Технические каналы утечки информации

§ активность, предусматривающая прогнозирование действий злоумышленника, разработку и реализацию опережающих мер по защите

§ скрытность, исключающая ознакомление посторонних лиц со средствами и технологией защиты информации

§ целеустремлённость, предполагающая сосредоточение усилий по предотвращению угроз наиболее ценной информации

§ комплексное использование различных способов и средств защиты информации, позволяющее компенсировать недостатки одних достоинствами других

Эти принципы хотя и не содержат конкретных рекомендаций, однако определяют общие требования к способам и средствам защиты информации.

Следующая группа принципов характеризует основные профессиональные подходы к организации защиты информации, обеспечивает рациональный уровень её защиты и позволяет сократить затраты. Эта группа включает следующие принципы:

§ соответствие уровня защиты ценности информации

§ гибкость защиты

§ многозональность защиты, предусматривающая размещение источников информации в зонах с контролируемым уровнем её безопасности

§ многорубежность защиты информации на пути движения злоумышленника или распространения носителя

Первый принцип определяет экономическую целесообразность применения тех или иных средств мер защиты. Он заключается в том, что затраты на защиту информации не должны превышать цену защищаемой информации.

Так как цена информации - величина переменная, зависящая как от источника информации, так и от времени, то во избежание неоправданных расходов защита информации должны быть гибкой. Гибкость защиты проявляется в возможности изменения степени защищённости в соответствии с изменившимимся требованиями к информационной безопасности.

Требуемый уровень информационной безопасности достигается многозональностью и многорубежностью защиты:
многозональность обеспечивает дифференцированный санкционированный доступ различных категорий сотрудников и посетителей к источникам информации и реализуется путём разделения пространства, занимаемого объектом защиты (организацией, предприятием, фирмой или любой другой государственной или коммерческой структурой) на так называемые контролоируемые зоны. Типовыми зонами являются:

§ территория занимаемая объектом защиты и ограниченная забором или условной внешней грамницей

§ здание на территории

§ коридор или его часть

§ помещение

§ шкаф, сейф, хранилище

Зоны могут быть независимыми (здания, помещения), пересекающимися и вложенными (сейф в комнате, комната в здании, здание на территории).

С целью воспрепятствования проникновению злоумышленника в зону на её границе создаются, как правило, один или несколько рубежей защиты.

Рубежи защиты создаются и внутри зоны на пути возможного движения злоумышленника или распространения иных носителей, прежде всего, электромагнитных и акустических полей. Например, для защиты акустической информации от прослушивания в помещении может быть установлен рубеж защиты в в иде акустического экрана.

Каждая зона характеризуется уровнем безопасности находящейся в ней информации. Информационная безопасность в зоне зависит от:

§ расстояния от источника информации (сигнала) до злоумышленника или его средств добывания информации

§ количества и уровня защиты рубежей на пути движения злоумышленника или рапространения иного носителя информации (например, поля)

§ эффективности способов и средств управления допуском людей и автотранспорта в зону

§ мер по защите информации внутри зоны

Чем больше удалённость источника информации от места нахождения злоумышленника или его средства добывания информации и чем больше рубежей защиты, тем больше время движения злоумышленника к источнику и ослабление энергии носителя в виде поля или электрического тока. Количество и пространственное раположение зон и рубежей выбирается таким образом, чтобы обеспечить требуемый уровень информационной безопасности как от внешних (вне территории организации), так и внутренних (проникших на территорию злоумышленников или сотрудников) факторов атаки на защищаемый объект. Чем более ценной является информация, тем большим количеством рубежей и зон целесообразно окружить её источник и тогда тем сложнее злоумышленнику обеспечить разведывательный контакт с её носителями.

Рассмотренные выше принципы относятся к защите информации в целом. При построении системы защиты информации нужно учитывать также следующие принципы:

§ минимизация дополнительных задач и требований к сотрудникам организации, вызванных мерами по защите информации

§ надёжность в работетехнических средств системы, исключающая как нереагирование на угрозы (пропуски угроз) информационной безопасности, так и ложные реакции при их отсутствии

§ ограниченный и контролируемый доступ к элементам системы обеспечения информационной безопасности

§ непрерывность работы системы в любых условиях функционирования объекта защиты, в том числе, например, кратковременном отключении электроэнергии

§ адаптируемость системы к изменениям окружающей среды

Смысл указанных принципов очевиден, но следует остановится подробнее на последнем. Дело в том, что закрытая информация о способах и средствах защиты информации в конкретной организации со временем становится известной всё большему числу людей, в результате чего увеличивается вероятность попадания этой информации к злоумышленнику. Поэтому целесообразно производить изменения в структуре системы защиты информации периодически или при появлении достаточно реальной возможности утечки информации о системе защиты, например, при внезапном увольнении информированного сотрудника службы безопасности.

Литература

информация защита технический

1. ГОСТ Р 50922- 2006. Защита информации. Основные термины и определения. - Введ. 2008-02-01. -М.: Стандартинформ, 2007. - 12 с.

2. ГОСТР 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. - Взамен: ГОСТР 51275-99; введ. 200802-01. -М.: Стандартинформ, 2007. - 6 с.

3. ГОСТ Р ИСО/МЭК13335-1-2006. Информационная технология. Методы и средства обеспечения безопасности. Ч. 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий. - Введ. 2007-06-01. - М.: Стандартин-форм, 2007. - 23 с.

4. ГОСТ Р ИСО/МЭК 17799-2005. Информационная технология. Практические правила управления информационной безопасностью. - Введ. 2007-01-01. - М.: Стандартин-форм, 2006. - 55 с.

5. Доктрина информационной безопасности Российской Федерации: [утв. Президентом Российской Федерации 9 сентября 2000 г. № Пр-1895] [Электронный ресурс]. - Режим доступа: http://www.scrf.gov.ru/documents/5.html.

6. Защита от несанкционированного доступа к информации. Термины и определения: руководящий документ: утв. решением председателя Гостехкомиссии России от 30 марта 1992 г. [Электронныйресурс]. - Режим доступа: http://www.fstec.ru/_razd/_ispo.htm.

7. Кодекс Российской Федерации об административных правонарушениях: федер. закон от 30 июля 2001 г. № 195-ФЗ: [принят Гос. Думой 20 декабря 2001 г.: одобрен Советом Федерации 26 декабря 2001 г.]. [Электронный ресурс]. - Режим доступа: http://www.rg.ru/2001/12/31/admkodeks-dok.html.

Размещено на Allbest.ru