5. Инженерно-техническое обеспечение безопасности

В настоящее время на вооружении недобросовестных кон­курентов находятся самые разнообразные средства проникновения на объекты криминальных интересов и получения различными способами конфиденциальной информации, разработанные на основе новейших технологий. Противодействуя промышленному шпионажу и противоправными действиям службы безопасности оснащаются необходимой им аппаратурой, не уступающей по надежности и функциональным возможностям средствам злоумышленников.

Инженерно-техническая защита — это совокупность специальных органов, технических средств и мероприятий по их использованию в интересах обеспечения безопасности коммерческого предприятия.

На практике все мероприятия по инженерно-техническому обеспечению безопасности подразделяются на три группы:

• организационные (в части использования технических средств);

• организационно-технические;

• технические.

Организационные меры — это мероприятия ограничительного характера, сводящиеся в основном к регламентации доступа и использованию технических средств охраны противодействия и защиты. Они, как правило, проводятся силами самой организации путем использования простейших организационных мер и доступных для этого технических средств.

Организационные мероприятия предусматривают проведение следующих действий:

• определение границ охраняемой зоны, территории, рубежей внутри помещений и других пространственных узлов;

• определение технических средств, используемых для охраны, контроля и защиты информации в пределах охраняемых зон;

• определение «опасных», с точки зрения возможных кана­лов проникновения и способов неправомерного овладения конфиденциальной информации; путей и технических средств;

• организация строгого контроля прохода и проноса каких-либо предметов (устройств, средств, механизмов, веществ) в контролируемую зону, способных представлять собой технические средства несанкционированных действий;

• организация наблюдения за деятельностью персонала в контролируемых помещениях;

• контроль за возможными неконтролируемыми излучениями за счет ПЭМИН или специально используемыми для доступа к коммерческим секретам.

Организационно-технические мероприятия обеспечивают блокирование несанкционированного проникновения, возможных каналов утечки информации через технические средства, а также пресечение разглашения конфиденциальной информации.

Технические мероприятия — это мероприятия, обеспечивающие приобретение, установку и использование в процессе производственной деятельности специальных, защищенных от побочных излучений средств обработки конфиденциальной информации и средств защиты имущества и людей.

Инженерно-техническое обеспечения безопасности коммерческого предприятия должно базироваться:

• на системе стандартизации и унификации;

• на системе лицензирования деятельности;

• на системах сертификации средств обеспечения безопасно­сти и противодействия;

• на системе аттестации защищенных объектов.

Основными составляющими инженерно-технического обеспечения безопасности ресурсов являются:

• системы инженерно-физической защиты материальных объектов и финансовых средств;

• система безопасности информационных ресурсов.

Система инженерно-физической защиты должна предусматривать:

• организационные и инженерно-технические меры охраны;

• регулирование доступа.

Система охраны должна предусматривать:

• многорубежное построение охраны (территории, здания, помещения) по нарастающей к наиболее ценной оберегаемой конкретности;

• комплексное применение современных технических средств охраны, обнаружения, наблюдения, сбора и обработки информации, обеспечивающих достоверное отображение и объективное документирование событий;

• надежную инженерно-техническую защиту вероятных путей несанкционированного вторжения в охраняемые пределы;

• устойчивую, дублированную систему связи и управления всех взаимодействующих в охране структур;

• высокую подготовку и готовность основных и резервных сил охраны к оперативному противодействию нарушителю;

• самоохрану персонала.

Система регулирования доступа должна обеспечивать:

• объективное определение "надежности" лиц, допускаемые к работе на фирме;

• максимальное ограничение количества лиц, допускаемых в пределы контролируемых зон;

• установление для каждого работника (посетителя) дифференцированного по времени, месту и виду деятельности права доступа на объект;

• определение объемов контрольно-пропускных функций на каждом проходном и проездном пункте;

• оборудование контрольно-пропускных пунктов (постов) техническими средствами, обеспечивающими достоверный контроль проходящих, объективную регистрацию прохода и предотвращение несанкционированного (в т. ч. и силового) проникновения посторонних лиц;

• высокую подготовленность и защищенность персонала (нарядов) контрольно-пропускных пунктов;

• строго контролируемый доступ лиц в режимные зоны;

• максимальное сокращение количества лиц, обладающих досмотровым иммунитетом;

• организацию и осуществление присутственного (явочного) и дистанционного по техническим каналам (скрытного) контроля за соблюдением режима безопасности;

• организацию тщательного контроля любых предметов и веществ, перемещаемых за пределы региональных зон;

• обеспечение защищенного хранения документов, финансовых средств и ценных бумаг;

• оперативное выявление причин тревожных ситуаций в режимных зонах, пресечение их развития или ликвидацию во взаимодействии с силами охраны.

Система обеспечения безопасности информационных ресурсов должна предусматривать комплекс организационных, организационно-технических и технических (в том числе и программных и криптографических) средств и мер по защите информации в процессе традиционного документоборота при работе исполнителей с конфиденциальными документами и сведениями, при обработке информации в автоматизированных системах различного уровня и назначения, при передаче по каналам связи, при ведении конфиденциальных переговоров.

При этом основными направлениями реализации технической политики обеспечения информационной безопасности является: защита информационных ресурсов от несанкционированного доступа (хищения, уничтожения, искажения и под­делки), утечки по техническим каналам и разглашения сотрудниками.

Для достижения этой цели необходимы:

• реализация разрешительной системы допуска исполнителей (пользователей) к работам, документам и информации конфиденциального характера;

• ограничение доступа исполнителей и посторонних лиц в здания, помещения, где проводятся работы конфиденциального характера, в том числе на объекты информатики, конфиденциального характера;

• разграничение доступа пользователей к базам данных авто­матизированных систем различного уровня и назначения;

• учет документов информационных массивов, регистрация действий пользователей информационных систем, контроль за несанкционированным доступом и действиями пользователей;

• криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи;

• снижение уровня и информативности побочных электромагнитных излучений и наводок (ПЭМИН), создаваемых различными элементами технических средств обеспечения производственной деятельности и автоматизированных информационных систем;

• снижение уровня акустических излучений;

• электрическая развязка цепей питания, заземление и других цепей технических средств (различных линий и проводов), выходящих за пределы контролируемой территории;

• активное защемление акустических и электромагнитных полей в различных диапазонах;

• противодействие оптическим и лазерным средствам наблюдения;

• проверка технических средств и объектов информатизации на предмет выявления включенных в них подслушивающих устройств;

• предотвращение внедрения в АИС программ вирусного характера.

В заключение раздела следует отметить, что практически безопасных технических средств нет. Любые используемые в производственной деятельности средства должны быть соответствующим образом проверены на наличие возможных каналов утечки информации им закладных устройств, установ­ленных в них злоумышленниками. В целях противодействия в обязательном порядке проводится проверки опасных технических средств, осуществляемой специализированными орга­низациями с помощью специальных установок и оборудование в стационарных условиях.

Лекция 2