Контроль эффективности инженерно-технической защиты информации

Важнейшее и необходимое направление работ по защите ин­формации— контроль эффективности защиты информации.

Контроль проводится силами службы безопасности, руководите­лями организации и структурных подразделений, всеми сотрудни­ками организации, допущенными к закрытой информации. Применяют следующие виды контроля:

•предварительный;

•периодический;

•постоянный.

Предварительный контроль проводится при любых измене­ниях состава, структуры и алгоритма функционирования системы защиты информации, в том числе:

•после установки нового технического средства защиты или из­менения организационных мер;

•после проведения профилактических и ремонтных работ средствзащиты;

•после устранения выявленных нарушений в системе защиты.

Периодический контроль осуществляется с целью обеспече­ния систематического наблюдения за уровнем защиты. Он прово­дится выборочно (применительно к отдельным темам работ, струк­турным подразделениям или всей организации) по планам, ут­вержденным руководителем организации, а также вышестоящими органами.

Наиболее часто должен проводиться периодический контроль на химических предприятиях, так как незначительные нарушения в технологическом процессе могут привести к утечке демаскирую­щих веществ. Для определения концентрации демаскирующих ве­ществ регулярно берутся возле предприятия пробы воздуха, воды, почвы, снега, растительности.

Периодичность и места взятия проб определяются характером производства с учетом условий возможного распространения де­маскирующих веществ, например розы ветров и скорости воздуш­ных потоков, видов водоемов (искусственный, озеро, болото, река и др.), характера окружающей местности и т. д. Пробы воздуха ре­комендуется брать с учетом направлений ветра на высоте пример­но 1,5 м в непосредственной близости от границ территории (50-100 м) и в зоне максимальной концентрации демаскирующих ве­ществ, выбрасываемых в атмосферу через трубы. Пробы воды бе­рутся в местах слива в водоемы в поверхностном слое и на глубине 30-50 см с последующим смешиванием. Берутся также пробы поч­вы и пыли на растительности. С этой целью собирают листья с не­скольких деревьев и кустов на уровне 1,5-2 м от поверхности и не ранее недели после дождя.

Периодический (ежедневный, еженедельный, ежемесячный) контроль должен проводиться также сотрудниками организации в части источников информации, с которыми они работают.

Общий (в рамках всей организации) периодический контроль проводится временными внутренними и внешними комиссиями обычно 2 раза в год. Целью его является тщательная проверка ра­ботоспособности всех элементов и системы защиты информации в целом. Так как о времени работы комиссии сотрудникам органи­зации (предприятия) заранее известно, то эти проверки выявляет в основном недостатки, не устраненные перед началом работы ко­миссии.

Постоянный контроль осуществляется выборочно силами службы безопасности и привлекаемых сотрудников организации с целью объективной оценки уровня защиты информации и, прежде всего выявления слабых мест в системе защиты организации. Так как объекты и время такого контроля сотрудникам не известны, то такой контроль, кроме того, оказывает психологическое воздейс­твие на сотрудников организации, вынуждая их более тщательно и постоянно выполнять требования по обеспечению защиты ин­формации.

Следует также отметить, что добросовестное и постоянное вы­полнение сотрудниками организации требований цо защите ин­формации основывается на рациональном сочетании способов при­нуждения и побуждения.

Принуждение — способ, при котором сотрудники организа­ции вынуждены соблюдать правила обращения с источниками и носителями конфиденциальной информации под угрозой админис­тративной или уголовной ответственности.

Побуждение предусматривает создание у сотрудников уста­новки на осознанное выполнение требований по защите инфор­мации, формирование моральных, этических, психологических и других нравственных мотивов. Воспитание побудительных моти­вов у сотрудников организации является одной из задач службы безопасности, но ее усилия найдут благодатную почву у тех со­трудников, которые доброжелательно относятся к руководству ор­ганизации и рассматривают организацию как долговременное мес­то работы. Создание условий и традиций, при которых место ра­боты воспринимается как второй дом, является, по мнению ком­петентных аналитиков, одним из факторов экономического роста Японии. Поэтому на строгость и точность выполнения сотрудниками требований по защите информации в значительной степени влияет климат в организации, который формируется ее руководс­твом.

Эффективность защиты информации от технической разведки оценивается методами технического контроля. В ходе его произ­водится определение технических параметров носителей информа­ции. В результате сравнения их с нормативными значениями при­нимается решение об уровне безопасности защищаемой информа­ции.

Технические меры контроля проводятся с использованием тех­нических средств радио- и электрических измерений, физического и химического анализа и обеспечивают проверку:

•напряженности полей с информацией на границах контролиру­емых зон;

•уровней опасных сигналов и помех в проводах и экранах кабе­лей, выходящих за пределы контролируемой зоны;

•степени зашумления генераторами помех структурных звуков в ограждениях;

•концентрации Демаскирующих веществ в отходах производс­тва.

Для измерения напряженности электрических полей исполь­зуются селективные вольтметры, анализаторы спектра, панорам­ные приемники.

Различают три вида технического контроля:

•инструментальный;

•инструментально-расчетный;

•расчетный.

Инструментальные методы контроля обеспечивают наиболее точные результаты, так как они реализуются с помощью средств измерительной техники в местах контроля, прежде всего на гра­нице контролируемой зоны. Так как измеряемые уровни опасных сигналов сравнимы с уровнями шумов, то для инструментального контроля необходимы высокочувствительные дорогостоящие из­мерительные приборы. Это обстоятельство существенно затрудня­ет реальные возможности проведения контроля.

Наибольшие проблемы возникают при инструментальном кон­троле ПЭМИН, так как частоты побочных излучений охватывают практически весь радиодиапазон, а их уровни соизмеримы с элект­ромагнитным фоном. Стандартная контрольно-измерительная ап­паратура не обеспечивает проведение исследований ПЭМИН в не­обходимом объеме. Поэтому для этих целей используются доро­гостоящие специальные приборы и приборы для физических на­учных исследований. Для измерений сигналов ПЭМИН применя­ются измерительные приемники, селективные микровольтметры и анализаторы спектра с техническими характеристиками:

•диапазон частот — десятки Гц-десятки ГГц;

•чувствительность — десятки-сотни нВ;

•динамический диапазон— 100-150 дБ;

•избирательность — единицы Гц-единицы МГц;

•точность измерения уровня сигнала — 1-2 дБ.

Так как многие сигналы ПЭМИН имеют импульсный харак­тер и согласно требованиям нормативно-методических докумен­тов, эти приборы должны оснащаться пиковыми и квазипиковы­ми детекторами. Очень полезно для возможности автоматизации измерений наличие у измерительных приборов программно-ап­паратного интерфейса с ПЭВМ. С целью комплексного решения проблем исследований ПЭМИН ведущие организации в области производства технических средств защиты информации «Нелк», «Иркос», «Маском», «Элерон» и др. выпускают постоянно совер­шенствуемые автоматизированные комплексы для измерений из­лучений ПЭМИН.

Инструментально-расчетный технический контроль поз­воляет снизить требования к параметрам измерительной техни­ки. Эти методы предполагают проведение измерений не на грани­це контролируемой зоны, а вблизи возможных источников сигна­лов (ОТТС). Возле источников сигналов уровни сигналов выше и соответственно, требования к чувствительности измерительных приборов ниже. Уровни же сигналов в местах проведения контро­ля рассчитываются по соответствующим методикам расчета. Так как в качестве исходных данных для расчета применяются резуль­таты измерений, то точность контроля будет определяться точнос­тью измерений и используемого математического аппарата.

Наконец, если отсутствуют требуемые для инструментально­го или инструментально-расчетного контроля измерительные приборы, то осуществляется расчетный технический контроль путем проведения расчетов по априорным или справочным исходным данным. Существующие методы расчетного технического контро­ля обеспечивают приемлемые для практики результаты при оцен­ке угроз подслушивания и наблюдения. Для оценки этих угроз су­ществует достаточно большой выбор данных в справочниках по акустике и оптике. Например, в справочнике по акустике приво­дятся данные об уровне громкости речи в помещении, величины звукоизоляции для различных ограждений, уровни акустических шумов для различных видов деятельности, по которым легко рас­считывается отношение сигнал/шум в точке контроля, например в коридоре или соседнем помещении.

Меры контроля, так же как и защиты, представляют совокуп­ность организационных и технических мероприятий, проводимых с целью проверки выполнения установленных требований и норм по защите информации. Организационные меры контроля вклю­чают:

•проверку выполнения сотрудниками требований руководящих документов по защите информации;

•проверку работоспособности средств охраны и защиты инфор­мации от наблюдения, подслушивания, перехвата и утечки ин­формации по материально-вещественному каналу (наличие за­навесок, штор, жалюзей на окнах, чехлов на разрабатываемых изделиях, состояние звукоизоляции, экранов, средств подавле­ния опасных сигналов и зашумления, емкостей для сбора отхо­дов с демаскирующими веществами и т. д.);

•контроль за выполнением инструкций по защите информации оразрабатываемой продукции;

•оценку эффективности применяемых способов и средств защи­ты информации.

Вопросы для самопроверки

1.Основные организационные меры по инженерно-технической защите информации.

2.Основные методы и средства инженерно-технической защиты информации от различных видов угроз.

3.Виды контроля эффективности инженерно-технической защи­ты информации.

4, Сущность постоянного контроля и его формы.

5. Виды технического контроля и когда они применяются?