6.3. Методические рекомендации по разработке мер предотвращения утечки информации

Так как не существует формальных методов синтеза вариантов предотвращения угроз безо­пасности информации, то разработка мер по защите информации производится эвристическим пу­тем на основе знаний и опыта соответствующих специалистов. Однако в интересах минимизации ошибок процесс разработки должен соответствовать следующим рекомендациям.

Разработку мер защиты информации целесообразно начинать с угроз, имеющих максимальное значение, далее - с меньшей угрозой, до тех пор пока не будут исчерпаны выделенные ресурсы. Такой подход гарантирует, что даже при малых ресурсах хватит средств для предотвращения наибо­лее опасных угроз. Для каждой угрозы разрабатываются меры (способы и средства) по защите ин­формации. Перечень основных способов приведены в табл. 6.5.

Таблица 6.5.

Вид угрозы	Способы и средства предотвращения угрозы
Хищение или воз­действия на но­ситель злоумыш­ленника	Физические преграды: заборы, КПП, двери, взло-стойкие стекла окон, хранилища, сейфы. Технические средства охраны, телевизионные средства наблюдения, охранное освещение.
Уничтожение но­сителя информа­ции в результате пожара	Технические средства пожарной сигнализации, средства пожаротушения, огнестойкие хранилища и сейфы.
Разглашение, утеря	Регламентация, управление доступом.
Наблюдение	Маскировка, деформирующие маски, ложные сооружения, радиоотражатели. Естественные и искусственные маски, аэрозо­ли, пены, радиопоглощающие и звукопоглощающие материалы, генераторы оптических, радио и гид­роакустических помех.
Подслушивание	Скремблирование и цифровое шифрование. Звукоизолирующие конструкции, звукоизолиру­ющие материалы, акустическое и вибрационное зашумление. Обнаружение и локализация закладных уст­ройств.
Перехват	2. Отключение источников опасных сигналов, фильтрация опасных и ограничение опасных сигна лов, применение буферных устройств, экранирова­ние, генераторы помех.

Примечание. Под номером 1 - способы и средства информационного скрытия, под номером 2 -способы и средства энергетического скрытия, под номером 3 - другие способы и средства.

Эвристическим способом разработанные варианты защиты оцениваются по эффективности и стоимости по двум методикам:

- оценки эффективности мер по предотвращению отдельных угроз;

- оценки эффективности комплекса мер по защите информации. Результаты анализа заносятся в табл. 6.6.

Таблица 6.6.

№ п/п	Источник инфор-ии	Место нахожде­ния источника	Вид канала (пути)	Способы защиты	Средства защиты	Затраты
1	2	3	4	5	6	7
I. Способы и средства защиты от физического проникновения злоумышленника к источникам информации
П. Способы и средства блокировки каналов утечки информации

Указание мест нахождения источников позволяет в последующем объединять способы и сред­ства защиты источников, находящихся в одном помещении или хранилище, уменьшая затраты.

При отсутствии ограничений на ресурсы, что встречается крайне редко, рассматриваются все выявленные каналы и пути физического проникновения. При ограниченности ресурсов, в типовом варианте после разработки каждого варианта суммируются затраты и сравниваются с выделенными. Если суммарные затраты не превышают выделенных, то процесс разработки способов и средств продолжается. В противном случае он прекращается и проводится оптимизация состава выбранных способов и средств. Оптимизация заключается в унификации способов и средств физической защи­ты информации и материальных ценностей, размещенных в одном помещении, а также блокирова­ния разных каналов утечки информации одного вида из источников информации и сигналов, лока­лизованных в пределах одной контролируемой зоны. Например, генераторы акустических или ра­диопомех в пределах радиуса своего действия обеспечивает энергетическое скрытие информации, утечка которых возможна по разным акустическим и радиоэлектронным каналам. Поэтому нецеле­сообразно применять для каждого канала свое активное средство, а следует унифицировать и объе­динять средства применительно для контролируемой зоны: хранилища, помещения, здания и т. д. Кроме того, что при определении затрат на физическую защиту информации надо из ее суммы вы­честь затраты, которые обеспечивают не только безопасность информации, но и материальных цен­ностей.

Если в результате оптимизации удается сократить расходы, то к составу мер добавляются спо­собы и средств для следующих по рангу угроз. Целесообразно определить несколько рациональных вариантов способов и средств.

Результаты выбора оформляются в виде проекта системы защиты или предложений по мерам защиты, которые предъявляются руководству организации для принятия решения. Наличие в про­екте нескольких вариантов вынуждает руководителя принимать более активное участие в построе­нии или совершенствовании системы защиты, что увеличивает шансы на принятии руководством проекта или предложений.

После принятия проекта и выделения ресурсов начинается этап реализации проекта. Задачи специалистов заключаются в контроле за работой специалистов, реализующих проект, участие в приемке выполненной работы и проверке эффективности функционирования элементов и системы защиты в целом.