Организационные методы защиты информации Ключевые слова приведены в тексте лекции подчекиванием, курсивом и жирними выделениями

Лекция 1

Организационные методы защиты информации

Ключевые слова приведены в тексте лекции подчекиванием, курсивом и жирними выделениями

За многовековой период своего развития человечество накопило ог- ромную массу знаний о способах и средствах ведения разведки противобор- ствующей (конкурирующей) стороны. Понятно, что в основном это опыт во- енного характера, но он используется и для «мирной» реализации на нише промышленного шпионажа.
Рассмотрим основные способы ведения разведывательных (шпионских) действий. Все они, независимо от того, кто и против кого их предпринимает, могут быть представлены в виде трех основных групп:

• 
  на основе открытых источников;
  
• 
  путем использования субъектов – носителей информации;
  
• 
  через технические каналы.
  

К использованию открытых источников относятся способы добывания информации, реализуемые путем анализа газет, книг, научных и технических изданий, официальных отчетов и особенно рекламных материалов. Подоб- ным образом работают большинство разведок мира. Понятно, что основная работа при этом ложится на специально подготовленных аналитиков, кото- рые пропускают через себя горы материалов, отсеивая и накапливая необхо-
димую информацию. Главными направлениями получения открытого доступа к конфиденциальной информации здесь являются:

• 
  доклады на конференциях, симпозиумах и других собраниях;
  
• 
  вопросы, осторожно задаваемые специалистами;
  
• 
  попытки пригласить на работу сотрудников конкурирующей фирмы и заполнение ими при этом специальных вопросников;
  
• 
  прием на работу, обычно с резким увеличением оклада, служащего кон- курирующей фирмы (своего рода законный подкуп);
  
• 
  изучение выставочных образцов;
  
• 
  притворные переговоры с конкурентами о приобретении лицензии или совместной деятельности и другие.
  

Все эти методы давно опробованы на Западе. По мере становления служб безопасности крупных коммерческих организаций и создания при них серьезных аналитических отделов, при условии привлечения специалистов из разведки, легальные источники сбора информации и в России займут подо- бающее им место в системе сбора данных.
Напомним главное правило – всегда нужно помнить о свойстве инфор- мации постепенно накапливаться. Поэтому, когда вы даете внешне безобид- ную рекламу или интервью, посылаете отчет или делаете доклад, всегда со- поставляйте их содержание с ранее «опубликованными» материалами; в со- четании с ними ваши откровения могут иметь совсем другое значение.
И, последнее замечание, хотя собирать открытую информацию легко, но она недостаточно достоверна, так как не менее легко дать по этому каналу и дезинформацию.
Использование субъектов – носителей информации принадлежит к дру- гой группе способов промышленного шпионажа. Дело в том, что в ряду источников конфиденциальной информации люди занимают особое место, ибо способны выступать не только обладателями неких сведений, но и субъектами злонамеренных действий. В отличие от технического устройства их можно подкупить, шантажировать или просто обмануть, но при этом люди являются не просто обладателями и распространителями информации в пре- делах своих функциональных обязанностей, их возможности гораздо шире. Так, любой специалист, кроме того, что он является носителем информации, может ее анализировать, обобщать и делать выводы, то есть получать тре- буемые сведения по совокупности косвенных данных.
При определенных условиях люди способны скрывать, воровать, про- давать информацию и совершать иные криминальные действия вплоть до вступления в устойчивые преступные связи со злоумышленниками. Правда, процесс выявления кандидата в агенты является достаточно сложным. Внача- ле проводится оценка и разработка кандидата, то есть изучение его личных качеств и способностей, а также изыскание способов его наиболее эффектив- ной вербовки и использования. Далее производится сама вербовка путём - шантажа, подкупа, идейных соображений, личного неприятия руководителя компании и т. д.
Очень часто агенту неизвестно, на кого он работает, либо ему дается неверная информация. Позднее, когда приобретут силу финансовые или дру- гие средства контроля, завербованному, часто к его ужасу, раскрывают ис- тинное имя хозяина. Впрочем, как показал богатый опыт спецслужб, более эффективной работы от агента можно добиться путем убеждения, а не угроз, и умные хозяева стремятся развивать дружеские отношения с ним.
Обнаружение скрытого агента – очень сложная и трудоемкая задача, требующая специальных навыков оперативной работы. Останавливаться на этих вопросах мы не будем, поскольку все материалы по методам ведения оперативной работы являются сугубо секретными, да и данная тематика вы- ходит за рамки нашей книги и нашей квалификации. Отметим только, что при правильной организации деятельности фирмы большинство агентов (особен- но обслуживающий персонал) не может обладать всей полнотой информации. В этом случае их используют для легального проникновения в помещения с целью установки подслушивающих устройств и исследования содержимого мусорных корзин.
Для некоторого затруднения деятельности таких агентов необходимо, прежде всего, определить строгий порядок и выделить специальные оборудо- ванные помещения для ведения деловых бесед, чтобы исключить даже крат- ковременное «случайное» присутствие посторонних, в том числе и из своих сотрудников. Организовать максимально жесткий учет и строго регламенти- ровать порядок работы с деловыми документами. Узаконить круг лиц, допус- каемых к тем или иным внутрифирменным секретам, запретить сотрудникам вести служебные переговоры с домашних телефонов. При посторонних нель- зя называть фамилию, имя, отчество собеседника. Назначая место встречи, надо переходить на условности и т. д. Но эти меры будут недостаточными, если нельзя исключить применение против вас технических средств несанк- ционированного съема информации.
Общая характеристика методов несанкционированного получения кон- фиденциальной информации через технические каналы и перечень исполь- зуемых при этом средств приведены в табл. 1.
Как видно из таблицы, некоторые физические явления имеют место в разных действиях, т.е. на практике при съеме информации с объекта, эти яв- ления зачастую смешиваются, это важно учитывать при защите объекта.
Таблица 1.

Действие	Физическое явле- ние	Способ (средство) съема информации
1. Разго- вор не- скольких лиц	Акустический сигнал	Подслушивание, в том числе случайное Диктофоны Закладные устройства с переда- чей информации по: имеющимся коммуни- кациям (трубам, цепям сигнализации, сетям 220 В, телефонным линиям...); специально проложенным проводам; радио- или ИК- каналу Направленный микрофон
	Виброакустиче- ский сигнал	Стетоскоп - Вибродатчик с передачей ин- формации по: радиоканалу; проводам; ком- муникациям; ИК-каналу Оптический лазер- ный микрофон
	Гидроакустиче- ский сигнал	Гидроакустический датчик
	Акустоэлектри- ческий сигнал	Радиоприемник спецназначения
	Движение губ	Визуально, в том числе оптическими при- борами Камера, в том числе с передачей по проводам и радиоканалу
2. Разго- вор по те- лефону	Акустический сигнал	Аналогично п. 1
	Электрический сигнал в линии	Параллельный телефон, прямое подключе- ние, подключение через электромагнитный датчик, телефонная радиозакладка
	Побочные элек- тромагнитные излучения (ПЭ- МИ) и наводки	Специальные радиотехнические устройст- ва
3. Разго- вор по радиоте- лефону	Акустический сигнал Электро- магнитные волны	Аппаратура п. 1 Специальные радиопри- емные устройства

4. Доку- мент на бумаж- ном носи- теле	Наличие	Визуально, в том числе с помощью опти- ческих средств; Фотографирование, в том числе с дистанционной передачей снимка; Копирование
5. Раз- множение докумен- та на бу- мажном носителе	Следы на нижнем листе, копиро- вальной бумаге или красящей ленте	Кража, визуально
	Шумы принтера	Спецаппаратура акустического контроля
	ПЭМИ от ЭВМ	Специальные радиотехнические устройства
6. Почто- вые от- правле- ния	Наличие	Прочтение: со вскрытием, без вскрытия
7. Доку- мент на небу- мажном носителе	Носитель	Копирование, вскрытие, несанкциониро- ванное использование ЭВМ
8. Изго- товление доку- мента на небу- мажном носителе	Изображение на дисплее	Визуально, в том числе с помощью опти- ческих средств Фотографирование Видео- или телевизи- онные закладные устройства
	ПЭМИ	Специальные радиотехнические устройства
	Электрические сигналы в сетях	Аппаратные закладки
9. Пере- дача до- кументов на небу- мажном носителе.	Электрические сигналы	Несанкционированное подключение к ин- формационной системе, имитация пользо- вателя

Обеспечение информационной безопасности государства является одной из приоритетных государственных задач. Под информационной безопасностью понимают состояние защищенности собственно информации и её носителей (человека, органов, систем и средств, обеспечивающих получение, обработку, хранение, передачу и использование информации) от различного вида угроз. Источники этих угроз могут быть преднамеренными (т.е. имеющими цель незаконного получения информации) и непреднамеренными (такую цель не преследующими).
Обеспечить безопасность информации можно различными методами и средствами как организационного, так и инженерного характера. Комплекс организационных мер, программных, технических и других методов и средств обеспечения безопасности информации образует систему защиты информации. При этом следует иметь в виду, что защите подлежит информа- ция, содержащая сведения, отнесенные к государственной тайне, и другие конфиденциальные сведения.
В данном учебном курсе представлены материалы, посвященные рассмотрению технических каналов утечки информации, возникающих при работе технических средств обработки информации, технических мер и средств защиты, предотвращающих возможность перехвата информации с использованием этих каналов.
Защита информации рассматриваться как Государственная политика информационной безопасности. Например в настоящее время в некоторых развитых странах ( США, Россия, Англия ) принята концепция информационной безопасности как составной части национальной безопасности государства. В рамках проекта этой Концепции изложены основные положения государственной политики обеспечения информационной безопасности, имеющие большое значение для построения как государственной, так и ведомственных систем защиты информации и заклю- чающиеся в следующем:

1. 
   Государство формирует программу информационной безопасности, объединяющую усилия государственных организаций и коммерческих структур в создании единой системы информационной безопасности государства;
   
2. 
   Государство формирует нормативно-правовую базу, регламенти- рующую права, обязанности и ответственность всех субъектов, действующих в информационной сфере;
   
3. 
   Ограничение доступа к информации есть исключение из общего принципа открытости информации, и осуществляется только на основе зако- нодательства;
   
4. 
   Ответственность за сохранность, засекречивание и рассекречивание информации персонифицируется;
   
5. 
   Доступ к какой-либо информации, а также вводимые ограничения доступа осуществляются с учетом определяемых законом прав собственности на эту информацию;
   
6. 
   Юридические и физические лица, собирающие, накапливающие и обрабатывающие персональные данные и конфиденциальную информацию, несут ответственность перед законом за их сохранность и использование;
   
7. 
   Государство осуществляет контроль за созданием и использованием средств защиты информации посредством их обязательной сертификации и лицензирования деятельности предприятий и организаций в области защиты информации;
   
8. 
   Государство проводит протекционистскую политику, поддерживаю- щую деятельность отечественных производителей средств информатизации и защиты информации, и осуществляет меры по защите внутреннего рынка от проникновения на него некачественных средств информатизации и информа- ционных продуктов;
   
9. 
   Государство стремится к отказу от зарубежных информационных технологий для информатизации органов государственной власти и управле- ния по мере создания конкурентоспособных отечественных информационных технологий и средств информатизации;
   
10. 
    Государство законными средствами обеспечивает защиту общества от ложной, искаженной и недостоверной информации, поступающей через средства массовой информации;
    
11. 
    Государство способствует предоставлению гражданам доступа к мировым информационным ресурсам, глобальным информационным сетям;
    
12. 
    Государство, прилагая усилия для противодействия информацион- ной экспансии других стран, поддерживает интернационализацию глобаль- ных информационных сетей и систем.
    

На основе приведенных выше положений государственной политики обеспечения информационной безопасности должны проводиться все меро- приятия по защите информации в различных сферах деятельности государст- ва. Это предполагает, в свою очередь, разработку соответствующего научно- технического и организационно-правового обеспечения защиты информации. Научно-техническое обеспечение защиты информации должно быть направлено на достижение необходимого уровня защищенности информаци- онных технологий, систем и средств информатизации и связи и заключается в проведении фундаментальных и прикладных исследований, создании защи- щенных технологий, средств и систем, а также создании средств и систем
контроля состояния защиты информации.