Разработка организационно-правовых мер защиты информации от утечек по техническим каналам на примере организации

Введение

Современный этап развития российского общества характеризуется существенным возрастанием роли и актуальности проблем обеспечения безопасности во всех сферах жизнедеятельности. Особенно показателен этот процесс для сферы информационной безопасности (ИБ), которая за последнее десятилетие вышла из области компетенции специальных служб и превратилась в мощный сегмент рыночной индустрии современных информационно-телекоммуникационных технологий.
Информационный ресурс является предметом собственности, что в свою очередь влечет за собой проблемы, связанные с ее неконтролируемым распространением, хищением, несанкционированным уничтожением, искажением, блокированием доступа к информации. В связи с этим вопросы защиты информации приобретают актуальность.Возникает необходимость в защите инф ...

Оглавление
Введение 3
1. Утечка информации по техническим каналам 6
1.1 Акустический канал утечки информации 8
1.2 Визуально-оптический канал утечки информации 12
1.3 Радиоэлектронные каналы утечки информации 15
1.4 Материально-вещественный канал утечки информации 17
1.5 Методы добывания информации о вещественных признаках 19
2. Организация защиты информации от утечек по техническим каналам в ООО «Профи» 22
2.1 Характеристика деятельности предприятия ООО «Профи» 22
2.2 Оценка информационных активов предприятия ООО «Профи» 24
2.3 Анализ угроз защищаемой информации 26
2.4 Выявление каналов акустической утечки информации 29
3. Разработка предложений по совершенствованию организационно-правовой защиты информации от утечек по техническим каналам 32
3.1 Разработка технического задания 32
3.2 Разработка комплекса технических мероприятий по защите информации 36
3.3 Разработка комплекса организационно-правовых мер по защите информации в компании 47
3.4 Оценка стоимости проведения мероприятий 54
3.5 Оценка показателей экономической эффективности 58
Заключение 65
Список использованных источников 68
Приложение 1 70
Приложение 2 72

Введение

Современный этап развития российского общества характеризуется существенным возрастанием роли и актуальности проблем обеспечения безопасности во всех сферах жизнедеятельности. Особенно показателен этот процесс для сферы информационной безопасности (ИБ), которая за последнее десятилетие вышла из области компетенции специальных служб и превратилась в мощный сегмент рыночной индустрии современных информационно-телекоммуникационных технологий.
Информационный ресурс является предметом собственности, что в свою очередь влечет за собой проблемы, связанные с ее неконтролируемым распространением, хищением, несанкционированным уничтожением, искажением, блокированием доступа к информации. В связи с этим вопросы защиты информации приобретают актуальность.Возникает необходимость в защите инф ормации, как в государственных, так и в коммерческих организациях.
Проблема защиты информации (далее ЗИ) резко обострилась с развитием конкуренции в среде свободного предпринимательства. Как известно, крупномасштабной задачей в этой области становится борьба с промышленным (экономическим) шпионажем, распространению которого способствует широкое применение для обработки информации средств вычислительной техники, создание вычислительных сетей, систем, баз данных, многочисленных средств передачи информации. Известно, что промышленный шпионаж ведется с целью завоевания рынков сбыта, исключения технологических прорывов конкурентов, срыва переговоров по контрактам, перепродажи фирменных секретов и т.д. Как показывают исследования, масштабы промышленного шпионажа постоянно растут. По оценкам ФСБ России, каждая вторая российская фирма занимается промышленным шпионажем, а конкуренты занимаются против нее тем же самым. По экспертным оценкам, на долю экономического шпионажа приходится 60% потерь предприятия от недобросовестной конкуренции .
Данные факты обуславливают актуальность тематики дипломной работы.
Объектом исследования является деятельность компании ООО «Профи».
Предметом исследования является организационно-правовая защита информации от утечек по техническим каналам в ООО «Профи».
Целью дипломной работы является разработка предложений по совершенствованию организационно-правовых мер защиты информации от утечек по техническим каналам в ООО «Профи».
Для достижения поставленной цели необходимо решить следующие задачи:
1. Рассмотреть каналы утечки информации по техническим каналам;
2. Разработать комплекс мероприятий по защите информации от утечек по техническим каналам в ООО «Профи»;
3. Разработать предложения по совершенствованию организационно-правовой защиты информации от утечек по техническим каналам в ООО «Профи».
Структура дипломнойработы включает введение, основную часть, состоящую из четырех глав, и заключение.
Первая глава работы посвящена анализу существующих технических каналов утечки информации.
Во второй главе будет осуществлена организация защиты информации от утечек по техническим каналам (далее ТКУИ) в ООО «Профи».
Третья глава посвящена разработке предложений по совершенствованию организационно-правовой защиты информации от утечек по техническим каналам в компании ООО «Профи».
В заключении подведен итог разработки организационно-правовых мер защиты информации от утечек по техническим каналам.
Практическая значимость дипломной работы заключается в разработке перечня мер по защите информации от утечек по техническим каналам в компании ООО «Профи».

2. Контрольно-измерительная аппаратура и инструменты должны находиться в технически исправном состоянии;5.3. Поверку аппаратуры Исполнитель подтверждает копиями актов (протоколов) поверки аппаратуры, паспортами измерительной аппаратуры на наличие поверительных клейм;5.4. При выполнении Работ Исполнителем должны быть выполнены требования по охране труда при работе в электроустановках, персонал Исполнителя должен быть обучен, иметь необходимую квалификацию и допуски для выполнения указанного вида Работ;5.5. Исполнитель обязан использовать оборудование, соответствующее государственным нормативным требованиям охраны труда, имеющее декларацию о соответствии и (или) сертификат соответствия.6. Наименование и объем выполняемых работ№ п/пНаименование работыОтчетная документация1231Обследование выделенного помещения, анализ и оценка на соответствие требованиям нормативных правовых документов по защите информации ВПЗаключение по результатам обследования и разработка технического задания на аттестацию ВП.2Анализ и оценка разведдоступности информации, обсуждаемой в ВП Модель угроз безопасности информации. Модель вероятного нарушителя 3Анализ реализованных организационно-технических, режимных и организационных мер защиты ВП Монтаж СЗИ 4 Инструментальные исследования защищенности ВП по требованиям безопасности информации от утечки информации по техническим каналам5Проведение специальных проверок вспомогательных технических средств и систем (далее - ВТСС), размещенных в выделенном помещенииЗаключение по результатам специальной проверки6Проведение специальных исследований ВТСС, размещенных в выделенном помещенииПротоколы по результатам специальных исследований, предписания на эксплуатацию7. Место выполнения работ:Помещение для совещаний ООО «Экон».9.СРОКИ ВЫПОЛНЕНИЯ РАБОТРаботы проводятся в течение 10 рабочих дней после заключения договора. 3.2 Разработка комплекса технических мероприятий по защите информации, циркулирующей в компанииЗащита от Воздушных технических каналов утечки информацииДля защиты помещения от прослушивания с использованием (радиомикрофонов, стетоскопов, звуковых регистраторов, пассивных резонаторов, проводных микрофонов) при ведении важных переговоров принято решение установить систему защиты конфиденциальных переговоров «DRUID D-06». [16]Рис. 3.1 - Устройство защиты конфиденцильных переговоров «DRUID D-06»Система защиты переговоров, позволяющая вести беседу до 6 человек одновременно (при синхронизации 2-х устройств до 12-ти человек). Защищает от всех известных методов прослушивания, включая все типы радиомикрофонов, стетоскопов, звуковых регистраторов, пассивных резонаторов, проводных микрофонов и т. д.DRUID гарантирует защиту от:Цифровых и пленочных диктофонов  Диктофонов, встроенных в мобильные телефоны  Радиомикрофонов Проводных микрофонов Стетоскопов Ряд прослушивающих устройств не имеют никаких излучений и при этом имеют чрезвычайно малые габариты, что делает их чрезвычайно сложными в обнаружении. Особенно это касается диктофонов, которые можно оставлять в кабинете или носить на теле. Это также касается MP3-плейеров с функцией диктофона и диктофонов, реализованных в современных мобильных телефонах. Все перечисленные устройства могут использоваться для кражи «звуковой» информации, а проще говоря, записи ваших разговоров. Во всяком случае, так обстояли дела до появления системы для защиты переговоров под названием DRUID.Защита переговоров — это главное назначение сверхновой разработки в области сохранения конфиденциальности информации, имя которой — DRUID. Прибор DRUID не позволит недоброжелателям прослушать ваши разговоры, благодаря генерации звуковой помехи. Защита переговоров, создаваемая данным прибором, достигает ста процентов эффективности.Принцип работы прибора DRUID основан на генерации звуковых помех, которые воспроизводятся синхронно с речью человека и строятся из самой речи, путем наложения реверберации, спектральной инверсии и случайной составляющей. Чем выше громкость разговора, тем выше громкость генерируемой помехи. Это исключает возможность «выделения» отдельных фрагментов беседы. Разговоры с такими помехами не подвергаются никакой фильтрации — это означает, что очистка записи беседы от помех невозможна. В то же время генерируемые помехи не создают неудобств участникам переговоров, так как переговоры ведутся в специальных гарнитурах. Качество гарнитуры DRUID позволяет вести комфортные переговоры. Также гарнитуры DRUID оснащены встроенными RF (радиочастотными) детекторами, наличие которых гарантирует защиту от жучков внутри наушника гарнитуры DRUID. [17]ХарактеристикиПрофессиональная система защиты переговоров, позволяющая вести беседу до 6 человек одновременно (при синхронизации 2-х устройств до 12-ти человек)Защищает от всех известных методов прослушивания, включая все типы радиомикрофонов, стетоскопов, звуковых регистраторов, пассивных резонаторов, проводных микрофонов и т. д.DRUID абсолютно безвредный для здоровья человека — прибор не излучает ни каких микроволновых и ультразвуковых излученийПо сравнению с генераторами белого шума DRUID обеспечивает защиту более высокого уровня. Акустический белый шум полностью не подавляет цифровые диктофоныПортативность — система поставляется в пластиковом кейсе и может быть легко подготовлена к использованиюСистема может работать от встроенных аккумуляторов. Время работы —до 4-х часовГарнитуры DRUID имеют встроенные RF детектор для исключения возможности монтажа радиопередающих устройств непосредственно в наушники системыКомпактность и легкость в использовании позволяет пользоваться устройством в любой ситуации, что особенно важно при проведении важных переговоров в неизвестной окружающей обстановкеЗащита от Оптико-электронных технических каналов утечкиДля защиты принято решение применить самоклеящиеся пленки Llumar R 15 GO SR HPR.Также данные пленки применяются для уменьшения напряженности электромагнитных полей, создаваемых внешними источниками.1. Визуально-оптический канал съема информации. Для представленных образцов пленок оптическое пропускание колеблется около 15%, отражающая способность пленок R составляет 50-60%. Следовательно, установка этих защитных пленок на оконном остеклении с большой вероятностью исключает возможность ведения визуально-оптической разведки помещений в дневное и сумеречное время. Гарантированная защита от визуально-оптической разведки в вечернее и ночное время может быть обеспечена должной ориентировкой вероятных объектов разведки (экранов дисплеев, мониторов, таблиц, текстов и т.п.) в помещениях относительно окон, либо дополнительным завешиванием окон матерчатыми занавесями или использованием жалюзи. [19]Для оценки эффективности применения лазерного канала съема речевой информации с остеклений с защитными пленками проводились следующие измерения оптических характеристик пленок в спектральном диапазоне излучений наиболее распространенных лазерных средств (0,8-1,5мкм):– энергетические — пропускание и отражение– оценка оптического качества сред пленок — наличие рассеяния и деполяризации излученийВизуальная оценка качества среды пленки показала, что рассеяния излучения в ней незаметно, искажения волнового фронта не больше, чем у оконного стекла, на которое пленки наклеивались.При прохождении лазерного излучения через защитные пленки происходит изменение его поляризации. Причем, в зависимости от угла падения происходит изменение поляризации от линейной до круговой, а деполяризация излучения незначительна.Для всех пленок различие коэффициентов отражения в зависимости от направления падения излучения мало (около 3%), что соответствует погрешности измерений.Из полученных данных следует, что использование защитных пленок не может полностью исключить возможность перехвата речевой информации с оконных стекол лазерными средствами. Тем не менее, учитывая, что съем речевой информации ведется, как правило, с внутреннего остекления двойных или тройных окон (т. к. именно на нем имеется более высокое отношение сигнал / шум), установка защитных пленок на наружном остеклении существенно затрудняет функционирование лазерных средств съема речевое информации.Вносимые пленкой большие потери при прохождении и изменение поляризации лазерного излучения потребуют повышения мощности зондирующего излучения до 400 раз и, следовательно, увеличения мощности излучения лазера до 2000 м Вт соответственно.С практической точки зрения, установка на внешнем оконном остеклении защитных пленок сужает номенклатуру возможных для применения лазерных средств перехвата речевой информации повышает вероятность обнаружения зондирующего излучения с помощью визуальных инфракрасных средств наблюдения, либо делает необходимым приближение аппаратуры перехвата к оконному остеклению на расстоянии порядка 5-10 м, что также демаскирует факт ведения контроля.2. Электромагнитный канал перехвата информацииУстановка защитных металлизированных пленок на оконные остекления приводит к ослаблению электромагнитного излучения из помещения. В ходе работ проводили сравнительный анализ прохождения электромагнитных сигналов через чистое оконное стекло и оконное остекление, выполненное по специальной технологии с применением защитных пленок R 20 SR CDF и R 15 GO SR HPR.Оценка эффективности электромагнитного экранирования защитных пленок производилась в экранированном помещении.Эффективности электромагнитного экранирования исследуемых образцов пленок вычислялись, как разность измеренных величин в свободном поле и при установленном защищенном остеклении. Из полученных данных следует, что защитные металлизированные пленки обладают экранными свойствами. Эффективность экранирования указанных образцов в наиболее энергетическом диапазоне частот побочных излучений ПЭВМ (300-500 мГц) составляет 22-32 дБ. Полученные величины экранированных закладок (400-500 мГц) — 25-29 дБ. Полученные величины экранирования сопоставимы с аналогичными характеристиками железобетонных строительных конструкций. Поэтому, защитные пленки при установке на окнах помещений в железобетонных зданиях могут существенно снизить уровни электромагнитных излучений, распространяющихся из этих помещений. С практической точки зрения,установка защитных металлизированных пленок на оконное остекление приводит к сокращению дальности приема электромагнитного сигнала заданного уровня в 20-40 раз, т. е. реальная дальность действия закладки составит лишь 3% от потенциальной. В этом случае зона уверенного приема побочных излучений составит менее 3 метров, а дальность действия сверхминиатюрных и миниатюрных закладок составит менее 5 м, что практически исключает возможность несанкционированного съема информации этими средствами. А для обеспечения дальности приема речевой информации порядка 50 м потребуется применение мощной закладки, имеющей существенно большие габариты, что приведет к значительному усложнению оперативных мероприятий по ее установке и по обеспечению скрытности ее применения.3. Уменьшение в помещении напряженности электромагнитного поля, создаваемого внешними источниками. Максимальная суммарная величина воздействия электромагнитного поля по электрической составляющей от всех обнаруженных источников излучения в диапазоне указанных частот измерения после установки пленки уменьшена в 15 раз по сравнению с величиной, измеренной до установки пленки и составлял — 5,8 В/M при предельно допустимом уровне — 10 В/М.Также для дополнительной защиты окон помещений будут установлены виброизлучатели ПИ-45 и ПИ-3м являются специализированными электроакустическими преобразователями малой мощности и предназначены для возбуждения шумовых вибраций в остеклении окон (дверей, офисных перегородок и т.п.).Рис. 3.2 - Виброизлучатели ПИ-45 и ПИ-3мЗащита Электроакустического канала утечки информацииДля защиты телефонного аппарата в помещениях от «микрофонного эффекта» и навязывания будет использовано Устройство защиты МП-1А и МП-1Ц.Рис. 3.3 - Устройство защиты МП-1А и МП-1ЦУстройства защиты МП-1А и МП-1Ц предназначены для исключения утечки информации через абонентскую линию аналоговых и цифровых АТС соответственно в режиме ожидания вызова. В них одновременно используются как пассивные средства защиты (ПСЗ), так и активные средства защиты (АСЗ). Устройства содержат генератор шума, нелинейные цепи и узел подавления сигналов малого уровня, с помощью которых обеспечивается введение шумового сигнала в абонентскую линию, затухание сигнала малого уровня от телефонного аппарата (ТА) в сторону абонентской линии и защита информации от утечки при активных методах воздействия в режиме ожидания вызова. Они отличаются малыми габаритами и низкой потребляемой мощностью по сравнению с ближайшими прототипами типа Гранит-8,11,12, это позволяет разместить их внутри телефонных розеток. Эксплуатационные расходы по изделию МП-1А не требуются, а для МП-1Ц сводятся к периодическому аудиоконтролю наличия шума в абонентской линии. [18]Защита от ПЭМИНДля защиты от ПЭМИН от ПЭВМ и принтера в помещениях необходимо применить генератор радиопомех.Рис. 3.4 - Генератор радиопомех ЛГШ-501Генератор радиопомех ЛГШ-501 предназначен для работы в составе системы активной защиты информации (САЗ), обрабатываемой на объектах ЭВТ до 1 категории включительно. САЗ обеспечивает защиту информации от утечки по каналам ПЭМИН путем создания широкополосной шумовой электромагнитной помехи в диапазоне частот от 0,01 до 1800 МГц.Принцип работы САЗ на базе генератора ЛГШ-501: создание на границе КЗ шумовой помехи, которая зашумляет побочные излучения защищаемого объекта.Генератор может работать на две телескопические антенны и (или) на внешние антенны, смонтированные как три короткозамкнутых контура в виде петель из провода, уложенных по периметру трех взаимно перпендикулярных граней.ЛГШ-501 питается от сети переменного тока напряжением 220 В и частотой 50 Гц. Устройство может эксплуатироваться круглосуточно.Включение/выключение режима генерации помех производится кнопкой «Сеть» на задней панели устройства.На передней панели генератора расположен световой индикатор работы.На задней панели генератора предусмотрен разъем для подключения проводного пульта ДУ (в комплект поставки не входит и изготавливается по месту монтажа).На рис. 3.5 представлена схема размещения средств защиты информации по акустическим каналам утечки информации.Рис. 3.5 - Схема размещения средств защиты информацииОбозначения:Желтые линии – защитная пленка;Красный прямоугольник - устройство защиты МП-1А;Зеленые круги - виброизлучатели ПИ-45;Желтый прямоугольник - устройство защиты конфиденциальных переговоров «DRUID D-06»;Синий прямоугольник - генератор радиопомех ЛГШ-501.3.3 Разработка комплекса организационно-правовых мер по защите информации в компанииДля обеспечения защиты от ТКУИ помещений компании были разработаны организационно-правовые мероприятия [19] по защите информации.Были разработаны внутренние регламентирующие документы.Перечень внутренних организационно-распорядительных документов по защите информации:Положение о подразделении (должностной регламент штатного работника) по защите информации.Должностные обязанности лиц, ответственных за защиту информации.План мероприятий по защите информации.План проверок состояния защиты информации.Модель угроз информационной безопасности.Руководство по защите информации от технических разведок и от ее утечки по техническим каналам.Перечень защищаемых объектов информатизации.Акты о категорировании защищаемых объектов информатизации.Акты о категорировании ОТСС в защищаемых помещениях.Технические паспорта на защищаемые объекты информатизации.Приказ о границе контролируемой зоны, схема контролируемой зоны.Приказ о вводе защищаемого помещения в эксплуатацию и назначении ответственного за помещение лица.Приказ о вводе в эксплуатацию средств вычислительной техники, обрабатывающих информацию ограниченного доступа, и назначении ответственных лиц.Приказ (распоряжение) о хранении информации ограниченного доступа на машинных носителях информации.Инструкция по защите речевой информации при проведении конфиденциальных совещаний.Акты классификации автоматизированных систем или отдельных ПЭВМ, обрабатывающих информацию ограниченного доступа.Акты проверок защищаемых помещений на утечку по вибро- и акустическому каналам, акты проверок вычислительной техники (основной и вспомогательной), заключение (предписание) проверяющих организаций о соответствии их требованиям руководящих документов.Аттестаты соответствия требованиям по безопасности информации на объекты информатизации.Приказ (распоряжение) о закреплении ПЭВМ за ответственными лицами.Приказ о запрете использования в защищаемых помещениях радиотелефонов, сотовых и пейджинговых устройств при проведении конфиденциальных совещаний.Инструкция по обеспечению информационной безопасности при подключении к информационно-вычислительным сетям общего пользования (Интернет и т.п.), журнал учета работы на АП ИВС ОП, список лиц, допущенных к работе на АП ИВС ОП.Инструкция по антивирусной защите.Перечень защищаемых ресурсов в ЛВС, таблицы разграничения доступа.Приказ о назначении ответственного за эксплуатацию средств защиты информации.Журнал (карточки) учета средств защиты информации.Содержание некоторых внутренних регламентирующих документов приведено в приложении.Рассмотрим основные требования инструкций обязательные для исполнения.Обязанности работников по защите информации конфиденциального характера и ответственность за разглашение конфиденциальной информацииНачальники подразделений обязаны:участвовать в подготовке Перечня сведений конфиденциального характера, принимать решение об отнесении информации в порученной сфере ответственности к категории ограниченного доступа;готовить к утверждению списки работников, которых по своим должностным обязанностям необходимо допустить к работе с защищаемой информацией в информационной системе;назначать в управлении работника, отвечающего за обеспечение выполнения в управлении предусмотренных мер защиты информации с уточнением его обязанностей в должностном регламенте;контролировать целевое использование работниками ресурсов сети «Интернет»;проводить по информации администратора сети (работника подразделения МТОИЗИ по защите информации) разбирательство по фактам нарушений пользователями правил, установленных для работы в локальной вычислительной сети (далее ЛВС), а также нарушений требований по защите информации;контролировать выполнение пользователями общих правил работы на ПЭВМ и в ЛВС;выборочно, лично или через своих заместителей, контролировать характер исходящей информации, направляемой пользователями по электронной почте другим адресатам и принимать оперативные меры к соблюдению ими установленных требований по защите информации;при обнаружении нарушений установленных требований по защите информации, в результате которых вскрыты факты разглашения конфиденциальной информации, прекратить работы на рабочем месте, где обнаружены нарушения, доложить вышестоящему руководителю и поставить в известность руководителя МТОИЗИ;назначать служебные расследования фактов разглашения конфиденциальной информации или утери документов, содержащих такую информацию;обеспечивать условия для работы представителя подразделения МТОИЗИ по защите информации при проверке в управлении эффективности предусмотренных мер защиты информации;определять порядок передачи информации конфиденциального характера другим управлениям, организациям и органам.Начальники, принявшие решение об отнесении информации к категории ограниченного доступа, несут персональную ответственность за обоснованность принятого решения.При приеме на работу работник предупреждается об ответственности за разглашение сведений конфиденциального характера, которые станут ему известными в связи с предстоящим выполнением своих служебных обязанностей.Допуск к конфиденциальной информации предусматривает оформленные в служебном контракте обязательства работника по нераспространению доверенной конфиденциальной информации.