоком информации, вызванным научно-техническим прогрессом необходимо постоянно пополнять свой арсенал разнообразными техническими средствами и системами, предназначенными для приема, передачи, обработки и хранения информации. Физические процессы, происходящие в таких устройствах при их функционировании, создают в окружающем пространстве побочные электромагнитные, акустические и другие излучения, которые в той или иной степени связаны с обработкой информации.

Подобные излучения могут обнаруживаться на довольно значительных расстояниях (до сотен метров) и, следовательно, использоваться злоумышленниками, пытающимися получить доступ к секретам. Поэтому мероприятия по ЗИ, циркулирующей в технических средствах, направлены, прежде всего, на снижение уровней таких излучений.

Чтобы принять такой объем информации, на принимающей стороне должна быть аппаратура, обладающая соответствующими характеристиками, т.е. имеющая необходимую чувствительность при определенном превышении сигнала над уровнем собственных помех, и обеспечивающая необходимую ширину полосы принимаемых сигналов при соответствующей длительности их передачи [10].

К основным информационным характеристикам канала относятся:

местоположение начала и конца канала;

форма передаваемой информации (дискретная, непрерывная) в звеньях канала;

структура канала передачи (датчик, кодер, модулятор, линия, демодулятор, декодер, устройство фиксации и др.);

вид канала (телефонный, телеграфный, телевизионный и др.);

скорость передачи и объем передаваемой информации;

способы преобразования информации в звеньях канала передачи (методы модуляции, кодирования и т.д.);

пропускная способность канала;

емкость канала.

Кроме того, классификация каналов передачи возможна по следующим признакам:

по виду сигналов и способу передачи;

по исполнению: проводные, кабельные, световодные, радио и другое;

по принципу действия: электромагнитные, оптические, акустические.

Технические каналы утечки информации принято делить на следующие типы:

радиоканалы (электромагнитные излучения радиодиапазона);

акустические каналы (распространение звуковых колебаний в любом звукопроводящем материале);

электрические каналы (опасные напряжения и токи в различных токопроводящих коммуникациях);

оптические каналы (электромагнитные излучения в инфракрасной, видимой иультрафиолетовой части спектра);

материально-вещественные каналы (бумага, фото, магнитные носители, отходы и т.д.).

Источниками излучений в технических каналах являются разнообразные технические средства, в которых циркулирует информация с ограниченным доступом.

Такими средствами могут быть:

сети электропитания и линии заземления;

автоматические сети телефонной связи;

системы телеграфной, телекодовой и факсимильной связи;

средства громкоговорящей связи;

средства звуко- и видеозаписи;

системы звукоусиления речи;

электронно-вычислительная техника; электронные средства оргтехники.

Возможные каналы утечки информации получаются:

— низкочастотными электромагнитными полями, которые возникают во время работы ТЗПИ и ДТЗС;

— во время влияния на ТЗПИ и ДТЗС электрических, магнитных и акустических полей;

— во время возникновения паразитной высокочастотной (ВЧ) генерации;

— во время прохождения информационных (опасных) сигналов в круге электропитания;

— во время взаимного влияния кругов;

— во время прохождения информационных (опасных) сигналов в круге заземления;

— во время паразитной модуляции высокочастотного сигнала;

— вследствие ошибочных коммутаций и несанкционированных действий.

Во время пересылки информации с ограниченным доступом в элементах схем, конструкций, подводных и соединительных проводах технических средств протекают тока информационных (опасных) сигналов. Электромагнитные поля, которые возникают при этом, могут влиять на случайные антенны. Сигналы, принятые случайными антеннами, могут привести к образованию каналов утечки информации.

Источниками возникновения электромагнитных полей в ТЗПИ и ДТЗС могут быть неэкранированные провода, разомкнутые контуры, элементы контрольно-измерительных приборов, контрольные гнезда на усилительных блоках и пультах, неэкранированные конечные устройства, усилители мощности и линейные усилители, трансформаторы, дросселя, соединительные провода с большими токами, разъемы, гребенки, громкоговорители, кабельные линии.

Информативные (опасные) сигналы могут возникать на элементах технических средств, чувствительных к влиянию:

— электрического поля (неэкранированные провода и элементы технических средств);

— магнитного поля (микрофоны, громкоговорители, главные телефоны, трансформаторы, катушки индуктивности, дросселя, электромагнитные реле);

— акустического поля (микрофоны, громкоговорители, главные телефоны, трансформаторы, катушки индуктивности, дросселя, электромагнитные реле).

При наличии в технических средствах элементов, способных превращать эти поля в электрические сигналы, возможная утечка информации незащищенными кругами абонентских линий связи, электропитания, заземления, управления, сигнализации.

Паразитная высокочастотная генерация (ПВЧГ) в ТЗПИ и ДТЗС возникает вследствие самовозбуждения усилительных устройств (активная ПВЧГ) или вследствие отражения сигналов от концов линий связи между усилителями во время переходных процессов (пассивная ПВЧГ).

Высокочастотные паразитные колебания, промодулированы информативным (опасным) сигналом за амплитудой, частотой и фазой (активная ПВЧГ) или за амплитудой и частотой (пассивная ПВЧГ), создают канал утечки информации.

ПВЧГ получается в элементах аппаратуры, которые охваченные отрицательной обратной связью и не имеют достаточного запаса стойкости, в концах линий связи между усилительными устройствами в моменты переключений через возникновение переходных процессов.

В процессе работы ТЗПИ и ДТЗС возможная утечка информации через источники электропитания:

— в результате прохождения информационного (опасного) сигнала через технические средства на входном сопротивлении его источника питания может возникнуть напряжение, которое несет сигнал, который содержит информативную составную. Через выпрямительное устройство и силовой трансформатор этот сигнал распространяется сетевыми линиями за границы контролируемой территории;

— во время прохождения голосового сигнала через конечное усилительное устройство может иметь место неравномерное потребление тока от источника питания. Ток, который потребляется усилителем от сети питания, может быть промодулирован информативным (опасным) сигналом, который проходит через усилитель.

Трасы кабельных кругов, которые несут ИсОД, могут прокладываться в одной кабельной канализации с незащищенными каналами ТЗПИ и ДТЗС и проходить через общие протяжные коробки и шкафы.

Во время пересылки информационного (опасного) сигнала одним витком в соседних витках — за их параллельного пробега — появляются тока, приведенные вследствие электромагнитного влияния. Переход электромагнитной энергии с одного витка в другой есть возможным каналом утечки информации.

Источниками образования информационных (опасных) сигналов есть участки, охваченные случайными емкостными и магнитными связями. Такими участками могут быть отрезки параллельного пробега линий, которые несут ИсОД, с незащищенными линиями, которые уходят за границы контролируемой территории, витки кабеля, что служат для коммутации исходных линий в пробеге, монтажные колодки, разъемы блоков, контакты переключателей и реле, используемые для коммутации исходных линий, блоки, которые испытывают влияние электромагнитного поля.

Вытек информации в цепи заземления может произойти по такой причине:

— при наличии контуров в системе заземления, если существуют две или больше точки соединения цепей, который несут ИсОД, с заземлителем;

— вследствие несовершенства экранов и возникновение паразитных связей. Исток может распространяться как симметричными, так и несимметричными путями.

Источником образования информационных (опасных) сигналов есть элементы кругов и схем, если эти элементы находятся под потенциалом таких сигналов и выходят из экранов.

Во время поступления высокочастотных сигналов в нелинейные (или параметрические) кольца, которые несут ИсОД, происходит модуляция высокочастотного сигнала. Таким образом, высокочастотные колебания становятся носителями информационных (опасных) сигналов и создают канал утечки информации.

Линиями, на которые подается или из которых снимается высокочастотный сигнал, могут быть незащищенные линии связи, цепи электропитания, заземления, управления и сигнализации, цепи, образованные паразитными связями, конструктивными элементами домов, сооружений, оснащения и т.п.. Источниками информационных (опасных) сигналов есть нелинейные радиоэлементы, на которые происходит модуляция таких сигналов.

Во время возникновения неисправностей в аппаратуре или несанкционированных действиях обслуживающего персонала в схемах управления может возникнуть нежелательная коммутация информационного (опасного) сигнала, которая приводит к выходу ИсОД в незащищенный канал связи.

Источниками информационного (опасного) сигнала этого канала являются пульты управления, щиты распределения и коммутации, блоки контроля, реле, трансформаторы, разъемы, переключатели или запоминающие устройства, в которых может возникнуть ошибочная коммутация в результате неисправностей или несанкционированных действий.

Основными параметрами возможной утечки информации каналами ПЕМВН есть:

— напряженность электрического поля информационного (опасного) сигнала;

— напряженность магнитного поля информационного (опасного) сигнала;

— величина звукового давления;

— величина напряжения информационного (опасного) сигнала;

— величина напряжения приведенного информационного (опасного) сигнала;

— величина напряжения шума (помех);

— величина тока информационного (опасного) сигнала;

— величина чувствительности к влиянию магнитных полей для точечного источника;

— величина чувствительности аппаратуры к влиянию электрических полей (собственная емкость аппаратуры);

— величина чувствительности к влиянию акустических полей;

— отношения «информативный сигнал/шум»;

— отношения напряжения опасного сигнала к напряжению шума (помех) в диапазоне частот информационного сигнала.

Указанные параметры определяются и рассчитываются по результатам измерений в заданных точках.

Предельно допустимые значения основных параметров есть нормированными величинами и определяются по соответствующим методикам.

Отношения расчетных (вымеренных) значений основных параметров к предельно допустимых (нормированных) значений определяют необходимые условия защиты информации.

2.2 Защита информации которая циркулирует в системах звукоусиления

Как оборудования систем звукоусиления, предназначенных для обслуживания проведенных в ЗП закрытых мероприятий, и систем звукового сопровождения кинофильмов, которые содержат конфиденциальные сведения, необходимо использовать оборудования, которое удовлетворяет требованиям стандартов по электромагнитной совместимости России, Европейских стран, США. В случае необходимости, для повышения уровня защищенности рекомендуется применять оборудование, сертифицированное по требованиям безопасности информации или прошлое специальные исследования и распоряжения, которые имеет, на эксплуатацию.

Системы звукоусиления должны выполняться по ведущей схеме передачи информации экранированными проводами и располагаться в границах КЗ.

С целью уменьшения побочных электромагнитных излучений целесообразно использовать систему звукоусиления с рассредоточенной системой звукоизлучателей, то есть следует отдавать предпочтение системам с большим количеством конечных устройств маленькой мощности перед системами с маленьким количеством конечных устройств большой мощности [4].

В качестве конечных устройств рекомендуется использовать звуковые столбики, которые выпускаются в защищенном выполнении.

Можно использовать громкоговорители, которые выпускаются в обычном выполнении, с экранированными магнитными цепями (например: 0,5ГДШ-5, 0,5ГД-54, 1ГДШ-2, 1ГДШ-6, 1ГДШ-28, 2ГДШ-3, 2ГДШ-4, ЗГДШ-1 или укомплектованные ними звуковые столбики (например: 2КЗ-7, 6КЗ-8, 12КЗ-18).

В этом случае звуковые столбики (громкоговорителе) следует заэкранировать по электрическому полю с помощью металлической сетки с ячейкой не более 1 гг, что заземляется из-за чего экранирует оплетку кабеля, который подводит.

В системах звукоусиления рекомендуется применять аппаратуру с симметричными входными и исходными цепями. В случае использования аппаратуры с несимметричным выходом, линии конечных устройств следует подключать к конечным усилителям через симетрирующие трансформаторы, устанавливаемые в непосредственной близости от конечных усилителей.

Как усилительное оборудование рекомендуется использовать усилители в металлических экранах с возможностью их заземления.

Коммутационное и распределительное оборудование (распределительные, входные и исходные щитки подключения) следует размещать в металлических шкафах (коробках). На корпусах шкафов (коробок) необходимо предусмотреть клеммы (винты) для их заземления и приспособление для опечатывания.

Усилительное и конечное оборудования СЗП, СЗСК следует размещать на возможно большем расстоянии относительно границы контролируемой зоны.

Система электропитания и заземления должна отвечать требованиям «Правил устройства электроустановок (ПУЭ)».

Рекомендуется электропитание и заземления аппаратуры СЗП и СЗСК осуществлять от подстанции и на заземлитель, расположенные в границах КЗ.

2.2.1 Защита информации при проведении звукозаписи

Запись и воспроизведения конфиденциальной речевой информации аппаратурой звукозаписи разрешается делать только в ЗП.

Для записи (воспроизведения) конфиденциальной информации должны применяться магнитофоны (диктофоны), которые удовлетворяют требованиям стандартов по электромагнитной совместимости России, Европейских стран, США. Для повышения уровня защищенности информации рекомендуется использовать магнитофоны (диктофоны), сертифицированные по требованиям безопасности информации или минувшие специальные исследования и имеющие распоряжения на эксплуатацию.

Носители информации (магнитные ленты, кассеты) должны учитываться и сохраняться в подразделах учреждения (предприятия) в порядке, установленному для конфиденциальной информации.

В учреждении (предприятии) должна быть предназначенное должностное лицо, ответственная за сохранение и использование аппаратуры звукозаписи конфиденциальной информации, и обеспеченное сохранение и использования этой аппаратуры, которая выключает несанкционированный доступ к ней.

2.2.3 Защита речевой информации при ее передаче по каналам связи

Передача конфиденциальной речевой информации из открытых ведущих каналов связи, которая выходит за пределы КЗ, и радиоканалам должна быть исключена.

При необходимости передачи конфиденциальной информации следует использовать защищенные линии связи (например, защищенные волоконно-оптические), устройства скремблирования или криптографической защиты.

Используемые средства защиты информации должны быть сертифицированы по требованиям безопасности информации.

3. Построение системы защиты информации

3.1 Определения и анализ угроз

На первом этапе необходимо осуществить анализ объектов защиты, ситуационного плана, условий функционирования предприятия, учреждения, организации, оценить вероятность проявления угроз и ожидаемый вред от их реализации, подготовить засадные данные для построения отдельной модели угроз.

Источниками угроз может быть деятельность иностранных разысканий, а также намеренные или неумышленные действия юридических и физических лиц.

Угрозы могут осуществляться:

— техническими каналами, которые включают каналы побочных электромагнитных излучений и наводок, акустические, оптические, радио-, радиотехнические, химические и прочие каналы;

— каналами специального влияния путем формирования полей и сигналов с целью разрушения системы защиты или нарушения целостности информации;

— несанкционированным доступом путем подключения к аппаратуру и линий связи, маскировка под зарегистрированного пользователя, преодоления мероприятий защиты для использования информации или навязывания ошибочной информации, применения подкладных устройств или программ и укоренение компьютерных вирусов.

Описание угроз и схематическое представление путей их осуществления составляют отдельную модель угроз.

3.2 Разработка системы защиты информации

На втором этапе следует осуществить разработку плана ТЗИ, что содержит организационные, первичные технические и основные технические мероприятия защиты ИсОД, определить зоны безопасности информации.

Организационные мероприятия регламентируют порядок информационной деятельности с учетом норм и требований ТЗИ для всех периодов жизненного цикла объекта защиты.

Первичные технические мероприятия предусматривают защиту информации блокированием угроз без использования средств ТЗИ.

Основные технические мероприятия предусматривают защиту информации с использованием средств обеспечения ТЗИ.

Для технической защиты информации следует применять способ утаивания или способ технической дезинформации.

Мероприятия защиты информации должны [5]:

— быть соответствующими угрозам;

— быть разработанными с учетом возможного вреда от их реализации и стоимости защитных мероприятий и ограничений, которые вносятся ними;

— обеспечивать заданную эффективность мероприятия защиты информации на установленный равные на протяжении времени ограничения доступа к ней или возможности осуществления угроз.

Уровень защиты информации определяется системой количественных и качественных показателей, которые обеспечивают решение задачи защиты информации на основе норм и требований ТЗИ.

Минимально необходимый уровень защиты информации обеспечивают ограничительными и фрагментарными мероприятиями противодействия опаснейшей угрозе.

Повышение уровня защиты информации достигается наращиванием технических мероприятий противодействия большого множества угроз.

Порядок расчета и инструментального определения зон безопасности информации, реализации мероприятий ТЗИ, расчета эффективности защиты и порядок аттестации технических средств обеспечения информационной деятельности, рабочих мест (помещений) устанавливаются нормативными документами с ТЗИ.

3.3 Техническая защита банковских операций

3.3.1 Общие положения

Распространенное использование, информационных, телекоммуникационных систем в государственных ведомствах Украины и в предприятиях всех форм имущества в условиях тяжелых межгосударственных отношений требует проводить мероприятия по обеспечению защиты информации.

Одной из составляющих информационной безопасности есть техническая зашита информации. Государственные стандарты Украины определяют техническую защиту информации (ТЗИ), как деятельность направленную на предотвращение утечки информации техническими каналами, ее блокирования или нарушение целостности.

3.3.2 Возможные угрозы банковским операциям

К числу возможных угроз информации можно отнести утечку, блокирование или нарушение целостности информации во время применения технических средств или технологий, несовершенных по отношению к защите информации.

Утечка информации: не контролированное распространение информации, которое приводить к ее получению. На сегодняшнее время существует большое количество средств технической разведки, которые позволяют скрыто осуществлять данную задачу.

Технический канал утечки информации (ТКВИ): совокупность носителей информации, среды ее распространения и способов технической разведки осуществляет несанкционированный доступ к информации (НСД).

Блокирование информации: невозможность санкционированного доступа к информации.

Нарушение целостности информации: искажение информации, ее разрушение или уничтожение.

Нарушение целостности информации может осуществляться без физического контакта из ТЗПИ с помощью специальных устройств, которые осуществляет специальное воздействие [5].

В банковских учреждениях разведка информации может осуществляться:

— за счет побочных электромагнитных излучений (ПЭМИ) ТЗПИ, которые обрабатывают банковскую операцию.

— За счет наводки ПЭМИ ТЗПИ на проводники, коммуникации, которые выходят за рамки контролированной территории. (КТ)

— за счет наблюдения средствами визульно-оптической разведки или фотографирование изображений мониторов, текстовых документов, плакатов.

— Перехват словесной информации направленными микрофонами на больших расстояниях;

— С помощью применения радиомикрофонов которые устанавливаются в выделенные помещения, диктофонов, а также мобильных телефонов, со скрытой инициализацией;

— С помощью применения явлений акустоэлектрических преобразований в телефонных аппаратах городской сети и ВЧ навязывания;

— С помощью контактных и неконтактных датчиков виброакустических волн поверхностей и предметов под воздействием акустического поля разговоров людей;

Из приведенного выше следует вывод, что существует большое количество ТКУИ, которая может нести конфиденциальную информацию.

3.3.3 Типичные мероприятия и средства ТЗИ от утечки

Государственными стандартами были приняты три группы средств ТЗИ: организационные, первичные технические и основные технические.

Организационные мероприятия регламентируют порядок информационной деятельности с учетом норм и требований ТЗИ для всех периодов жизненного цикла объекта защиты.

Первичные технические мероприятия предусматривают защиту информации блокированием угроз без использования средств ТЗИ.

Основные технические мероприятия предусматривают защиту информации с использованием средств обеспечения ТЗИ.

Организационные мероприятия защиты информации — комплекс административных ограничивающих мероприятий, направленных на оперативное решение задач защиты регламентации деятельности персонала и порядка функционирования средств обеспечения ТЗИ [10].

В процессе разработки и реализации мероприятий нужно:

— определить отдельные задачи ИсОД.

— обосновать структуру и технологию функционирования систем защиты информации;

— разработать и ввести правила реализации мероприятий ТЗИ;

— определить и установить права и обязательства подразделений и лиц, которые берут участие в обработке ИсОД;

— приобрести средства обеспечения ТЗИ и нормативные документы и обеспечить ими предприятие;

— установить порядок внедрения защищенных средств обработки информации, а также средств контроля ТЗИ;

— установить порядок контроля функционирования систем защиты информации та ее качественных характеристик;

— определить зоны безопасности информации;

— установить порядок проведения аттестации системы ТЗИ, ее элементов и разработать программы аттестационного испытания.

— обеспечить управление системою защиты информации;

3.3.4 Решение задач ТЗИ

Оперативное решение задач ТЗИ достигается организацией управления системою защиты информации, для чего необходимы:

— изучить и проанализировать технологию прохождения ИсОД;

— оценить наклонность ИсОД к влиянию угроз в конкретный момент времени;

— оценивать ожидаемую эффективность применения средств обеспечения ТЗИ;

— определить дополнительную потребность в средствах обеспечения ТЗИ;

— разрабатывать и реализовывать пропозиции к корректировки плана ТЗИ в целом или отдельных его элементов.

В процессе реализации первичных технических мероприятий нужно обеспечить:

— блокировку каналов утечки информации;

— блокировку несанкционированного доступа к информации или ее носителей;

— проверку работоспособности технических средств обеспечения ИД.

3.3.5 Блокирование каналов утечки информации

Блокирование каналов утечки информации может осуществляться:

— демонтированием технических средств, линий связи, сигнализации та управления, энергетических сетей, использование которых не связано с жизнеобеспечением предприятия и обработки ИсОД;

— удаление отдельных элементов технических средств, которые являются средой распространения сигналов, с помещений где циркулирует ИсОД;

— временное отключение технических средств, которые не берут участия в обработке ИсОД, от линий связи, сигнализации, управления и энергетических сетей;

— применение средств и схемных решений защиты информации, которые не нарушают основные технические характеристики средств обеспечения ИД [5].

3.3.6 Блокирование несанкционированного доступа

Блокирование несанкционированного доступа к информации или ее носителей может осуществляться:

— созданием условий работы в пределах установленного регламента;

— невозможность использования программных, програмно-аппаратных средств, которые не прошли проверки;

Проверку исправности и работоспособности технических средств и систем обеспечения ИД необходимо проводить соответственно эксплуатационных документов.

Найденные неисправные блоки и элементы могут содействовать утечке или нарушению целостности информации и подлежат немедленной замене;

В процессе реализации основных технических мероприятий защиты нужно:

— установить средства определения и индикации угроз и проверить их работоспособность;

— установить защищенные средства обработки информации, средства ТЗИ и проверить их работоспособность;

— применить программные средства защиты в средствах вычислительной техники, автоматизированных систем, провести их функциональное тестирование и тестирование на соответствие требований защищенности;

— применить специальные инженерно технические сооружения, средства;

Выбор средств обеспечения ТЗИ обусловливается фрагментарным или комплексным способом защиты информации.

Фрагментарная защита обеспечивает противодействие некоторой угрозе.

Комплексная защита обеспечивает одновременно противодействию множеству угроз.

Средства определения и индикации угроз применяют для сигнализации и оповещения владельца ИсОД об утечке информации или нарушения ее целостности.

Средства ТЗИ применяют автономно или вместе с техническими средствами обеспечения ИД для пассивного или активного скрытия ИсОД.

Для пассивного скрытия применяют фильтры — ограничители, линейные фильтры, специальные абонентские устройства защиты и электромагнитные экраны.

Для активного скрытия применяют генераторы линейного и пространственного защемления [5].

Программные средства применяют для обеспечения:

— идентификации и аутентификации пользователей, персонала и ресурсов системы обработки информации;

— разграничение доступа пользователей к информации, средств вычислительной аппаратуры и технических средств автоматизированных систем;

— целостности информации и конфигурацию автоматизированных систем;

— регистрация и учет действий пользователей;

— скрытие обрабатываемой информации;

— реагирование на попытки несанкционированных действий;

Специальные инженерно технические сооружения, средства и системы используют для оптического, акустического, электромагнитного и другого экранирования носителей информации.

К ним относятся специально заделанные светопроникающие, технологические, и санитарно технические отверстия, а также специальные камеры, перекрытия, каналы и т.д.

Размещение, монтаж и прокладка инженерно технических средств и систем, среди них систем ущемления и электропитание средств обеспечения ИД, следует осуществлять соответственно к требованием НД ТЗИ.

Технические характеристики, порядок применения и проверки средств обеспечения ТЗИ наводят в соответственно эксплуатационной документации.

3.4 Нормативные документы с ТЗИ

Нормативные документы разрабатываются в ходе проведения комплекса работ из стандартизации и нормирование в области ТЗИ.

Нормативные документы должны обеспечивать:

— проведения единой технической политики;

— создания и развитие единой терминологической системы;

— функционирования многоуровневых систем защиты информации на основе взаимно согласованных положений, методик, правил, требований и норм;

— функционирования систем сертификации, лицензирования и аттестации в соответствии с требованиями безопасности информации;

— развитие сферы услуг в области ТЗИ;

— установления порядка разработки, производства та эксплуатации средств обеспечения ТЗИ;

— организацию проектирования строительных работ в части обеспечения ТЗИ;

— подготовку и переподготовку кадров в системе ТЗИ.

Нормативные документы с ТЗИ делятся на:

— нормативные документы из стандартизации в области ТЗИ;

— государственные стандарты и приравненные к ним нормативные документы;

— нормативные акты межведомственного значения, которые регистрируются в Министерстве юстиции Украины;

— нормативные документы межведомственного значения технического характера, которые регистрируются органом, уполномоченным Кабинетом Министров Украины;

— нормативные документы ведомственного значения органов государственной власти и органов местного самоуправления.

Порядок проведения работ по стандартизации и нормирование в области ТЗИ устанавливается ДСТУ 1.0, ДБН А.1.1 — 1, документами системы ТЗИ.

Порядок разработки, оформления утверждения, регистрации, издания, внедрения, проверки, просмотра, изменения и отмена нормативных документов устанавливается ДСТУ 1.2, ДСТУ 1.3, ДСТУ 1.4, ДСТУ 1.5, ДБН А.1.1 — 2, документами системы ТЗИ.

3.4.1 Изучение государственных строительных норм Украины

Данные нормы устанавливают требования к обеспечению технической защиты информации во время организации проектирования строительства (нового строительства, расширения, реконструкции и капитального ремонта) предприятий, зданий и сооружений.

Нормы обязательные для применения субъектами инвестиционной деятельности Украины и представительствами Украины за границей при выполнении проектных и строительных работ с учётом требований технической защиты информации, которая содержит сведения, которые составляют государственную и другую предвиденную законодательством Украины тайну, а также конфиденциальной информации, что есть государственной собственностью (далее — информация с ограниченным доступом).

Нормы могут быть использованные субъектами, инвестиционная деятельность которых связана с технической защитой конфиденциальной информации, что не является собственностью государства.

Нормы разработанные в соответствии с законами Украины «Пpо государственную тайну», «Пpо информацию» и Положением о технической защите информации в Украине.

В выводе экспертизы должны быть указанные результаты выполнения требований ТЗИ в проектной документации на строительство.

Выводы экспертизы заносятся до отдельного раздела экспертной документации.

Экспертизу проектной документации на строительство в особенности важных объектов необходимо проводить в установленном порядке с участием специалистов по вопросам ТЗИ.

Выводы экспертизы должны быть представлены в орган, который согласовал задачу на проектирование мероприятий ТЗИ.

3.5 Реализация плана защиты информации

На этом этапе следует реализовать организационные, перинные технические и основные технические мероприятия защиты ИсОД, установить необходимые зоны безопасности информации, провести аттестацию технических средств обеспечения информационной деятельности, рабочих мест (помещений) на соответствие требованиям безопасности информации.

Техническая защита информации обеспечивается применением защищенных программ и технических средств обеспечения информационной деятельности, программных и технических средств защиты информации (далее — средства ТЗИ) и средств контроля, которые имеют сертификат соответствия требованиям нормативных документов из технической защиты системы Укрсепро или разрешение на их использование от органа, а также применения специальных инженерно — технических сооружений, средств и систем (далее — средства обеспечения ТЗИ) [10].

Средства ТЗИ могут функционировать автономно или совместно с техническими средствами обеспечения информационной деятельности в виде самостоятельных устройств или встроенных в них составных элементов.

Состав средств обеспечения ТЗИ, перечень их поставщиков, а также послу с их установлением, монтажа, отладка и обслуживания определяется лицами, которые владеют, пользуются и распоряжаются ИсОД самостоятельно или за рекомендациями специалистов с ТЗИ в соответствии с нормативными документами с ТЗИ.

Предоставления услуг по ТЗИ, аттестацию и сервисное обслуживание средств обеспечения ТЗИ могут осуществлять юридические и физические лица, которые имеют лицензию на право проведения этих работ, выданную органом, уполномоченным Кабинетом Министров Украины.

Контроль функционирования и управления системой защиты информации.

На четвертом этапе следует провести анализ функционирования системы защиты информации, проверку выполнения мероприятий ТЗИ, контроль эффективности защиты, подготовить и выдать установочные данные для управления системой защиты информации.

Управления системой защиты информации состоит в адаптации мероприятий ТЗИ к текущей задаче защиты информации.

За фактами изменения условий осуществления или выявления новых угроз мероприятия ТЗИ реализуются в короче срок.

В случае необходимости повышение уровня защиты информации необходимо выполнить работы, предусмотренные 1,2 и 3 этапами построения системы защиты информации.

Порядок проведения проверок и контроля эффективности защиты информации устанавливается нормативными документами с ТЗИ.

3.5.1 Общие положения

Информация с ограниченным доступом (ИсОД) в процессе информационной деятельности (ИД), основными видами которой есть получения, использования, распространения и сохранения ИсОД, может испытывать влияние угроз ее безопасности (далее — угроза), в результате чего может состояться исток или нарушения целостности информации.

Склонность ИсОД к влиянию угроз определяет ее впечатлительность.

Способность системы защиты информации противостоять влиянию угроз определяет защищенность ИсОД.

Возможные такие варианты постановки задач защите информации:

— достижения необходимого уровня защиты ИсОД при минимальных затратах и допустимого уровня ограничений видов ИД;

— достижения наиболее возможного уровня защиты ИсОД при допустимых затратах и заданного уровня ограничений видов ИД;

— достижения максимального уровня защиты ИсОД при необходимых затратах и минимального уровня ограничений видов ИД.

Защита информации, которая не является государственной тайной, обеспечивается, как правило, применением первого или второго варианту.

Защита информации, которая составляет государственную тайну, обеспечивается, как правило, применения третьего варианту.

Содержание и последовательность работ по противодействию угрозам или их нейтрализации должны отвечать указанным в ДСТУ 3396.0-96 этапам функционирование системы защиты информации и состоят в:

— проведенные обследования предприятия, учреждения, органике (далее — предприятие);

— разработанные и реализации организационных, первичных технических, основных технических мероприятий с использованием средств обеспечения ТЗИ;

— приеме работ по ТЗИ;

— аттестации средств (систем) обеспечения ИД на соответствие требованиям нормативных документов системы ТЗИ (НД ТЗИ).

Порядок проведения работ по ТЗИ или отдельным их этапам устанавливается приказом (распоряжением) руководителя предприятия.

Работы должны выполняться силами предприятия под руководством специалистов с ТЗИ.

Для участия в роботах, представления методической помощи, оценивания полноты и качества реализации мероприятий защиты могут привлекаться специалисты с ТЗИ посторонних организаций, которые имеют лицензию уполномоченного Кабинетом Министров Украины органа.

3.5.2 Организация проведения обследования

Целью обследования предприятия есть изучения его ИД, определения объектов защиты — ИсОД, выявления угроз, их анализ и построение отдельной модели угроз.

Обследования должно быть проведен комиссией, состав которой определяется ответственной за ТЗИ лицом и утверждается приказом руководителя предприятия.

В ходе обследования необходимо:

— провести анализ условий функционирования предприятия, его расположения на местности (ситуационного плана) для определения возможных источников угроз;

— исследовать средства обеспечения ИД, которые имеют выход за границы контролируемой территории;

— выучить схемы средств и систем жизнеобеспечения предприятия (электропитание, ущемления, автоматизации, пожарной и охранительной сигнализации), а также инженерных коммуникаций и металлоконструкций;

— исследовать информационные потоки и технологические процессы обработки информации;

— определить наличие и техническое состояние средств обеспечения ТЗИ;

— проверить наличие на предприятии нормативных документов, которые обеспечивают функционирование системы защиты информации, организацию проектирования строительных работ с учетом требований ТЗИ, а также нормативной и эксплуатационной документации, которое обеспечивает ИД;

— обнаружить наличие транзитных, незадействованных (воздушную, настенную, внешних и заложенных в канализацию) кабели, кругов и проводов;

— определить технические средства и системы, применения которых не обоснован служебной или производственной необходимостью и которые подлежат демонтированию;

— определить технические средства, которые требуют переоборудования (перемонтирования) и установления средств ТЗИ.

По результатам обследования следует составить акт, который должен быть утвержден руководителем предприятия.

Материалы обследования необходимо использовать во время разработки отдельной модели угроз, которые должна включать:

— генеральный и ситуационный планы предприятия, схемы расположения средств и систем обеспечения ИД, а также инженерных коммуникаций, которые выходят за пределы контролируемой территории;

— схемы и описания каналов утечки информации, каналов специального влияния и путей несанкционированного доступа к ИсОД;

— оценку вреда, которая предполагается от реализации угроз.

3.5.3 Организация разработки системы защиты информации

На основании материалов обследования и отдельной модели угроз необходимо определить главные задачи защите информации и составить техническую задачу (ТЗ) на разработку системы защиты информации.

ТЗ должно включать основные разделы:

— требования к системе защиты информации;

— требования к составу проектной и эксплуатационной документации;

— этапы выполнения работ;

— порядок внесения изменений и дополнений в разделе ТЗ;

— требования к порядку проведения испытания системы защиты.

Основной функционирования системы защиты информации есть план ТЗИ, что должен содержать такие документы:

— перечень распорядительных, организационно — методических, НД ТЗИ, а также указания относительно их применения;

— инструкции о порядке реализации организационных, первичных технических и основных технических мероприятий защиты;

— инструкции, которые устанавливают обязанности, права и ответственность персонала;

— календарный план ТЗИ.

ТЗ и план ТЗИ разрабатывают специалисты с ТЗИ, согласовывают с заинтересованными подразделами (организациями). Утверждает их руководитель предприятия.

3.5.4 Реализация организационных мероприятий защиты

Организационные мероприятия защиты информации — комплекс административных и ограничительных мероприятий, направленных на оперативное решение задач защите регламентации деятельности персонала и порядка функционирования средств (систем) обеспечения ТЗИ [10].

В процессе разработки и реализации мероприятий нужно:

— определить отдельные сдачи защиты ИсОД;

— обосновать структуру и технологию функционирования системы защиты информации;

— разработать и внедрить правила реализации мероприятий ТЗИ;

— определить и установить права и обязанности подразделов и лиц, которые принимают участие в обработке ИсОД;

— приобрести средство обеспечения ТЗИ и нормативные документы и обеспечить ними предприятие;

— установить порядок внедрения защищенных средств обработка информации, программных и технических средств защиты информации, а также средств контроля ТЗИ;

— установить порядок контроля функционирования системы защиты информации и ее качественных характеристик;

— определить зоны безопасности информации;

— установить порядок проведения аттестации системы технической защиты информации, ее элементов и разработать программы аттестационного испытания;

— обеспечить управление системой защиты информации.

Оперативное решение задач ТЗИ достигается организацией управления системой защиты информации, для чего необходимо:

— выучить и анализировать технологию прохождения ИсОД в процессе ИД;

— оценивать склонность ИсОД к влиянию угроз в конкретный момент времени;

— оценивать ожидаемую эффективность применения средств обеспечения ТЗИ;

— определить (за необходимости) дополнительную потребность в средствах обеспечения ТЗИ;

— осуществлять собирание, обработку и регистрацию данных, которые относятся к ТЗИ;

— разрабатывать и реализовать предложению относительно корректирования плана ТЗИ в целом или отдельных его элементов.

3.5.5 Реализация первичных технических мероприятий защиты

В процессе реализации первичных технических мероприятий нужно обеспечить:

— блокирования каналов утечки информации;

— блокирования несанкционированного доступа к информации или носителей;

— проверку исправности и трудоспособности технических средств обеспечения ИД.

Блокирования каналов утечки информации может осуществляться:

— демонтированием технических средств, линий связи, сигнализации и управления, энергетических сетей, использования которых не связан с жизнеобеспечением предприятия и обработкой ИсОД;

— удаления отдельных элементов технических средств, которые являются средой распространения полей и сигналов, из помещений где циркулирует ИсОД;

— временным отключением технических средств, которые не берут участия в обработанные ИсОД, от линий связи, сигнализации, управления и энергетических сетей;

— применения средств и схемных решений из защиты информации, которые не поднимают основных технических характеристик средств обеспечения ИД.

Блокирования несанкционированного доступа к информации или ее носителей может осуществляться:

— созданием условий работы в границах установленного регламента;

— невозможностью использования программных, программно — аппаратных средств, которые не прошли проверки (испытания).

Проверку исправности и трудоспособности технических средств и систем обеспечения ИД необходимо проводить соответственно эксплуатационным документам.

Выявленные неисправные блоки и элементы могут оказывать содействие истоку или нарушения целостности информации и подлежат немедленной замене (демонтированию).

3.5.6 Реализация основных технических мероприятий защиты

В процессе реализации основных технических мероприятий защиты нужно:

— установить средства выявления и индикации угроз и проверить их трудоспособность;

— установить защите средства обработки информации, средства ТЗИ и проверить их трудоспособность;

— применить программные средства защиты в средствах вычислительной техники, автоматизированных систем, осуществить их функциональное тестирования и тестирования на соответствие требованиям защищенности;

— применить специальные инженерно — технические сооружения, средства (системы).

Выбор средств обеспечения ТЗИ предопределяется фрагментарным или комплексным способом защиты информации.

Фрагментарная защита обеспечивает противодействие определенной угрозе.

Комплексная защита обеспечивает одновременное противодействие великого множества угроз.

Средства выявления и индикации угроз применяют для сигнализации и оповещение собственника (пользователя, распорядителя) ИсОД об утечке информации или нарушения ее целостности.

Средства ТЗИ применяют автономно или совместно с техническими средствами обеспечения ИД для пассивного или активного утаивания ИсОД.

Для пассивного утаивания применяют фильтры — ограничители, линейные фильтры, специальные абонентские устройства защиты и электромагнитные экраны.

Для активного утаивания применяют узкополосные и широкополосные генераторы линейного и пространственного зашумленния.

Программные средства применяют для обеспечения:

— идентификации и аутентификации пользователей, персонала и ресурсов системы обработка информации;

— размежевания доступа пользователей к информации, средств вычислительной техники и технических средств автоматизированных систем;

— целостности информации и конфигурации автоматизированных систем

— регистрации и учета дои пользователей;

— маскировка обрабатываемой информации;

— реагирования (сигнализации, отключения, остановка работ, отказа от запросов) на попытки несанкционированных действий.

Специальные инженерно — технические сооружения, средства и системы применяют для оптического, акустического, электромагнитного и другого экранирования носителей информации.

К ним належат специально оснащении светопроницаемые, технологические, и санитарно — технические отверстия, а также специальные камеры, перекрытия, занавеса, каналы и т.п..

Размещения, монтирования и прокладывания инженерно — технических средств и систем, среди них систем ущемления и электропитание средств обеспечения ИД, следует осуществлять соответственно требованиям НД ТЗИ.

Технические характеристики, порядок применения и проверки средств обеспечения ТЗИ приводят в соответствующих эксплуатационной документации.

3.6 Требования из защиты информации, обрабатываемой ЭВМ

3.6.1 Общие требования и рекомендации

Система (подсистема) защиты информации, обрабатываемой в автоматизированных системах разного уровня и назначение, должна предусматривать комплекс организационных, программных, технических и, при необходимости, криптографических средств и мер по защите информации при ее автоматизированной обработке и сохранении, при ее передаче по каналам связи [11].

Основными направлениями защиты информации есть:

— обеспечения защиты информации от разворовывания, потери, утечки, уничтожения, перекручивания и подделки за счет НСД и специальных влияний;

— обеспечения защиты информации от утечки по техническим каналам при ее обработке, сохранении и передаче по каналам связи.

Как основные мероприятия защиты информации рекомендуются:

— документальное оформление перечня сведений конфиденциального характера с учетом ведомственной и отраслевой специфики этих сведений;

— реализация разрешительной системы допуска исполнителей (пользователей, который обслуживает персонала) к информации и связанным с ее использованием роботам, документам;

— ограничения доступа персонала и посторонних лиц у помещение, которые ограждаются, и помещения, где размещенные средства информатизации и коммуникации, а также сохраняются носители информации;

— размежевания доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;

— регистрация дои пользователей АСС и обслуживающего персонала, контроль за несанкционированным доступом и действиями пользователей, который обслуживает персонала и посторонних лиц;

-учет и надежное сохранение бумажных и машинных носителей информации, ключей (ключевой документации) и их обращения, которые выключает их разворовывание, подмену и уничтожение;

— использования СЗЗ, создаваемых на основе физико-химических технологий для контроля доступа к объектам защиты и для защиты документов от подделки;

— необходимое резервирование технических средств и дублирование массивов и носителей информации;

— использования сертифицированных технических средств, которые выпускаются серийно в защищенном выполнении, обработки, передачи и сохранение информации;

— использования технических средств, которые удовлетворяют требованиям стандартов по электромагнитной совместимости;

— использования сертифицированных средств защиты информации;

— размещения объектов защиты на максимально возможном расстоянии относительно границы КЗ;

— размещения понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в границах КЗ;

-развязка цепей электропитания объектов защиты с помощью защитных фильтров, которые блокируют (угнетают) информативный сигнал;

— электромагнитная развязка между линиями связи и других цепей ДТЗС, которые выходят за пределы КЗ, и информационными цепями, по которые циркулирует информация, которая ограждается;

— использования защищенных каналов связи (защищенных ВОЛС и криптографических средств;

— размещения дисплеев и других средств отображения информации, которая выключает несанкционированный просмотр информации;

— организация физической защиты помещений и собственное технических средств с помощью сил охраны и технических средств, которые предотвращают или существенным образом утрудняют проникновение в дома, помещения посторонних лиц, разворовывания документов и информационных носителей, самых средств информатизации, которые выключают пребывания внутри контролируемой зоны технических средств или разыскания промышленного шпионажа;

— криптографическое преобразование информации, обрабатываемой и переданной средствами вычислительной техники и связи (при необходимости, обусловленной особенностями функционирования конкретных АСС и систем связи);

— предотвращения внедрения в автоматизированные системы программ-вирусов, программных закладок.

Обязательность тех или других мер по защите разных видов конфиденциальной информации конкретизированная в следующих подразделах документа.

С целью дифференцированного подхода к защите информации, обрабатываемой в АСС разного уровня и назначение, осуществляемого с целью разработки и применения необходимых и достаточных мероприятий и средств защиты информации, проводится классификация автоматизированных систем.

Классифицируются АСС любого уровня и назначение. Классификация АСС осуществляется на основании требований КД.

Классификации подлежат все действующие, но раньше не классифицированные, и разрабатываемые АСС, предназначенные для обработки конфиденциальной информации.

Если АСС, классифицированная раньше, включается в состав вычислительной сети или системы и соединяется с другими техническими средствами линиями связи разной физической природы, образованная при этом АСС более высокого уровня классифицируется в целом, а в отношении АСС нижнего уровня классификация не вырабатывается.

Если объединяются АСС разных классов защищенности, то интегрированная АСС должный классифицироваться по высшему классу защищенности входных у нее АСС, за исключением случаев их объединения с помощью между сетевого экрана, если любая с АСС, объединяются может сохранять свой класс защищенности. Требования к используемых при этом между сетевых экранах изложенные в подразделе 5.9.

При рассмотрении и определении режима обработки данных в АСС учитывается, индивидуальным (монопольным) режимом обработки считается режим, при котором всей обрабатываемой информации, к программным средствам и носителей информации системы допущенный только один пользователь.

Режим, при котором разные пользователи, в т.ч. обслуживающий персонал и программисты, работают в один АСС, рассматривается как коллективный. Коллективным режимом работы считается также и последовательный во времени режим работы разных пользователей и обслуживающего персонала.

В случае если признак классифицируемой АСС не совпадают с предложенными в КД группами по особенностям обработки информации в АСС, то при классификации выбирается наиболее близкая группа защищенности с предъявлением к АСС соответствующих дополнительных требований по защите информации. (Например, однопользовательская АСС с информацией разного уровня конфиденциальности по формальным признакам не может быть отнесенная к 3 группе защищенности. Однако, если дополнительно реализовать в такой системе управления потоками информации, то необходимый уровень защиты будет обеспечен).

Конкретные требования по защите информации и мероприятия по их выполнению определяются в зависимости от установленного для АСС класса защищенности. Классы защищенности, которые рекомендуются, АСС, СЗЗ, средств защиты информации из уровня контроля отсутствия не декларированных возможностей, а также показатели по классам защищенности СВТ и от несанкционированного доступа к информации приведенные в прибавлении № 7.

Лица, допущенные к автоматизированной обработке конфиденциальной информации, несут ответственность за соблюдение ними установленного в учреждении (на предприятии) порядка обеспечения защиты этой информации.

Для получения доступа к конфиденциальной информации они должны выучить требования соответствующей действительности документа, других нормативных документов по защите информации, которые действуют в учреждении (на предприятии) в части их что касается.

3.6.2 Основные требования и рекомендации из защиты служебной тайны и персональных данных

При разработке и эксплуатации АСС, который предполагают использования информации, которая составляет служебную тайну, а также персональных данных должны выполняться следующие основные требования.

Организация, состав и содержание проведенных работ из защиты информации, организационно-распорядительной, проектной и эксплуатационной документации должны отвечать требованиям раздела.

В учреждении (на предприятии) должны быть документально оформленные перечни сведений, которые составляют служебную тайну, и также персональной данные, подлежащие защиты. Эти перечни могут носить как обобщающий характер в области деятельности учреждения (предприятия), так и иметь отношение к какому-нибудь отдельному направлению работ. Все исполнители должны быть ознакомлены с этими перечнями в части их что касается [11].

Соответственно КД устанавливается следующий порядок классификации АСС в зависимости от вида сведений конфиденциального характера:

— АСС, который обрабатывают информацию, которая составляет служебную тайну, должны быть отнесены за уровнем защищенности к классам ЗБ, 2Б и не низшее 1Г;

— АСС, который обрабатывают персональным дано, п02643 быть отнесены за уровнем защищенности к классам ЗБ, 2Б и не низшее 1Д.

Для обработки информации, которая составляет служебную тайну, а также для обработки персональных данных следует использовать ЗОТ, который удовлетворяют требованиям стандартов по электромагнитной совместимости, по безопасности и энергоноемным требованиям к средствам отображения информации, по санитарным нормам, предлагаемым к видеодисплейным терминалам ПЭВМ.

Для повышения уровня защищенности информации рекомендуется использовать сертифицированные по требованиям безопасности информации СВТ.

Для передачи информации из каналов связи, которая выходит за пределы КЗ, необходимо использовать защищенные каналы связи, в том числе защищенные волоконно-оптические линии связи или предназначенные для этого криптографические средства защиты информации. Применяемые средства защиты информации должны быть сертифицированы.

Носители информации на магнитной (магнитно-оптической) и бумажной основе должны учитываться, сохраняться и уничтожаться в подразделах учреждений (предприятий) в порядке, установленному для служебной информации ограниченного распространения, с пометкой «Для служебного пользования».

Доступ к информации исполнителей (пользователей, который обслуживает персонала) осуществляется соответственно разрешительной системе допуска исполнителей к документам и сведений конфиденциального характера, который действует в учреждении (на предприятии).

При необходимости указанный минимальный набор рекомендованных организационно- технических мероприятий защиты информации из решение руководителя предприятия может быть расширен.

3.6.3 Основные рекомендации из защиты информации

При разработке и эксплуатации АСС, который предполагают использования сведений, которые составляют коммерческую тайну, рекомендуется выполнения следующих основных организационно-технических мероприятий:

На предприятии следует документально оформить «Перечень сведений, которые составляют коммерческую тайну». Все исполнители должны быть ознакомлены с этим «Перечнем».

При организации разработки и эксплуатации АСС с использованием таких сведений следует ориентироваться на порядок, приведенный в разделе 3. Оформить порядок разработки и эксплуатации таких АСС документально.

Рекомендуется относить АСС, который обрабатывают информацию, которая составляет коммерческую тайну, режим защиты которой определяет ее собственник, за уровнем защищенности к классам ЗБ, 2Б и не низшее 1Д (если по решению руководителя предприятия не предъявляются более высокие требования).

Рекомендуется для обработки информации, которая составляет коммерческую тайну, использовать средства вычислительной техники, которые удовлетворяют требованиям стандартов по электромагнитной совместимости, по безопасности и энергоемкости требованиям к средствам отображения информации, по санитарным нормам, предлагаемым к видеодисплейным терминалам ПЭВМ.

Для повышения уровня защищенности информации рекомендуется использовать сертифицированные по требованиям безопасности информации СВТ.

Для передачи информации из каналов связи, которая выходит за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, в том числе защищенные волоконно-оптические линии связи или предназначенные для этого криптографические средства защиты информации.

Следует установить на предприятии порядок учета, сохранение и уничтожения носителей информации на магнитной (магнитно-оптической) и бумажной основе в научных, производственных и функциональных подразделах, а также разработать и ввести в действие разрешительную систему допуска исполнителей документам и сведениям, которые составляют коммерческую тайну.

Указанный минимальный набор организационно-технических мероприятий, которые рекомендуются, по решению руководителя предприятия может быть расширен.

Решения о составе и содержании мероприятий, а также используемых средств защиты информации принимается руководителем предприятия по результатам обследования создаваемой (модернизуемой) АСС с учетом важности (ценности) информации, которая ограждается.

3.6.4 Порядок обеспечения защиты конфиденциальной информации при эксплуатации АСС

Организация эксплуатации АСС и СЗИ в ее составе осуществляется соответственно установленного в учреждении (на предприятии) порядка, в том числе технологическими инструкциями по эксплуатации СЗИ НСД для пользователей, администраторов АСС и работников службы безопасности.

Для обеспечения защиты информации в процессе эксплуатации АСС рекомендуется предусматривать соблюдение следующих основных положений и требований:

— допуск к информации лиц, которое ограждается, работающих в АСС (пользователей, который обслуживает персонала), должный вырабатываться соответственно установленного разрешительной системой допуска порядком;

— на период обработки информации, которая ограждается, в помещениях, где размещаются ОТЗС, могут находиться только лица, допущенные в установленном порядке к обрабатываемой информации; допуск других лиц для проведения необходимых профилактических или ремонтных работ может осуществляться в эти помещения только из санкции руководителя учреждения (предприятия) или руководителя службы безопасности;

— в случае размещения в одном помещении нескольких технических средств отображения информации должный быть исключенный несанкционированный просмотр выведенной на них информации;

— по окончании обработки информации, которая ограждается, при передаче управления другому лицу пользователь обязан сделать стирание временных файлов на несъемных носителях информации и информации в оперативной памяти. Одним из способов стирания информации в оперативной памяти есть перезагрузка ПЭВМ;

— изменение или введения новых программ обработки информации, которая ограждается, в АСС должный осуществляться совместно разработчиком АСС и администратором АСС;

— при увольнении или перемещении администраторов АСС руководителем учреждения (предприятия) по согласованию со службой безопасности должны быть принятые меры по оперативному изменению паролей, идентификаторов и ключей шифрования.

Все носители информации на бумажной, магнитной, оптической (магнитооптической) основе, используемые в технологическом процессе обработки информации в АСС, подлежат учету в том производственном, научном или функциональном подразделе, который есть собственником АСС, который обрабатывает эту информацию.

Учет съемных носителей информации на магнитной или оптической основе (гибкие магнитные диски, съемные накопители информации большой емкости или картриджи, съемные пакеты дисков, другие магнитные, оптические или магнитооптические диски, магнитные ленты и т.п.), а также распечаток текстовой, графической и другой информации на бумажной или пластиковой (прозрачной) основе осуществляется по карточкам или журналам установленной формы, в том числе автоматизирован с использованием средств вычислительной техники. Журнальная форма учета может использоваться в АСС с небольшим объемом документооборота [11].

Съемные носители информации на магнитной или оптической основе в зависимости от характера или продолжительности использования допускается учитывать вместе с другими документами по установленным для этого учетным формам.

При этом перед выполнением работ сотрудником, ответственным за их учет, на этих носителях информации предварительно проставляются любым доступным способом следующие учетные реквизиты: учетный номер и дата, пометка «Для служебного пользования», номер экземпляра, подпись этого сотрудника, а также другие возможные реквизиты, которые идентифицируют этот носитель.

Распечатки допускается учитывать вместе с другими традиционными печатными документами по установленным для этого учетным формам.

Временно не используемые носители информации должны сохраняться пользователем в местах, недоступных для посторонних лиц.

3.6.5 Защита конфиденциальной информации на автоматизированных рабочих местах на базе автономных ПЭВМ

Автоматизированные рабочие места на базе автономных ПЭВМ есть автоматизированными системами, которые владеют всеми основными признаками АСС. Информационным каналом обмена между такими АСС есть носители информации на магнитной (магнитно-оптической) и бумажной основе.

В связи с этим порядок разработки и эксплуатации АРМ на базе автономных ПЭВМ по составу и содержанию проведенных работ из защиты информации, организационно-распорядительной, проектной и эксплуатационной документации должны целиком отвечать требованиям соответствующей действительности документа.

АСС на базе автономных ПЭВМ соответственно требованиям КД должны быть классифицированные и отнесены:

— до 3 группе АСС, если в ней работает только один пользователь, допущенный к всей информации АСС;

— до 2 и 1 группе АСС, если в ней последовательно работают несколько пользователей с равными или разными правами доступа (полномочиями), соответственно.

Примечание: При использовании на автономной ПЭВМ технологии обработки информации на съемных накопителях большой емкости, классификация АСС вырабатывается на основании анализа режима доступа пользователей АСС к информации на используемом съемном накопителе (или одновременно используемый их комплексе).

3.6.6 Защита информации при использовании съемных накопителей информации большой емкости для автоматизированных рабочих мест на базе автономных ПЭВМ

Данная информационная технология предусматривает запись на съемный накопитель информации, которая загружается, большой емкости одновременно общесистемного (ОС, СКБД) и прикладного программного обеспечения, а также обрабатываемой информации одного или группы пользователей.

Как устройства для работы по этой технологии могут быть использованные накопители на магнитном, магнитооптическом или лазерному дисках разной конструкции, как встроенные (съемные), так и переносные. Одновременно может быть установлен несколько съемных накопителей информации большой емкости. Несъемные накопители должны быть исключены с конфигурации ПЭВМ [11].

Основной особенностью применения данной информационной технологии для АРМ на базе автономных ПЭВМ из взгляда защиты информации есть исключения этапа сохранение на ПЭВМ в нерабочее время информации, которая подлежит защите. Эта особенность может быть использована для обработки информации, которая ограждается, без применения сертифицированных средств защиты информации от НСД и использования средств физической защиты помещений этих АРМ.

На этапе передпроектного обследования необходимо провести детальный анализ технологического процесса обработки информации, обращая внимание, раньше, на технологию обмена информацией (при использовании съемных накопителей информации большой емкости или гибких магнитных дисков (ГМД или дискет) с другими АРМ, которые как используют, так и не используют эту информационную технологию, на создание условий, которые выключают попадание конфиденциальной информации на неучтенных носителей информации, несанкционированное ознакомления с этой информацией, на организацию выдачи информации на печать.

Обмен конфиденциальной информацией между АРМ должный осуществляться только на учтенных носителях информации с учетом допуска исполнителей, которые работают на АРМ, к переносимой информации.

На рабочих местах исполнителей, которые работают по этой технологии, во время работы, как правило, не должно быть неучтенных накопителей информации.

В случае формирования конфиденциальных документов с использованием, как текстовой, так и графической информации, представленной на не конфиденциальных накопителях информации, не конфиденциальном накопителе информации должны быть «закрытые на запись».

Условия и порядок применения таких процедур должны быть отражены в технологии обработки информации, которая использует съемные накопители информации большой емкости.

При использовании в этой технологии современных средств вычислительной техники, оснащенных энергонезависимой, управляемой извне перезаписываемой памятью, так называемых Flash-Bios (FB), необходимо обеспечить целостность записанной в FB информации. Для обеспечения целостности, как перед началом работ, с конфиденциальной информацией при загрузке ПЭВМ, так и по их окончанию, необходимо произвести процедуру проверки целостности FB. При расхождении необходимо восстановить (записать первоначальную версию) FB, доказать это руководителю подраздела и службы безопасности, а также выяснить причины изменения FB.

Должна быть разработана и по согласованию с службой безопасности утвержденная руководителем учреждения (предприятия) технология обработки конфиденциальной информации, которая использует съемные накопители информации большой емкости и что предусматривает вышеуказанные, а также другие вопросы защиты информации, которые имеют отношение к условиям размещения, эксплуатации АРМ, учета носителя информации, а также другие требования, которые вытекают из особенностей функционирования АРМ.

3.6.7 Защита информации в локальных вычислительных сетях

Характерными особенностями ЛОМ есть распределенное сохранение файлов, изъятая обработка данных (вычисления) и передача сообщений (электронная почта), а также сложность проведения контроля за работой пользователей и состоянием общей безопасности ЛОМ.

Средства защиты информации от НСД должны использоваться во всех узлах ЛОМ независимо от наличия (отсутствия) конфиденциальной информации в данном узле ЛОМ и требуют постоянного квалифицированного сопровождения со стороны администратора безопасности информации [11].

Информация, которая составляет служебную тайну, и персональные данные могут обрабатываться только в изолированных ЛОМ, расположенных в границах контролируемой зоны, в условиях, изложенных в пунктах 5.8.4. и 5.8.5. следующего подраздела.

Класс защищенности ЛОМ определяется соответственно требованиям КД.

Для управления ЛОМ и распределения системных ресурсов в ЛОМ, включая управление средствами защиты информации, обрабатываемой (сохраненной, переданной) в ЛОМ, в дополнение к системным администраторам (администраторам ЛОМ) могут быть предназначенные администраторы по безопасности информации, которые имеют необходимые привилегии доступу к информации, которая ограждается, ЛОМ.

Состав пользователей ЛОМ должный устанавливаться по письменному разрешению руководства предприятия (структурного подраздела) и строго контролироваться. Все изменения состава пользователей, их прав и привилегий должны регистрироваться.

Каждый администратор и пользователь должен иметь уникальные идентификаторы и пароли, а в случае использования криптографических средств защиты информации — ключи шифрования для криптографических средств, используемых для защиты информации при передаче ее по каналам связи и сохранение, и для систем электронной цифровой подписи.

3.6.8 Защита информации при межсетевом взаимодействии

Положения данного подраздела относятся к взаимодействию локальных сетей, ни с который не имеет выхода в сети общего пользования типа Internet.

Взаимодействие ЛОМ с другими вычислительными сетями должно контролироваться с точки зрения защиты информации. Коммуникационное оборудование и все соединения с локальными периферийными устройствами ЛОМ должны располагаться в границах КЗ [11].

При конфигурации коммуникационного оборудования (маршрутизаторов, концентраторов, мостов и мультиплексоров) и прокладке кабельной системы ЛОМ рекомендуется учитывать деление трафику по отдельным сетевым фрагментам на производственной основе и видам деятельности предприятия.

Подключения ЛОМ к другой автоматизированной системе (локальной или неоднородной вычислительной сети) другого класса защищенности должно осуществляться с использованием МЭ, требования к которого определяются КД.

Для защиты конфиденциальной информации при ее передаче по каналам связи с один АСС в другую необходимо использовать:

— в АСС класса 1Г — МЭ не ниже класса 4;

— в АСС класса 1Д и 2Б, ЗБ — МЭ классы 5 или высшее.

Если каналы связи выходят за пределы КЗ, необходимо использовать защищенные каналы связи, защищенные волоконно-оптические линии связи или сертифицированных криптографических средств защиты.

3.6.9 Защита информации при работе с системами управления базами данных

При работе с системами управления базами данных (СКБД) и базами данных (БД) необходимо учитывать следующие особенности защиты информации от НСД:

— в БД может накапливаться большой объем интегрированной информации из разных тематических направлений, предназначенной для разных пользователей;

— БД могут быть физически распределены по разным устройствам и узлам сети;

— БД могут включать информацию разного уровня конфиденциальности;

— размежевания доступа пользователей к БД средствами операционной системы и/ли СЗИ НСД может осуществляться только на равные файлов БД;

— размежевания доступа пользователей к объектам БД: таблицам, схемам, процедурам, записям, полям записей в базах данных и т.п., может осуществляться только средствами СКБД, если такие имеются;

— регистрация пользователей при работе с объектами БД может осуществляться также только средствами СКБД, если такие имеются;

— СКБД могут обеспечивать одновременный доступ многих пользователей (клиентов) к БД с помощью сетевых протоколов, при этом запить пользователя к БД обрабатываются на сервере и результаты обработки направляются пользователям (клиентам).

С учетом указанных особенностей при создании БД рекомендуется:

— при выборе СКБД ориентироваться на операционные системы и СКБД, которые включают или штатные сертифицированные средства защиты информации от НСД, или соответствующие сертифицированные дополнения, которые имеют, в виде СЗИ НСД;

— при использовании СКБД, которые не имеют средств размежевания доступа, делать разбивку на отдельные файлы, размежевания доступа к которым можно проводить средствами ОС или СЗИ НСД;

— при использовании современных СКБД, основанных на модели клиент-сервер, использовать их штатные средства защиты информации от НСД, применять средства регистрации (аудита) и размежевания доступа к объектам БД на основе прав, привилегий, ролей, представлений (VIEW).

3.7 Требования из защиты информации помещаемой в негосударственных информационных ресурсах, при взаимодействии абонентов с информационными сетями общего пользования

3.7.1 Общие положения

В соответствующей действительности разделе приведенные рекомендации, которые определяют условия и порядок подключения абонентов к информационным сетям общего пользования (сетям), а также рекомендации из обеспечение безопасности конфиденциальной информации, которая помещается в негосударственных информационных ресурсах, режим защиты которой определяет собственник этих ресурсов (коммерческая тайна — соответственно п.2.3. СТР- КР), при подключении и взаимодействии абонентов с этими сетями.

Данные рекомендации определенные, исходя из требований КД «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», соответствующей действительности документа, а также следующих основных угроз безопасности информации, которые возникают при взаимодействии с информационными сетями общего пользования [11]:

— несанкционированного доступа к информации, которая сохраняется и обрабатываемой в внутренних ЛОМ (серверах, рабочих станциях) или на автономных ПЕОМ, как из сетей, так и с внутренних ЛОМ;

— несанкционированного доступа к коммуникационному оборудованию (маршрутизатору, концентратору, моста, мультиплексору, серверу, WEB/Proxy серверу), что соединяет внутренние ЛОМ учреждения (предприятия) с сетями;

— несанкционированного доступа к данным (сообщением), переданным между внутренними ЛОМ и сетями, включая их модификацию, имитацию и уничтожение;

— заражения программного обеспечения компьютерными «вирусами» из сети, как с помощью приема «зараженных» файлов, так и с помощью Е-mail, аплетов языка JAVA и объектов Actives Control;

— внедрения программных закладок с целью получения НСД к информации, а также дезорганизации работы внутренней ЛОМ и ее взаимодействия с сетями;

— несанкционированной передачи конфиденциальной информации, которая ограждается, ЛОМ в сеть;

— возможности перехвата информации внутренней ЛОМ за счет побочных электромагнитных излучений и наведений от основных технических средств, которые обрабатывают такую информацию.

3.7.2 Условия подключения абонентов к сети

Подключения к сети абонентского пункта (АП) осуществляется по решению руководителя учреждения (предприятия) на основании соответствующего обоснования.

Обоснования необходимости подключения АП к сети должно содержать [11]:

— наименования сети, к которой осуществляется подключения, и реквизиты организации-собственника сети и провайдера сети;

— состав технических средств для оборудования АП;

— предвиденные виды работ и используемые прикладные сервисы сети (Е-mail, FТР, Telnet, НТТР и т.п.) для АП в целому и для каждого абонента, в частности;

— режим подключения АП и абонентов к сети (постоянный, в т.ч. круглосуточный, временный);

— состав общего и телекоммуникационного программного обеспечения АП и абонентов (ОС, клиентские прикладные программы для сети — Browsers и т.п.);

— число и перечень предвиденных абонентов (диапазон используемых IР-адрес);

— мероприятия и средства защиты информации от НСД, которые будут применяться на АП, организация-изготовитель, сведения о сертификации, установщик, конфигурация, правила работы с ними;

— перечень сведений конфиденциального характера, обрабатываемых (сохраненных) на АП, что належат к передаче и получаемых из сети.

Право подключения к сети АП, не оборудованного средствами защиты информации от НСД, может быть предоставлен только в случае обработки на АП информации с открытым доступом, оформленной в установленном порядке как разрешенной к открытому опубликованию. В этом случае к АП, что представляет собою автономную ПЕОМ с модемом, специальные требования по защите информации от НСД не предъявляются.

Подключения к сети АП, что представляют собою внутренние (локальные) вычислительные сети, на которые обрабатывается информация, не разрешенная к открытому опубликованию, разрешается только после установки на АП средств защиты информации от НСД.

3.7.3 Порядок подключения и взаимодействия абонентских пунктов с сетью, требования и рекомендации из обеспечение безопасности информации

Подключения АП к сети должно осуществляться в установленном порядке через провайдера сети.

Подключения ЛОМ предприятия (учреждения) к сети должно осуществляться через средства размежевания доступа в виде МЭ (Firewall, Брандмауэр). Не допускается подключения ЛОМ к сети в обход МЭ. МЭ должны быть сертифицированы по требованиям безопасности информации.

Доступ к МЭ, к средствам его конфигурирования должный осуществляться только выделенным администратором из консоли. Средства изъятого управления МЭ должны быть исключены с конфигурации.

АП с помощью МЭ должный обеспечивать создание сеансов связи абонентов с внешними серверами сети и получать из этих серверов только ответа на запросы абонентов. Настраивания МЭ должно обеспечивать отказ в обслуживании любых внешних запросов, которые могут направляться на АП [11].

При использовании почтового сервера и Web-сервера предприятия, последние не должны входить в состав ЛОМ АП и должны подключаться к Сети по отдельному сетевому фрагменту (через маршрутизатор).

На технических средствах АП должно находиться программное обеспечение только в той конфигурации, которая необходимая для выполнения работ, заявленных в обосновании необходимости подключения АП к сети (обоснования может корректироваться в установленном на предприятии порядка).

Не допускается активизация не включенных у обоснование прикладных серверов (протоколов) и не требующих привязок протоколов к портам.

Установку программного обеспечения, которое обеспечивает функционирование АП, должны выполнять уполномоченные специалисты под контролем администратора. Абоненты АП не имеют права делать самостоятельную установку и модификацию указанного программного обеспечения, однако могут обращаться к администратору для проведения его экспертизы на предмет улучшения характеристик, наличия «вирусов», замаскированных возможностей выполнения непредвиденных действий. Вся ответственность за использование не минувшего экспертизу и не рекомендованного к использованию программного обеспечения целиком ложится на абонента АП. При выявлении фактов такого рода администратор обязан логически (а при необходимости — физически вместе с подсетью, которая включает) отключить рабочее место абонента от сети и ЛОМ и поставить об этом в популярность руководство.

Устанавливаемые межсетевые экраны должны отвечать классу что ограждается АП (АСС) и отвечать требованиям КД.

СЗИ НСД, устанавливаемая на автономную ПЭВМ, рабочие станции и серверы внутренней ЛОМ предприятия при обработке на них конфиденциальной информации, должна осуществлять:

— идентификацию и аутентификацию пользователей при доступе к автономного ПЭВМ, рабочим станциям и серверам внутренней ЛОМ по идентификатору и паролю;

— контроль доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛОМ на основе дискреционного принципа;

— регистрацию доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛОМ, включая попытки НСД;

— регистрацию фактов отправления и получения абонентом сообщений (файлов, писем, документов).

При этом СЗИ НСД должна запрещать запуск абонентом произвольных программ, не включенных в состав программного обеспечения АП.

Модификация конфигурации программного обеспечения АП должна быть доступная только со стороны администратора, ответственного за эксплуатацию АП. Средства регистрации и регистрированные данные должны быть недоступные для абонента. СЗИ НСД должна быть целостной, т.е. защищенной от несанкционированной модификации и не удерживающих путей обхода механизмов контроля. Тестирования всех функций СЗИ НСД с помощью специальных программных средств должно проводится не реже раза в год.

Технические средства АП должны быть размещены или в отдельном помещении (при автономной ПЭВМ, подключенной к сети), или в рабочих помещениях абонентов с принятием организационных и технических мероприятий, которые выключают несанкционированную работу в сети. В этих помещениях должно быть исключенное ведение конфиденциальных переговоров, или технические средства должны быть защищены с точки зрения электроакустики. В нерабочее время помещения автономной ПЭВМ или соответствующего сервера кажется под охрану в установленном порядке.

При создании АП рекомендуется:

По возможности размещать МЭ для связи с внешними сетями, Web-серверы, почтовые серверы в отдельному ЗП, доступ в который имел бы ограниченный круг лиц (ответственные специалисты, администраторы). Периодически проверять трудоспособность МЭ с помощью сканеров, которые имитируют внешние атаки на внутреннюю ЛОМ. Не следует устанавливать на МЭ любые другие прикладные сервисы (СУБД, Е-mail, прикладные серверы и т.п.).

При предоставлении абонентам прикладных сервисов выходить из принципа минимальной достаточности. Тем пользователям АП, которым не требуются услуги сети, не предоставлять их. Пользователям, каким необходимая только электронная почта (E-mail), предоставлять только доступ к ней. Максимальный перечень предоставленных прикладных сервисов ограничивать следующими: Е-mail, FТР, НТТР, Telnet.

При создании АП следует использовать операционные системы с встроенными функциями защиты информации от НСД или использовать сертифицированные СЗИ НСД.

Эффективно использовать имеющиеся в маршрутизаторах средства размежевания доступа (фильтрацию), которые включают контроль по списку доступа, аутентификации пользователей, взаимную аутентификацию маршрутизаторов.

С целью контроля за правомерностью использования АП и выявления нарушений требований по защите информации осуществлять анализ принятой из сети и переданной в сеть информации, в том числе на наличие «вирусов». Копии исходной электронной почты и отсылаются в сеть файлов следует направлять в адрес защищенного архива АП для следующего анализа со стороны администратора (службы безопасности).

Проводить постоянный контроль информации, которая помещается на Web-серверы предприятия. Для этого следует назначить ответственного (ответственных) за ведение информации на Web-сервере. Предусмотреть порядок размещения на Web-сервере информации, разрешенной к открытому опубликованию.

Приказом по учреждению (предприятию) назначаются лица (абоненты), допущенные к работам в сети с соответствующими полномочиями, лица, ответственные за эксплуатацию указанного АП и контроль за выполнением мероприятий по обеспечению безопасности информации при работе абонентов в сети (руководители подразделов и администраторы).

Вопрос обеспечения безопасности информации на АП должны быть отражены в инструкции, которые определяет:

— порядок подключения и регистрации абонентов в сети;

— порядок установки и конфигурирования на АП общесистемного, прикладного коммуникационного программного обеспечения (серверов, маршрутизаторов, шлюзов, мостов, межсетевых экранов, Browsers), их новых версий;

— порядок применения средств защиты информации от НСД на АП при взаимодействии абонентов с сетью;

— порядок работы абонентов в сети, в том числе с по электронной почте (Е-mail), порядок выбора и доступа к внутренним и внешним серверам сети Web-серверам);

— порядок оформления разрешений на отправление данных в сеть (при необходимости);

— обязанности и ответственность абонентов и администратора внутренней ЛОМ по обеспечению безопасности информации при взаимодействии с сетью;

— порядок контроля за выполнением мероприятий по обеспечению безопасности информации и работой абонентов сети.

К работе как абонентов сети допускается круг пользователей, ознакомленных с требованиями по взаимодействию с другими абонентами сети и обеспечению при этом безопасности информации и сети, которые допускаются к самостоятельной работе в, после сдачи соответствующего зачета.

Абоненты сети обязанные:

— знать порядок регистрации и взаимодействия в сети;

— знать инструкцию по обеспечению безопасности информации на АП;

— знать правила работы с средствами защиты информации от НСД, установленными на АП (серверах, рабочих станциях АП);

— уметь пользоваться средствами антивирусной защиты;

— после окончания работы в сети проверить свое рабочее место на наличие «вирусов».

Входные и исходные сообщения (файлы, документы), а также используемые при работе в сети носители информации учитываются в журналах несекретного делопроизводства. При этом на корпусе (конверте) носителя информации наносится предупреждающая маркирования: «Допускается использования только в сети».

Для приема в эксплуатацию АП, что подключается к сети, приказом по учреждению (предприятию) назначается аттестационная комиссия, которая проверяет выполнения установленных требований и рекомендаций. Аттестационная комиссия в своей работе руководствуется требованиями и рекомендациями соответствующей действительности документа.

По результатам работы комиссии оформляется вывод, в котором отбиваются следующие сведения:

— типы и номера выделенных технических средств АП, в т.ч. каждого абонента, их состав и конфигурация;

— состав общего и сервисного прикладного коммуникационного программного обеспечения (ОС, маршрутизаторов, серверов, межсетевых экранов, Browsers и т.п.) на АП в целому и на каждой рабочей станции абонента, в частности: логические адреса (IР-адреса), используемые для доступа в сети;

— мероприятия по обеспечению безопасности информации, проведенные при установке технических средств и программного обеспечения, в т.ч. средств защиты информации от НСД, антивирусных средств, по защите информации от утечки по каналам ПЭМИН, наличие инструкции по обеспечение безопасности информации на АП.

При работе в сети категорически запрещается:

— подключать технические средства (серверы, рабочие станции), которые имеют выход в сеть, к другим техническим средствам (сетям), не определенной в обосновании подключения к сети;

— изменять состав и конфигурацию программных и технических средств АП без санкции администратора и аттестационной комиссии;

— делать отправление данных без соответствующего разрешения;

— использовать носителей информации с маркированием: «Допускается использования только в сети » на рабочих местах других систем (в том числе и автономных ПЭВМ) без соответствующей санкции.

Ведения учета абонентов, подключенных к сети, организуется в устанавливаемом в учреждении (на предприятии) порядка.

Контроль за выполнением мероприятий по обеспечению безопасности информации на АП полагается на администраторов АП, руководителей соответствующих подразделов, определенных приказом по учреждению (предприятию), а также руководителя службы безопасности.

4. Порядок контроля за состоянием технической защиты информации

Целью контроля есть выявления возможных технических каналов утечки информационного (опасного) сигнала (проведения специсследований), изготовления мероприятий, которые обеспечивают его утаивание, оценка достаточности и эффективности принятых мер защиты, оперативный контроль за состоянием технической защиты каналов утечки информационного сигнала.

Технический канал утечки считается защищенным, если сигнал не превышает установленного нормативной документацией отношения «информационный сигнал/шум» [10].

Устройства защиты и защищенные технические средства считаются исправными, если их параметры отвечают требованиям эксплуатационных документов.

Контроль за выполнением организационных и подготовительных технических мероприятий по защите информации осуществляется визуальным обзором прокладки проводов и кабелей, которые выходят за пределы объекта защиты, а также технических средств защиты и защищенной техники. Контроль следует проводить с учетом рекомендаций, приведенных в таблице 4.2.

В ходе проверки определяются:

— наличие электромагнитной связи между линиями ОТЗ, ТСПИ и ДТЗС (прохождения в одном кабеле или жгуте), между разными видами ТСПИ и ДТЗС (общий пробег проводов систем пожарно-охранительной сигнализации, часофикации, радиотрансляции);

— наличие выходов линий связи, сигнализации, часофикации, радиотрансляции за границы выделенных помещений;

— наличие незадействованных ТСПИ, ДТЗС, проводов, кабелей;

— возможность отключения ТСПИ на период проведения конфиденциальных переговоров или важных совещаний;

— разнесения источников электромагнитных и акустических полей на максимально возможное расстояние в границах выделенных помещений;

— выполнения заземления аппаратуры, которое выключает возможность образования петель из проводов и экранов;

— разнесения кабелей электропитания ОТЗ, ТСПИ и ДТЗС с целью исключения наводок опасных сигналов;

— выполнения разведения кол электропитания экранированным или крученым кабелем;

— наличие возможности отключения электропитание ОТЗ во время обезточения сети; отклонения параметров электропитания от норм, заданных в ТУ, во время появления неисправностей в кругах питания.

В процессе проведения специсследований, проверки эффективности технических мероприятий защиты подлежат инструментальному контролю ОТЗ и линии связи.

В ходе контроля проверяются электромагнитные поля информационных (опасных) сигналов в широком диапазоне частот вокруг аппаратуры и кабельных соединений ОТЗ, наличие информационных (опасных) сигналов в кругах, проводах электропитания и заземлении ТСПИ и ДТЗС.

Во время специсследований определяется радиус, за пределами что отношения «информативный сигнал/шум» меньшее предельно допустимой величины. Проводятся измерения и расчет параметров информационного (опасного) сигнала, обнаруживается возможность его утечки каналами ПЭМИН, определяются фактические значения его параметров в каналах утечки, проводится сравнения фактических параметров с нормированными.

В случае превышения допустимых значений разрабатываются защитные мероприятия, используются средства защиты (экранирования источников излучения, установления фильтров, стабилизаторов, средств активной защиты).

После проведения специсследований, изготовления и внедрения средств защиты проводится контроль за эффективностью примененных технических средств защиты.

В процессе работы технических средств и защищенной техники, в меру необходимости, проводится оперативный контроль за эффективностью защиты каналов утечки информационного (опасного) сигнала.

Результаты контроля (специсследований) оформляются актом, составленным в произвольной форме, подписываются проверяющим и утверждаются руководителем организации (предприятия).

4.1 Таблица исходных данных для осуществления ТЗИ