1.2. Инженерно-технические меры по обеспечению защиты информации
В организациях работа по инженерно-технической защите информации включает два этапа:
построение или модернизация системы защиты;
поддержание защиты информации на требуемом уровне.
Построение системы защиты информации проводится во вновь создаваемых организациях, в остальных — модернизация существующей.
Модернизация системы защиты информации и поддержание на требуемом уровне ее зашиты в организации предусматривают проведение следующих основных работ [3, с. 103]:
уточнение перечня защищаемых сведений в организации, определение источников и носителей информации, выявление и оценка угроз ее безопасности;
определение мер по защите информации, вызванных изменениями целей и задач защиты, перечня защищаемых сведений, угроз безопасности информации;
контроль эффективности мер по инженерно-технической защите информации в организации.
Меры по защите информации целесообразно разделить на две группы: организационные и технические. В публикациях, в том числе в некоторых руководящих документах, меры по защите делят на организационные, организационно-технические и технические.[4, с. 40; 5, с. 70] Учитывая отсутствие достаточно четкой границы между организационно-техническими и организационными, организационно-техническими и техническими мерами, целесообразно ограничиться двумя группами: организационными и техническими. Но даже при такой дихотомической классификации граница между организационными и техническими мерами размыта.
Таблица 1. Классификация организационных мер инженерно-технической защиты.
Организационные меры инженерно-технической информации являются частью ее организационной защиты, основу которой составляют регламентация и управление доступом. Организационные меры инженерно-технической защиты информации определяют порядок и режимы работы технических средств защиты информации.
Регламентация — это установление временных территориальных и режимных ограничений в деятельности сотрудников организации и работе технических средств, направленных на обеспечение безопасности информации.
Регламентация предусматривает:
установление границ; контролируемых и охраняемых зон, защитой для каждой зоны является рубеж;
определение уровней защиты информации в зонах;
регламентация деятельности сотрудников и посетителей (разработка распорядка дня, правил поведения сотрудников в организации и вне ее и т. д.);
определение режимов работы технических средств, в том числе сбора, обработки и хранения защищаемой информации на ПЭВМ, передачи документов, порядка складирования продукции и т. д.
Управление доступом к информации включает мероприятия, обеспечивающие санкционированный доступ к ней людей, средств
и сигналов. Оно предусматривает:
идентификацию лиц и обращений;
проверку полномочий лиц и обращений;
регистрацию обращений к защищаемой информации;
реагирование на обращения к информации.
Идентификация пользователей, сотрудников, посетителей, обращений по каналам телекоммуникаций проводится с целью их надежного опознавания.
Проверка полномочий заключается в определении прав лиц и обращений по каналам связи на доступ к защищаемой информации. Для доступа к информации уровень полномочий обращения не может быть ниже разрешенного. С целью обеспечения контроля над прохождением носителей с закрытой информацией производится регистрация (протоколирование) обращений к ним путем записи в карточках, журналах, на магнитных носителях.
Реагирование на любое обращение к информации заключается либо в разрешении доступа к информации, либо в отказе. Отказ может сопровождаться включением сигнализации, оповещением службы безопасности или правоохранительных органов, задержанием злоумышленника при его попытке несанкционированного доступа к защищаемой информации.[6, с. 734-736]
Защита информации может осуществляться инженерно-техническими и криптографическими способами. Техническая защита конфиденциальной информации — защита информации не криптографическими методами, направленными на предотвращение утечки защищаемой информации по техническим каналам, от несанкционированного доступа к ней и от специальных воздействий на информацию в целях ее уничтожения, искажения или блокирования.
Технические мероприятия проводятся по мере приобретения предприятием или организацией специальных устройств защиты и защищенной техники и направлены на блокирование каналов утечки конфиденциальной информации и ее защиты от несанкционированного и непреднамеренного воздействия с применением пассивных и активных методов защиты информации. Необходимость проведения технических мероприятий по защите информации определяется проведенными исследованиями защищаемых (выделенных) помещений с учетом предназначения этих помещений (их категории) и необходимости защиты этих объектов информатизации и расположенных в них средств. При этом, в зависимости от циркулирующей в выделенном помещении конфиденциальной информации и наличия ОТСС (Основные технические средства и системы) и ВТСС (Вспомогательные технические средства и системы) определяются основные мероприятия по защищенности выделенного помещения.[7, с. 123]