Лекция 10 ОРГАНИЗАЦИЯ ЗАЩИТЫ ИНФОРМАЦИИ, СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ

План лекции:

• Организация защиты информации, составляющей государственной тайны, на предприятиях, в организациях и учреждениях.

• Особенности защиты информации в условиях реализации международных договоров по сокращению вооружений и вооруженных сил.

• Особенности защиты информации в условиях создания совместных предприятий.

• Особенности защиты информации в условиях научно-технического, военно-технического и экономического сотрудничества с другими странами.

1. Организация защиты информации, составляющей государственной тайны, на предприятиях, в организациях и учреждениях

Употребляемые в нормативных правовых документах по защите государственной тайны термины “предприятие, организация, учреждение” не имеют однозначных непротиворечивых определений. Обычно указанные выше термины используются не в юридическом, а содержательном смыслах.

Под предприятием понимается промышленное предприятие независимо от его организационно-правовой формы.

Под организациями понимаются коммерческие и некоммерческие организации, представляющие собой хозяйственные товарищества и общества, производственные кооперативы, благотворительные и иные фонды, производственные объединения, акционерные общества, а также в другие формы объединения физических и юридических лиц, предусмотренные законом.

Под учреждением понимается организация, созданная для осуществления управленческих, социально-культурных или иных функций непромышленного характера.

Согласно ст. 20 Закона “О государственной тайне” органы государственной власти, предприятия, учреждения и организации (далее – предприятия) обеспечивают защиту сведений, составляющих государственную тайну, в соответствии с возложенными на них задачами и в пределах своей компетенции. Защита государственной тайны является видом основной деятельности предприятия.

Организация работ по защите государственной тайны на предприятиях осуществляется их руководителями. В зависимости от объема работ руководителем предприятия создается структурное подразделение по защите государственной тайны либо назначаются штатные специалисты по этим вопросам.

Общие требования по организации и проведению работ по защите государственной тайны устанавливаются в Инструкции, утверждаемой Правительством РФ. Такая инструкция содержит требования по обеспечению пропускного режима, охраны территории объекта, доступу персонала на территорию, по порядку обращения с секретными документами, защите информации от технических разведок, от ее утечки по техническим каналам, а также другие требования.

Одной из важных задач подразделения по защите государственной тайны является защита информации, составляющей эту тайну, от технических разведок, утечки информации по техническим каналам, несанкционированного доступа к информации в системах информатизации и связи. При значительном объеме работ по решению этой задачи на предприятии может создаваться специальное структурное подразделение защиты информации.

Подразделения защиты информации (штатные специалисты) на предприятиях выполняют следующие функции:

• определяют (совместно с заказчиками) основные направления работ по защите информации;

• участвуют в согласовании технических заданий на проведение работ по защите информации;

• дают заключение о возможности проведения работ с информацией, содержащей сведения, отнесенные к государственной тайне.

• участвуют в выполнении мероприятия по защите информации;

• осуществляют контроль за выполнением и эффективностью проводимых мероприятий.

Они подчиняются непосредственно руководителю предприятия или его заместителю и обеспечиваются средствами защиты информации и контроля в соответствии со специализацией предприятия.

Для проведения работ по защите информации могут привлекаться на договорной основе специализированные предприятия и организации, имеющие лицензии на проведения работ в области защите информации.

Правовой основой для организации защиты информации, составляющей государственную тайну, служат действующий на предприятии Перечень сведений, подлежащих засекречиванию, который разрабатываемые на основе отраслевых (ведомственных, программно-целевых) развернутых перечней сведений, подлежащих засекречиванию.

Общая технологическая схема организации защиты информации, составляющей государственную тайну, представляет собой последовательную (при необходимости - итерационную) процедуру, показанную на схеме 10.1 и включающую:

• оценку угроз безопасности информации и состояния защиты информации на предприятии;

• определение целей и задач защиты информации, принятия решения о мерах защиты информации;

• планирования мероприятий по ее защите информации;

• постановки задач исполнителям работ, организации их взаимодействия и всестороннего обеспечения;

• выполнения запланированных мероприятий;

• контроля выполнения мероприятий и оценки их эффективности.

В качестве исходных данных для организации процесса защиты информации используются:

содержание используемой информации, степень ее секретности, объемы информации;

характеристики применяемых носителей информации;

описания протекающих информационных процессов;

требования по вопросам защиты информации, содержащиеся в законодательных, организационно-распорядительных и нормативных документах;

содержание программ и планов работ учреждения, в том числе по вопросам защиты государственной тайны;

информация, содержащаяся в каталогах, справочниках, пособиях и других информационных документах по вопросам защиты информации.

Всю процедуру организации защиты информации можно условно разбить на три этапа.

На первом этапе, прежде всего, определяется перечень сведений, подлежащих защите, выявляются возможные угрозы безопасности информации, и разрабатывается модель таких угроз, проверяется выполнение требований по защиты информации. Исходя из целей и задач деятельности учреждения, выявленных недостатков по обеспечению защиты информации формулируются цели информации, разрабатывается замысел их достижения, определяются задачи, требующие решения. При определении целей защиты учитываются действующие на предприятии развернутые перечни сведений, подлежащих засекречиванию и носители этих сведений.

На втором этапе разрабатываются предложения по способам и средствам защиты информации, обеспечивающих решение задач защиты информации, осуществляется оценка их технической реализуемости, стоимости, выбираются рациональные способы и средства защиты информации и контроля ее эффективности, планируется их применение. Далее осуществляется постановка задач исполнителям работ, их обучение, организация их взаимодействия при решении совместных задач, подготовка необходимых организационно-распорядительных, нормативных и методических документов, а также техническое обеспечение мероприятий по защите информации.

На третьем этапе в ходе аттестации объектов защиты проверяется выполнение требований по защите информации с учетом принятых мер в конкретных условиях эксплуатации объектов. Непосредственное применение способов и средств защиты информации сопровождается повседневным и инспекционным контролем выполнения мероприятий по защите информации, оценкой их эффективности, а также общей оценкой состояния информации на объекте.

При практической реализации представленной выше технологической схемы возможно возникновение нескольких итераций выполнения работ. Например, если из-за ограниченности выделяемых ресурсов не удается реализовать эффективные способы защиты некоторых объектов, то возможно изменение цели и задач защиты информации. Такое изменение может быть выполнено только по с разрешения заказчика проводимых работ, а, если это связано с изменением перечня засекречиваемых сведений, то только по решению органа государственной власти, наделенного полномочиями по распоряжению этими сведениями.

Цели и задачи защиты информации, а также все связанные с ними организационные и технические мероприятия могут также быть изменены по результатам контроля эффективности защиты информации в процессе жизненного цикла объекта защиты. Такое изменение, например, возможно при выявлении новых каналов утечки информации или обнаружении неэффективности выполняемых мер защиты или при изменении условий, в которых осуществляется функционирование защищаемого объекта.

Конкретное содержание и порядок организации и осуществления мероприятий по защите информации на объекте определяется действующим на этом объекте Руководством по защите информации.

Руководство должно состоять из следующих разделов:

общие положения;

охраняемые сведения об объекте;

демаскирующие признаки объекта и технические каналы утечки информации;

оценка возможностей технических разведок и других источников угроз безопасности информации;

организационные и технические мероприятия по защите информации;

оповещение о ведении разведки (раздел включается в состав Руководства при необходимости);

обязанности и права должностных лиц;

планирование работ по защите информации и контролю;

контроль состояния защиты информации; аттестование рабочих мест;

взаимодействие с другими предприятиями (учреждениями, организациями).

В зависимости от особенностей объекта допускается вводить и другие разделы.

В разделе "Общие положения" указывается назначение Руководства, приводятся общие требования по защите информации на объекте, указывается категория объекта по требованиям обеспечения защиты информации, указываются должностные лица, ответственные за выполнение требований Руководства, определяется порядок финансирования работ по защите информации на объекте, приводятся сведения о полученной лицензии на допуск к работе со сведениями, составляющими государственную тайну и об имеющихся сертифицированных средствах защиты информации.

В разделе “Охраняемые сведения об объекте” указывается конкретная цель, которая должна быть достигнута в результате проведения мероприятий по защите информации (охраняемых сведений) об объекте, замысел достижения этой цели и приводится перечень охраняемых сведений об объекте и его деятельности (без указания конкретных числовых параметров).

В разделе “Демаскирующие признаки объекта и технические каналы утечки информации” указываются демаскирующие признаки, которые раскрывают охраняемые сведения об объекте, в том числе демаскирующие признаки, возникающие в связи с использованием средств обеспечения его деятельности. Приводятся возможные технические каналы утечки охраняемых сведений об объекте, включая каналы утечки информации в технических средствах ее обработки.

В разделе “Оценка возможностей технических разведок и других источников угроз безопасности информации” приводятся:

перечень видов и средств технической разведки, источников угроз несанкционированного доступа к информации, которые опасны для данного объекта;

результаты оценки их возможностей: по обнаружению (определению) демаскирующих признаков объекта, раскрывающих охраняемые сведения; по перехвату информации циркулирующей в технических средствах ее обработки; по перехвату речевой информации из помещений; по получению, разрушению (уничтожению), искажению или блокированию информации в результате несанкционированного доступа к ней.

При оценке используются нормативно-методические документы Гостехкомиссии России, ФАПСИ и других уполномоченных органов государственной власти.

В разделе “Организационные и технические мероприятия по защите информации” приводятся:

организационные и технические мероприятия, обеспечивающие устранение или ослабление (искажение) демаскирующих признаков и закрытие возможных технических каналов утечки охраняемых сведений об объекте;

мероприятия по защите информации о создаваемых (применяемых) изделиях от иностранных граждан, как на территории объекта, так и в непосредственной близости от него;

мероприятия по защите информации в системах и средствах информатизации и связи.

При нахождении на территории объекта организации, арендующей территорию данного объекта, требования по защите информации на данный объект должны быть включены в договор аренды.

В разделе “Оповещение о ведении разведки” указывается порядок получения, регистрации и передачи данных о возникновении реальных угроз безопасности информации, а также приводится действия должностных лиц при оповещении.

В разделе “Обязанности и права должностных лиц” определяются должностные лица подразделений объекта, ответственные за разработку, обеспечение и выполнение мероприятий по защите информации, их функциональные обязанности и права, приводится структурная схема взаимодействия подразделений по защите информации на объекте с соответствующими подразделениями данного объекта.

В разделе “Планирование работ по защите информации и контролю” указываются основные руководящие документы для планирования работ по защите информации, требования к содержанию планов, приводится порядок разработки, согласования, утверждения и оформления планов, устанавливается порядок отчетности и контроля за выполнением планов.

В разделе “Контроль состояния защиты информации” указываются:

задачи контроля;

перечень органов и подразделений, имеющих право проверки состояния защиты информации на объекте;

привлекаемые силы и средства контроля, порядок привлечения (при необходимости) к этой работе специалистов основных подразделений объекта;

периодичность и виды контроля, порядок оформления результатов контроля;

действия должностных лиц по устранению нарушений норм и требований по защите информации и порядок разработки мероприятий по устранению указанных нарушений.

В разделе “Аттестование рабочих мест” указываются подразделения или должностные лица, ответственные за аттестование рабочих мест, стендов, вычислительных комплексов, выделенных помещений и т.д., приводится форма документирования результатов аттестования и порядок выдачи разрешения на проведение работ с секретной информацией, а также порядок и периодичность переаттестования рабочих мест.

В разделе “Взаимодействие с другими предприятиями” указываются порядок взаимодействия в области защиты информации с предприятиями при выполнении совместных работ, применяемые совместные организационные и технические мероприятия по защите информации, ответственность, права и обязанности взаимодействующих сторон, а также приводится структурная схема взаимодействия.

В приложения к Руководству включаются:

таблицы, схемы, графики, расчеты, исходные данные и другие справочные материалы для оценки обстановки, определения мероприятий по защите информации;

перечень создаваемых (применяемых) изделий, выполняемых НИОКР и другой продукции, подлежащих защите;

перечень сведений, подлежащих защите; план объекта с указанием схем размещения рабочих мест, стендов и т.д., и схем организации связи и сигнализации объекта;

структура системы защиты информации на объекте; перечень руководящих, нормативных и методических документов по защите информации и др.