Козьминых С.И. Организация защиты информации в ОВД. Ч. 1

31

–определение показателей степени риска чрезвычайных ситуаций для персонала опасного объекта и проживающего вблизи населения;

–определение возможности возникновения чрезвычайных ситуаций на объ-

екте;

–оценку возможных последствий чрезвычайных ситуаций на объекте;

–оценку возможного воздействия чрезвычайных ситуаций,возникших на соседних объектах;

–оценку состояния работ по предупреждению чрезвычайных ситуаций и готовности к ликвидации чрезвычайных ситуаций на объекте;

–разработку мероприятий по снижению риска и смягчению последствий чрезвычайных ситуаций на объекте.

Полагается целесообразным применять основные требования и положения данного документа и к объектам информатизации ОВД.

Идет обсуждение и других проектов технических регламентов, в том числе «Обеспечение безопасности государства, общества и личности при использовании систем (продукции) с компьютерной обработкой информации».

Можно сделать вывод, что на сегодняшний день существует множество нормативных правовых документов регламентирующих создание комплексной системы обеспечения безопасности на объекте, но, несмотря на все их многообразие, существует ряд проблем:

–до сих пор на законодательном уровне не определены четко механизмы взаимодействия и ответственность субъектов, прямо или косвенно участвующих в обеспечении безопасности объектов;

–отсутствуют единые нормы построения систем комплексной безопасности объектов различных категорий опасности. До уровня государственного регулирования не поднят вопрос выбора и применения технических средств обеспечения безопасности;

–механизмы государственного лицензирования, надзора и контроля в области обеспечения комплексной безопасности объектов не закреплены законодательными актами, в результате чего эти функции малоэффективны либо вовсе не применяются.

Контрольные вопросы

1.Понятие «организационная защита информации».

2.Какие применяются организационные методы защиты информации?

3.Какие основные требования предъявляются при построении системы безопасности объектов информатизации органов внутренних дел?

4.Какие документы являются основополагающими в области обеспечения безопасности?

5.Какие положения в информационной сфере деятельности ОВД включает Федеральный закон «О полиции» от 1 марта 2011 г?

6.Какие документы являются основополагающими в области обеспечения комплексной безопасности объектов информатизации органов внутренних дел?

32

Г л а в а 3. КОНЦЕПТУАЛЬНЫЕ ПОЛОЖЕНИЯ

ОРГАНИЗАЦИОННОГО ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИОБЪЕКТА ОВД

1. Концепция и модели информационной безопасности

Понимая информационную безопасность как состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, необходимо выявлять угрозы безопасности информации, источники этих угроз, способы их реализации и цели, а также иные условия и действия, нарушающие безопасность.

Практика показала, что для анализа угроз безопасности информации, источников этих угроз, способов их реализации и мер защиты целесообразно использовать методы моделирования, при использовании которых формализовано отображаются все процессы, связанные с обеспечением защиты информации. При этом следует учитывать, что модель не копирует оригинал, она проще.

Модель должна быть достаточно общей для описания реальных процессов с учетом их сложности.

Для объекта информатизации ОВД можно предложить следующие компоненты модели информационной безопасности:

–объекты угроз – сведения о составе, состоянии и деятельности объекта защиты;

–угрозы, выражающиеся в нарушении целостности, конфиденциальности, полноты и доступности информации;

–источники угроз – преступники, коррумпированные административноуправленческие органы;

–источники информации – люди, документы, публикации, технические носители информации, технические средства обеспечения служебной деятельности и др.;

–способы неправомерного овладения конфиденциальной информацией;

–направления защиты информации – правовое, организационное и инже- нерно-техническое (например, программно-аппаратное и криптографическое);

–средства защиты информации – физические средства, аппаратные средства, программные средства и криптографические.

В обобщенном виде рассмотренные компоненты в виде концептуальной модели информационной безопасности объекта информатизации ОВД приведены ниже (рис. 5).

Концепция информационной безопасности является основным правовым документом, определяющим защищенность предприятия от внутренних и внешних угроз.

С точки зрения обеспечения информационной безопасности объекта - ин форматизации ОВД в настоящее время к его объектам, подлежащим защите от потенциальных угроз, противоправных действий и посягательств, относятся:

–руководители и сотрудники, владеющие информацией ограниченного пользования;

35

На основе проведенной классификации, ранжирования, анализа и определения актуальных угроз, источников угроз и уязвимостей определяются варианты возможных атак, которые позволяют оценить состояние информационной безопасности и оптимизировать выбор методов парирования угроз.

Методов парирования угроз достаточно много. К наиболее важным организационным относятся:

–физическая защита и организация охраны;

–подбор и работа с сотрудниками;

–организация инструктажа сотрудников;

–контроль выполнения требований по защите;

–противопожарная охрана;

–организация взаимодействия с компетентными организациями.

При выполнении работ по защите информации может быть принята -сле дующая модель построения системы ИБоснованная, на рассмотрении угроз, уязвимости и связанного с ними риска (рис. 7).

Рис. 7. Модель построения системы информационной безопасности (_______ естественное воздействие; – – – – – управляющее воздействие)

Эта модель соответствует требованиям специальных нормативных документов по обеспечению информационной безопасности, принятым в Российской Федерации и соответствующим международному стандартуISO 15408 «Информационная технология – методы защиты – критерии оценки информационной безопасности», а также стандартуISO 17799 «Управление информационной безопасностью». Она учитывает тенденции развития отечественной нормативной базы по вопросам информационной безопасности.

Концепция определяет генеральную линию в решении проблем информационной безопасности, а не сиюминутные, временные взгляды. Это не технический проект системы информационной безопасности, не набор конкретных средств защиты, а именно изложение путей достижения поставленных целей информационной безопасности ОВД, которые должны реализовываться посредством продуманной, глубоко эшелонированной системы защиты комплекса мер и средств,направленных на выявление, парирование и ликвидацию различных видов угроз информационной безопасности.

36

Сама по себе концепция информационной безопасности не обеспечивает требуемого уровня информационной безопасности, но является методологической базой для формирования на основе определенных в ней целей, задач и возможных путей их решения единой политики в области информационной безопасности ОВД; принятия управленческих решений по реализации этой политики и выработки взаимосвязанных и согласованных мер организационного и инженерно-техни-ческого характера; координации деятельности структурных подразделений учреждения, разработки конкретных предложений по совершенствованию информационной безопасности, которые не могут свестись к простой сумме отдельных преобразований. В обобщенном виде концепция ИБ должна включать в себя следующие основные разделы:

Введение.

1.Правовое обеспечение вопросов защиты информации.

2.Цели и задачи защиты информации.

3.Информация, подлежащая защите.

4.Техническая политика и принципы построения защиты.

5.Модель угроз информационной безопасности.

5.1.Описание сети.

5.2.Классификация источников угроз (антропогенные, техногенные, природные).

5.3.Классификация уязвимостей (объективные, субъективные, случайные).

5.4.Классификация методов реализации угроз.

5.5.Ранжирование актуальных атак.

5.6.Классификация методов парирования угроз(правовые, организационные, инженерно-технические, технические, программно-аппаратные и др.).

6.Выбор уровней защиты.

6.1.Выбор категорий защиты объектов информатизации.

6.2.Примерный перечень объектов защиты и их категорий.

6.3.Выбор класса защищенности информационной сети.

7.Облик системы защиты информации.

7.1.Начальные условия.

7.2.Описание подсистемы защиты информации(технологический, пользовательский, локальный сегментный, сетевой внешний уровень защиты).

7.3.Структура и состав подсистемы информационной безопасности(подсистемы управления доступом, аудита и мониторинга, защиты периметра, распределения ключей, вспомогательная).

8.Защита помещений и технических средств.

8.1.Построение защищенных помещений.

8.2.Размещение технических средств.

8.3.Использование вспомогательных технических средств.

8.4.Оборудование рабочего места администратора безопасности.

9.Порядок аттестации объектов информатизации.

10.Порядок контроля эффективности защиты.

37

Заключение.

В качестве приложений к Концепции могут быть даны:

–основные термины и определения;

–методика оценки и анализа возможностей реализации угроз;

–рекомендации по разработке перечня сведений ограниченного доступа;

–примерный перечень сведений ограниченного доступа;

–требования к программно-аппаратным средствам защиты информации;

–требования к размещению вспомогательных технических средств;

–программа развития и совершенствования информационной безопасности;

–руководство по обеспечению информационной безопасности. Приложения составляют наиболее мобильную часть концепции, которая

может дополняться и изменяться(без изменения основного замысла и идеи обеспечения информационной безопасности) по мере изменения требований действующих стандартов и нормативных документов.

Угрозы сохранности, целостности и конфиденциальности информационных ресурсов ограниченного доступа практически реализуются через риск образования канала несанкционированного получения каким-либо лицом ценной информации и документов. Функционирование канала несанкционированного доступа к информации обязательно влечет за собой утрату информации, исчезновение носителя информации (рис. 8).

Втом случае, когда речь идет об утрате информации по вине сотрудников, используется термин «разглашение (огласка) информации».

Человек может разглашать информацию устно, письменно, с помощью жестов, мимики, условных сигналов, лично, через посредников, по каналам связи

ит.д. Термин «утечка информации», хотя и используется наиболее широко, однако в большей степени относится к утрате информации за счет ее перехвата с помощью технических средств разведки, по техническим каналам.

Вслучае утраты информация переходит:

–непосредственно к заинтересованному лицу – злоумышленнику;

–к случайному, третьему лицу.

Под «третьим лицом» в данном случае понимается любое постороннее лицо, получившее информацию во владение в силу обстоятельств или безответственности персонала, не обладающее правом владения ею и, что очень важно, не заинтересованное в этой информации. Однако от третьего лица информация может легко перейти к злоумышленнику.

Непреднамеренный переход информации к третьему лицу возникает в -ре зультате утери или несоблюдения правил работы с информационными носителями, а также из-за излишней разговорчивости сотрудников при отсутствии злоумышленника. В отличие от третьего лица злоумышленник или его сообщник целенаправленно охотятся за конкретной информацией и преднамеренно,

противоправно устанавливают контакт с источником этой информации или преобразуют канал ее объективного распространения в канал ее разглашения или утечки. Такие каналы всегда являются тайной злоумышленника.

38

Рис. 8. Возможные пути утраты информации

Каналы несанкционированного доступа могут быть двух типов: организа-

ционные и технические. Обеспечиваются они легальными и нелегальными методами.

Организационные каналы разглашения информацииотличаются большим разнообразием видов и основаны на установлении разнообразных, в том числе законных, взаимоотношений злоумышленника с предприятием или ее сотрудником для последующего несанкционированного доступа к интересующей информации.

Основными способами реализации организационных каналов утечки - ин формации могут быть:

– поступление злоумышленника на службу или участие в деятельности ОВД в качестве помощника, потерпевшего;

–поиск злоумышленником сообщника, работающего в интересующем его ОВД, который становится его соучастником;

–использование коммуникативных связей объекта, участие в переговорах, совещаниях, переписке и др.;

–использование ошибочных действий сотрудников или умышленное провоцирование злоумышленником этих действий;

39

– тайное или по фиктивным документам проникновение на объект и криминальный доступ к информации, т.е. кража документов, дискет, дисков, компьютеров, шантаж и склонение к сотрудничеству отдельных сотрудников.

Организационные каналы отбираются или формируются злоумышленником индивидуально в соответствии с его профессиональным умением, конкретной ситуацией и прогнозировать их крайне сложно. Обнаружение организационных каналов требует проведения серьезной поисковой и аналитической работы.

Технические каналы утечки информации возникают при использовании злоумышленником специальных технических средств промышленного шпионажа, позволяющих получать защищаемую информацию без непосредственного контакта с сотрудниками объекта, документами, делами и базами данных. Технический канал представляет собой физический путь утечки информации от -ис точника или канала объективного распространения информации к злоумышленнику. Канал возникает при анализе злоумышленником физических полей и излучений, появляющихся в процессе работы вычислительной и другой офисной техники, при перехвате информации, имеющей звуковую, зрительную или иную форму отображения.

Основными техническими каналами являются акустический, визуально оптический, электромагнитный и др.

Легальные методы входят в содержание понятий «невинного шпионажа» и «разведки» и отличаются правовой безопасностью. В основе «невинного шпионажа» лежит кропотливая аналитическая работа специалистов-экспер-тов над опубликованными и общедоступными материалами объекта информатизации.

Одновременно изучаются направления деятельности, сведения, полученные в процессе официальных и неофициальных бесед и переговоров с сотрудниками ОВД, материалы пресс-конференций, научных симпозиумов и семинаров, сведения, получаемые из информационных сетей. Легальные методы дают зло-

умышленнику основную массу интересующей его информации и позволяют определить состав отсутствующих сведений, которые предстоит добыть нелегальными методами.

Нелегальные методы получения ценной информации всегда носят незаконный характер и используются для доступа к защищаемой информации, которую невозможно получить легальными методами.

Нелегальные методы предполагают воровство, продуманный обман, подслушивание разговоров, подделку идентифицирующих документов, взяточничество, инсценирование или организацию экстремальных ситуаций, использование различных криминальных приемов и т..дВ процессе реализации нелегальных методов часто образуется агентурный канал добывания ценнойин формации. К нелегальным методам относятся также перехват информации, объективно распространяемой по техническим каналам, визуальное наблюдение за помещениями и сотрудниками, анализ архитектурных особенностей объектов защиты и т.п.

Получение ценных документов или информации ограниченного доступа может быть единичным явлением или регулярным процессом, протекающим на