Файл: Виды и состав угроз информационной безопасности (Основные определения и критерии классификации угроз).pdf

Источник информации — объект, осуществляющий выбор из всей совокупности информационных сообщений одного сообщения, подлежащего передаче по каналу связи адресату. В нашем случае источником информации может быть сотрудник предприятия, в установленном порядке допущенный к конфиденциальной информации, работающий с документами или иными ее носителями. В процессе разработки (формирования) документа осуществляется преобразование информации в форму сообщения.

Сообщение — набор знаков (текст документа), с помощью которых сведения могут быть переданы другому объекту и восприняты им. В отдельных случаях в целях исключения (существенного уменьшения) вероятности овладения посторонним лицом (злоумышленником) охраняемой информацией преобразование информации в текст документа осуществляется с использованием криптографических или программно-аппаратных средств защиты.

Отправитель сообщения — объект, осуществляющий непосредственную передачу документа, содержащего конфиденциальную информацию, адресату. В роли отправителя документа может выступать сотрудник режимно-секретного подразделения (службы безопасности) предприятия, осуществляющий непосредственную отправку (доставку) документа по назначению (в соответствии с указанным адресом). Также отправителем может быть оператор (сотрудник структурного подразделения), осуществляющий передачу документа с использованием технических средств передачи и обработки информации (технических средств связи).

Передатчик — устройство, выполняющее функцию обработки сообщения в соответствии с выбранным алгоритмом и формирования сигнала для непосредственной его передачи по каналу связи (информационному каналу).

Канал распространения (информационный канал или канал связи) — среда, используемая для передачи сообщения (информации) от передатчика к приемнику. Иными словами, канал представляет собой пространство между отправителем сообщения и его получателем, характеризуемое определенным расстоянием. При этом информационный канал — среда передачи сообщения в документированном (текстовом) виде, а канал связи служит для обмена информацией, представленной в речевой (звуковой, символьной и т. п.) форме. Во время передачи по каналу связи (информационному каналу) передаваемый сигнал и сообщение, содержащее конфиденциальную информацию, могут быть подвергнуты определенному воздействию. На сигнал воздействуют помехи, он может искажаться при передаче по каналу связи. Воздействие на сообщение может представлять собой попытки овладения содержащейся в нем информацией со стороны злоумышленника (противника, недоброжелателя, конкурента).

Приемник — элемент, выполняющий функцию, обратную функции передатчика. Иными словами, приемник преобразует принятый сигнал и восстанавливает по нему первоначальное сообщение. В рамках системы информационного обмена (в том числе документированной информацией) приемник можно представить в форме объекта, выполняющего также функцию доставки сообщения его получателю.

Получатель информации — объект (лицо), осуществляющий фактический прием, обработку (приведение к документальному виду) и подготовку сообщения для его непосредственного доведения до сведения адресата.

В роли получателя сообщения может выступить работник службы безопасности (режимно-секретного подразделения), функционально отвечающий за получение, учет, регистрацию и доведение до сведения конкретного адресата сообщения, преобразованного в форму документа.

Адресат — должностное лицо (сотрудник предприятия), для которого предназначается передаваемая и принимаемая информация.

При выполнении элементами коммуникационного процесса своих функций возникают объективные возможности негативного воздействия со стороны злоумышленника на передаваемую и принимаемую (обрабатываемую, преобразуемую) информацию. Вследствие этого воздействия появляются каналы утечки конфиденциальной информации независимо от формы ее представления и состояния (существует ли она в форме сообщения или находится в открытом, уже преобразованном для использования виде, обработана или находится в стадии подготовки для доведения до сведения адресата и т.д.).

2.2. Источники конфиденциальной информации и каналы ее утечки

Основными источниками конфиденциальной информации являются:

• персонал предприятия, допущенный к конфиденциальной информации;
• носители конфиденциальной информации (документы, изделия);
• технические средства, предназначенные для хранения и обработки информации;
• средства коммуникации, используемые в целях передачи информации;
• передаваемые по каналам связи сообщения, содержащие конфиденциальную информацию.

Способы обмена конфиденциальной информацией (например, между сотрудниками предприятия) могут носить как непосредственный (личный) характер, так и характер передачи формируемых на основе информации сообщений посредством технических средств и средств коммуникаций (различных средств и систем связи).

Из существующих способов обмена конфиденциальной информацией необходимо выделить организационные каналы передачи и обмена информацией:

• конфиденциальное делопроизводство (защищенный документооборот);
• совместные работы, выполняемые предприятием по направлениям его производственной и иной деятельности;
• совещания (конференции), в ходе которых обсуждаются вопросы конфиденциального характера;
• рекламная и издательская (публикаторская) деятельность;
• различные мероприятия в области сотрудничества с иностранными государствами (их представителями и организациями), связанные с обменом информацией;
• научные исследования, деятельность диссертационных и иных советов учреждений и организаций;
• передача сведений о деятельности предприятия и данных о его сотрудниках в территориальные инспекторские и надзорные органы.

Организационные каналы передачи и обмена конфиденциальной информацией в ходе их функционирования могут быть подвергнуты негативному воздействию со стороны злоумышленников, направленному на получение этой информации. Данное воздействие, в свою очередь, может привести к возникновению каналов утечки конфиденциальной информации и потребовать от руководства предприятия, руководителей структурных подразделений и персонала принятия мер по защите конфиденциальной информации, направленных на недопущение ее утечки и несанкционированного распространения (утраты носителей конфиденциальной информации).

Для определения необходимых мер по защите информации. Нужно провести классификацию всех возможных каналов утечки информации в зависимости от направлений и специфики деятельности предприятия, видов конфиденциальной информации, особенностей функционирования системы защиты информации и иных факторов.

Организационные каналы утечки конфиденциальной информации, возникающие в процессе деятельности предприятия, подразделяйся следующим образом:

• по источникам угроз защищаемой информации (внешние и утренние);
• по видам конфиденциальной информации или тайн (государственная, коммерческая, служебная или иная тайна; персональные данные сотрудников предприятия);
• по источникам конфиденциальной информации (персонал, носители информации, технические средства хранения и обработки информации, средства коммуникации, передаваемые или принимаемые сообщения и т.п.);
• по способам или средствам доступа к защищаемой информации (применение технических средств, непосредственная и целее направленная работа с персоналом предприятия, осуществление непосредственного доступа к информации, получение доступа к защищаемой информации агентурным путем);
• по характеру взаимодействия с партнерами (каналы утечки, возникающие в отсутствие взаимодействия, при осуществлении взаимодействия, в условиях конкурентной борьбы);
• по продолжительности или времени действия (каналы утечки постоянного, кратковременного, а также периодического или эпизодического действия);
• по направлениям деятельности предприятия (каналы утечки, возникающие в обычных условиях или при повседневной деятельности предприятия, при выполнении совместных работ, осуществлении международного сотрудничества, проведении совещаний, выезде персонала за границу, в ходе рекламной и публикаторской или издательской деятельности, при проведении научных исследований или командировании сотрудников предприятия);
• по причинам возникновения каналов утечки информации Действия злоумышленников, ошибки персонала, разглашение конфиденциальной информации, случайные обстоятельства);

Далее по тексту термин «защита информации» распространяется только на информацию, в установленном порядке отнесенную к конфиденциальной информации, если иное не оговорено особо.

• по каналам коммуникации, используемым для передачи, приема или обработки конфиденциальной информации (каналы утечки, возникающие при хранении, приеме-передаче, обработке или преобразовании информации, а также в канале связи, по которому передается информация);
• по месту возникновения каналов утечки информации (каналы утечки, возникающие за пределами территории предприятия или на территории предприятия — в служебных помещениях, на объектах информатизации, объектах связи и в других местах);
• по используемым способам и методам защиты информации (каналы утечки, возникающие при нарушении установленных требований по порядку отнесения информации к категории конфиденциальной, обращения с носителями информации, ограничения круга допускаемых к информации лиц, непосредственного доступа к информации персонала предприятия или командированных лиц, а также по причине нарушения требований пропускного или внутриобъектового режимов).

Задачи по исключению возможных каналов утечки конфиденциальной информации решаются как отдельными должностными лицами (персоналом), так и структурными подразделениями предприятия, создаваемыми и функционирующими по различным направлениям защиты информации. Успешное решение этих задач невозможно без применения совокупности средств и методов защиты информации. Классификация сил, средств, способов и методов защиты информации, а также порядок их применения (использования) рассмотрены в соответствующих главах учебника.

Для более полного представления о системе защиты информации предприятия, силах, средствах, способах, методах защиты информации, мероприятиях, планируемых и проводимых в целях обеспечения информационной безопасности, необходимо рассмотреть основы организационной составляющей системы защиты конфиденциальной информации предприятия как наиболее важного направления деятельности предприятия по защите информации.

3. Организационные основы защиты информации на предприятии

3.1 Основные направления, принципы и условия организационной защиты информации

Из упоминавшихся ранее средств и методов обеспечения информационной безопасности особо были выделены организаци­онные, которые в совокупности с другими элементами системы защиты информации на предприятии подробно описаны в после­дующих главах учебника. Для наиболее полного и глубокого ана­лиза происходящих в сфере защиты конфиденциальной инфор­мации процессов, понимания сущности планируемых и проводи­мых в этих целях мероприятий прежде всего необходимо рассмот­реть одно из важнейших направлений защиты конфиденциальной информации — организационную защиту информации.

Организационная защита информации является организаци­онным началом, так называемым «ядром» в общей системе защи­ты конфиденциальной информации предприятия. От полноты и качества решения руководством предприятия и должностными лицами организационных задач зависит эффективность функцио­нирования системы защиты информации в целом. Роль и место организационной защиты информации в общей системе мер, на­правленных на защиту конфиденциальной информации предпри­ятия, определяются исключительной важностью принятия руко­водством своевременных и верных управленческих решений с уче­том имеющихся в его распоряжении сил, средств, методов и спо­собов защиты информации и на основе действующего норматив­но-методического аппарата.

Среди основных направлений защиты информации наряду с организационной выделяют правовую и инженерно-техническую защиту информации. Однако организационной защите информа­ции среди этих направлений отводится особое место.

Организационная защита информации призвана посредством выбора конкретных сил и средств, в том числе правовых и инженер­но-технических, реализовать на практике спланированные руко­водством предприятия меры по защите информации. Эти меры при­нимаются в зависимости от конкретной обстановки на предприятии, связанной с наличием возможных угроз, воздействующих на защищаемую информацию и ведущих к ее утечке.

Роль руководства предприятия в решении задач по защите ин­формации трудно переоценить. Основными направлениями дея­тельности, осуществляемой руководителем предприятия в этой области, являются: планирование мероприятий по защите инфор­мации и персональный контроль за их выполнением, принятие решений о непосредственном доступе к конфиденциальной ин­формации своих сотрудников и представителей других организа­ций, распределение обязанностей и задач между должностными лицами и структурными подразделениями, аналитическая работа и т.д. Цель принимаемых руководством предприятия и должност­ными лицами организационных мер исключение утечки ин­формации и, таким образом, уменьшение или полное исключе­ние возможности нанесения предприятию ущерба, к которому эта утечка может привести.