Файл: Выполнение требований к защите информации от НСД (разработка комплексной модели).pdf

Изучаются возможности несанкционированного доступа, обработки или передачи информации. Обнаруженные каналы утечки информации немедленно уничтожаются, вводятся меры профилактики их повторного возникновения. 

Выполняется сортировка и классификация защищаемых объектов, вводится система допусков с обязательным тестированием и проверкой сотрудников. Составляется схема помещений (поэтажный план), где определяются контролируемые зоны.

Отдельно отмечаются все устройства с выходом в Интернет, системы проводной связи (интерком), телефонные линии, пути прокладки кабелей, оптоволоконные каналы. Все эти точки являются потенциальными источниками угрозы, требуют постоянного внимания, контроля.

Технические каналы утечки сведений должны стать объектами повышенного внимания службы информационной безопасности. Они делятся на два типа:

1. Скрытые каналы передачи данных, которые при обнаружении подлежат немедленному уничтожению. 

2. Действующие линии связи, сетевые коммуникации и прочие системы, которые активно используются и не могут быть отключены.

Рисунок 2 - Инженерно-техническое обеспечение защиты информации

Для определения путей утечки конфиденциальной информации составляют и тщательно анализируют следующие документы:

• общий план прилегающей местности в радиусе 100-150 м вокруг объекта защиты. Необходимо отметить на нем все здания и сооружения, рекомендуется указать их владельцев;
• поэтажные схемы помещений с указанием проемов, технических отверстий, вентиляционных магистралей, инженерно-технических коммуникаций и прочих элементов;
• схему контура заземления здания с указанием точки размещения заземлителя;
• схему линий электроснабжения с указанием всех элементов и устройств (трансформатор или подстанция, щиты, распределительные коробки, устройства защитного отключения);
• схему прокладки кабелей телефонной связи, проводов внутреннего интеркома;
• схему установки элементов пожарной сигнализации и план прокладки соединительных проводов. 

Необходимо узнать историю эксплуатации здания – бывшие собственники, какие организации или предприятия размещались в нем ранее, кто строил или реконструировал данный объект. Могли быть внесены изменения и созданы новые проходы, каналы прокладки кабелей или вентиляционные каналы, не отмеченные на поэтажных планах.

Определяются размеры или границы охраняемой зоны, устанавливаются места стоянки автотехники. Иногда для сотрудников предприятия организуют отдельную закрытую стоянку с контролируемым доступом, фиксацией времени прихода и ухода. 

Фиксируются участки, позволяющие наблюдать за охраняемой зоной, получать сведения о перемещениях сотрудников по территории предприятия. 

Отдельно определяются места размещения переговорных комнат, которые должны быть максимально защищены от внешних воздействий.

В идеале для переговоров необходимо использовать выделенные помещения с подключением соответствующих средств защиты информации – ультразвуковых глушилок на окнах, экранирования комнат от передачи данных электромагнитными методами, прочих технологий.

Особое внимание следует уделить соседним или смежным помещениям. Необходимо определить их владельца, получить сведения о режиме использования, порядке доступа, прочих особенностях этих объектов. В силу непосредственной близости от охраняемого объекта они представляют повышенную опасность, поэтому нуждаются в плотном наблюдении, контроле. 

Важными объектами являются линии электропитания, коммуникации. Они предоставляют злоумышленникам массу возможностей как физического проникновения в здание, так и подключения к каналам связи для прослушки или участия в переговорах. Кроме этого, подобные линии часто используются для удаленного воздействия на защищаемую информацию.

Для эффективного обеспечения информационной безопасности предприятия необходим тщательный анализ имеющихся информационных ресурсов. 

Должна быть проведена сортировка данных и разбивка на категории:

1 категория – информация, от которой зависит существование организации, экономическая или структурная самостоятельность;

2 категория – данные, утрата которых повлечет серьезные финансовые и репутационные потери;

3 категория – сведения, имеющие ценность для финансового состояния организации. 

Кроме этого, все имеющиеся данные могут быть поделены на две группы:

1. Сведения, предназначенные только для внутреннего использования в пределах данной организации;

2. Информация, полученная со стороны или предназначенная для передачи другим пользователям.

Учитывая это, для имеющейся информации могут быть определены шесть уровней конфиденциальности – три уровня для группы 1 (внутренние документы) и три уровня для группы 2 (сведения для передачи другим лицам).

Такая разбивка позволит ограничить круг доверенных пользователей, получивших допуск к информации высокого уровня конфиденциальности.

Вводится три режима доступа к конфиденциальной информации:

1-й устанавливается для менеджмента предприятия (организации) и обеспечивает полный доступ к любым имеющимся сведениям;

2-й действует для руководителей подразделений, отделов или служб. Он обеспечивает допуск к информации, необходимой этим сотрудникам по роду деятельности;

3-й устанавливается для специалистов (рядовых сотрудников), которые допускаются к определенным базам данных для исполнения своих обязанностей.

Подобное разграничение помогает отсечь от массивов данных сотрудников, чья компетенция не позволяет производить использование или обработку конфиденциальных сведений. Также необходимо проведение работ по защите объектов информатизации. Под этим термином понимается связка – помещение и определенный объем данных, находящихся в нем.  Все объекты необходимо рассортировать по степени конфиденциальности данных, а также по уровню сложности физического доступа к ним сотрудников и посторонних лиц. 

Объекты делят на два класса: 

• Класс А означает полное скрытие сигналов, свидетельствующих о работе с информацией.
• Класс В означает частичное скрытие (недоступность параметров обработки) работ с базами данных.

Необходимо учитывать, что организация инженерно-технической защиты информации требует значительных финансовых вложений. Процесс разработки и запуска системы требует приобретения оборудования, подготовки сотрудников службы ИБ, устройства комплексов наблюдения, идентификации.

Для того чтобы получить эффективную систему защиты конфиденциальной информации, следует заранее взвесить свои возможности и выделить определенную сумму. По мере развития предприятия оснащенность службы безопасности можно увеличить, расширить ее возможности.

По результатам анализа и подготовительных работ составляется технический проект, на основании которого производится монтаж инженерных систем наблюдения, сигнализации, оповещения и контроля. Эти работы следует поручать организациям, имеющим лицензию ФСТЭК РФ (Федеральной Службы по Техническому и Экспортному Контролю), обладающим необходимым опытом и оборудованием.

Важно обращать внимание на количество и состав рабочих бригад, проверять их допуск. После окончания работ помещения проверяют на наличие закладок (электронных средств слежения, прослушки, фото- и видеосъемки). Затем производится проверка работоспособности вновь созданных комплексов оборудования и устраняются обнаруженные ошибки. По результатам приемки составляется акт, в котором отражают состояние систем, вносят замечания и пометки о наличии недостатков. После этого инженерные средства защиты информации окончательно вводят в эксплуатацию.

2.4 Программное обеспечение защиты информации

На сегодняшний момент времени особое внимание следует уделить программному обеспечению защиты информации. Так, все современные операционные системы оснащены встроенными модулями защиты данных на программном уровне. MAC OS, Windows, Linux, iOS отлично справляются с задачей шифрования данных на диске и в процессе передачи на другие устройства.

Однако для создания эффективной работы с конфиденциальной информацией важно использовать дополнительные модули защиты. Пользовательские ОС не защищают данные в момент передачи по сети, а системы защиты позволяют контролировать информационные потоки, которые циркулируют по корпоративной сети, и хранение данных на северах.

Аппаратно-программный модуль защиты принято разделять на группы, каждая из которых выполняет функцию защиты чувствительной информации:

-уровень идентификации – это комплексная система распознавания пользователей, которая может использовать стандартную или многоуровневую аутентификацию, биометрию (распознавание лица, сканирование отпечатка пальца, запись голоса и прочие приемы);

-уровень шифрования обеспечивает обмен ключами между отправителем и получателем и шифрует/дешифрует все данные системы;

Рассмотрим вопрос защиты данных во время их передачи.

Для защиты данных во время их передачи по незащищенным сетям, таким как Internet, следует принять адекватные меры защиты. В частности, рекомендуется использовать протокол Secure Sockets Layer (SSL), IBM® i Access for Windows и виртуальные частные сети (VPN).

Так, например, в сценарии компании JKL рассматриваются две основные системы. Одна из них применяется для разработки продуктов, а вторая используется в производственных целях. Обе системы работают с крайне важными данными и программами. Руководство компании принимает решение установить третью систему и подключить ее к внешней сети для обработки сетевых приложений и приложений Internet.

За счет этого компании удастся организовать физическое отделение внутренней сети от Internet, что снижает вероятность причинения какого-либо ущерба со стороны Internet.

Благодаря тому, что новая система будет выполнять только функции сервера Internet, компания также сможет упростить управление системами защиты сети).

Поскольку обеспечение безопасности в среде Internet является первостепенной задачей, компания IBM продолжает разработку решений по защите сети, позволяющих обеспечить безопасное выполнение операций электронного бизнеса при работе в Internet. При работе в среде Internet обязательно должна быть обеспечена защита как на уровне системы, так и на уровне приложений. Перемещение конфиденциальной информации по внутренней сети и тем более по Internet требует серьезных мер по организации защиты. В частности, необходимо принять меры по защите данных при их передаче по Internet).

Риски, связанные с передачей данных между незащищенными системами, можно минимизировать с помощью двух специальных продуктов защиты данных операционной системы i5/OS: протокол SSL и VPN.

Протокол SSL - это отраслевой стандарт защиты данных, передаваемых между клиентами и серверами. Первоначально протокол SSL разрабатывался для браузеров, но теперь он поддерживается и многими другими приложениями. В частности, следующими приложениями операционной системы i5/OS) :

• IBM HTTP Server for i5/OS (стандартный и на основе Apache)
• Сервер FTP
• Сервер Telnet
• Сервер архитектуры распределенных реляционных баз данных (DRDA) и управления распределенными данными (DDM)
• Функция Централизованное управление в System i Navigator
• Сервер служб каталогов (LDAP)
• Приложения IBM i Access for Windows, включая System i Navigator, и приложения, разработанные с помощью API IBM i Access for Windows
• Программы, разработанные с помощью продукта Developer Kit for Java™ и клиентские приложения, в которых используется IBM Toolkit for Java
• Программы, разработанные с помощью API Secure Sockets Layer (SSL), которые позволяют применять SSL в приложениях. Информация о написании программ, применяющих SSL, приведена в разделе API Secure Sockets Layer).

Некоторые из вышеперечисленных приложений также поддерживают идентификацию клиентов с помощью цифровых сертификатов. В основе протокола SSL лежат цифровые сертификаты, позволяющие идентифицировать клиентов и серверов и создавать защищенное соединение.

Соединение VPN позволяет защитить данные, передаваемые между между двумя конечными точками. Так же, как и в протоколе SSL, предусмотрена возможность шифрования данных и идентификации отправителей. Однако соединения VPN позволяют управлять параметрами защиты для каждого отдельно взятого соединения. Поэтому соединения VPN частично обеспечивают и защиту на уровне сети.

SSL и VPN обеспечивают конфиденциальность, подлинность и целостность при передаче данных. Выбор зависит от нескольких факторов. Следует учесть, с кем вы устанавливаете соединение, какие приложения применяются для связи, насколько защищенным должно быть соединение и какие издержки в стоимости и производительности вы готовы понести в связи с защитой этого соединения).

Учтите также следующее обстоятельство: протокол SSL может применяться только теми приложениями, которые специально рассчитаны на его применение. Несмотря на то, что многие приложения по-прежнему не поддерживают SSL, многие другие, такие как Telnet и IBM i Access for Windows, позволяют применять протокол SSL. В отличие от SSL, соединения VPN позволяют защитить весь поток данных между двумя конечными точками соединения).