Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

151

К особо ценной информации принято относить:

− сведения о производстве и о продукции;

− сведения о рынке и научных разработках;

− материально-техническое обеспечение;

− условия контрактов и переговоров;

− сведения о персонале;

− сведения о системе безопасности;

− динамика сбыта продукции;

− эффективность услуг.

Для России характерно отнесение к особо ценной информации − сведе-

ний о финансовой деятельности и системе безопасности организации или

предприятия. Всегда ценной информацией является «чужая» информация, то

есть информация сотрудничающих с предприятием учреждений, организа-

ций, партнеров и клиентов.

10.3. Выявление конфиденциальных сведений

Процесс выявления и регламентации реального состава конфиденци-

альной информации – основополагающая часть системы комплексной защи-

ты информации.

Комплексная защита информации дорогостоящая технология и следо-

вательно определение состава конфиденциальных сведений должно базиро-

ваться на экономической целесообразности. Существует два критерия анали-

за информационных ресурсов:

− степень заинтересованности конкурентов;

− степень ценности (стоимостной, правовой аспект).

Для чего необходимо определить полный перечень реальных и потен-

циальных конкурентов:

− знание сильных и слабых сторон деятельности конкурентов;

− обладание информацией о состоянии дел у каждого из конкурентов;

− о разрабатываемых новшествах;

− о сотрудничестве со структурами промышленного шпионажа;

− о сотрудничестве с криминалом.

152

Информация о реальных и потенциальных конкурентах является осно-

вой определения информации, которую необходимо защищать.

Для принятия решения о том является ли информация объектом защи-

ты и целесообразно ли ее защищать необходимо:

− определить экономическую значимость новшества;

− произвести расчет величины ущерба от утраты информации.

Новшество представляет собой принятие новой стратегии развития:

− заключение выгодных контрактов;

− появление технического (технологического) новшества;

− установление факта потенциальной или реальной угрозы новшеству

со стороны конкурентов.

Ущерб от утраты – стоимость продукции, которая не будет произведена:

− потери от замораживания капитальных вложений;

− стоимость произведенных научно-исследовательских работ (НИР).

В процессе анализа выделяют главные элементы, отражающие фир-

менный секрет, что позволяет удешевить систему комплексной защиты ин-

формации, сделать ее максимально целенаправленной, динамичной и эффек-

тивной.

Защита всего новшества, включая общеизвестные составляющие, как

правило, желаемого результата, не дает. Система защиты становится гро-

моздкой, растет трудность контроля большого объема конфиденциальной

информации.

Массовость засекречивания ведет лишь к росту штатной численности

службы безопасности и в конечном итоге к снижению эффективности защиты

и утрате информации.

Предпосылки отнесения информации к конфиденциальным сведениям:

− не отражает негативные стороны деятельности фирмы (нарушение

законодательства и фальсификацию финансовой деятельности с це-

лью неуплаты налогов);

− не общедоступна и не общеизвестна;

− возникновение или получение информации законно и связано с рас-

ходованием материального, финансового и интеллектуального по-

тенциала;

153

− персонал знает о ценности информации и обучен правилам работы с

ней;

− предприниматель выполняет реальные действия по защите конфи-

денциальной информации.

10.4. Перечень конфиденциальных сведений

Перечень – классифицированный список типовой и конкретно ценной

информации о выполняемых работах, производимой продукции, научных и

деловых идеях, технологических новшествах.

Перечень закрепляет факт отнесения сведений к защищаемой инфор-

мации, определяет срок, период недоступности этих сведений, уровень кон-

фиденциальности (гриф), список должностей, которым дано право использо-

вать эти сведения в работе.

Основа Перечня – рекомендация руководителя структурного подразде-

ления, утвержденная первым руководителем предприятия.

Перечень представляет собой постоянный рабочий материал для руко-

водства, службы безопасности и службы защиты информации, следователь-

но, он должен постоянно поддерживаться в актуальном состоянии.

Важная задача Перечня – дробление коммерческой тайны на отдельные

информационные элементы, известные разным должностным лицам.

Закрепление информации за конкретными должностными лицами сни-

жает вероятность разглашения конфиденциальных сведений сотрудниками и

предотвращает включение в документы избыточной конфиденциальной ин-

формации.

Примечание: при рассмотрении в судах дел о краже информации и по-

несенных в связи с этим убытках Перечень является доказательством отнесе-

ния сведений к конфиденциальным.

10.5. Документирование конфиденциальных сведений

Наибольшая безопасность конфиденциальной информации обеспечива-

ется при отсутствии ее фиксации на каком-либо носителе.

154

Основные отличия документированных конфиденциальных сведений

состоят в следующем:

− обязательность получения разрешения на документирование конфи-

денциальной информации от полномочного руководителя;

− установления грифа (уровня) конфиденциальности сведений, подле-

жащих включению в документ;

− оформление и учет носителя для документирования, выделенного

комплекса конфиденциальных сведений;

− учет подготовленного черновика документа;

− составление черновика и вариантов текста документа;

− получение разрешения на изготовление документа от полномочного

руководителя;

− изготовление проекта конфиденциального документа;

− издание конфиденциального документа.

Угрозы конфиденциальным документам возникают в момент появления

мысли о необходимости документирования.

Существуют следующие угрозы конфиденциальным документам:

− документирование на случайном носителе вне сферы контроля сис-

темы безопасности;

− подготовка к изданию документа, не обоснованная деловой необхо-

димостью или не разрешенного документирования;

− включение в документ избыточной информации (равнозначно раз-

глашению);

− случайное (умышленное) занижение грифа конфиденциальности;

− изготовление документа в условиях, которые не гарантируют сохран-

ности носителя, конфиденциальность обрабатываемой информации;

− утеря оригинала, черновика, варианта или редакции документа, его

части, приложения;

− умолчание такого факта или попытка подмены утраченного материа-

ла;

− сообщение содержимого проекта документа постороннему лицу;

− несанкционированное копирование, даже части, в том числе на неуч-

тенном носителе;

155

− утечка информации по техническим каналам;

− ошибочные действия пользователей, особенно в части разрешитель-

ной системы доступа.

10.6. Носители конфиденциальных сведений

Носитель до приема конфиденциальной информации должен быть уч-

тен с закреплением уровня конфиденциальности.

Цель – безопасность информации, контроль ее сохранности обеспечи-

вается не только в подлиннике, но и во всех черновиках, вариантах, редакци-

ях, отдельных записях.

Все носители конфиденциальных сведений условно можно классифи-

цировать на следующие виды: носители традиционные текстовые, носители

чертежно-графические, машиночитаемые документы, аудио и видео доку-

менты и фотодокументы.

К традиционным текстовым носителям относятся:

− блокнот с отрывными листами и корешком для ведения учета листов,

целей использования листов, исполнителей и дат;

− рабочая тетрадь для документов большого объема;

− отдельные пронумерованные листы;

− типографские формы и бланки.

Носители чертежно-графические представляют собой пронумерован-

ные листы кальки, ватмана, координатной бумаги.

Машиночитаемые документы это маркированные и пронумерованные

диски, дискеты, магнитные ленты, карты и иные не читаемые визуально.

Аудио и видео документы представляют собой маркированные и про-

нумерованные лазерные диски, кассеты, магнитные ленты, карты, киноплен-

ки.

Фотодокументы – маркированные и пронумерованные кассеты с фото-

пленкой, слайды, фотобумага

10.7. Задачи учета конфиденциальных документов

Рассмотрим основные задачи учета конфиденциальных документов:

156

1. Закрепление факта присвоения носителю категории ограничения дос-

тупа;

2. Присвоение носителю учетного номера и включение его в справочно-

информационный банк для обеспечения контроля за использованием и

проверки наличия;

3. Документирование фактов перемещения носителей между руководите-

лями и сотрудниками;

4. Закрепление персональной ответственности за сохранность носителя;

5. Контроль работы исполнителей над документами и своевременное

уничтожение при потере практической ценности.

Учет решает следующие вопросы защиты информации:

− формирует основу последующей персональной ответственности ис-

полнителя за сохранность конфиденциального документа, повышает

внимание к нему;

− предупреждает возможное неправильное использование либо хране-

ние;

− формирует гриф конфиденциальности будущего документа;

− предупреждает возможность тайной подмены носителя, изъятие или

включение в него отдельных частей (листов, кусков пленки, объемов

информации). Для этого фиксируются технические характеристики

носителя (количество листов, длина склейки, объем информации);

− предупреждает тайную разборку кассет, пеналов, конвертов, и иных

оболочек, содержащих технические носители;

− включат носитель в сферу регулярного контроля сохранности и ме-

стонахождения.

Строго обязательна маркировка и учет магнитных носителей информа-

ции (МНИ), наиболее опасных для хранения информации. Обнаружение уг-

роз возможно лишь только на основе сложных аналитических наблюдений.

Маркировка МНИ включает в себя:

− нанесение инвентарного номера;

− даты регистрации;

− наименование структурного подразделения;

− фамилии исполнителя.

157

Применяемый краситель должен быть механически стойким, он должен

окрашивать места и детали крепления или возможно вместо применения кра-

сителей применение невосстанавливаемых наклеек.

Служба безопасности на основе учета защищает информацию путем:

− предотвращения выдачи носителя лицу, не связанному с составлени-

ем конкретного документа или исключенному из состава лиц, допу-

щенных к данному носителю;

− выявляет факт утраты носителя либо его части;

− организует поиск и проведение служебных расследований;

− обеспечивает соблюдение принципа персональной ответственности

за сохранность конфиденциальной информации;

− обнаруживает подмену носителя, фальсификацию части носителя;

− обнаруживает случайную либо умышленную порчу носителя, изме-

нение формата, нумерации листов, вырывание листов, загрязнение,

склеивание.

Служба безопасности предотвращает несанкционированную или неоп-

равданную деловой необходимостью передачу носителей между руководите-

лями и исполнителями и несанкционированное ознакомление посторонних в

процессе приема и выдачи информации.

10.8. Конфиденциальные документы: состав и период нахождения

конфиденциальных документов в делах

Конфиденциальный документ – необходимым образом оформленный

носитель документированной информации, содержащий сведения ограничен-

ного доступа или использования, которые составляют интеллектуальную соб-

ственность юридического (физического) лица.

Конфиденциальность есть отражение ограничения на доступ, которое

накладывает собственник информации. Называть конфиденциальные доку-

менты СЕКРЕТНЫМИ или ставить на них гриф секретности не допускается.

Особенности конфиденциальных документов:

1. Массовый носитель ценной информации;

2. Основной источник накопления и объективного распространения цен-

трализованной информации (ЦИ);

158

3. Основной источник неправомерного разглашения или утечки ЦИ;

4. Обязательный объект защиты.

В состав конфиденциальных документов в государственных структурах

входят документы, проекты документов и сопутствующие материалы для

служебного пользования. Они содержат сведения, отнесенные к служебной

тайне, имеющие рабочий характер и неподлежащие опубликованию в откры-

той печати.

В состав конфиденциальных документов в предпринимательских струк-

турах входят документы, содержащие сведения, которые собственник имеет

право отнести к коммерческой тайне, к тайне фирмы или мастерства.

Не зависимо от принадлежности в состав конфиденциальных докумен-

тов входят документы, фиксирующие любые персональные данные, а также

технические и технологические новшества до их патентования.

Однако защищаемая информация необязательно является конфиденци-

альной. Правоустанавливающий документ должен также быть обезопасен от

похищения или стихийного бедствия.

При рассмотрении сроков конфиденциальности необходимо помнить,

что ценность информации, как правило, не долговечна. Нужно оценивать

время необходимое конкуренту для выработки такой же идеи, для похищения

идеи, для воспроизводства идеи и для ее опубликования, то есть ее перехода

в общедоступную.

Информация может использоваться:

− для производства и продажи товаров;

− для патентования и продажи лицензий.

Важным моментов является, то, что защита ценной информации стоит

дорого. Это связано с постоянной опасностью потерять ее в результате дейст-

вии конкурентов.

Конфиденциальность имеет значительный разброс по срокам ограниче-

ния свободного доступа от нескольких часов до нескольких лет.

Основная масса конфиденциальных документов сразу же после работы

и исполнения теряет свою ценность и конфиденциальность. Например, пере-

писка до заключения контракта конфиденциальна, а после подписания и раз-

решения первого руководителя гриф конфиденциальности снимается.

159

Исполненные конфиденциальные документы формируются в дела в со-

ответствии с номенклатурой дел.

Период нахождения конфиденциальных документов в делах может

быть кратковременным и долговременным. Это зависит от специфики пред-

приятия.

При сроке от 1 до 3 лет период нахождения конфиденциальных доку-

ментов в делах считается кратковременным, а при сроке более 3 лет − долго-

временным. Персональные, производственные, профессиональные данные не

должны иметь периода хранения.

Контрольные вопросы

1. Для чего создается Перечень конфиденциальных сведений?

2. Когда возникают угрозы конфиденциальным документам?

3. При каких условиях ПЭВМ может хранить конфиденциальные сведе-

ния?

4. Какие нарушения ИБ предупреждает учет?

5. Почему нельзя называть конфиденциальные документы секретными?

160

ГЛАВА 11. РЕЖИМ − ОСНОВА ОБЕСПЕЧЕНИЯ КОМПЛЕКСНОЙ

ЗАЩИТЫ ИНФОРМАЦИИ

11.1. Разработка Политики безопасности

Автоматизация процессов деятельности (бизнес-процессов) практиче-

ски любого современного предприятия способствует увеличению производи-

тельности труда и росту «прозрачности» управления за счет расширения

функциональности корпоративной информационной системы (КИС). С дру-

гой стороны, одновременно с этим повышается уровень информационных

рисков. Так, существенному повышению возможности несанкционированно-

го использования или модификации информации, блокированию процесса ее

получения, или введению в оборот ложной информации, приводящей к при-

нятию ошибочных решений и, как следствие, к значительному материально-

му ущербу, способствуют:

− увеличение объемов обрабатываемой, передаваемой и хранимой в

КИС информации;

− сосредоточение в базах данных информации различного уровня важ-

ности и конфиденциальности;

− расширение круга пользователей, имеющих доступ к информацион-

ным ресурсам;

− увеличение числа удаленных рабочих мест, появление мобильных

рабочих мест;

− широкое использование для передачи данных различных каналов

связи, в т.ч. глобальной сети Internet и др.

С технической точки зрения, существует множество решений, направ-

ленных на борьбу с основными проблемами безопасности информации, при-

чем рынок подобных решений постоянно увеличивается. Однако постоянно

меняющаяся политическая, социальная и экономическая ситуация, быстрые

темпы развития информационных технологий, необходимость постоянного

совершенствования систем защиты информации не позволяют с высокой сте-

пенью детализации заранее определить конкретные проектные и технические

решения, позволяющие достичь требуемого уровня обеспечения безопасно-

сти информации. Более того, для комплексного решения проблемы помимо