Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

организации террористами), но в пределах выбранных видов про-

вести максимально полное рассмотрение.

Целесообразно выявлять не только сами угрозы, но и источни-

ки их возникновения, что поможет в выборе дополнительных

средств защиты. Например, нелегальный вход в систему может

стать следствием воспроизведения начального диалога, подбора

пароля или подключения к сети неавторизованного оборудования.

Очевидно, для противодействия каждому из перечисленных спо-

собов нелегального входа нужны свои механизмы безопасности.

После идентификации угрозы необходимо оценить вероят-

ность ее осуществления. Допустимо использовать при этом трех-

балльную шкалу: 1 — низкая, 2 — средняя, 3 — высокая вероят-

ность. Кроме вероятности осуществления важен размер потен-

циального ущерба. Например, пожары бывают нечасто, но ущерб

от каждого из них, как правило, велик. Тяжесть ущерба также

можно оценить по трехбалльной шкале.

Если какие-либо риски оказались недопустимо высокими, не-

обходимо реализовать дополнительные защитные меры. Оцени-

вая стоимость защитных мер, следует учитывать не только пря-

мые расходы на закупку оборудования и/или программ, но и рас-

ходы на внедрение новинки, в частности, на обучение и перепод-

готовку персонала.

Когда намеченные меры приняты, надо проверить их действен-

ность,

т. е.

убедиться, что остаточные риски стали приемлемыми.

Если это на самом деле так, значит, все в порядке и можно спо-

койно намечать дату ближайшей переоценки. В противном слу-

чае придется проанализировать допущенные ошибки и немедлен-

но провести повторный сеанс управления рисками [5].

6.5.

Обеспечение безопасности информации

в непредвиденных ситуациях

Согласно [41], к обеспечению защиты информации в непред-

виденных ситуациях предъявляются следующие требования:

•

наличие плана действий в непредвиденных ситуациях, пери-

одически проверяемого и обновляемого;

•

проведение обучения действиям в непредвиденных ситуаци-

ях;

•

выделение мест резервного хранения информации;

• предусмотреть резервирование телекоммуникационных сер-

висов (услуг);

• разработать требования к резервному копированию инфор-

мации;

•

разработать требования по восстановлению ИТ.

140

В плане действий в непредвиденных ситуациях должны быть

определены ответственные лица и выполняемые ими действия при

восстановлении ИТ после сбоя или отказа. Он должен быть рас-

смотрен соответствующими должностными лицами, утвержден,

размножен в необходимом количестве и направлен лицам, ответ-

ственным за действия в непредвиденных ситуациях. План необ-

ходимо периодически пересматривать и обновлять с учетом изме-

нений в ИТ или проблем, возникших в результате проверки или

реализации плана.

Периодическая проверка плана действий в непредвиденных

ситуациях проводится с использованием соответствующих тестов

(проверочных последовательностей действий) с целью оценки

эффективности плана и готовности персонала к выполнению дей-

ствий, предписанных планом. Соответствующие должностные лица

изучают результаты проверки плана действий в непредвиденных

ситуациях и (при необходимости) инициируют корректировку

плана. В наиболее критичных АС проверка плана действий в не-

предвиденных ситуациях проводится на дублирующем объекте и

с использованием автоматизированных средств.

Обучение персонала действиям в непредвиденных ситуациях

заключается в подготовке (с установленной периодичностью —

переподготовке) персонала по вопросам его роли, ответственно-

сти и обязанностей при осуществлении действий в непредвиден-

ных ситуациях. В процессе подготовки должны моделироваться

соответствующие события, что поможет в будущем персоналу

эффективно выполнить требуемые от него действия при возник-

новении кризисных ситуаций. При этом желательно использо-

вать автоматизированные средства для обеспечения более полной

и реалистичной среды обучения.

На предприятии должны быть идентифицированы места ре-

зервного хранения информации и решены административные воп-

росы хранения резервных копий информации. Места резервного

хранения информации пространственно (географически) отделяют-

ся от основных мест хранения информации, чтобы не подвергать

ее тем же самым опасностям. Место резервного хранения информа-

ции должно быть сформировано таким образом, чтобы обеспе-

чить своевременное и эффективное выполнение операций восста-

новления. В случае сбоя или аварии определяются потенциаль-

ные проблемы доступности мест резервного хранения информа-

ции и конкретные действия по восстановлению доступности.

В организации должны быть определены резервные места об-

работки информации и решены соответствующие административ-

ные вопросы для выполнения критически важных задач вплоть до

восстановления возможностей ИТ по обработке информации. Ре-

зервные места для обработки информации пространственно (гео-

графически) отделяются от основных мест обработки, чтобы не

141

подвергать их тем же самым опасностям. Устанавливаются потен-

циальные проблемы доступности резервных мест обработки ин-

формации в случае сбоя или аварии и обеспечиваются конкрет-

ные действия по восстановлению доступности. При использова-

нии резервных мест обработки информации учитываются уста-

новленные приоритеты обслуживания. Организация резервного

места обработки информации должна обеспечить минимально

требуемые эксплуатационные возможности.

На предприятии должны быть идентифицированы основные и

резервные телекоммуникационные сервисы и решены админист-

ративные вопросы использования последних для осуществления

критически важных задач на период восстановления доступности

основных телекоммуникационных сервисов ИТ. При использова-

нии основных и резервных телекоммуникационных сервисов учи-

тываются установленные приоритеты обслуживания. Для крити-

чески важных систем поставщики основных и резервных теле-

коммуникационных сервисов соответствующим образом отделя-

ются друг от друга, чтобы не подвергаться одним и тем же самым

опасностям, а также они должны иметь соответствующие планы

действий в непредвиденных ситуациях.

В организации должны создаваться (с установленной перио-

дичностью) резервные копии информации пользовательского и

системного уровня (включая системную информацию о состоя-

нии) и храниться резервные копии информации в защищенном

месте. Необходимо тестирование резервных копий информации

для того, чтобы удостовериться в надежности используемых но-

сителей и целостности информации. Резервированную информа-

цию следует выборочно использовать для восстановления функ-

ций ИТ как часть проверки плана действий в непредвиденных

ситуациях. В наиболее важных системах резервные копии кри-

тичной информации и программного обеспечения хранятся в не-

сгораемом контейнере, который располагают вне зоны размеще-

ния остальной информации и программного обеспечения ИТ.

В организации должны быть разработаны механизмы и под-

держивающие их процедуры, необходимые для восстановления ИТ

после сбоя или отказа. Восстановление ИТ после сбоя или отказа

следует использовать как часть проверки плана действий в не-

предвиденных ситуациях.

6.6.

Реагирование на инциденты ИБ

Политика безопасности, принятая организацией, должна пред-

усматривать набор оперативных мероприятий, направленных на

обнаружение и нейтрализацию нарушений ИБ. Важно, чтобы в

подобных случаях последовательность действий была спланиро-

142

вана заранее, поскольку меры нужно принимать срочные и ско-

ординированные .

Так, в Стандарте Банка России указано: «Организации следует

разработать и внедрить план обеспечения непрерывности бизнеса

(деятельности) и восстановления после прерываний. Данный план

и соответствующие процессы восстановления должны пересмат-

риваться на регулярной основе и своевременно обновляться (на-

пример, при существенных изменениях в операционной деятель-

ности, организационной структуре, бизнес-процессах и автома-

тизированных банковских системах). Эффективность документи-

рованных процедур восстановления необходимо периодически

проверять и тестировать (как минимум на полугодовой основе).

С данным планом должны быть ознакомлены все сотрудники, от-

вечающие за его выполнение и вовлеченные в процессы восста-

новления.

В качестве методологической основы при разработке плана

могут быть использованы общепринятые международные стандар-

ты, регулирующие вопросы менеджмента непрерывности бизнеса

(например,

BSI

PAS

—56)».

Реакция на нарушения режима безопасности преследует две

главные цели [6]:

• блокирование нарушителя и уменьшение наносимого вреда;

•

недопущение повторных нарушений.

В проекте документа [41] приведены группы требований к ре-

агированию на инциденты нарушения безопасности. Это требо-

вания:

• к политике и процедурам управление инцидентами;

• обучению действиям по управлению инцидентами;

• проверке эффективности управления инцидентами;

• обработке инцидентов;

• мониторингу инцидентов;

• составлению отчетов об инцидентах;

• информационной поддержке процесса обработки инциден-

тов.

Требования к политике и процедурам управления инцидента-

ми означают, что на предприятии должны разрабатываться, доку-

ментироваться и периодически обновляться политика реагирова-

ния на инциденты нарушения безопасности, а также процедуры и

меры, связанные с ее реализацией.

Требования к обучению действиям по реагированию на инци-

денты нарушения безопасности устанавливают, что эксплуатиру-

ющий персонал обязан пройти подготовку (с установленной пе-

риодичностью — переподготовку) по вопросам ответственности и

обязанностей при осуществлении действий по реагированию на

инциденты нарушения безопасности. В процессе подготовки экс-

плуатирующего персонала моделируются соответствующие собы-

143

тия, позволяющие ему в будущем эффективно выполнить требуе-

мые

действия при возникновении кризисных ситуаций. Желатель-

но использование автоматизированных средств.

Эффективность действий по реагированию на инциденты на-

рушения безопасности требует проведения периодических прове-

рок с использованием соответствующих тестов (проверочных по-

следовательностей действий). Желательно использование автома-

тизированных средств.

Требования к обработке инцидентов: возможности по обра-

ботке инцидентов должны включать обнаружение, анализ, пре-

дотвращение развития, устранение инцидентов нарушения без-

опасности и восстановление безопасности после инцидентов. Для

этого желательно использование автоматизированных средств.

Требования по мониторингу инцидентов: инциденты наруше-

ния безопасности ИТ должны отслеживаться и документировать-

ся на постоянной основе. Для отслеживания инцидентов наруше-

ния безопасности, сборе и анализе информации об инцидентах

используются автоматизированные средства. Об инцидентах не-

обходимо представлять отчеты в установленные органы в соответ-

ствии с установленной формой, периодичностью и перечнем ор-

ганов.

На предприятии должны иметься необходимые ресурсы (реко-

мендации, указания, справочная информация) поддержки пользо-

вателей для обеспечения процесса обработки инцидентов.

6.7.

Резервирование информации

и отказоустойчивость

Одной из наиболее распространенных угроз ИБ является поте-

ря данных в результате отказа оборудования. Для восстановления

утраченной информации возможно заблаговременное создание

резервных копий данных. Существует ряд программных средств

резервного копирования, позволяющих решить эту задачу. Но,

во-первых, большие объемы информации регулярно копировать

затруднительно, а во-вторых, та информация, которая появилась

или изменилась после копирования, будет все-таки потеряна.

Альтернативой программным средствам резервирования являют-

ся аппаратные решения, обеспечивающие отказоустойчивость.

Наиболее распространенные средства защиты от сбоев диско-

вых систем — дисковые массивы (RAID — Redundant

Arrays

Inexpensive

Disk), а также дуплексирование и зеркальное отобра-

жение. Рассмотрим эти технологии подробнее. При зеркальном

отображении дисков вся записываемая на один диск информация

одновременно записывается и на другой. Это достигается приме-

144

нением специального контроллера и соответствующим программ-

ным обеспечением. Восстановление обычно выполняется вруч-

ную: нужно заменить диск и включить машину, после чего вся

информация с исправного диска запишется на новый.

Недостатки зеркального отображения:

• уменьшение в два раза общего объема доступного дискового

пространства;

• поскольку операции чтения и записи выполняются дважды,

действие системы несколько замедляется;

• зеркальное отображение не защищает от сбоев контроллера

дисков.

Последний недостаток ликвидируется в технологии дуплекси-

рования дисков, в которой для работы применяется два разных

контроллера, каждый из них работает с отдельным диском, что

удорожает систему.

RAID-системы

—

это метод управления жесткими дисками, при

котором несколько дисков работают как один логический диск.

Любой файл может храниться одновременно на нескольких дис-

ках. Эта технология наиболее популярна на сегодняшний день в

АС уровня предприятия.

В RAID-системе используется контроллер RAID, реализуемый

программным либо аппаратным (внутренним или внешним) об-

разом. Каждый из этих способов имеет свои преимущества и не-

достатки. Наиболее дешевы программные реализации, но они

больше всего загружают центральный процессор компьютера.

Внешние аппаратные реализации, наоборот, стоят дорого, но про-

изводительность и надежность у них наивысшие.

В матрицу дисков RAID-систем, как правило, устанавливают-

ся дополнительные диски. В случае поломки какого-либо диска

вместо него монтируется резервный.

• г.

,<*:

• •'

<•••;

Глава

Определение потенциальных

каналов и методов

несанкционированного доступа

к информации

7.1.

Технические каналы утечки информации,

их классификация

Комплексный подход к защите информации предприятия пред-

полагает в первую очередь выявление всевозможных угроз, вклю-

чая каналы утечки информации. Реализация такого подхода тре-

бует объединения различных подсистем безопасности в единый

комплекс, оснащенный общими техническими средствами, кана-

лами связи, программным обеспечением и базами данных. При

выявлении технических каналов утечки информации рассматри-

ваются основное оборудование технических средств обработки

информации (ТСОИ), оконечные устройства, соединительные

линии, распределительные и коммутационные системы, оборудо-

вание электропитания, схемы заземления и т. п.

Наряду с основными учитываются и вспомогательные техни-

ческие средства и системы (ВТСС). К ВТСС относятся [40] следую-

щие:

• различного рода телефонные средства и системы;

• средства и системы передачи данных в системе радиосвязи;

• средства и системы охранной и пожарной сигнализации;

• средства и системы оповещения и сигнализации;

• контрольно-измерительная аппаратура;

• средства и системы кондиционирования;

• средства и системы проводной радиотрансляционной сети и

приема программ радиовещания и телевидения (абонентские гром-

коговорители, системы радиовещания, телевизоры и радиоприем-

ники и др.);

• средства электронной оргтехники;

• средства и системы электрочасофикации;

• иные технические средства и системы.

Рассмотрим подробнее особенности технических каналов утечки

информации (ТКУИ), под которыми понимаются совокупности

объектов технической разведки, физической среды и средств тех-

нической разведки, которыми добываются разведывательные дан-

ные.

146

Классификационными признаками ТКУИ могут быть:

• способ перехвата информации (пассивный, активный);

• физическая природа сигналов-переносчиков информации

(электромагнитные, акустические, тепловые колебания, визуаль-

ная информация и т.д.).

Основные ТКУИ, имеющиеся в помещении, приведены на

рис. 7.1 [3].

Технические каналы утечки информации можно разделить на

электромагнитные, электрические и параметрические.

Электромагнитные каналы утечки формируются в результате

побочного электромагнитного излучения:

• элементов ТСОИ, сигнал которых (ток, напряжение, частота

и фаза) изменяется так же, как и информационный;

• ВЧ-генераторов ТСОИ и ВТСС, которое может непреднаме-

ренно модулироваться электрическим сигналом, наведенным ин-

формационным сигналом;

• НЧ-усилителей технических средств передачи информации

(ТСПИ) в результате случайного преобразования отрицательной

обратной связи в паразитную положительную, что может привес-

ти к самовозбуждению и переходу усилителя из режима усиления

в режим автогенерации сигналов, модулированных информаци-

онным сигналом.

Электрические каналы утечки появляются вследствие наводки:

• электромагнитного излучения, возникающего при передаче

информационных сигналов элементами ТСОИ, а также из-за на-

личия гальванической связи между соединительными линиями

ТСОИ и другими проводниками или линиями ВТСС;

•

информационных сигналов в цепи электропитания вследствие

магнитной связи между выходным трансформатором усилителя и

трансформатором системы электропитания, а также неравномер-

ной нагрузки выпрямителя, приводящей к изменению потребляе-

мого тока в соответствии с изменениями информационного сиг-

нала;

• информационных сигналов в цепи заземления за счет гальва-

нической связи с землей различных проводников (в том числе

нулевого провода сети электропитания, экранов) и металлических

конструктивных элементов, выходящих за пределы контролируе-

мой зоны безопасности.

Кроме того, электрические каналы утечки могут возникать в

результате съема информации с помощью различных автономных

аппаратных или так называемых закладных устройств, например

минипередатчиков. Излучение этих устройств, устанавливаемых

в ТСОИ, модулируется информационным сигналом и принимается

специальными устройствами за пределами контролируемой зоны.

Возможно применение специального «ВЧ-облучения», элект-

ромагнитное поле которого взаимодействует с элементами ТСОИ

147

Сеть Охранно-пожарная

электропитания сигнализация

Электрочасы

Трансляционная

(24)

ПЭВМ

системный блок,

винчестер,

клавиатура,

блок питания

1рР

Дисплей,

^^^

принтер,

^^^

модем

2, 4, 8, 9, 17,

18, 20, 21, 22

Двойная дверь

Комната для переговоров

и модулируется информационным сигналом. Это параметриче-

ский канал утечки. Описание некоторых каналов утечки инфор-

мации приведено в табл. 7.1 [2].

Как указано в нормативном документе [40], перехват инфор-

мации или воздействие на нее с использованием технических

средств могут вестись:

•

из-за границы контролируемой зоны (КЗ) — из близлежащих

строений и транспортных средств;

• из смежных помещений, принадлежащих другим учреждени-

ям (предприятиям) и расположенным в том же здании, что и объект

защиты;

• при посещении учреждения (предприятия) посторонними

лицами;

148

Рис. 7.1. Обобщенная схема технических каналов утечки информации:

— утечка за счет структурного звука в стенах и перекрытиях; 2 — съем инфор-

мации с ленты принтера, плохо стертых дискет и т.п.; 3 — съем информации

с использованием видеозакладок; 4 — программно-аппаратные закладки и ПК;

— радиозакладки в стенах и мебели; 6 — съем информации по системе венти-

ляции; 7 — лазерный съем акустической информации с окон; 8 — производ-

ственные и технологические отходы; 9 — компьютерные вирусы, логические

бомбы и т.д.; 10 — съем информации за счет наводок и «навязывания»; 11 —

дистанционный съем видеоинформации (оптика); 12 — съем акустической ин-

формации с использованием диктофонов; 13 — хищение носителей информа-

ции; 14 — высокочастотный канал утечки в бытовой технике; 15 — съем инфор-

мации направленным микрофоном; 16 — внутренние каналы утечки информа-

ции (через обслуживающий персонал); 17 — несанкционированное копирова-

ние; 18 — утечка за счет побочного излучения информации; 19 — съем инфор-

мации за счет использования «телефонного уха»; 20 — съем информации с кла-

виатуры по акустическому каналу; 21 — съем информации с дисплея по электро-

магнитному каналу; 22 — визуальный съем информации с дисплея и принтера;

23 — наводки по линии коммуникации и сторонние проводники; 24 — утечка

через линии связи; 25 — утечка по цепям заземления; 26 — утечка по сети элек-

трочасов; 27 — утечка по трансляционной сети и громкоговорящей связи; 28 —

утечка по охранно-пожарной сигнализации; 29 — утечка по сети; 30 — утечка

по сети отопления, газо- и водоснабжения, электропитания

• за счет несанкционированного доступа (несанкционирован-

ных действий) к информации, циркулирующей в АС, как с помо-

щью технических средств АС, так и через информационные сети

общего пользования.

В качестве аппаратуры перехвата или воздействия на инфор-

мацию и технические средства могут использоваться портативные

возимые и носимые устройства, размещаемые вблизи объекта за-

щиты либо подключаемые к каналам связи или техническим сред-

ствам обработки информации, а также электронные устройства

перехвата информации — «закладки», размещаемые внутри или

вне защищаемых помещений.

Кроме перехвата информации техническими средствами воз-

можно непреднамеренное попадание защищаемой информации к

лицам, не допущенным к ней, но находящимся в пределах КЗ.

Это возможно, например, вследствие:

• непреднамеренного прослушивания без использования тех-

нических средств конфиденциальных разговоров из-за недоста-

точной звукоизоляции ограждающих конструкций защищаемых

помещений и их инженерно-технических систем;

• случайного прослушивания телефонных разговоров при про-

ведении профилактических работ в сетях телефонной связи;

•

некомпетентных или ошибочных действий пользователей и

администраторов АС при работе вычислительных сетей;

• просмотра информации с экранов дисплеев и других средств

ее отображения.

149