Доступ: Анонимный

ХОРЕВ Анатолий Анатольевич, доктор технических наук, профессор

Организация защиты информации от утечки по техническим каналам

Общие положения

К защищаемой информации относится информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации [3]. Это, как правило, информация ограниченного доступа, содержащая сведения, отнесенные к государственной тайне, а также сведения конфиденциального характера.

Защита информации ограниченного доступа (далее - защищаемой информации) от утечки по техническим каналам осуществляется на основе Конституции Российской Федерации, требований законов Российской Федерации “Об информации, информатизации и защите информации”, “О государственной тайне”, “О коммерческой тайне”, других законодательных актов Российской Федерации, “Положения о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам”, утвержденного Постановлением Правительства РФ от 15.09.93 № 912-51, “Положения о лицензировании деятельности предприятий, организаций и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны”, утвержденного Постановлением Правительства РФ от 15 апреля 1995 г. № 333, “Положения о государственном лицензировании деятельности в области защиты информации”, утвержденного Постановлением Правительства РФ от 27 апреля 1994 г. № 10, “Положения о лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации” утвержденного Постановлением Правительства РФ от 27 мая 2002 г. № 348, с изменениями и дополнениями от 3 октября 2002 г. № 731, “Положения о сертификации средств защиты информации”, утвержденного Постановлением Правительства РФ от 26 июня 1995 г. № 608, Постановлений Правительства Российской Федерации “О лицензировании деятельности по технической защите конфиденциальной информации” (от 30 апреля 2002 г. № 290, с изменениями и дополнениями от 23 сентября 2002 г. № 689 и от 6 февраля 2003 г. № 64), “О лицензировании отдельных видов деятельности” (от 11 февраля 2002 г. № 135), а также “Положения по аттестации объектов информатизации по требованиям безопасности информации”, утвержденного Председателем Гостехкомиссии России 25 ноября 1994 г., и других нормативных документов.

Требования и рекомендации нормативных документов распространяются на защиту государственных информационных ресурсов. При проведении работ по защите негосударственных информационных ресурсов, составляющих коммерческую тайну, банковскую тайну и т.д., требования нормативных документов носят рекомендательный характер.

Режим защиты информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну (далее - конфиденциальной информации), устанавливается собственником информационных ресурсов или уполномоченным лицом в соответствии с законодательством Российской Федерации.

В дальнейшем рассмотрим методические рекомендации по организации защиты конфиденциальной информации, собственником которой являются негосударственные предприятия (организации, фирмы).

Мероприятия по защите конфиденциальной информации от утечки по техническим каналам (далее - технической защите информации) являются составной частью деятельности предприятий и осуществляются во взаимосвязи с другими мерами по обеспечению их информационной безопасности.

Защита конфиденциальной информации от утечки по техническим каналам должна осуществляться посредством выполнения комплекса организационных и технических мероприятий, составляющих систему технической защиты информации на защищаемом объекте (СТЗИ), и должна быть дифференцированной в зависимости от установленной категории объекта информатизации или выделенного (защищаемого) помещения (далее – объекта защиты).

Организационные мероприятия по защите информации от утечки по техническим каналам в основном основываются на учете ряда рекомендаций при выборе помещений для установки технических средств обработки конфиденциальной информации (ТСОИ) и ведения конфиденциальных переговоров, введении ограничений на используемые ТСОИ, вспомогательные технические средства и системы (ВТСС) и их размещение, а также введении определенного режима доступа сотрудников предприятия (организации, фирмы) на объекты информатизации и в выделенные помещения.

Технические мероприятия по защите информации от утечки по техническим каналам основываются на применении технических средств защиты и реализации специальных проектных и конструкторских решений.

Техническая защита информации осуществляется подразделениями по защите информации (службами безопасности) или отдельными специалистами, назначаемыми руководителями организаций для проведения таких работ. Для разработки мер по защите информации могут привлекаться сторонние организации, имеющие лицензии ФСТЭК или ФСБ России на право проведения соответствующих работ.

Для защиты информации рекомендуется использовать сертифицированные по требованиям безопасности информации технические средства защиты. Порядок сертификации определяется законодательством Российской Федерации.

Перечень необходимых мер защиты информации определяется по результатам специального обследования объекта защиты, сертификационных испытаний и специальных исследований технических средств, предназначенных для обработки конфиденциальной информации.

Уровень технической защиты информации должен соответствовать соотношению затрат на организацию защиты информации и величины ущерба, который может быть нанесен собственнику информационных ресурсов.

Защищаемые объекты должны быть аттестованы по требованиям безопасности информации в соответствии с нормативными документами ФСТЭК России на соответствие установленным нормам и требованиям по защите информации. По результатам аттестации дается разрешение (аттестат соответствия) на обработку конфиденциальной информации на данном объекте.

Ответственность за обеспечение требований по технической защите информации возлагается на руководителей организаций, эксплуатирующих защищаемые объекты.

В целях своевременного выявления и предотвращения утечки информации по техническим каналам должен осуществляться контроль состояния и эффективности защиты информации. Контроль заключается в проверке по действующим методикам выполнения требований нормативных документов по защите информации, а также в оценке обоснованности и эффективности принятых мер. Защита информации считается эффективной, если принятые меры соответствуют установленным требованиям и нормам. Организация работ по защите информации возлагается на руководителей подразделений, эксплуатирующих защищаемые объекты, а контроль за обеспечением защиты информации - на руководителей подразделений по защите информации (служб безопасности).

Установка технических средств обработки конфиденциальной информации, а также средств защиты информации должна выполняться в соответствии с техническим проектом или техническим решением. Разработка технических решений и технических проектов на установку и монтаж ТСОИ, а также средств защиты информации производится подразделениями по защите информации (службами безопасности предприятий) или проектными организациями, имеющими лицензию ФСТЭК, на основании технических заданий на проектирование, выдаваемых заказчиками.

Технические решения по защите информации от утечки по техническим каналам являются составной частью технологических, планировочных, архитектурных и конструктивных решений и составляют основу системы технической защиты конфиденциальной информации.

Непосредственную организацию работ по созданию СТЗИ осуществляет должностное лицо, обеспечивающее научно-техническое руководство проектированием объекта защиты.

Разработка и внедрение СТЗИ может осуществляться как силами предприятий (организаций, фирм), так и другими специализированными организациями, имеющими лицензии ФСТЭК и (или) ФСБ России на соответствующий вид деятельности.

В случае разработки СТЗИ или ее отдельных компонентов специализированными организациями в организации - заказчике определяются подразделения или отдельные специалисты, ответственные за организацию и проведение мероприятий по защите информации, которые должны осуществлять методическое руководство и участвовать в специальном обследовании защищаемых объектов, аналитическом обосновании необходимости создания СТЗИ, согласовании выбора ТСОИ, технических и программных средств защиты, разработке технического задания на создание СТЗИ, организации работ по внедрению СТЗИ и аттестации объектов защиты.

Порядок организации на предприятии работ по созданию и эксплуатации объектов информатизации и выделенных (защищаемых) помещений определяется в специальном “Положении о порядке организации и проведения на предприятии работ по защите информации от ее утечки по техническим каналам” с учетом конкретных условий, которое должно определять:

• порядок определения защищаемой информации;
• порядок привлечения подразделений организации, специализированных сторонних организаций к разработке и эксплуатации объектов информатизации и СТЗИ, их задачи и функции на различных стадиях создания и эксплуатации защищаемого объекта;
• порядок взаимодействия всех занятых в этой работе организаций, подразделений и специалистов;
• порядок разработки, ввода в действие и эксплуатацию защищаемых объектов;
• ответственность должностных лиц за своевременность и качество формирования требований по защите информации, за качество и научно-технический уровень разработки СТЗИ.

На предприятии (учреждении, фирме) должен быть документально оформлен перечень сведений, подлежащих защите в соответствии с нормативными правовыми актами, а также разработана соответствующая разрешительная система доступа персонала к такого рода сведениям.

При организации работ по защите утечки по техническим каналам информации на защищаемом объекте можно выделить три этапа [6, 9]:

• первый этап (подготовительный, предпроектный);
• второй этап (проектирование СТЗИ);
• третий этап (этап ввода в эксплуатацию защищаемого объекта и системы технической защиты информации).

Подготовительный этап создания системы технической защиты информации

На первом этапе осуществляется подготовка к созданию системы технической защиты информации на защищаемых объектах, в процессе которой проводится специальное обследование защищаемых объектов, разрабатывается аналитическое обоснование необходимости создания СТЗИ и техническое (частное техническое) задание на ее создание.

При проведении специального обследования защищаемых объектов с привлечением соответствующих специалистов проводится оценка потенциальных технических каналов утечки информации.

Для анализа возможных технических каналов утечки на объекте изучаются [1, 6 - 9]:

• план (в масштабе) прилегающей к зданию местности в радиусе до 150 - 300 м с указанием (по возможности) принадлежности зданий и границы контролируемой зоны;
• поэтажные планы здания с указанием всех помещений и характеристиками их стен, перекрытий, материалов отделки, типов дверей и окон;
• план-схема инженерных коммуникаций всего здания, включая систему вентиляции;
• план-схема системы заземления объекта с указанием места расположения заземлителя;
• план-схема системы электропитания здания с указанием места расположения разделительного трансформатора (подстанции), всех щитов и разводных коробок;
• план-схема прокладки телефонных линий связи с указанием мест расположения распределительных коробок и установки телефонных аппаратов;
• план-схема систем охранной и пожарной сигнализации с указанием мест установки и типов датчиков, а также распределительных коробок.

Устанавливается: когда был построен объект (здание), какие организации привлекались для строительства, какие организации в нем ранее располагались.

При анализе условий расположения объекта определяются граница контролируемой зоны, места стоянки автомашин, а также здания, находящиеся в прямой видимости из окон защищаемых помещений за пределами контролируемой зоны. Определяются (по возможности) принадлежность этих зданий и режим доступа в них.

Путем визуального наблюдения или фотографирования из окон защищаемых помещений устанавливаются окна близлежащих зданий, а также места стоянки автомашин, находящиеся в прямой видимости. Проводится оценка возможности ведения из них разведки с использованием направленных микрофонов и лазерных акустических систем разведки, а также средств визуального наблюдения и съемки.

Устанавливается месторасположение трансформаторной подстанции, электрощитовой, распределительных щитов. Определяются здания и помещения, находящиеся за пределами контролируемой зоны, которые запитываются от той же низковольтной шины трансформаторной подстанции, что и защищаемые объекты. Измеряется длина линий электропитания от защищаемых объектов до возможных мест подключения средств перехвата информации (распределительных щитов, помещений и т.п.), находящихся за пределами контролируемой зоны. Проводится оценка возможности приема информации, передаваемой сетевыми закладками (при их установке в защищаемых помещениях), за пределами контролируемой зоны.

Определяются помещения, смежные с защищаемыми и находящиеся за пределами контролируемой зоны. Устанавливаются их принадлежность и режим доступа в них. Определяется возможность доступа с внешней стороны к окнам защищаемых помещений. Проводится оценка возможности утечки речевой информации из защищаемых помещений по акустовибрационным каналам.

Определяются соединительные линии вспомогательных технических средств и систем (линии телефонной связи, оповещения, систем охранной и пожарной сигнализации, часофикации и т.п.), выходящие за пределы контролируемой зоны, места расположения их распределительных коробок. Измеряется длина линий от защищаемых объектов до мест возможного подключения средств перехвата информации за пределами контролируемой зоны. Проводится оценка возможности утечки речевой информации из защищаемых помещений по акустоэлектрическим каналам.

Определяются инженерные коммуникации и посторонние проводники, выходящие за пределы контролируемой зоны, измеряется их длина от защищаемых объектов до мест возможного подключения средств перехвата информации.

Устанавливается месторасположение заземлителя, к которому подключен контур заземления защищаемого объекта. Определяются помещения, расположенные за пределами контролируемой зоны, которые подключены к тому же заземлителю.

Определяются места установки на объектах информатизации ТСОИ и прокладки их соединительных линий.

Проводится оценка возможности перехвата информации, обрабатываемой ТСОИ, специальными техническими средствами по электромагнитным и электрическим каналам утечки информации.

В современных условиях целесообразно провести технический контроль по оценке реальных экранирующих свойств конструкций здания звуко- и виброизоляции помещений в целях учета их результатов при выработке мер защиты ТСОИ и выделенных помещений.

Предпроектное обследование может быть поручено специализированной организации, имеющей соответствующую лицензию, но и в этом случае анализ информационного обеспечения в части защищаемой информации целесообразно выполнять представителям организации - заказчика при методической помощи специализированной организации.

Ознакомление специалистов этой организации с защищаемыми сведениями осуществляется в установленном в организации - заказчике порядке.

После проведения предпроектного специального обследования защищаемого объекта группой (комиссией), назначенной руководителем предприятия (организации, фирмы), проводится аналитическое обоснование необходимости создания СТЗИ, в процессе которого:

• определяется перечень сведений, подлежащих защите (перечень сведений конфиденциального характера утверждается руководителем организации);
• проводится категорирование сведений конфиденциального характера, подлежащих защите;
• определяется перечень лиц, допущенных до сведений конфиденциального характера, подлежащих защите;
• определяется степень участия персонала в обработке (обсуждении, передаче, хранении и т.п.) информации, характер их взаимодействия между собой и со службой безопасности;
• разрабатывается матрица допуска персонала к сведениям конфиденциального характера, подлежащих защите;
• определяется (уточняется) модель вероятного противника (злоумышленника, нарушителя);
• проводятся классификация и категорирование объектов информатизации и выделенных помещений;
• проводится обоснование необходимости привлечения специализированных организаций, имеющих необходимые лицензии на право проведения работ по защите информации, для проектирования и внедрения СТЗИ;
• проводится оценка материальных, трудовых и финансовых затрат на разработку и внедрение СТЗИ;
• определяются ориентировочные сроки разработки и внедрения СТЗИ.

Основным признаком конфиденциальной информации является ее ценность для потенциального противника (конкурентов). Поэтому, определяя перечень сведений конфиденциального характера, их обладатель должен определить эту ценность через меру ущерба, который может быть нанесен предприятию при их утечке (разглашении). В зависимости от величины ущерба (или негативных последствий), который может быть нанесен при утечке (разглашении) информации, вводятся следующие категории важности информации:

• 1 категория – информация, утечка которой может привести к потере экономической или финансовой самостоятельности предприятия или потери ее репутации (потери доверия потребителей, смежников, поставщиков и т.п.);
• 2 категория – информация, утечка которой может привести к существенному экономическому ущербу или снижению ее репутации;
• 3 категория – информация, утечка разглашение которой может нанести экономический ущерб предприятию.

С точки зрения распространения информации ее можно разделить на две группы:

• первая группа (1) – конфиденциальная информация, которая циркулирует только на предприятии и не предназначенная для передачи другой стороне;
• вторая группа (2) – конфиденциальная информация, которая предполагается к передаче другой стороне или получаемая от другой стороны.

Следовательно, целесообразно установить шесть уровней конфиденциальности информации (табл. 1).

Таблица 1. Уровни конфиденциальности информации

Величина ущерба (негативных последствий), который может быть нанесен при разглашении конкретной информации	Уровень конфиденциальности информации
	информация, не подлежащая передаче другим предприятиям (организациям)	информация, предназначенная для передачи другим предприятиям (организациям) или полученная от них
Утечка информации может привести к потере экономической или финансовой самостоятельности предприятия или потери ее репутации	1.1	1.2
Утечка информации может привести к существенному экономическому ущербу или снижению репутации предприятия	2.1	2.2
Утечка информации может нанести экономический ущерб предприятию	3.1	3.2

Введение категорий конфиденциальности информации необходимо для определения объема и содержания комплекса мер по ее защите.

При установлении режима доступа к конфиденциальной информации необходимо руководствоваться принципом - чем больше ущерб от разглашения информации, тем меньше круг лиц, которые к ней допущены.

Режимы доступа к конфиденциальной информации должны быть увязаны с должностными обязанностями сотрудников.

В целях ограничения круга лиц, допущенных к сведениям, составляющим коммерческую тайну, целесообразно введение следующих режимов доступа к ней:

• режим 1 – обеспечивает доступ ко всему перечню сведений конфиденциального характера. Устанавливается руководящему составу предприятия;
• режим 2 – обеспечивает доступ к сведениям при выполнении конкретных видов деятельности (финансовая, производственная, кадры, безопасность и т.п.). Устанавливается для руководящего состава отделов и служб;
• режим 3 – обеспечивает доступ к определенному перечню сведений при выполнении конкретных видов деятельности. Устанавливается для сотрудников - специалистов конкретного отдела (службы) в соответствии с должностными обязанностями.

Таким образом, после составления перечня сведений конфиденциального характера необходимо установить уровень их конфиденциальности, а также режим доступа к ним сотрудников.

Разграничение доступа сотрудников предприятия (фирмы) к сведениям конфиденциального характера целесообразно осуществлять или по уровням (кольцам) конфиденциальности в соответствии с режимами доступа, или по так называемым матрицам полномочий, в которых в строках перечислены должности сотрудников предприятия (фирмы), а столбцах - сведения, включенные в перечень сведений, составляющих коммерческую тайну. Элементы матрицы содержат информацию об уровне полномочий соответствующих должностных лиц (например, “+” – доступ к сведениям разрешен, “-” – доступ к сведениям запрещен).

Далее определяется (уточняется) модель вероятного противника (злоумышленника, нарушителя), которая включает определение уровня оснащения противника, заинтересованного в получении информации, и его возможностей по использованию тех или иных технических средств разведки для перехвата информации.

В зависимости от финансового обеспечения, а также возможностей доступа к тем или иным средствам разведки, противник имеет различные возможности по перехвату информации. Например, средства разведки побочных электромагнитных излучений и наводок, электронные устройства перехвата информации, внедряемые в технические средства, лазерные акустические системы разведки могут использовать, как правило, разведывательные и специальные службы государств.

Для обеспечения дифференцированного подхода к организации защиты информации от утечки по техническим каналам защищаемые объекты должны быть отнесены к соответствующим категориям и классам.

Классификация объектов проводится по задачам технической защиты информации и устанавливает требования к объему и характеру комплекса мероприятий, направленных на защиту конфиденциальной информации от утечки по техническим каналам в процессе эксплуатации защищаемого объекта.

Защищаемые объекты целесообразно разделить на два класса защиты (табл. 2).

К классу защиты А относятся объекты, на которых осуществляется полное скрытие информационных сигналов, которые возникают при обработке информации или ведении переговоров (скрытие факта обработки конфиденциальной информации на объекте).

К классу защиты Б относятся объекты, на которых осуществляется скрытие параметров информационных сигналов, возникающих при обработке информации или ведении переговоров, по которым возможно восстановление конфиденциальной информации (скрытие информации, обрабатываемой на объекте).

Таблица 2. Классы защиты объектов информатизации и выделенных помещений

Задача технической защиты информации	Установленный класс защиты
Полное скрытие информационных сигналов, которые возникают при обработке информации или ведении переговоров (скрытие факта обработки конфиденциальной информации на объекте)	А
Скрытие параметров информационных сигналов, которые возникают при обработке информации или ведении переговоров, по которым возможно восстановление конфиденциальной информации (скрытие информации, обрабатываемой на объекте)	Б

При установлении категории защищаемого объекта учитываются класс его защиты, а также финансовые возможности предприятия по закрытию потенциальных технических каналов утечки информации. Защищаемые объекты целесообразно разделить на три категории.

Категорирование защищаемых объектов информатизации и выделенных помещений проводится комиссиями, назначенными руководителями предприятий, в ведении которых они находятся. В состав комиссий, как правило, включаются представители подразделений, ответственных за обеспечение безопасности информации, и представители подразделений, эксплуатирующих защищаемые объекты.

Категорирование защищаемых объектов проводится в следующем порядке:

• определяются объекты информатизации и выделенные помещения, подлежащие защите;
• определяется уровень конфиденциальности информации, обрабатываемой ТСОИ или обсуждаемой в выделенном помещении, и производится оценка стоимости ущерба, который может быть нанесен предприятию (организации, фирме) вследствие ее утечки;
• для каждого объекта защиты устанавливается класс защиты (А или Б) и определяются потенциальные технические каналы утечки информации и специальные технические средства, которые могут использоваться для перехвата информации (табл. 3, 4);
• определяется рациональный состав средств защиты, а также разрабатываются организационные мероприятия по закрытию конкретного технического канала утечки информации для каждого объекта защиты;
• для информации, отнесенной к конфиденциальной и предоставленной другой стороной, определяется достаточность мер, принятых по ее защите (меры или нормы по защите информации определяются соответствующим договором);
• проводится оценка стоимости мероприятий (организационных и технических) по закрытию конкретного технического канала утечки информации для каждого объекта защиты;
• с учетом оценки возможностей вероятного противника (конкурента, злоумышленника) по использованию для перехвата информации тех или иных технических средств разведки, а также с учетом стоимости закрытия каждого канала утечки информации и стоимости ущерба, который может быть нанесен предприятию вследствие ее утечки, определяется целесообразность закрытия тех или иных технических каналов утечки информации;
• после принятия решения о том, какие технические каналы утечки информации необходимо закрывать, устанавливается категория объекта информатизации или выделенного помещения (табл. 5).

Результаты работы комиссии оформляются актом, который утверждается должностным лицом, назначившим комиссию.

Таблица 3. Потенциальные технические каналы утечки информации, обрабатываемой ПЭВМ

Технические каналы утечки информации	Специальные технические средства, используемые для перехвата информации
Электромагнитный (перехват побочных электромагнитных излучений ТСОИ)	Средства разведки побочных электромагнитных излучений и наводок (ПЭМИН), установленные в близлежащих строениях и транспортных средствах, находящихся за границей контролируемой зоны
Электрический (перехват наведенных электрических сигналов)	Средства разведки ПЭМИН, подключаемые к линиям электропитания ТСОИ, соединительным линиям ВТСС, посторонним проводникам, цепям заземления ТСОИ за пределами контролируемой зоны
Высокочастотное облучение ТСОИ	Аппаратура “высокочастотного облучения”, установленная в ближайших строениях или смежных помещениях, находящихся за пределами контролируемой зоны
Внедрение в ТСОИ электронных устройств перехвата информации	Аппаратные закладки модульного типа, устанавливаемые в системный блок или периферийные устройства в процессе сборки, эксплуатации и ремонта ПЭВМ: аппаратные закладки для перехвата изображений, выводимых на экран монитора, устанавливаемые в мониторы ПЭВМ; аппаратные закладки для перехвата информации, вводимой с клавиатуры ПЭВМ, устанавливаемые в клавиатуру; аппаратные закладки для перехвата информации, выводимой на печать, устанавливаемые в принтер; аппаратные закладки для перехвата информации, записываемой на жесткий диск ПЭВМ, устанавливаемые в системный блок. Аппаратные закладки, скрытно внедряемые в блоки, узлы, платы и отдельные элементы схем ПЭВМ на стадии их изготовления

Таблица 4. Потенциальные технические каналы утечки речевой информации

Технические каналы утечки информации	Специальные технические средства, используемые для перехвата информации
Прямой акустический (через щели, окна, двери, технологические проемы, вентиляционные каналы и т.д.)	направленные микрофоны, установленные в близлежащих строениях и транспортных средствах, находящихся за границей контролируемой зоны; специальные высокочувствительные микрофоны, установленные в воздуховодах или в смежных помещениях, принадлежащих другим организациям; электронные устройства перехвата речевой информации с датчиками микрофонного типа, установленные в воздуховодах, при условии неконтролируемого доступа к ним посторонних лиц; прослушивание разговоров, ведущихся в выделенном помещении, без применения технических средств посторонними лицами (посетителями, техническим персоналом) при их нахождении в коридорах и смежных с выделенным помещениях (непреднамеренное прослушивание)
Акустовибрационный (через ограждающие конструкции, трубы инженерных коммуникаций и т.д.)	электронные стетоскопы, установленные в смежных помещениях, принадлежащих другим организациям; электронные устройства перехвата речевой информации с датчиками контактного типа, установленные на инженерно-технических коммуникациях (трубы водоснабжения, отопления, канализации, воздуховоды и т.п.) и внешних ограждающих конструкциях (стены, потолки, полы, двери, оконные рамы и т.п.) выделенного помещения, при условии неконтролируемого доступа к ним посторонних лиц
Акустооптический (через оконные стекла)	лазерные акустические локационные системы, установленные в близлежащих строениях и транспортных средствах, находящихся за границей контролируемой зоны
Акустоэлектрический (через соединительные линии ВТСС)	специальные низкочастотные усилители, подключаемые к соединительным линиям ВТСС, обладающим “микрофонным” эффектом, за пределами контролируемой зоны; аппаратура “высокочастотного навязывания”, подключаемая к соединительным линиям ВТСС, обладающим “микрофонным” эффектом, за пределами контролируемой зоны
Акустоэлектромагнитный (параметрический)	специальные радиоприемные устройства, установленные в близлежащих строениях и транспортных средствах, находящихся за границей контролируемой зоны, перехватывающие ПЭМИ на частотах работы высокочастотных генераторов, входящих в состав ВТСС, обладающих “микрофонным” эффектом; аппаратура “высокочастотного облучения”, установленная в ближайших строениях или смежных помещениях, находящихся за пределами контролируемой зоны

Таблица 5. Категории объектов информатизации и выделенных помещений

Задача технической защиты информации	Закрываемые технические каналы утечки информации	Установленная категория объекта защиты
Полное скрытие информационных сигналов, возникающих при обработке информации техническим средством или ведении переговоров (скрытие факта обработки конфиденциальной информации на объекте)	все потенциальные технические каналы утечки информации	1
Скрытие параметров информационных сигналов, возникающих при обработке информации техническим средством или ведении переговоров, по которым возможно восстановление конфиденциальной информации (скрытие информации, обрабатываемой на объекте)	все потенциальные технические каналы утечки информации	2
Скрытие параметров информационных сигналов, возникающих при обработке информации техническим средством или ведении переговоров, по которым возможно восстановление конфиденциальной информации (скрытие информации, обрабатываемой на объекте)	наиболее опасные технические каналы утечки информации	3

После установления категории объекта защиты оцениваются возможности по созданию и внедрению СТЗИ силами предприятия (организации, фирмы) или проводится обоснование необходимости привлечения специализированных организаций, имеющих необходимые лицензии на право проведения работ по защите информации, для проектирования и внедрения СТЗИ. Проводится оценка материальных, трудовых и финансовых затрат на разработку и внедрение СТЗИ, определяются ориентировочные сроки разработки и внедрения СТЗИ.

Результаты аналитического обоснования необходимости создания СТЗИ оформляются пояснительной запиской, которая должна содержать [6, 8, 9]:

• перечень сведений конфиденциального характера с указанием их уровня конфиденциальности;
• перечень сотрудников предприятия, допущенных до конфиденциальной информации, с указанием их режима доступа, а при необходимости и матрицы доступа;
• информационную характеристику и организационную структуру объектов защиты;
• перечень объектов информатизации, подлежащих защите, с указанием их категорий;
• перечень выделенных помещений, подлежащих защите, с указанием их категорий;
• перечень и характеристику технических средств обработки конфиденциальной информации с указанием их места установки;
• перечень и характеристику вспомогательных технических средств и систем с указанием их места установки;
• предполагаемый уровень оснащения вероятного противника (конкурента, злоумышленника);
• технические каналы утечки информации, подлежащие закрытию (устранению);
• организационные мероприятия по закрытию технических каналов утечки информации;
• перечень и характеристику предлагаемых к использованию технических средств защиты информации с указанием их места установки;
• методы и порядок контроля эффективности защиты информации;
• обоснование необходимости привлечения специализированных организаций, имеющих необходимые лицензии на право проведения работ по защите информации, для проектирования;
• оценку материальных, трудовых и финансовых затрат на разработку и внедрение СТЗИ;
• ориентировочные сроки разработки и внедрения СТЗИ;
• перечень мероприятий по обеспечению конфиденциальности информации на стадии проектирования СТЗИ.

Пояснительная записка подписывается руководителем группы (комиссии), проводившей аналитическое обоснование, согласовывается с руководителем службы безопасности и утверждается руководителем предприятия.

На основе аналитического обоснования и действующих нормативно-методических документов по защите информации от утечки по техническим каналам, с учетом установленного класса и категории защищаемого объекта задаются конкретные требования по защите информации, включаемые в техническое (частное техническое) задание на разработку СТЗИ.

Техническое задание (ТЗ) на разработку СТЗИ должно содержать:

• обоснование разработки;
• исходные данные объекта защиты в техническом, программном, информационном и организационном аспектах;
• ссылку на нормативно-методические документы, с учетом которых будет разрабатываться и приниматься в эксплуатацию СТЗИ;
• конкретные требования к СТЗИ;
• перечень предполагаемых к использованию технических средств защиты информации;
• состав, содержание и сроки проведения работ по этапам разработки и внедрения;
• перечень подрядных организаций - исполнителей различных видов работ;
• перечень предъявляемой заказчику научно-технической продукции и документации.

Техническое задание на проектирование СТЗИ защищаемого объекта оформляется отдельным документом, согласовывается с проектной организацией, службой (специалистом) безопасности организации-заказчика в части достаточности мер по технической защите информации и утверждается заказчиком.

Стадия проектирования системы технической защиты информации

Для разработки технического проекта на создание системы технической защиты информации должны привлекаться организации, имеющие лицензию ФСТЭК РФ.

Технический проект СТЗИ должен содержать:

• титульный лист;
• пояснительную записку, содержащую информационную характеристику и организационную структуру объекта защиты, сведения об организационных и технических мероприятиях по защите информации от утечки по техническим каналам;
• перечень объектов информатизации, подлежащих защите, с указанием мест их расположения и установленной категории защиты;
• перечень выделенных помещений, подлежащих защите, с указанием мест их расположения и установленной категории защиты;
• перечень устанавливаемых ТСОИ с указанием наличия сертификата (предписания на эксплуатацию) и мест их установки;
• перечень устанавливаемых ВТСС с указанием наличия сертификата и мест их установки;
• перечень устанавливаемых технических средств защиты информации с указанием наличия сертификата и мест их установки;
• схему (в масштабе) с указанием плана здания, в котором расположены защищаемые объекты, границ контролируемой зоны, трансформаторной подстанции, заземляющего устройства, трасс прокладки инженерных коммуникаций, линий электропитания, связи, пожарной и охранной сигнализации, мест установки разделительных устройств и т.п.;
• технологические поэтажные планы здания (в масштабе) с указанием мест расположения объектов информатизации и выделенных помещений, характеристик их стен, перекрытий, материалов отделки, типов дверей и окон;
• планы объектов информатизации (в масштабе) с указанием мест установки ТСОИ, ВТСС и прокладки их соединительных линий, а также трасс прокладки инженерных коммуникаций и посторонних проводников;
• план-схему инженерных коммуникаций всего здания, включая систему вентиляции;
• план-схему системы заземления объекта, с указанием места расположения заземлителя;
• план-схему системы электропитания здания с указанием места расположения разделительного трансформатора (подстанции), всех щитов и разводных коробок;
• план-схему прокладки телефонных линий связи с указанием мест расположения распределительных коробок и установки телефонных аппаратов;
• план-схему систем охранной и пожарной сигнализации с указанием мест установки и типов датчиков, а также распределительных коробок;
• схемы систем активной защиты (если они предусмотрены техническими заданием на проектирование);
• инструкции и руководства по эксплуатации технических средств защиты для пользователей и ответственных за обеспечение безопасности информации на объекте информатизации.

Технический проект, рабочие чертежи, смета и другая проектная документация должны быть учтены в установленном порядке.

Технический проект согласовывается со службой (специалистом) безопасности заказчика, органа по защите информации проектной организации, представителями подрядных организаций - исполнителей видов работ и утверждается руководителем проектной организации.

При разработке технического проекта необходимо учитывать следующие рекомендации [1, 2, 4 – 9]:

• в выделенных помещениях необходимо устанавливать сертифицированные технические средства обработки информации и вспомогательные технические средства;
• для размещения ТСОИ целесообразно выбирать подвальные и полуподвальные помещения (они обладают экранирующими свойствами);

• кабинеты руководителей организации, а также особо важные выделенные помещения рекомендуется располагать на верхних этажах (за исключением последнего) со стороны, менее опасной с точки зрения ведения разведки;
• необходимо предусмотреть подвод всех коммуникаций (водоснабжение, отопление, канализация, телефония, электросеть и т.д.) к зданию в одном месте. Вводы коммуникаций в здание целесообразно сразу ввести в щитовое помещение и обеспечить закрытие его входа и установку сигнализации или охраны;
• в случае если разделительный трансформатор (трансформаторная подстанция), от которой осуществляется электропитание защищаемых технических средств и выделенных помещений, расположен за пределами контролируемой зоны, необходимо предусмотреть отключение от низковольтных шин подстанции, от которых осуществляется питание защищаемых объектов, потребителей, находящихся за контролируемой зоной;
• электросиловые кабели рекомендуется прокладывать от общего силового щита по принципу вертикальной разводки на этажи с горизонтальной поэтажной разводкой и с установкой на каждом этаже своего силового щитка. Аналогичным образом должны прокладываться соединительные кабели вспомогательных технических средств, в том числе кабели систем связи;
• число вводов коммуникаций в зону защищаемых помещений должно быть минимальным и соответствовать числу коммуникаций. Незадействованные посторонние проводники, проходящие через защищаемые помещения, а также кабели (линии) незадействованных вспомогательных технических средств должны быть демонтированы;
• прокладка информационных цепей, а также цепей питания и заземления защищаемых технических средств должна планироваться таким образом, чтобы был исключен или уменьшен до допустимых пределов их параллельный пробег с различными посторонними проводниками, имеющими выход за пределы контролируемой зоны;
• для заземления технических средств (в том числе вспомогательных), установленных в выделенных помещениях, необходимо предусмотреть отдельный собственный контур заземления, расположенный в пределах контролируемой зоны. Если это невозможно, необходимо предусмотреть линейное зашумление системы заземления объекта;
• необходимо исключить выходы посторонних проводников (различных трубопроводов, воздухопроводов, металлоконструкций здания и т.п.), в которых присутствуют наведенные информативные сигналы, за пределы контролируемой зоны. Если это невозможно, необходимо предусмотреть линейное зашумление посторонних проводников;
• прокладку трубопроводов и коммуникаций горизонтальной разводки рекомендуется осуществлять открытым способом или за фальшпанелями, допускающими их демонтаж и осмотр;
• в местах выхода трубопроводов технических коммуникаций за пределы выделенных помещений рекомендуется устанавливать гибкие виброизолирующие вставки с заполнением пространства между ними и строительной конструкцией раствором на всю толщину конструкции. В случае невозможности установки вставок потребуется оборудование трубопроводов системой вибрационного зашумления;
• необходимо предусматривать прокладку вертикальных стояков коммуникаций различного назначения вне пределов зоны выделенных помещений;
• ограждающие конструкции выделенных помещений, смежные с другими помещениями организации, не должны иметь проемы, ниши, а также сквозные каналы для прокладки коммуникаций;
• систему приточно-вытяжной вентиляции и воздухообмена зоны выделенных помещений целесообразно сделать отдельной, она не должна быть связана с системой вентиляции других помещений организации и иметь свой отдельный забор и выброс воздуха;
• короба системы вентиляции рекомендуется выполнять из неметаллических материалов. Внешняя поверхность коробов вентиляционной системы, выходящих из выделенной зоны или отдельных важных помещений, должна предусматривать их отделку звукопоглощающим материалом. В местах выхода коробов вентиляционных систем из выделенных помещений рекомендуется установить мягкие виброизолирующие вставки из гибкого материала, например брезента или плотной ткани. Выходы вентиляционных каналов за пределами зоны выделенных помещений должны быть закрыты металлической сеткой;
• в помещениях, оборудованных системой звукоусиления, целесообразно применять облицовку внутренних поверхностей ограждающих конструкций звукопоглощающими материалами;
• дверные проемы в особо важных помещениях необходимо оборудовать тамбурами;
• декоративные панели отопительных батарей должны быть съемными для осмотра;
• в особо важных выделенных помещениях не рекомендуется использование подвесных потолков, особенно неразборной конструкции;
• для остекления особо важных выделенных помещений рекомендуется применение солнцезащитных и теплозащитных стеклопакетов;
• полы особо важных выделенных помещений целесообразно делать без плинтусов;
• в выделенных помещениях не рекомендуется применять светильники люминесцентного освещения. Светильники с лампами накаливания следует выбирать на полное сетевое напряжение без применения трансформаторов и выпрямителей.

Ввод в эксплуатацию системы технической защиты информации

На третьем этапе силами монтажных и строительных организаций осуществляется выполнение мероприятий по защите информации, предусмотренных техническим проектом. К работам по монтажу технических средств обработки информации, вспомогательных технических средств, а также проведения технических мероприятий по защите информации должны привлекаться организации, имеющие лицензию ФСТЭК РФ.

Монтажной организацией или заказчиком проводятся закупка сертифицированных ТСОИ и специальная проверка несертифицированных ТСОИ на предмет обнаружения возможно внедренных в них электронных устройств перехвата информации (“закладок”) и их специальные исследования.

По результатам специальных исследований ТСОИ уточняются мероприятия по защите информации. В случае необходимости вносятся соответствующие изменения в технический проект, которые согласовываются с проектной организацией и заказчиком.

Проводятся закупка сертифицированных технических, программных и программно-технических средств защиты информации и их установка в соответствии с техническим проектом.

Службой (специалистом) безопасности организуется контроль проведения всех мероприятий по защите информации, предусмотренных техническим проектом.

В период установки и монтажа ТСОИ и средств защиты информации особое внимание должно уделяться обеспечению режима и охране защищаемого объекта.

К основным рекомендациям на этот период можно отнести следующие [1, 2, 4 – 9]:

• организацию охраны и физической защиты помещений объекта информатизации и выделенных помещений, исключающих несанкционированный доступ к ТСОИ, их хищение и нарушение работоспособности, хищение носителей информации;
• при проведении реконструкции объекта должен быть организован контроль и учет лиц и транспортных средств, прибывших и покинувших территорию проводимых работ;
• рекомендуется организовать допуск строителей на территорию и в здание по временным пропускам или ежедневным спискам;
• копии строительных чертежей, особенно поэтажных планов помещений, схем линий электропитания, связи, систем охранной и пожарной сигнализации и т.п. должны быть учтены, а их число ограничено. По окончании монтажных работ копии чертежей, планов, схем и т.п. подлежат уничтожению установленным порядком;
• необходимо обеспечить хранение комплектующих и строительных материалов на складе под охраной;
• не рекомендуется допускать случаев проведения монтажных операций и отделочных работ, выполняемых одиночными рабочими, особенно в ночное время;
• на этапе отделочных работ необходимо обеспечить ночную охрану здания.

К некоторым мероприятиям по организации контроля в этот период можно отнести:

• перед монтажом необходимо обеспечить скрытную проверку всех монтируемых конструкций, особенно установочного оборудования, на наличие разного рода меток и отличий их друг от друга, а также закладных устройств;
• необходимо организовать периодический осмотр зон выделенных помещений в вечернее или в нерабочее время при отсутствии в нем строителей в цельях выявления подозрительных участков и мест;
• организовать контроль за ходом всех видов строительных работ на территории и в здании. Основная функция контроля заключается в подтверждении правильности технологии строительно-монтажных работ и соответствия их техническому проекту;
• организовать осмотр мест и участков конструкций, которые по технологии подлежат закрытию другими конструкциями. Такой контроль может быть организован легально под легендой необходимости проверки качества монтажа и материалов или скрытно;
• необходимо тщательно проверять соответствие монтажных схем и количество прокладываемых проводов техническому проекту. Особое внимание необходимо уделять этапу ввода проводных коммуникаций и кабелей в зону выделенных помещений. Все прокладываемые резервные провода и кабели необходимо нанести на план-схему с указанием мест их начала и окончания.

При проведении контроля особое внимание необходимо обращать на следующие моменты:

• несогласованное с заказчиком изменение количественного состава бригад, изменение их персонального состава, особенно в период длительных по времени однотипных процессов;
• наличие отклонений от согласованной или стандартной технологии строительно-монтажных работ;
• недопустимы большие задержки по времени выполнения стандартных монтажных операций;
• неожиданная замена типов строительных материалов и элементов конструкций;
• изменение схем и порядка монтажа конструкций;
• проведение работ в обеденное или в нерабочее время, особенно ночью;
• психологические факторы поведения отдельных строителей в присутствии контролирующих и т.п.

Перед установкой в выделенные помещения и на объекты информатизации мебели и предметов интерьера технические устройства и средства оргтехники должны проверяться на отсутствие закладных устройств. Одновременно целесообразно провести проверку технических средств на уровни побочных электромагнитных излучений. Такую проверку целесообразно проводить в специально оборудованном помещении или на промежуточном складе.

После отделки рекомендуется провести всесторонний анализ здания на возможность утечки информации по акустическим и вибрационным каналам. По результатам измерений с учетом реальной ситуации по режиму охраны должны быть разработаны дополнительные рекомендации по усилению мер защиты, если имеет место невыполнение требований по защите.

До начала монтажа ТСОИ и средств защиты информации заказчиком определяются подразделения и лица, планируемые к назначению ответственными за эксплуатацию СТЗИ. В процессе монтажа средств защиты и их опытной эксплуатации происходит обучение назначенных лиц специфике работ по защите информации.

Совместно с представителями проектной и монтажной организаций ответственными за эксплуатацию СТЗИ осуществляется разработка эксплуатационной документации на объект информатизации и выделенные помещения (технических паспортов объектов, инструкций, приказов и других документов).

Технический паспорт на объект защиты разрабатывается лицом, назначенным ответственным за эксплуатацию и безопасность информации на данном объекте, и включает:

• пояснительную записку, содержащую информационную характеристику и организационную структуру объекта защиты, сведения об организационных и технических мероприятиях по защите информации от утечки по техническим каналам;
• перечень объектов информатизации, подлежащих защите, с указанием мест их расположения и установленной категории защиты;
• перечень выделенных помещений, подлежащих защите, с указанием мест их расположения и установленной категории защиты;
• перечень устанавливаемых ТСОИ с указанием наличия сертификата (предписания на эксплуатацию) и мест их установки;
• перечень устанавливаемых ВТСС с указанием наличия сертификата и мест их установки;
• перечень устанавливаемых технических средств защиты информации с указанием наличия сертификата и мест их установки;
• схему (в масштабе) с указанием плана здания, в котором расположены защищаемые объекты, границ контролируемой зоны, трансформаторной подстанции, заземляющего устройства, трасс прокладки инженерных коммуникаций, линий электропитания, связи, пожарной и охранной сигнализации, мест установки разделительных устройств и т.п.;
• технологические поэтажные планы здания (в масштабе) с указанием мест расположения объектов информатизации и выделенных помещений, характеристик их стен, перекрытий, материалов отделки, типов дверей и окон;
• планы объектов информатизации (в масштабе) с указанием мест установки ТСОИ, ВТСС и прокладки их соединительных линий, а также трасс прокладки инженерных коммуникаций и посторонних проводников;
• план-схему инженерных коммуникаций всего здания, включая систему вентиляции;
• план-схему системы заземления объекта, с указанием места расположения заземлителя;
• план-схему системы электропитания здания с указанием места расположения разделительного трансформатора (подстанции), всех щитов и разводных коробок;
• план-схему прокладки телефонных линий связи с указанием мест расположения распределительных коробок и установки телефонных аппаратов;
• план-схему систем охранной и пожарной сигнализации с указанием мест установки и типов датчиков, а также распределительных коробок;
• схемы систем активной защиты (если они предусмотрены).

К техническому паспорту прилагаются:

• предписания на эксплуатацию (сертификаты соответствия требованиям безопасности информации) ТСОИ;
• сертификаты соответствия требованиям безопасности информации на ВТСС;
• сертификаты соответствия требованиям безопасности информации на технические средства защиты информации;
• акты на проведенные скрытые работы;
• протоколы измерения звукоизоляции выделенных помещений и эффективности экранирования сооружений и кабин;
• протоколы измерения величины сопротивления заземления;
• протоколы измерения реального затухания информационных сигналов до мест возможного размещения средств разведки.

После установки и монтажа технических средств защиты информации проводится их опытная эксплуатация в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации.

По результатам опытной эксплуатации проводятся приемо-сдаточные испытания средств защиты информации с оформлением соответствующего акта.

По завершении ввода в эксплуатацию СТЗИ проводится аттестация объектов информатизации и выделенных помещений по требованиям безопасности. Она является процедурой официального подтверждения эффективности комплекса реализованных на объекте мер и средств защиты информации.

При необходимости по решению руководителя организации могут быть проведены работы по поиску электронных устройств съема информации (“закладных устройств”), возможно внедренных в выделенные помещения, осуществляемые организациями, имеющими соответствующие лицензии ФСБ России.

В период эксплуатации периодически должны проводиться специальные обследования и проверки выделенных помещений и объектов информатизации. Специальные обследования должны проводиться под легендой для сотрудников организации или в их отсутствие (допускается присутствие ограниченного круга лиц из числа руководителей организации и сотрудников службы безопасности).

Литература

1. Абалмазов Э.И. Методы и инженерно-технические средства противодействия информационным угрозам. – М.: Гротек, 1997, с. 248.
2. Гавриш В.Ф. Практическое пособие по защите коммерческой тайны. – Симферополь: Таврида, 1994, с. 112.
3. ГОСТ Р 51275-99. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. (Принят и введен в действие Постановлением Госстандарта России от 12 мая 1999 г. № 160).
4. Доктрина информационной безопасности Российской Федерации (Принята 9 сентября 2000 г. № ПР-1895).
5. Организация и современные методы защиты информации. Информационно-справочное пособие. – М.: Ассоциация "Безопасность", 1996, c. 440с.
6. Противодействие экономическому шпионажу: сборник публикаций журнала “Защита информации. Конфидент” 1994 – 2000. – Санкт-Петербург: Конфидент, 2000, c. 344.
7. Максимов Ю.Н., Сонников В.Г., Петров В.Г. и др. Технические методы и средства защиты информации. – Санкт-Петербург: ООО Издательство Полигон, 2000, c. 320.
8. Торокин А.А. Инженерно-техническая защита информации: Учеб. пособие для студентов, обучающихся по специальностям в обл. информ. безопасности. – М.: Гелиос АРВ, 2005, c. 960.
9. Хорев А.А. Способы и средства защиты информации: Учеб. пособие. – М.: МО РФ, 2000, c. 316.

Статья опубликована на сайте: 05.06.2007