- •И.В. Гончаров в.Г. Герасименко
- •1. Оьщие вопросы орнанизации и обеспечения информационной безопасности в техническом аспекте еезащиты
- •Передача (циркуляция) Перехват
- •8Рис. 1.1. Представление процесса циркуляции информации с учётом её возможного перехвата
- •1.2. Обеспечение защищённости информации на объектах информатизации
- •1.2.1. Мероприятия, необходимые для обеспечения защищенности на объекте информатизации
- •1.2.2. Типовой объект информатизации
- •1.3. Угрозы безопасности информации при потенциальной возможности ее утечки по техническим каналам применительно к типовому объекту информатизации
- •1.4. Причины и физические явления, обусловливающие возможные технические каналы утечки информации
- •1.4.1. Электрические и магнитные поля рассеивания от технических средств обработки информации
- •1.4.2. Паразитная генерация, возникающая при неустойчивой работе усилителей и генераторов
- •161.4.3. Акустоэлектрические преобразования на элементах технических средств
- •1.4.4. Электромагнитные наводки
- •1.4.5. Информативные сигналы в цепях технических средств обработки информации как источник возникновения технических каналов утечки информации
- •1.4.6. Другие реализации технических каналов утечки информации
- •1.5. Классификация технических каналов утечки информации
- •221.6. Угрозы, реализуемые по различным техническим каналам утечки информации
- •2. Методы и средства обеспечения безопсности информации на объектах информатизации при ее обработке техническими средствами
- •2.1. Экранирование технических средств
- •35 332.1.1. Электростатическое экранирование
- •2.1.2. Магнитостатическое экранирование
- •2.1.3. Электромагнитное экранирование
- •38Рис 2.1. Структурная схема защиты линии связи от наводок
- •2.3.Фильтрация информативных сигналов
- •2.4. Пространственное и линейное зашумление
- •С учетом значений радиусов зон
- •3. Методы и средства защиты речевой информации
- •3.1. Звукоизоляция помещений
- •3.2. Виброакустическая маскировка
- •4. Основные принципы технологического обеспечения защиты информации на объекте информатизации
- •4.1. Акустическое зашумление
- •4.2. Вибрационное зашумление
- •4.3. Пространственное электромагнитное зашумление
- •4.4. Пространственное электромагнитное зашумление для отдельных технических средств обработки информации
- •4.5. Технический контроль эффективности защиты информации
- •5. Методы и средства поиска электронных устройств перехвата информации
- •5.1. Классификация и характеристики методов и средств поиска электронных устройств перехвата информации
- •5.1.1. Демаскирующие признаки электронных устройств перехвата информации
- •5.1.2. Классификация методов и средств поиска электронных устройств перехвата информации
- •5.2. Средства поиска электронных устройств перехвата
- •5.2.1. Индикаторы электромагнитного поля, радиочастотомеры и интерсепторы
- •5.2.2. Сканерные приемники и анализаторы спектра
- •5.2.3. Программно-аппаратные и специальные комплексы контроля
- •5.3. Методы поиска электронных устройств перехвата информации
- •5.3.1. Методы поиска радиозакладок с использованием индикаторов поля, интерсепторов и радиочастотомеров
- •5.3.2. Методы поиска телефонных устройств перехвата информации с использованием сканерных приемников и программно-аппаратных комплексов контроля
- •5.4. Средства поиска электронных устройств перехвата информации
- •5.4.1. Средства контроля проводных линий
- •5.4.2. Нелинейные локаторы, металлоискатели, обнаружители
- •5.4.3. Методы поиска электронных устройств перехвата информации
- •5.4.4. Методы поиска электронных устройств перехвата информации с использованием нелинейных локаторов и рентгеновских аппаратов
- •5.5. Специальные проверки выделенных помещений
- •6. Организация защиты информации от утечки по техническим каналам
- •6.1. Лицензирование деятельности в области защиты информации
- •6.2. Перечень видов деятельности предприятий в области защиты информации, подлежащих лицензированию Гостехкомиссией России
- •6.3. Сертификация средств защиты информации
- •Перечень средств защиты информации, подлежащих сертификации по требованиям безопасности информации, и область применения данных средств представлены в табл. 6.1.
- •6.4. Аттестация объектов информатизации по требованиям
- •6.5. Рекомендации по организации работ по защите информации от утечки по техническим каналам на объектах технических средств обработки информации
- •111Заключение
6.4. Аттестация объектов информатизации по требованиям
безопасности информации
Под объектами информатизации (ОИ), аттестуемыми по требованиям безопасности информации, понимают автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения, предназначенные для обработки и передачи информации, подлежащей защите, вместе с помещениями, в которых они установлены, а также помещения, предназначенные для ведения конфиденциальных переговоров /6/.
99
Под аттестацией ОИ понимается комплекс организационно технических мероприятий, в результате которых посредством специального документа – «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов иных нормативно-технических документов по безопасности информации. Наличие на ОИ действительного «Аттестата соответствия» дает право на обработку документов с уровнем секретности на период времени, установленным в «Аттестате соответствия».
Обязательной аттестации подлежат ОИ, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров. В остальных случаях аттестация добровольная.
Аттестация по требованиям безопасности информации предшествует началу обработке подлежащей защите информации и необходимостью официального подтверждения эффективности комплекса используемых на конкретном объекте информации мер и средств защиты информации. При аттестации ОИ подтверждается его соответствие требованиям по защите информации:
от несанкционированного доступа, в том числе от компьютерных вирусов;
от утечки за счет побочных электромагнитных излучений и наводок при специальных воздействиях на объект (ВЧ-облучение, электромагнитное и радиационное воздействие);
от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации.
100
анализ исходных данных по аттестуемому ОИ;
предварительное ознакомление с аттестуемым ОИ;
проведение экспертного обследования ОИ и анализ разработанной документации по информатизации на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации;
проведение испытаний отдельных средств и систем защиты информации на аттестуемом ОИ с помощью специальной аппаратуры и тестовых средств;
проведение испытаний отдельных средств и систем информатизации в испытательных центрах по сертификации средств защиты информации по требованиям безопасности информации;
проведение комплексных аттестационных испытаний ОИ в реальных условиях эксплуатации;
анализ результатов экспертного обследования и комплексных аттестационных испытаний ОИ и утверждение заключения по результатам аттестации.
Органы по аттестации ОИ несут ответственность за выполнение возложенных на них функций, обеспечение сохранности государственных и коммерческих секретов, за соблюдение авторских прав разработчиков аттестуемых объектов информатизации и их компонент.
101
подготовку ОИ путем необходимых организационно-технических мероприятий к аттестации;
привлекают на договорной основе органы по аттестации для организации и проведения аттестации объекта информатизации;
предоставляют органам по аттестации необходимые документы и условия проведения аттестации;
привлекают, в необходимых случаях для проведения испытаний несертифицированных средств защиты информации, используемых на аттестуемом объекте информатизации, испытательные центры по сертификации;
осуществляют эксплуатацию объекта информатизации в соответствии с условиями и требованиями, установленными в «Аттестате соответствия»;
извещают орган по аттестации, выдавший «Аттестат соответствия», о всех изменениях в информационных технологиях, составе и размещении средств и систем информатизации, условиях их эксплуатации, которые могут повлиять на эффективность мер и средств защиты информации;
предоставляют необходимые документы и условия для осуществления контроля и надзора за эксплуатацией объекта информатизации, прошедшего обязательную аттестацию.
Порядок проведения аттестации включает следующие действия:
подачу и рассмотрение заявки на аттестацию;
предварительное ознакомление с аттестуемым объектом;
испытание несертифицированных средств и систем защиты информации, используемых на аттестуемом объекте;
заключение договоров на аттестацию;
разработка программы и методики аттестационных испытаний;
проведение аттестационных испытаний;
102
оформление, регистрацию и выдачу «Аттестата соответствия»;осуществление государственного контроля и надзора, инспекционного контроля за проведением аттестации и эксплуатацией аттестованных объектов информатизации;
рассмотрение апелляций.
Владелец аттестованного объекта несет ответственность за выполнение установленных условий функционирования ОИ, технологию обработки информации и требования по безопасности информации. Подробно алгоритм аттестации ОИ показан на рисунке 6.1.