Комплексная система защиты информации

Размещено на http://www.allbest.ru/

Федеральное агентство по образованию

Государственное образовательное учреждение высшего профессионального образования

«УрФУ имени первого Президента России Б.Н. Ельцина»

Институт военно-технического образования и безопасности

Кафедра защиты информации

КОМПЛЕКСНАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ

ФГУ «ЦЕНТР ГРУЗОПЕРЕВОЗОК МВД РОССИИ»

ДИПЛОМНЫЙ ПРОЕКТ

Пояснительная записка

Руководитель Зав. Кафедрой С.Г. Денисов

Консультант зав. Кафедрой С.Г. Денисов

Консультант канд экон. наук, доц.

Нормоконтролер Д.В. Куц

Студент А.А. Конев

Екатеринбург 2014 г.



Реферат

Пояснительная записка с. 118, 15 рисунков, 16 таблиц, 39 источника, 25 приложений.

КОМПЛЕКСНАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ ОТДЕЛА АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ УПРАВЛЕНИЯ ПРОИЗВОДСТВОМ В ОАО «144-БТРЗ»

Объектом исследования является система защиты информации ограниченного доступа отдела автоматизированной системы управления производством в ОАО «144-БТРЗ».

Целью дипломного проектирования является создание комплексной системы защиты информации (служебной тайны, персональных данных), отвечающей всем современным требованиям.

Задачи:

проанализировать имеющуюся систему защиты;

смоделировать объект защиты;

смоделировать возможные угрозы информации;

сформировать требования к защите информации;

выработать организационные, инженерно-технические, программно-аппаратные меры защиты;

провести подготовку объекта защиты к аттестационным испытаниям и провести их.

В результате дипломного проектирования была рассмотрена существующая система охраны и пожарной сигнализации, разработана: система охранной сигнализации.

Также рассмотрены вопросы экономического раздела, безопасности жизнедеятельности и охраны труда.



Оглавление

Обозначения и сокращения

Введение

1. Описание объекта

1.1 Категории информации, обрабатываемой в системе

1.2 Пространственная модель контролируемых зон

1.3 Моделирование угроз информации

1.3.1 Акустические каналы утечки информации

1.3.2 Радиоэлектронные каналы утечки информации

1.4 Принятые меры по защите служебной тайны

1.5 Требования нормативно-методических документов по защите информации на объекте

2. Предлагаемые меры по защите

2.1 Организационно-правовая защита информации

2.2 Инженерно-техническая защита информации

2.2.1Пожарная сигнализация на объекте

2.2.2 Охранная сигнализация на объекте

2.2.3 Оптический канал утечки информации

2.2.4 Радиоэлектронный канал утечки информации

2.2.5. Акустический канал утечки информации

2.3 Программно-аппаратная защита информации

2.4 Разработка технического задания

3. Аттестация объекта информатизации

4. Охрана труда и безопасность жизнедеятельности

Введение

4.1 Безопасность труда

4.2 Опасные и вредные производственные факторы

4.3 Пожарная безопасность

4.4 Чрезвычайные ситуации

Заключение

5. Технико-экономическое обоснование дипломного проектирования

5.1 Оценка ущерба от утраты, защищаемой информации

5.2 Оценка стоимости мероприятий по защите информации

5.3 Выбор оптимального варианта

Вывод

Заключение

Список литературы

защита угроза информация программный



Обозначения и сокращения

АРМ - автоматизированное рабочее место

ВТСС - вспомогательные технические средства и системы

ИБ - информационная безопасность

ИСПДн - информационная система персональных данных

КЗ - контролируемая зона

ЛВС - локальная вычислительная сеть

МЭ - межсетевой экран

НСД - несанкционированный доступ

ОС - операционная система

ОТСС - основные технические средства и системы

ПДн - персональные данные

ПО - программное обеспечение

ПЭМИН - побочные электромагнитные излучения и наводки

СЗИ - средства защиты информации



Введение

Согласно ГОСТ Р 50922-2006, защита информации - деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Информационная безопасность актуальна как для предприятий, так и для госучреждений. С целью всесторонней защиты информационных ресурсов и создаются комплексные системы по защите данных.

Сегодня информация играет все большую роль в жизни любой компании или государственной организации, чем пару десятков лет назад. Кто владеет

информацией, тот владеет миром, а кто владеет чужой информацией, тот гораздо

лучше подготовлен к конкурентной борьбе, чем его соперники.

Внедрение новых информационных технологий ставит современные компании в зависимость от информационной системы, а переход на электронные

носители информации приводит к необходимости уделять пристальное внимание

вопросу информационной безопасности. Любое вмешательство в работу информационной системы: кража, уничтожение или несанкционированный доступ к данным может привести к значительным убыткам компании, а иногда и к ее полной ликвидации, особенно если эти данные касаются ее коммерческих тайн или ноу-хау.

Информационную безопасность учреждения определяет совокупность технических средств размещенных на территории, а также наличие мест доступа или утечки информации, создающих потенциальную возможность реализации угроз и наличие эффективных средств защиты.

В связи с тем, что различные охраняемые объекты расположены в различных помещениях, возможные каналы утечки информации к ним также различны. Они определяются, в первую очередь, путями доступа в рассматриваемое помещение, основными из которых являются дверные и оконные проемы.

Определение мероприятий по обеспечению требуемого уровня защищенности предполагает определение структуры, состава и размещения средств защиты информации, при которых обеспечивается требуемый уровень защищенности предприятия от реального спектра угроз безопасности.

Современная защита информации - это поиск оптимального соотношения между доступностью и безопасностью. Или, другими словами, это постоянная борьба с наивностью пользователей и интеллектом злоумышленников.

Целью дипломного проектирования является создание комплексной системы защиты информации (служебной тайны, персональных данных), отвечающей всем современным требованиям.

Задачи:

проанализировать имеющуюся систему защиты;

смоделировать объект защиты;

смоделировать возможные угрозы информации;

сформировать требования к защите информации;

выработать организационные, инженерно-технические, программно-аппаратные меры защиты;

провести подготовку объекта защиты к аттестационным испытаниям и провести их.



1. Описание объекта

Объектом защиты является отдел автоматизированной системы управления производством в ОАО «144-БТРЗ».

Основной профиль деятельности: ремонт бронетанковой техники, а также дизельных двигателей различных агрегатов.

Помещения отдела автоматизированной системы управления производством в ОАО «144-БТРЗ» расположены на 2 этаже 2-этажного нежилого здания, на улице Симская, с восточной стороны расположена железная дорога, с западной стороны автомастерская и 5-этажное офисное здание, с северной стороны расположено 4-этажное офисное здание, с южной два склада транспортных компаний и Уральский колледж управления, бизнеса и технологии красоты.

Условные обозначения: 1,2,3,4 - склады и производственные помещения ООО «ЕК-Спецгруз» 5 - Уральский колледж управления, бизнеса и технологии красоты 6 - административный корпус ОАО «144-БТРЗ» 7 - 5-этажное офисное здание ООО «ТрансДизельГруп» 8 - 4-этажное офисное здание, ул. Симская 1. 9 - железная дорога общего пользования. - границы контролируемой зоны

Рисунок 1.1 Схема расположения отдела автоматизированной системы управления производством в ОАО «144-БТРЗ»

Вход на территорию, где расположен защищаемый объект, осуществляется через КПП с осуществлением пропускного режима. Вход в помещения, где расположен защищаемый объект, а также на 2 этаж, где расположен отдел, осуществляется свободно.

Все несущие стены защищаемого объекта - отштукатуренные с двух сторон бетонные стены толщиной 1,5 метра, стены между помещениями объекта - бетонные толщиной 0,72 метра. Вход в помещения защищаемого объекта ограничен одинарными дверьми из ДВП. Пол и потолок объекта - бетонные плиты 50 см, на полу расположен паркет, на потолке - навесная конструкция («навесной потолок»). Окна пластиковые, с жалюзи и решетками. Вентиляционные отверстия размером 10x15 располагаются во всех помещениях объекта. На объекте - ФГУ централизованное отопление, трубы выходят за пределы защищаемого объекта, котельная - общая для всего здания, расположена в 1 км от объекта. Электропитание объекта осуществляется от электрощитовой на 1 этаже здания, в каждом помещении расположены 2 электрические розетки 220В. На каждом рабочем месте установлен телефонный аппарат, имеющий выход в ГТС, в помещениях имеются телефонные розетки, тип телефонного кабеля - Тк12x0.5.

Рисунок 1.2 Схема расположения помещений



На защищаемом объекте располагаются кабинеты: отдела технического контроля, отдела АСУП, системного администратора, серверная.

1.1 Категории информации, обрабатываемой в системе

В отделе автоматизированной системы управления производством в ОАО «144-БТРЗ» необходимо защищать информацию с пометкой для служебного пользования (ДСП) и персональные данные.

Граф структура защищаемой информации приведена в ПРИЛОЖЕНИИ Ж.

На основании графа мы составляем таблицу.

Таблица 1.1 Категории информации, обрабатываемой в системе

№ источника информации	Наименование источника информации	Вид информации источника	Гриф секретности	Цена информации	Контролируемая зона, в которой находится источник информации
1	2	3	4	5	6
0111	База данных «Личные дела» Диск D: S\N: ST753609A	Документы на электронных носителях	ПДн	Высокая	Кабинет № 2 ПЭВМ №4 D :\Личные Дела Объем: 320 М/байт
021111	Дело №543 Приказы за 2010 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021112	Дело №544 Приказы за 2011 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021113	Дело №545 Приказы за 2012 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021114	Дело №546 Приказы за 2013 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021115	Дело №547 Приказы за 2014 год	Документы на бумажных носителях	ДСП	Средняя	Кабинет №1 Сейф
021121	Дело № 548 Распоряжения за 2010 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021122	Дело № 549 Распоряжения за 2011 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021123	Дело № 550 Распоряжения за 2012 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021124	Дело № 551 Распоряжения за 2013 год	Документы на бумажных носителях	ДСП	Низкая	Кабинет №1 Сейф
021125	Дело № 552 Распоряжения за 2014 год	Документы на бумажных носителях	ДСП	Средняя	Кабинет №1 Сейф
02121	Положение об отделе АСУП Приказ начальника «БТРЗ-144» №211	Документы на бумажных носителях	ДСП	Средняя	Кабинет №2 Шкаф
02122	Дело № 553 Должностные инструкции сотрудников	Документы на бумажных носителях	ДСП	Низкая	Кабинет №2 Шкаф
02211	Оперативное дело Ремонт №1	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Сейф
02212	Оперативное дело Ремонт №2	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Сейф
02213	Оперативное дело Ремонт №3	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Сейф
02214	Архив ремонта гражданской техники	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Шкаф
02221	Оперативное дело Ремонт №4	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Сейф
02222	Оперативное дело Ремонт №5	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Сейф
02223	Оперативное дело Ремонт №6	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Сейф
02224	Архив ремонта по госзаказу	Документы на бумажных носителях	ДСП	Высокая	Кабинет №1 Шкаф
02231	АРМ №1	Документы на электронных носителях	ДСП	Средняя	Кабинет №2
02232	АРМ №2	Документы на электронных носителях	ДСП	Средняя	Кабинет №2
02233	АРМ №3	Документы на электронных носителях	ДСП	Средняя	Кабинет №2

1.2 Пространственная модель контролируемых зон

Таблица 1.2 Пространственная модель контролируемых зон

№ п/п	Пространственная характеристика помещения	Функциональная, конструктивная и техническая характеристика помещения
1	Общая характеристика объекта
1.1	Этаж	2, 2-этажного здания
1.2	Соседние здания	с восточной стороны расположена железная дорога, с западной стороны автомастерская и 5-этажное офисное здание, с северной стороны расположено 4-этажное офисное здание, с южной два склада транспортных компаний и Уральский колледж управления, бизнеса и технологии красоты
1.3	Парковка	С северной стороны имеется парковка
1.4	Помещение над защищаемыми помещениями	Чердак
1.5	Помещение под защищаемыми помещениями	Контролируемая зона
1.6	Вход на территорию здания	Вход на территорию здания, где расположен защищаемый объект, осуществляется через КПП с осуществлением пропускного режима.
1.7	Вентиляция	Вентиляционные отверстия располагаются в каждом помещении объекта
1.8	Отопление	На объекте - централизованное отопление, отопление от центральной городской теплостанции, трубы выходят за пределы здания.
1.9	Электропитание	Электропитание объекта осуществляется от электрощитовой на 1 этаже, в каждом помещении расположены 2 электрические розетки 220В.
1.10	Телефон	На каждом рабочем месте установлен телефонный аппарат, имеющий выход в ГТС, в помещениях имеются телефонные розетки, тип телефонного кабеля - Тк12х0.5.
1.11	Выход в интернет	Есть
1.12	Наличие ЛВС	Есть
1.13	Стены	Все несущие стены защищаемого объекта - отштукатуренные с двух сторон железобетонные стены толщиной 1,5 метра, стены между помещениями объекта - железобетонные толщиной 0.72 метра.
1.14	Потолок	Железобетонные плиты 0.50 м, на потолке навесная конструкция («навесной потолок»)
1.15	Пол	Железобетонные плиты 0.50 м, на полу расположен паркет.
1.16	Окна	Окна пластиковые, с жалюзи и решетками.
1.17	Двери	Вход в помещения защищаемого объекта ограничен одинарными дверьми из ДВП
2	Кабинет техничесного контроля
2.1	Ограждения
2.2	Площадь, м2	25
2.3	Смежные помещения	С запада - улица (КЗ), с севера - коридор, с юга - улица, с востока - кабинеты АСУП и серверной.
2.4	Стены	С севера и востока - смежные С запада и юга - несущие
2.5	Окна	2 окна, выходят во внутренний двор
2.6	Двери	1 дверь: одинарная дверь из ДВП
2.7	Радиоэлектронные средства и электрические приборы
2.8	ПЭВМ	Количество: 3 Состав ПЭВМ: системный блок, монитор фирмы Asus, клавиатура и мышь фирмы Genius принтер фирмы Canon.
2.9	Телефонный аппарат	На рабочем месте, имеет выход в ГТС
2.10	Вентиляционное отверстие	10x15 см
2.11	пожарные комбинированные извещатели	Количество: 2 ИП-212/101-3А
2.12	Средства коммуникаций
2.13	Розетки электропитания	2 шт., 220 В
2.14	Телефонные розетки	1 шт.
2.15	Кабели телефонных линий	Тип Тк12х0.5
2.16	Кабель локальной сети ЭВМ	наружный, по стене уходят под подвесной потолок, имеет выход за пределы КЗ
2.17	Линия пожарной сигнализации	имеет выход за пределы КЗ
3	Кабинет отдела АСУП
	Ограждения
3.1	Площадь, м2	15
3.2	Смежные помещения	С севера - коридор, с востока - кабинет технического контроля, с запада - лестница, с юга- кабинеты серверной и системного администратора.
3.3	Стены	Все смежные
3.4	Окна	нет
3.5	Двери	3 двери: одинарные двери из ДВП
3.6	Радиоэлектронные средства и электрические приборы
3.7	ПЭВМ	Количество: 3 Состав ПЭВМ : системный блок, монитор фирмы Asus, клавиатура и мышь фирмы Genius принтер фирмы Canon.
3.8	Телефонный аппарат	На рабочем месте, имеет выход в ГТС
3.9	Вентиляционное отверстие	10x15 см
3.10	пожарные комбинированные извещатели	Количество: 2 шт. ИП-212/101-3А
	Средства коммуникаций
3.11	Розетки электропитания	2 шт., 220 В
3.12	Телефонные розетки	1 шт.
3.13	Кабели телефонных линий	Тип Тк12х0.5
3.14	Кабель локальной сети ЭВМ	наружный, по стене уходит под подвесной потолок, имеет выход за пределы КЗ
3.15	Линия пожарной сигнализации	имеет выход за пределы КЗ
4	Серверная
	Ограждения
4.1	Площадь, м2	9
4.2	Смежные помещения	С севера - кабинет отдела АСУП ,с юга- улица, с востока- кабинет системного администратора, с запада - кабинет технического контроля.
4.3	Стены	С юга - несущие С севера, востока и запада- смежные
4.4	Окна	1 окно, выходит во внутренний двор
4.5	Двери	1 дверь, одинарная дверь из ДВП
	Радиоэлектронные средства и электрические приборы
4.6	ПЭВМ	Количество: 1 Состав ПЭВМ : системный блок, монитор фирмы Asus, клавиатура и мышь фирмы Genius принтер фирмы Canon.
4.7	Сервер	Количество: 1 Сервер IBM ExpSell x3500M4 E5-2609/8GB(1x8GB)/O/B 2.5" HS SAS/SATA(8)/M5110/DVDRW/550W (7383K4G)
4.8	Телефонный аппарат	На рабочем месте, имеет выход в ГТС
4.9	Вентиляционное отверстие	10x15 см
4.10	пожарные комбинированные извещатели	ИП-212/101-3А
	Средства коммуникаций
4.11	Розетки электропитания	2 шт., 220 В
4.12	Телефонные розетки	1 шт.
4.13	Кабели телефонных линий	Тип Тк12х0.5
4.14	Кабель локальной сети ЭВМ	наружный, по стене уходит под подвесной потолок, имеет выход за пределы КЗ
4.15	Линия пожарной сигнализации	имеет выход за пределы КЗ
5	Кабинет системного администратора
	Ограждения
5.1	Площадь, м2	13
5.2	Смежные помещения	С севера - кабинет отдела АСУП, востока -лестница, с запада - серверная , с юга - улица.
5.3	Стены	С юга - несущая С севера, востока и запада- смежные
5.4	Окна	1 окно : выходит на улицу
5.5	Двери	1 дверь, деревянная
	Радиоэлектронные средства и электрические приборы
5.6	ПЭВМ	Количество: 2 Состав ПЭВМ : системный блок, монитор фирмы Asus, клавиатура и мышь фирмы Genius принтер фирмы Canon.
5.7	Телефонный аппарат	На рабочем месте, имеет выход в ГТС
5.8	Вентиляционное отверстие	10x15 см
5.9	пожарные комбинированные извещатели	ИП-212/101-3А
	Средства коммуникаций
5.10	Розетки электропитания	2 шт., 220 В
5.11	Телефонные розетки	1 шт.
5.12	Кабели телефонных линий	Тип Тк12х0.5
5.13	Кабель локальной сети ЭВМ	наружный, по стене уходит под подвесной потолок, имеет выход за пределы КЗ
5.14	Линия пожарной сигнализации	имеет выход за пределы КЗ

1.3 Моделирование угроз информации

Моделирование каналов несанкционированного доступа злоумышленника к защищаемой информации.

При моделировании несанкционированного доступа злоумышленника к защищаемой информации прогнозируются маршруты движения злоумышленника из нулевого состояния вне территории организации к источникам информации, оцениваются параметры (вероятность и время реализации) отдельных участков маршрута (дуг семантической сети). По ним оценивается ущерб и ранг угроз.

Для моделирования проникновения целесообразно использовать аппарат видоизмененных семантических сетей. Семантическая сеть представляет собой граф, узел которого соответствует одному из рубежей и одной из контролируемых зон организации, а ребро - вероятности и времени перехода источника угрозы из одного рубежа (зоны) в другой (другую). Для наглядности целесообразно узел - рубеж представить в виде кружка, а узел - зону в виде прямоугольника. В свою очередь рубеж и зона могут находится в разных состояниях. Рубеж может быть открыт (состояние 0), закрыт без включения сигнализации (состояние 1), закрыт с включенной сигнализацией (состояние2). Зона как часть пространства с контролируемым уровнем безопасности может быть свободной для прохода и проезда (состояние 0) и закрытой (с включенными средствами охраны) - состояние 1.

Способы проникновения злоумышленника в защищаемые помещения зависят от квалификации злоумышленника, модели объектов защиты и времени проникновения.

В данном сценарии рассматривается вариант проникновения квалифицированного злоумышленника, который имеет в организации сообщника без специальной подготовки.

Время проникновения делится на рабочее и нерабочее. Рабочее время характеризуется следующими условиями: вход людей в помещения «большого офиса» (кабинет отдела АСУП, кабинет системного администратора, кабинет технического контроля, серверная) свободный, извещатели технических средств охраны в здании отключены, двери на 2 этаж открыты.

В рабочее время несанкционированный доступ возможен под видом работника отделов, при этом проникновение возможно как в кабинет технического контроля, так и в кабинет отдела АСУП. В данном случае возможно собрать какую - либо информацию обсуждаемую сотрудниками, либо бумажные документы, лежащие на столах сотрудников.

Возможные варианты проникновения злоумышленника представлены в ПРИЛОЖЕНИИ З.

1.3.1 Акустические каналы утечки информации

Утечка речевой информации возможна по следующим простым акустическим техническим каналам:

1. Источник речевого сигнала - стена в соседнее помещение - акустический приемник злоумышленника

2. Источник речевого сигнала - закладное устройство - радиоканал - радиоприемник злоумышленника

3. Источник акустического сигнала - стекло окна - модулированный лазерный луч - фотоприемник лазерной системы подслушивания

4. Источник акустического сигнала - воздухопровод - акустический приемник

5. Источник акустического сигнала - случайный акустоэлектрический преобразователь в техническом средстве - побочное излучение технического средства - радиоприемник

6. Источник акустического сигнала - случайный акустоэлектрический преобразователь в техническом средстве- проводные кабели, выходящие за пределы контролируемой зоны

7. Источник акустического сигнала - воздушная среда помещения - диктофон злоумышленника.

Кроме того, речевая информация в офисе может ретранслироваться по радиоканалу или проводам телефонной линии и электропитания закладными устройствами и побочными электромагнитными излучениями основных и вспомогательных технических средств и систем, а также средствами лазерного подслушивания. Так как носителями информации при ретрансляции являются электромагнитная волна в радиодиапазоне и электрический ток, то угрозы и меры по предотвращению перехвата рассматриваются в радиоэлектронном канале утечки информации.

В качестве критерия защищенности речевой информации используется отношение сигнал/шум, при котором качество подслушиваемой речевой информации ниже допустимого уровня. В соответствии с существующими нормами понимание речи невозможно, если отношение помеха/сигнал равно 6-8, а акустический сигнал не воспринимается человеком как речевой, если отношение помеха/сигнал превышает 8-10. Следовательно, для гарантированной защищенности речевой информации отношение сигнал/шум должно быть не более 0,1 или (-10) дБ. При применении технического акустического приемника эта величина увеличивается на 6 дБ.

1.3.2 Радиоэлектронные каналы утечки информации

Радиоэлектронные каналы утечки информации из офиса представляют собой простые каналы и части составных акусто-радиоэлектронных каналов утечки информации. Простые каналы образованы побочными электромагнитными излучениями и наводками радиосредств и электрических приборов, размещенных в офисе, в том числе компьютеры при обработке на них закрытой информации.

Кроме того, опасные сигналы случайных акустоэлектрических преобразователей в радиосредствах и электрических приборах могут добавить к простым оптическим и акустическим каналам радиоэлектронные каналы утечки информации и создать составные акусто-радиоэлектронные и оптико-радиоэлектронные каналы утечки в составе акусто-радиоэлектронных составных являются:

Коммутационное оборудование и кабели внутренней АТС;

Электрические приборы в кабинете (громкоговоритель оперативного оповещения);

Передатчики акустических и телевизионных закладных устройств.

Побочные низкочастотные и высокочастотные излучения ОТСС имеют очень широкий диапазон частот - доли Гц-тысячи МГц (длины волн - сотни метров - десятки сантиметров). Помещения отдела, учитывая его размеры, представляют собой ближнюю, переходную и дальнюю зону побочного излучения ОТСС. В зависимости от вида излучателя в ближней зоне может преобладать электрическое и магнитное поля. Информация в помещении находится в безопасности, если уровни ее носителей в виде электрических сигналов и напряженности не превышают нормативы. Следовательно, для предотвращения подслушивания путем перехвата опасных сигналов необходимо определить эти уровни на границе контролируемой зоны (периметра здания) и в случае недопустимо больших значений определить рациональные меры их по уменьшению.

Уменьшение затухания электромагнитной волны в железобетонных стенах с повышением ее частоты вызвано снижение экранирующего эффекта металлической арматуры железобетона. На частоте 1 ГГц длина волны равна 30 см, соизмеримая с размерами ячейки арматуры.

При ослаблении электромагнитной волны стенами здания на 20 дБ дальность ее распространения уменьшается на 1 порядок. Для рассмотрения примера она составит единицы сотен и десятки метров. Учитывая, что окна кабинетов выходят во внутренний двор, риск перехвата радиоизлучения ПЭВМ можно оценить значением «средний», а электрических сигналов акустоэлектрических преобразователей - «низкий».

Рисунок 1.3 Модель получения информации по техническим каналам с объекта защиты.

1.Лазерный съем акустической информации с окон.

2.Съем информации направленным микрофоном.

3.Утечка по цепям заземления.

4.Утечка по сети электропитания.

5.Утечка через линии телефонной связи.

6.Акустический канал утечки через стены, перекрытия, дверь.

7.Радиозакладки в мебели, стенах.

8.Съем информации за счет ПЭМИН.

9.Компьютерные вирусы.

10.Несанкционированный доступ к ПЭВМ.

11.Съем информации с клавиатуры по акустическому каналу.

12.Съем с дисплея по электромагнитному каналу.

13.Утечка через систему пожарной сигнализации.

14.Утечки информации через обслуживающий персонал

1.4 Принятые меры по защите служебной тайны

При разработке и эксплуатации АС, предполагающих использование сведений, составляющих служебную тайну, были выполнены следующие организационно-технические мероприятия:

1)На предприятии составлен "Перечень сведений, составляющих служебную тайну". Все исполнители ознакомлены с данным документом.

2)Установлена охранно-пожарная сигнализация.

(В кабинете технического контроля и отдела АСУП установлены инфракрасные датчики)

1.5 Требования нормативно-методических документов по защите информации на объекте

Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года.

Статья 23 Конституции гарантирует право на личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений

Статья 29 - право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по компьютерным сетям, а также доступ к средствам защиты информации.

Федеральный закон Российской Федерации от 29 июля 2004 г. N 98-ФЗ «О коммерческой тайне»

Федеральный закон Российской Федерации от 27 июля 2006 года № 152-ФЗ «О персональных данных»

Федеральный закон № 149-ФЗ "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 года.

Приказ от 31 декабря 2013 г. г. Москва № 151/786/461 «О признании утратившим силу приказа Федеральной Службы по Техническому и Экспортному Контролю, Федеральной Службы Безопасности Российской Федерации и Министерства Информационных Технологий и Связи Российской Федерации от 13 февраля 2008 г. № 55/86/20 «Об утверждении порядка проведения классификации информационных систем персональных данных»

Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. ФСТЭК России, 2008 год

СТР-К (Россия). Специальные требования и рекомендации по технической защите конфиденциальной информации.

В Гражданском кодексе Российской Федерации фигурируют такие понятия, как банковская, коммерческая и служебная тайна.

Статья 139, информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности. Это подразумевает, как минимум, компетентность в вопросах ИБ и наличие доступных (и законных) средств обеспечения конфиденциальности.

Современный в плане информационной безопасности является Уголовный кодекс Российской Федерации.

Глава 28 - "Преступления в сфере компьютерной информации" - содержит три статьи:

статья 272. Неправомерный доступ к компьютерной информации. (имеет дело с посягательствами на конфиденциальность)

статья 273. Создание, использование и распространение вредоносных программ для ЭВМ. (имеет дело с вредоносным ПО)

статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. (имеет дело с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ)

Включение в сферу действия УК РФ вопросов доступности информационных сервисов представляется нам очень своевременным.

Приказ ФСТЭК от 11 февраля 2013 г. № 17 об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.

Приказ ФСТЭК от 18 февраля 2013 г. № 21 об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

Приказ ФСТЭК от 31 августа 2010 года № 489 «Об утверждении требований о защите информации, содержащейся в информационных системах общего пользования»

Модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.).

Постановление от 15.09.08 г. № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

В соответствии с Постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 г. Москва "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" , п.11 г) («для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные;»), существует необходимость обеспечения 3-го уровня защищенности персональных данных.

В соответствии с Приказом ФСТЭК № 21 п.12 б) необходимы:

- средства вычислительной техники не ниже 5 класса

- системы обнаружения вторжений и средства антивирусной защиты не ниже 4 класса защиты

- межсетевые экраны не ниже 3 класса



2. Предлагаемые меры по защите

Комплексная система защиты информации включает в себя следующие основные элементы:

организационно-правовую защиту информации;

инженерно-техническую защиту информации;

программно-аппаратную защиту информации;

2.1 Организационно-правовая защита информации

Организационная защита информации является организационным началом, так называемым «ядром» в общей системе защиты конфиденциальной информации предприятия. От полноты и качества решения руководством предприятия и должностными лицами организационных задач зависит эффективность функционирования системы защиты информации в целом. Роль и место организационной защиты информации в общей системе мер, направленных на защиту конфиденциальной информации предприятия, определяются исключительной важностью принятия руководством своевременных и верных управленческих решений с учетом имеющихся в его распоряжении сил, средств, методов и способов защиты информации и на основе действующего нормативно-методического аппарата.

Организационная защита информации на предприятии -- регламентация производственной деятельности и взаимоотношений субъектов (сотрудников предприятия) на нормативно-правовой основе, исключающая или ослабляющая нанесение ущерба данному предприятию.

План организационных мероприятий по активному скрытию объекта защиты приведен в таблице 2.3.



Таблица 2.3 План организационных мероприятия

№ п\п	Демаскирующий признак	Мероприятия по уменьшению (ослаблению) демаскирующих признаков
1	Перемещения сотрудников отдела	1)Организация пропускного режима. 2)Закрепление рабочего места за каждым сотрудником.
2	Перемещение документов	Создание журнала входящих и исходящих документов.
3	Отдых сотрудников	1)Организация отдыха в разных местах 2) На время обеда закрытие окон и дверей кабинетов.
4	Отходы делопроизводства	1)Уничтожение документов в установленном месте 2)Отметка в журнале об уничтожение документов.

Перечень документов регламентирующих организационные мероприятия по защите информации ОАО «144-БТРЗ»:

Должностная инструкция пользователя ПЭВМ.

Должностная инструкция администратора компьютерной безопасности.

Перечень сведений, составляющих служебную тайну и список лиц имеющих доступ к ДСП.

Приказ о границах контролируемой зоны.

Положение о внутриобъектовом режиме.

Приказ о разграничение доступа к сведениям, составляющим ДСП.

Инструкция о порядке использования носителей информаций.

Руководство пользователя ПЭВМ при работе со сведениями, составляющими служебную тайну.

Инструктаж лиц, допущенных к ДСП, об ответственности за разглашение ДСП.

Инструкции о действиях сотрудников отдела в случае возникновения аварий отопительной системы, водопровода, пожара.

Приказ о пропускном режиме на объект.

12.Инструкция о порядке уничтожения документов.



2.2 Инженерно-техническая защита информации

Одним из факторов, определяющих надежность защиты объектов, материальных и иных ценностей, которые находятся в отдельных зданиях, строениях, сооружениях, помещениях или на территории, является наличие на защищаемом объекте инженерно-технических средств защиты на путях возможного проникновения нарушителей. Совокупность этих средств определяет техническую укрепленность защищаемого объекта. К инженерным средствам защиты относятся различные ограждения, решетки, жалюзи, ставни, замки, специальным образом укрепленные двери, стены, полы, потолки, оконные проемы, воздуховоды и другие элементы строительных конструкций.

Таблица 2.4 Модель скрытия вида деятельности объекта техническими методами

№ п\п	Демаскирующий признак	Мероприятия по уменьшению (ослаблению) демаскирующих признаков
1	2	3
2	Излучение ПЭВМ	Применение устройства «Соната АВ»
3	Приоткрытые двери	Установка доводчика двери

Демаскирующие признаки объекта описывают его различные состояния, характеристики и свойства. По состоянию объектов демаскирующие признаки разделяются на опознавательные признаки и признаки деятельности. Опознавательные признаки описывают объекты в статическом состоянии: его назначение, принадлежность, параметры. Признаки деятельности объектов характеризуют этапы и режимы функционирования объектов, например, этап создания новой продукции: научные исследования, подготовка к производству, изготовление новой продукции, ее испытания и т. д. Все признаки объекта по характеру проявления можно разделить на 3 группы:

- внешнего вида - видовые демаскирующие признаки;

- признаки излучений - сигнальные демаскирующие признаки;

- материально-вещественные признаки.

К видовым признакам относятся форма объекта, его размеры, детали объекта, тон, цвет и структура его поверхности и др.

Признаки излучений описывают параметры полей и электрических сигналов, генерируемых объектом: их мощность, частоту, вид (аналоговый, импульсный), ширину спектра и т. д.

Вещественные признаки определяют физический и химический состав, структуру и свойства веществ материального объекта. Таким образом, совокупность демаскирующих признаков рассмотренных трех групп представляет модель объекта, описывающую его внешний вид, излучаемые им поля, внутреннюю структуру и химический состав содержащих в нем веществ.

2.2.1 Пожарная сигнализация на объекте

Система пожарной сигнализации состоит из следующих основных компонентов:

1)Контрольная панель это прибор, который занимается анализом состояния пожарных датчиков и шлейфов, а также отдает команды на запуск пожарной автоматики. Это мозг пожарной сигнализации.

2)Блок индикации или автоматизированное рабочее место (АРМ) на базе компьютера. Эти устройства служат для отображения событий и состояния пожарной сигнализации.

3)Источник бесперебойного питания (ИБП). Этот блок служит для обеспечения непрерывной работы сигнализации, даже при отсутствии электропитания. Это сердце пожарной сигнализации

4)Различных типов пожарных датчиков (извещателей). Датчики служат для обнаружения очага возгорания или продуктов горения (дым, угарный газ и т. д.). Это глаза и уши пожарной сигнализации.

На объекте установлены датчики ИП 212/101-3А (Leonardo-OT) по 2 шт. в каждом помещении, кроме туалета. Данные извещатели являются комбинированными, т.е. реагируют на тепло и дым.

Таблица 2.5 Характеристики ИП 212/101-3А (Leonardo-OT)

Технические характеристики ИП 212/101-3А (Leonardo-OT):
Чувствительность соответствует задымленности окружающей среды с оптической плотностью, дБ/м	0,05 … 0,2
Температура срабатывания, °С	58
Скорость повышения температуры, при которой срабатывает извещатель, °С/мин и более	8
Напряжение питания по ШС, В	8,0 … 30,0
Ток потребления в дежурном режиме, не более, мА	0,14
Диапазон рабочих температур, °С	-30 … +70
Габаритные размеры с базой В401L, мм	?102x55
Масса, не более, кг	0,096

Пожарная сигнализация доработок не требует. Схема пожарной сигнализации приведена в ПРИЛОЖЕНИЯХ Б,В,Г,Д,Е.

2.2.2 Охранная сигнализация на объекте

Для защиты информационных ресурсов на объекте выбраны охранные извещатели, реагирующий на открытие дверей, разбития стекла и движение.

Для контроля дверей в качестве извещателя, реагирующего на открытие выбран извещатель охранный магнитоконтактный ИО-102-6 (СМК-6), предназначенный для скрытого монтажа в металлические двери. Внешний вид извещателя представлен на рисунке 2.4. Характеристики приведены в таблице 2.6

Рисунок 2.4 Извещатель ИО-102-6 (СМК-6)

Таблица 2.6 Характеристики извещателя ИО-102-6 (СМК-6)

Расстояние между герконом и магнитом, мм: для замыкания контактов для размыкания контактов	6 25
Диапазон рабочих температур, С	-50…+50
Стоимость, р.	40

В качестве извещателя, реагирующего на разбивание стекла, выбран извещатель охранный звуковой (акустический) Стекло-3(ИО-329-4).

Предназначен для обнаружения разрушения всех видов строительных стекол: обычного, закаленного, узорчатого, армированного, многослойного и защищенного полимерной пленкой (ламинированного), стеклянных пустотелых блоков, а также стандартных одно- и двухкамерных стеклопакетов, широко применяемых в современном строительстве. Внешний вид извещателя приведен на рисунке 2.5.

Рисунок 2.5 Извещатель Стекло-3(ИО-329-4).

Таблица 2.7 Характеристики извещателя Стекло-3(ИО-329-4).

Максимальная дальность действия	6 м
Минимальная контролируемая площадь	0,1 м2
Напряжение питания постоянного тока	12 В
Потребляемый ток в дежурном режиме	не более 22 мА
Степень защиты оболочки	IP30
Диапазон рабочих температур	-20 … +45° С
Габаритные размеры	80х80х31 мм
Масса	0,1 кг

В качестве извещателя, реагирующего на движение, выбран извещатель РАПИД-3.

Извещатель охранный оптико-электронный инфракрасный пассивный ИО 409-28 "РАПИД-3" (в дальнейшем - извещатель) предназначен для обнаружения проникновения в охраняемое пространство закрытого помещения и формирования тревожного извещения увеличением тока в цепи шлейфа сигнализации (ШС).

Внешний вид извещателя приведен на рисунке 2.6. Характеристики приведены в таблице 2.8.

Рисунок 2.6 Извещатель Рапид -3

Таблица 2.8 Технические характеристики извещателя Рапид-3

Длительность тревожного извещения	2,5±0,3 с
Время восстановления после окончания тревожного режима, не более	3 с
Напряжение питания	8...30 В
Диапазон рабочих температур	-30...+50 °С
Относительная влажность воздуха при температуре +35 °С, без конденсации влаги	до 95 %
Масса, не более	100 г
Габаритные размеры	90х58х45 мм
Cтепень защиты оболочки	IP41
Срок службы, не менее	8 лет

В качестве приемно-контрольного прибора выбран «Сигнал-20».

20 шлейфов сигнализации со всеми видами охранных и пожарных извещателей. Внешний вид прибора приведен на картинке 2.3.7. Характеристики приведены в таблице 2.9.



Рисунок.2.7 «Сигнал-20».

Таблица 2.9

Шлейфы сигнализации:	количество (информационная емкость), шт 20
Потребляемый ток в режиме Тревога, Пожар не более, мА	-при питании 12 В 650 -при питании 24 В 330
Диапазон рабочих температур (с аккумулятором), С	от -30 до +50
Относительная влажность воздуха при 25 С, %	98
Габаритные размеры, мм, не более	365x165x45 мм
Масса кг, не более	1

Выбор и порядок установки охранных извещателей произведён в соответствии с РД 78.145-93 п. 3.1.

При выборе типа охранных извещателей учтены такие факторы, как уязвимость помещений к несанкционированному проникновению посторонних лиц, модель нарушителя (защита осуществляется в основном от злоумышленников, имеющих намерение в ночное время в отсутствие физической охраны проникнуть на объект путем взлома двери).

Схема охранной сигнализации приведена в ПРИЛОЖЕНИИ И.

2.2.3 Оптический канал утечки информации

Перехват информации по оптическому каналу может вестись:* стационарной аппаратурой, размещаемой в близлежащих строениях (зданиях) с неконтролируемым пребыванием посторонних лиц;* портативной возимой аппаратурой, размещаемой в транспортных средствах, осуществляющих движение вблизи служебных помещений или при их парковке рядом с этими помещениями;* портативной носимой аппаратурой - физическими лицами при их неконтролируемом пребывании в служебных помещениях или в непосредственной близости от них.* Перехват информации может осуществляться посторонними лицами путем их непосредственного наблюдения в служебных помещениях либо с расстояния прямой видимости из-за пределов ИСПДн с использованием оптических (оптико-электронных) средств.

Для защиты объекта от наблюдения на о...