book_OI

5.5. Временная методика оценки защищенности помещений от утечки речевой конфиденциальной информации по каналам электроакустических преобразований

Список используемых сокращений

ЗП — защищаемые помещения (служебные кабинеты, актовые, конференц&залы и т.д.). ВТСС — вспомогательные технические средства и системы.

ГСС& генератор стандартных сигналов. АИ — акустический излучатель.

УМ — усилитель мощности.

1.Общие положения

1.1.Настоящая методика предназначена для проведения инструментально&расчетной оценки за& щищенности помещений от утечки речевой конфиденциальной информации по электроакустическим каналам при аттестации защищаемых помещений (ЗП) на соответствие требованиям защищенности, при плановом периодическом контроле защищенности, а также после изменения состава вспомога& тельных технических средств и систем (ВТСС) в ЗП.

1.2.В качестве электроакустических преобразователей могут выступать технические средства и системы, содержащие в своем составе элементы, электрические параметры которых обладают мик& рофонным эффектом и могут меняться под воздействием звукового давления. Как правило, такими элементами являются: микрофоны, электрические звонки, динамики, катушки индуктивности, и пр. При этом потенциально опасными следует считать ВТСС, функциональные (сигнальные) цепи которых выходят за пределы ЗП.

1.3.Метод оценки заключается в инструментально — расчетном определении совокупности ок& тавных отношений напряжений (отношений «сигнал шум» по напряжению), наводимых в функцио& нальных (сигнальных) цепях ВТСС тестовым акустическим сигналом (тест&сигналом) и шумом за счет их электроакустических преобразований соответствующими системами и средствами и последующим сравнением этих отношений с нормативными значениями.

Определение отношений «сигнал/шум» проводится на разъемах функциональных (сигнальных)

цепей ВТСС при отключенных линиях, выходящих за пределы ЗП, в октавных полосах частот со сред& негеометрическими частотами fср 250, 500, 1000, 2000, 4000 Гц.

Инструментальным способом определяются величина напряжения шума Uш, мкВ, и величина на& пряжения смеси тест&сигнала и шума U(с+ш), мкВ.

Расчетным способом находятся приведенные к ширине октавной полосы частот напряжения шума Uш окт и смеси тест&сигнала и шума U(с+ш), мкВ, напряжение тест&сигнала Uс , мкВ, отношение напря& жений тест&сигнала и шума ∆(с/ш) = Uс / Uш окт .

1.4.В качестве тест&сигнала необходимо использовать гармонические (тональные) частоты, соот& ветствущие среднегеометрическим частотам октавных полос. Октавные уровни излучаемого тест&си& гнала должны соответствовать интегральному уровню речи 70 дБ (для ЗП, не оборудованных систе& мами звукоусиления) и 84 дБ (для остальных ЗП). Значения октавных уровней тест&сигнала приведе& ны в приложении Б.

Уровень излучаемого тест&сигнала должен быть стабилен в процессе проведения измерений.

1.5.Все измерения должны проводиться в соответствии с инструкцией по эксплуатации приме& няемого контрольно&измерительного средства.

1.6.Нормативные значения октавных отношений «сигнал/шум», обеспечивающих защищенность рабочих помещений от утечки речевой конфиденциальной информации по электроакустическим ка& налам, приведены в разделе 2 .

80

оглавление

1

2

3

4

5

2.Нормативное значение отношения «сигнал/шум» по напряжению на разъемах функциональных (сигнальных) цепей ВТСС

Для обеспечения защищенности ЗП от утечки речевой конфиденциальной информации по элек& троакустическим каналам отношение «сигнал / шум» с/ш на разъемах функциональных (сигналь& ных) цепей каждого потенциально опасного ВТСС в каждой октавной полосе с граничными часто& тами 175 ... 350 Гц ( fср = 250 Гц), 350 ... 700 ( fср = 500 Гц), 700 ... 1400 ( fср = 1000 Гц),

1400 ... 2800 ( fср = 2000 Гц) и 2800 ... 5600 ( fср = 4000 Гц) должно отвечать условию ∆с/ш 0,1

3.Порядок проведения оценки защищенности помещения

3.1.Составить план&схему размещения ВТСС в рабочем помещении.

3.2.На основе анализа функционального назначения, конструктивных особенностей и схемотех& нических решений выявить и отметить на план&схеме потенциально опасные ВТСС.

3.3.Подготовить аппаратурный комплекс для формирования и контроля тест&сигнала и измере& ния напряжений на разъемах функциональных (сигнальных) цепей потенциально опасных ВТСС.

3.4.Отключить подходящие к ВТСС функциональные (сигнальные) линии, убедиться в отсутствии на разъемах высоких напряжений, превышающих предельные характеристики применяемых средств измерений, подключить к разъему согласующую нагрузку.

3.5.Для каждого оцениваемого ВТСС определить величины напряжений тест&сигнала Uс и шума Uш на выходных разъемах для каждой октавной полосы частот.

3.6.Для каждого ВТСС определить октавные отношения «сигнал/шум» ∆(с/ш)i .

3.7.Измерительные процедуры согласно п.п. 3.4 и 3.5 выполнить для двух режимов работы ВТСС — активного (включенного) и выключенного.

3.8.Для каждого ВТСС и каждого из его режимов сопоставить полученные значения октавных от& ношений «сигнал/шум» с их нормативными значениями (раздел 2).

3.9.Документально оформить результаты оценки защищенности ЗП от утечки речевой конфиден&

циальной информации по электроакустическим каналам согласно прилагаемой формы протокола.

4. Состав контрольно*измерительной аппаратуры и ее размещение

Для проведения измерения должна быть использована аттестованная и поверенная аппаратура общего применения, на основе которой собираются формирователь акустического тест&сигнала и из& мерители напряжений малого уровня.

4.1.В состав формирователя акустического тест&сигнала должны входить:

• генератор стандартных сигналов (ГСС);

• усилитель мощности (УМ);

• акустический излучатель (АИ ) — громкоговоритель или звуковая колонка.

4.2.АИ необходимо размещать в непосредственной близости от ВТСС на расстоянии 1 м.

4.3.В качестве измерителя напряжений малого уровня могут использоваться различные типы се& лективных микровольтметров и нановольтметров.

4.4.Микровольтметр (нановольтметр) необходимо подключать к выходным разъемам оценивае& мых ВТСС при отключенных сигнальных цепях.

Перечень рекомендуемой контрольно&измерительной аппаратуры общего применения и их техни& ческие характеристики приведены в приложении А.

5.Условия проведения измерений

Измерения необходимо проводить при минимальных уровнях акустических шумов в ЗП (отсут& ствии персонала в ЗП, выключенных системах вентиляции, кондиционирования и других источников дискретных шумов, ограничении внешних шумов, проникающих в ЗП).

81

оглавление

1

2

3

4

5

6.Выполнение измерений

6.1.Разместить АИ на расстоянии 1 м от оцениваемого ВТСС.

6.2.При выключенном АИ с помощью селективного вольтметра измерить величину напряжения шума на разъемах ВТСС Uш пр , мкВ, в минимальной измерительной полосе прибора ∆Fпр , отвечаю&

В случае невыполнения условия ∆Fпр ∆Fокт. выбирается измерительная полоса селективного вольтметра ближайшая к величине октавной полосы.

6.3.Рассчитать величину напряжения шума в октавной полосе Uш окт , мкВ.

6.4.При включенном АИ с помощью селективного вольтметра измерить величину суммарного на& пряжения смеси сигнала с шумом U (с+ш) пр , мкВ, аналогично п.2.

6.5.Рассчитать величину напряжения смеси сигнала с шумом в октавной полосе U (с+ш) окт , мкВ.

6.6.Рассчитать величину напряжения тест&сигнала Uс окт ,мкВ, в каждой октавной полосе.

6.7.Рассчитать отношение «сигнал/шум» ∆с/ш.

6.8.Провести сравнительный анализ полученных отношений «сигнал/шум» с их нормативными значениями.

6.9.Сделать вывод о защищенности ЗП от утечки речевой конфиденциальной информации по электроакустическим каналам.

6.10.Оформить документы результатов оценки.

Приложение А

Перечень аппаратуры общего применения, рекомендуемой для проведения измерения при проведении оценки защищенности помещений от утечки речевой конфиденциальной информации по электроакустическим каналам

82

оглавление

1

2

3

4

5

Примечание: Перевод уровней речевого сигнала из размерности (дБ) в размерность (Па) произво дится по формуле Ls (Па) = 2· 10-5 10(0,05 Ls (Дб))

Приложение В

Рекомендуемая форма протокола оценки защищенности помещений от утечки речевой конфиденциальной информации по каналам электроакустических преобразований

Протокол оценки защищенности помещения от утечки речевой конфиденциальной информации по каналам электроакустических преобразований

1.Название оцениваемого ЗП ...........................................................

2.План&схема ЗП с размещением в нем ВТСС (оформляется отдельным листом)

3.Перечень потенциально опасных ВТСС

Таблица 3.1

4. Перечень контрольно&измерительной аппаратуры

Таблица 4.1

5. Результаты измерений и расчетов 5.1. Значения измеренных напряжений

Таблица 5.1

83

оглавление

1

2

3

4

5

5.3. Соответствие октавных отношений «сигнал/шум» нормативному значению

Таблица 5.3

6. Выводы о защищенности помещений от утечки речевой конфиденциальной информации по элек& троакустическим каналам

____________________________________________________________________________________________

_____________________________________________________________________________________________

в присутствии представителей ________________________________________________________________

(наименование организации)

84

оглавление

1

2

3

4

5

Выводы

Рассмотренные выше вопросы использования формального и классификационного подходов, нормативной документации, методов и средств анализа защищенности, конечно, не охватывает все& го комплекса проблем, связанных с проведением аудита, обследования, либо аттестации безопасно& сти АС. Вместе с тем они являются наиболее важными и отражают основные направления исследова& ний в этой области.

Исследование методологической базы анализа защищенности АС, которую составляют различные способы формального описания систем защиты на основе графовых моделей, а также методов их анализа, имеющих прикладное значение, позволило вывести формулу для количественной оценки защищенности АС, а также выявить достоинства и недостатки формального подхода к анализу защи& щенности АС.

Достоинством формального подхода является то, что он позволяет получить точные количествен& ные оценки различных показателей защищенности АС. Однако из&за ограниченности формального подхода, практическая реализация которого представляется делом весьма затруднительным и мало& эффективным, напрашивается вывод о предпочтительности использования классификационного подхода, являющегося основным методом анализа защищенности, используемом на практике.

При классификационном подходе вместо точных количественных оценок предполагается в каче& стве характеристик защищенной системы использовать категорирование объектов: нарушителей (по целям, квалификации и доступным вычислительным ресурсам), информации (по важности и уровню секретности), средства защиты (по решаемым задачам и используемым вычислительным ресурсам). Такой подход не позволяет получать точные значения показателей эффективности средств защиты, однако дает возможность классифицировать эти системы и сравнивать их между собой.

В основе классификационных методик, получивших широкое распространение, лежат критерии оценки безопасности ИТ, устанавливающие классы и уровни защищенности. Методики и концепции оценки безопасности, а также набор критериев в достаточном объеме содержаться в международных стандартах ISO 15408 и ISO 17799 (BS 7799), руководящих документах Гостехкомиссии России, а так& же в других нормативных документах.

К сожалению, отечественная нормативная база в области оценки безопасности ИТ существенно устарела и не соответствует текущему состоянию ИТ. Однако работы по ее совершенствованию в на& шей стране идут довольно быстрыми темпами под руководством Гостехкомиссии России. К настояще& му времени подготовлен и утвержден Госстандартом ГОСТ Р ИСО/МЭК 15408&1&2002 «Общие критерии оценки безопасности ИТ» (Постановление №133&СТ от 04.04.02), являющийся переводом ISO 15408 (хотя текст этого перевода, по мнению автора, далек от совершенства и от оригинала).

Данный ГОСТ вводится в действие с 1.01.04 г. Это объясняется неготовностью российского ИТ со& общества немедленно перейти к использованию концепции и методики оценки безопасности ИТ, ус& танавливаемых этим стандартом. Потребуется приложить немало усилий для того, чтобы схема про& ведения оценки безопасности ИТ, основанная на подходе, предложенном в «Общих критериях», за& работала и позволила бы получить реальные результаты. К настоящему времени на основе «Общих критериев» уже подготовлены проекты Профилей защиты для МЭ и других средств защиты информа& ции. Для обеспечения преемственности результатов работ в области анализа защищенности АС, вы& полненных по ныне действующим нормативным документам, также необходимо разработать типовые стандартизированные профили защиты, соответствующие классам защищенности, устанавливаемым существующими РД Гостехкомиссии России.

Несмотря на отсутствие каких&либо стандартизированных методик анализа защищенности АС, ти& повую методику предложить все&таки можно. Она включает в себя изучение исходных данных; ана& лиз конфигурационных файлов маршрутизаторов, МЭ и прокси&серверов, почтовых и DNS серверов, а также других критических элементов сетевой инфраструктуры; сканирование ЛВС снаружи и изну& три; а также анализ конфигурации серверов и рабочих станций ЛВС при помощи специализирован& ных программных средств.

85

оглавление

1

2

3

4

5

Список сокращений

ГСЗИ — Государственная система защиты информации ЗИ — защита информации МЭ — межсетевой экран

НИОКР — научно&исследовательские и опытно&конструкторские работы ОО — объект оценки ОТСЗИ — организационно&техническая система защиты информации

ОУД — оценочные уровни доверия ПО — программное обеспечение РД — руководящий документ СВР — служба внешней разведки

СЗИ — средства защиты информации ФАПСИ — Федеральное агентство правительственной связи и информации ФЗ — Федеральный закон ФО — Федеральный округ

ФСБ — Федеральная служба безопасности ФСТЭК — Федеральная служба по техническому и экспортному контролю

Литература

1.Воробьев Е.Г. Войцеховский С.В. Гильванов Р.Г. Марковский А.С. Требования законодательства РФ по защите информации на предприятии.

2.Войцеховский С.В., Марковский А.С., Палагушин В.А. Защита информации в автоматизированных системах./ Под ред. профессора Хомоненко А.Д. — Спб.:НТЦ им. Л.Т. Тучкова, 2005. — 149 с.

3. Гавриш В.Ф — Практическое пособие по защите коммерческой тайны — Симферополь: Таврида, 1994

4.Гайкович В. — Безопасность электронных банковских систем — М.: Единая Европа, 1994

5.Герасименко В.А — Защита информации в автоматизированных системах обработки данных — М.: Энергоатомиздат, 1994

6.Лебедь С.В. Межсетевое экранирование. Теория и практика защиты внешнего периметра. — М.: МГТУ им. Н.Э. Баумана, 2002. 304 с.

7.Лысов А.В. — Промышленный шпионаж в России: методы и средства — С Пб.: Бум Техно, 1994

8.Магауенов Р.Г — Основные задачи и способы обеспечения безопасности автоматизированных

систем обработки информации — М.: Мир безопасности, 1997

9.Общесистемные вопросы защиты информации. Коллективная монография/ под ред. Е.М. Сухорева. Кн. 1 — М.: Радиотехника, 2003. — 296 с.

10.Петраков А.В., Лагутин В.С — Утечка и защита информации в телефонных каналах — М.: Энергоатомиздат , 1996

87

о г л а в л е н и е

1

2

3

4

5