Защита информации

Человек как возможный источник каналов утечки информации.

Одним из важных источников, образующих канал утечки информа­ ции является человек. Особенность состоит в том, что человек может яв­ ляться как собственником информации, так и источником информации, зло­ умышленником, пытающимся получить эту информацию и защитником ин­ формации.

Поэтому человеку как организатору защиты информации важно пред­ ставлять те мотивы поведения, которые заставляют другого человека (со­ трудника организации, фирмы, сотрудника сторонних фирм и организа­ ций, имеющих производственные связи с защищаемой организацией) ста­ новится источником конфиденциальной информации для конкурентов за­ щищаемой организации.

В (Л.97) показано, что возможность привлечения собственного пер­ сонала к участию в промышленном шпионаже в пользу её конкурентов оце­ нивается следующими цифрами - по данным итальянских специалистов в области промышленного шпионажа, персонал любой компании состоит на 25 % из честных людей, “которые остаются таковыми при любых обстоя­ тельствах”, на 25%-люди, ожидающие удобного случая поживиться за счет интересов фирмы и остальные 50 %-лица, “которые могут остаться честны­ ми или не останутся честными в зависимости от обстоятельств”. Это зна­ чит, что из 100 сотрудников 75 могут стать промышленными шпионами и при использовании таких способов как “инициативное сотрудничество”, “под угрозой шантажа” и др. злоумышленники могут получать конфиден­ циальную информацию о конкурентах. Существуют и другие цифры, ха­ рактеризующие степень опасности персонала-10%-10% -80%.

Эта цифры говорят об исключительной опасности этого канала утеч­ ки информации.

Следует отметить, что контроль за поведением персонала в целях пре­ сечения подобных негативных действий может быть существенно ограни­ чен требованиями защиты свободы действий человека.

Однако основные действия конкурентов по вербовке персонала долж­ ны быть учтены в деятельности СБ. Основные действия, используемые при подобных случаях, приведены на рис. 1.5.

К ним относятся “сознательные” действия, исполнителями которых могут быть те (10 или25% персонала), которые ожидают удобного случая поживиться за счет фирмы. Мотивы - инициативное сотрудничество, за взят­ ку. Однако в подобные действия под угрозой шантажа и в качестве мести могут быть вовлечены и другие сотрудники. Для получения информации конкурента используют, так называемую“утечку мозгов”, когда на работу переманивают наиболее сведущих сотрудников. За небольшую прибавку к зарплате можно получить от этого специалиста ценнейшие сведения.

41

Однако наряду с возможным предательством сотрудников нужно иметь в виду более простые способы получения информации о конкуренте, свя­ занные с обманом сотрудников организации. Как это делается? Создают­ ся, например, ложные предприятия, которые широко предлагают работу спе­ циалистам из конкурирующих предприятий. Цель этих предложений - вы­ ведать конфиденциальную информацию конкурентов. Первоначально вы­ ясняется круг лиц, которые интересуют клиента и последним предлагают (например, через выписываемые последними газеты) условия найма, как правило, значительно более привлекательные, чем есть у интересующего специалиста и по заработной плате и по премиям и по льготам.

Специалист заполняет необходимые анкеты, встречается с будущим начальством и, желая показать себя с лучшей стороны, рассказывает не толь­ ко о том, что делает сам, но и о работе своего отдела (фирмы). Однако, когда требуемые сведения получены, он получает вежливый отказ и остает­ ся на старом месте, досадуя на упущенный шанс. А конкурент или фирма промышленного шпионажа получают необходимые сведения.

х, рассыльных, клерков и иногда (что удается редко) даже среднего руково­ дящего состава. Такой очевидец - это лучший источник информации, осо­ бенно если ему удается войти в доверие к руководству фирмы или даже к руководителю рангом ниже. Негласное ознакомление, подслушивание раз­ говоров, особенно с использованием технических средств позволяет доволь­ но оперативно получать интересующую информацию.

Особая опасность утечки конфиденциальной информации связана с некоторыми особенностями характера специалистов организации, имею­ щих доступ к этой информации. К подобным особенностям может быть отнесена болтливость или стремление показать себя более компетентным.- Обладающие подобными недостатками (слабостями) могут легко через лесть и посулы рассказать конкуренту о интересующих его сведениях, на­ правлениях деятельности. Тайны часто выбалтываются случайно на выс­ тавках, семинарах, неофициальных и деловых встречах.

Для получения информации злоумышленник использует также злостно­ ошибочные действия сотрудников организации, связанные со слабым зна­ нием требований по защите информации или злостным невыполнением этих требований. При недостаточно сильной СБ в организации не всегда удает­ ся организовать изучение требований по защите информации и их выпол­ нение на практике. При организации подобной работы следует учитывать, что для исполнителей работ, связанных с конфиденциальностью, вводимые ограничения, требующие определенных усилий и времени на их выполне­ ние, кажутся ненужными и уменьшающими их производительность. Для защиты информации от подобных каналов утечки наряду с техническими мероприятиями исключительно большое значение имеют социальные воп­

42

росы - правильная кадровая политика, участие исполнителей в прибылях организации, создание нормального психологического климата в коллек­

тиве и т.п.

Рис. 1.5. Некоторые особенности характера и действий сотрудников предприятия, приводящие к возможной утечке конфиденциальной информации.

Каналы несанкционированного воздействия.

Каналы несанкционированного воздействия (НСВ) на защищаемую информацию - комбинация технического канала передачи и обработки

принципы и способы передачи, обработки и хранения информации, общие конфигурации возможных каналов НСВ можно представить в виде, приве­ денном на рисунке 1.6.

43

б)

1) на передаваемую информацию

ТС нсв 2) на технические средства

канала «приема-передачи» (вывод из строя, перегрузка входных устройств и т.п.)

в)

44

г)

на носителях

д)

Рис. 1.6. Каналы несанкционированного воздействия на информацию.

При этом следует выделить группы каналов, в которых несанкциони­ рованное воздействие осуществляется по проводным каналам передачи, по беспроводным линиям передачи информации, воздействие на средства об­ работки и хранения информации и носители информации. Средами рас­ пространения, как передаваемой информации, так и сигнала НСВ могут служить воздух, вода, линии электропитания и передачи информации и т.п.

45

Распространенным случаем НСВ является воздействие на линии пере­ дачи информации и источники питания и каналы управления технических средств передачи, обработки и хранения информации.

При этом возможно:

-выведение из строя технических средств обработки и передачи ин­ формации;

-блокирование передаваемой или записываемой информации;

-искажение передаваемой информации.

Выведение из строя технических средств в основном связано с выведе­ нием из строя элементов электронных устройств (как правило расположен­ ных на наиболее уязвимом направлении - во входных устройствах).

Выбор параметров подобных ТС НСВ может быть проведен, исходя из предельной энергопоглощающей способности элементов, используемых на входе и в схемах электронных устройств. Параметры некоторых элемен­ тов приведены в таблицах 1.4 и 1.5.

Из этих таблиц видно, что для вывода из строя таких компонентов электронных схем как микросхемы, транзисторы или диоды достаточно воздействия импульса с энергией 1-1000 мкДж. Импульс может быть ко­ ротким (время пробоя p-n-p перехода или МОП-структуры составляет 10100 нс).

Таблица 1.4 Значения предельной энергопоглощающей способности радиоэлементов.

46

Таблица 1.5

Значения предельной энергопоглощающей способности элементов ВИП.

Подключение средств ТС НСВ может осуществляться как контактным,

ной формы, модуляции, мощности, обеспечивающими сбой, блокирование, уничтожение передаваемой или обрабатываемой информации и т.п. Так, например, устройства подавления звукозаписывающей аппаратуры (глава 6) типа УПД-02, Буран-3 и др. обеспечивают подавление записываемых на диктофоны и магнитофоны речевых сигналов с помощью специальных высокочастотных излучений.

Для аналогичных целей могут быть также использованы ультразвуко­ вые сигналы (комплекс “Завеса”). Подобные устройства, в зависимости от поставленных целей, могут быть использованы против злоумышленника или злоумышленником.

47

Для подобных целей, также широко используют радиоэлектронные помехи - непоражающие электромагнитные или акустические излучения, которые ухудшают качество функционирования РЭС, систем управления оружием или систем обработки информации (Л.54). Воздействуя на прием­ ные устройства, помехи имитируют или искажают наблюдаемые и регист­ рируемые сигналы, затрудняют или исключают выделение полезной инфор­ мации, ведение радиопереговоров и т.п. Более подробно виды помех рас­ смотрены в гл. 4.

Широко рассматривается в настоящее время вопрос блокирования

может осуществляться и на промежуточных пунктах приема-передачи ин­ формации (рис. 1.6 Г). Это могут быть пункты ретрансляции сигналов или пункты получения информации по телефонным линиям передачи и после­ дующей их передачи радиосигналами-пейджинговая связь.

Впоследнем случае источником блокирования, задержки или моди­ фикации (изменения) передаваемой информации может служить подкуп­ ленный персонал этих пунктов.

Возможно несанкционированное воздействие непосредственно на различные типы носителей информации - например магнитные носители (магнитные пленки, дискеты и т.п.).

Вэтом случае могут быть использованы различные механические воз­ действия или магнитные воздействия для уничтожения хранящейся на но­ сителях информации.

На объектах информатизации необходимо предусмотреть защиту чув­ ствительной информации, к которой относятся данные, программы, процес­ сы, управляющие команды, пароли и другие информационные ресурсы, на­ рушение конфиденциальности или целостности которых может привести к принятию неправильных (неадекватно сложившейся в технологическом про­ цессе экологически опасного производства ситуации) решений, потере уп­ равляемости технологическим процессом или даже к аварийным ситуациям.

Требования и рекомендации по защите подобной информации необ­ ходимо распространить на автоматизированные системы управления тех­ нологическими процессами экологически опасных производств, автомати­ зированные системы сбора и обработки информации о состоянии (измене­

Организационно-технические мероприятия и технические способы защиты информации защищаемого помещения

Инженерно-техническая защита информации на объекте достигается выполнением комплекса организационно-технических и технических мероп­ риятий с применением (при необходимости) средств защиты информации

48

от утечки информации или несанкционированного воздействия на нее по техническим каналам, за счет несанкционированного доступа и неконтро­ лируемого распространения информации, по предупреждению преднаме­ ренных программно-технических воздействий с целью нарушения целост­ ности (модификации, уничтожения) информации в процессе ее обработки, передачи и хранения, нарушения ее доступности и работоспособности тех­ нических средств и носителей информации и т.п.

Мероприятия по защите конфиденциальной информации и противо­ действию техническим средствам разведки подразделяются на организаци­ онно-технические и технические (рис.1.7).

Рис. 1.7. Возможные мероприятия по защите информации и противодействию техническим средствам разведки.

Организационно-технические мероприятия.

Организационно-технические мероприятия основаны на введении ог­ раничений на условия функционирования объекта защиты и являются пер­ вым этапом работ по защите информации. Эти мероприятия нацелены на оперативное решение вопросов защиты наиболее простыми средствами и организационными мерами ограничительного характера, регламентирую­ щими порядок пользования техническими средствами. Они, как правило, проводятся силами и средствами служб безопасности самих предприятий и организаций.

49

В процессе организационных мероприятий необходимо определить: а) контролируемую зону (зоны).

Контролируемая зона - территория объекта, на которой исключено неконтролируемое пребывание лиц, не имеющих постоянного или разово­ го допуска. Контролируемая зона может ограничиваться:

1.периметром охраняемой территории предприятия;

2.частью охраняемой территории, охватывающей здания и сооруже­ ния, в которых проводятся закрытые мероприятия;

3.частью здания (комнаты, кабинеты, залы заседаний, переговорные помещения, в которых проводятся закрытые мероприятия).

Контролируемая зона при необходимости может устанавливаться большей, чем охраняемая территория, при этом соответствующей службой обеспечивается постоянный контроль за неохраняемой частью территории. Бывают постоянная и временная контролируемые зоны.

Постоянная контролируемая зона - зона, граница которой устанавли­ вается на длительный срок. Постоянная зона устанавливается в случае, если конфиденциальные мероприятия внутри этой зоны проводятся регулярно.

Временная контролируемая зона - зона, установленная для проведе­ ния конфиденциальных мероприятий разового характера.

б) выделить из эксплуатируемых технических средств технические сред­ ства, используемые для передачи, обработки и хранения конфиденциаль­ ной информации (ОТСС).

ОТСС - технические средства, предназначенные для передачи, обра­ ботки и хранения конфиденциальной информации. К ним относятся исполь­ зуемые для этих целей:

-системы внутренней (внутриобъектовой) телефонной связи;

-директорская, громкоговорящая диспетчерская связь;

-внутренняя служебная и технологическая системы связи;

-переговорные устройства типа «директор-секретарь»;

-системы звукоусиления конференц-залов, залов совещаний, столов заседаний, звукового сопровождения закрытых кинофильмов;

-системы звукозаписи и звуковоспроизведения (магнитофоны, дик­ тофоны);

-и т.п.

ОТСС по степени их гарантированной защищенности могут быть раз­ делены на следующие:

-сертифицированные по требованиям защиты информации (имею­ щие соответствующие сертификаты на средства и системы, непос­ редственно обрабатывающие, хранящие и передающие информа­ цию);

-не имеющие таких сертификатов, но прошедшие инструменталь­ ные исследования, позволяющие определить характеристики их за­ щиты (имеющие соответствующие протоколы исследований);

-другие средства и системы.

в) выявить в контролируемой зоне (зонах) вспомогательные техничес­ кие средства и системы (ВТСС).

ВТСС - средства и системы, не предназначенные для передачи, обра­

50