6. Методическо-нормативное обеспечение и контрольно-измерительная аппаратура при проведении специальных исследований

6.1. СИ ОТСС проводились в соответствии с нормативом «Сборник методических документов по контролю защищенности информации, обрабатываемой средствами вычислительной техники, от утечки за счет побочных электромагнитных излучений и наводок (ПЭМИН)», Гостехкомиссия России, 2002 г.

6.2. Расчет результатов (R2,Δ) проводился в соответствии с документами «Сборник методических материалов по проведению специсследований технических средств АСУ и ЭВМ, предназначенных для работы с секретной информацией», Минрадиопром, 1978 г. и «Дополнение к методике контроля защищенности объектов ЭВТ», Минрадиопром СССР, 1979 г.

6.3. Оценка защищенности проводилась по «Сборнику норм защиты информации от утечки за счет побочных электромагнитных излучений и наводок», Гостехкомиссия России, 1998 г.

6.4. Значения опасных сигналов (ОС) измерялись и рассчитывались, в первую очередь, от устройств с последовательным кодированием информации (монитор, накопители на жестком, гибком и оптических (CD-R, CD-RW) дисках, принтер, клавиатура). Устройства (узлы, блоки устройств) с параллельным кодированием и разрядностью п£8 оценивались при необходимости.

6.5. Значения соотношений сигнал/шум (при оценке эффективности САЗ) измерялись и рассчитывались для уровней ПЭМИН устройств с последовательным кодированием информации (монитор, накопители на жестком, гибком и оптических дисках, принтер, клавиатура, интерфейс USB (СОМ) и т.д.).

6.6. Исследуемые устройства компьютерной техники (ОТСС) включались в режиме обработки специального тест-сигнала с заранее известными параметрами передаваемых данных (тест-программа «Сигурд-тест»). Основные параметры ОС (FT, и и др.) в цепях устройств выявлялись непосредственными измерениями в исследуемых цепях. При исследованиях видеоподсистемы тактовая частота определялась косвенным методом по «шагу» частоты гармоник видеосигнала, а длительность импульсов и =1/2 FT, так как тест-программа «Сигурд-тест» в режиме измерения формировала видеосигнал с соотношением длительности импульсов и пауз типа «меандр».

6.7. Измерения побочных электромагнитных излучений (ПЭМИН) монитора производились при выводе на экран последовательности черных и белых элементов изображения (пикселей) в режиме «пиксель через пиксель».

С целью более тщательного исследования частотного диапазона в мегагерцах ПЭМИН от 0 до 1/и выполнены отдельные СИ видеоподсистемы в этом диапазоне частот в тест-режиме «пиксель через 7 пикселей», имитирующем вывод текста на мониторе.

6.8. Измерения ПЭМИН лазерного принтера производились в режиме печати чередующихся черных и белых вертикальных линий (указать ширину линии и пробела, например, «2 пикселя через 10»).

6.9. Учитывая, что исследуемые технические средства размещены на седьмом этаже здания в соответствии с утвержденной методикой, оценивалось реальное затухание ОС до границ контролируемой зоны методом реальных зон. С этой целью производились измерения тест-сигнала от генератора с излучающей антенной непосредственно вблизи и на границе контролируемой зоны.

В качестве источника тест-сигнала был использован электромагнитный шум, излучаемый антенной DA-3000 генератора САЗ «Гром-ЗИ-4».

В качестве источников тест-сигнала были использованы генераторы Г4-158, Г4-143 и Г4-144, нагруженные на антенну DA-3000.

6.10. Оценка реального затухания производилась в частотных полосах 1/и. В каждой полосе суммирования оценка реального затухания производилась, минимум, в 5...8 частотных точках, равномерно распределенных по частоте. Усреднение значений тест-сигнала в полосе производилось в соответствии с «Дополнением...» к «Методике контроля защищенности объектов ЭВТ...», 1979 г. Разность двух уровней (в точках 1 и 2) характеризует реальное затухание ОС. При расчете нормированного значения ОС учитывалось отношение реального затухания к стандартному.

6.11. Исследования производились по электрической и магнитной компонентам поля во всем установленном диапазоне частот с углубленным исследованием тактовых частот ОС и частот, кратных им.

6.12. Исследования в сети электропитания производились в непосредственной близости от розетки(ок), в которую(ые) были включены устройства компьютера. Точка размещения токового трансформатора на кабеле электропитания выбиралась по максимуму ОС на нескольких частотах XXX, XXX (здесь указать, на каких именно). Так как система электропитания не развязана гальванически от внешних потребителей, и защита обеспечивается САЗ, инструментально оценивалась ее эффективность.

6.13. Система(ы) зашумления построена(ы) на базе генератора(ов) ГШ-1000М (в диапазоне частот существования ОС). Оценка эффективности САЗ в линиях электропитания производилась до частот не выше 300 МГц (на основании того, что потенциальная возможность осуществления перехвата в линии электропитания существует в 80 м от объекта ЭВТ и более низкие частоты априори могут не затухнуть до безопасной величины). Условием защищенности является значение соотношения сигнал/шум меньше 0,1 (для видеоподсистемы, для других случаев вписать необходимое значение для каждого устройства отдельно!).

6.14. Поиск сигналов ПЭМИН и возможных паразитных генераторов производился в диапазоне частот 0,01 ...1800 МГц.

6.15. При проведении СИ использована следующая контрольно-измерительная аппаратура.

6.15.1. Система «Сигурд», зав. № С007 (ВНИМАНИЕ!!! Не забывать конкретный номер «Сигурда»!!!), в составе (Сертификаты Гостехкомиссии РФ № 642, 645):

- анализатор спектра IFR 2398, зав. № 91200406 (Свидетельство о поверке № 655/2004 от 07 августа 2004 г., ВНИИФТРИ);

- антенна АИ4-2, зав. № 00119 (Сертификат о калибровке средства измерения № 249/609/02 от 19 декабря 2002 г., ВНИИФТРИ);

- антенна измерительная дипольная АИ5-0, зав. № 078 (Сертификат о калибровке средства измерений № 02/91 от 27.10.2003 г. «ВНИИФТРИ»);

- антенна АИРЗ-2, зав. № 00122 (Сертификат о калибровке средства измерения № 36/609/03 от 26 февраля 2003 г., ВНИИФТРИ);

- токовый трансформатор R&S 25-300 МГц, зав. № 125/911 (Сертификат о калибровке средства измерения № 32/609/03 от 26 февраля 2003 г., ВНИИФТРИ);

- антенна измерительная П6-23А, зав. № 16988 (Свидетельство о поверке № 41/2003 от 1.04.03; ВНИИФТРИ); Внимание!!! Если использовалась АИ5-0, а не АИ4-2, то применять П6-23 НЕ НАДО!!!!

- ПО «Сигурд-Интерфейс», «Сигурд-Тест» и «Сигурд-Дельта».

6.15.3. Генератор Г4-154, зав. № 5665 (Свидетельство о поверке № 735 от 25.12.2002 г., «Орехово-Зуевский ЦСМ»);

6.15.4. Генератор Г4-143, зав. № 109110 (Свидетельство о поверке № 12 от 16.01.2003 г., «Орехово-Зуевский ЦСМ»);

6.15.5. Генератор Г4-144, зав № 403036 (Свидетельство о поверке № 11 от 16.01.2003 г., «Орехово-Зуевский ЦСМ»);

6.15.6. Антенна DA-3000.

Руководящие и нормативно-методические документы, регламентирующие деятельность в области защиты информации

К руководящим документам вышестоящих организаций в области защиты информации относятся: «Доктрина информационной безопасности Российской Федерации», утверждена Президентом Российской Федерации 9.09.2000 г. № Пр.-1895; Федеральный закон от 20.02.95 г. № 24-ФЗ «Об информации, информатизации и защите информации»; Федеральный закон от 04.07.96 г. № 85-ФЗ «Об участии в международном информационном обмене»; Федеральный закон от 16.02.95 г. № 15-ФЗ «О связи»; Федеральный закон от 26.11.98 г. № 178-ФЗ «О лицензировании отдельных видов деятельности»; Указ Президента Российской Федерации от 19.02.99 г. № 212 «Вопросы Государственной технической комиссии при Президенте Российской Федерации»; Указ Президента Российской Федерации от 17.12.97 г. № 1300 «Концепция национальной безопасности Российской Федерации» в редакции указа Президента Российской Федерации от 10.01.2000 г. № 24; Указ Президента Российской Федерации от 06.03.97 г. № 188 «Перечень сведений конфиденциального характера».

К нормативно-методическим документам вышестоящих организаций относятся: Постановление Правительства Российской Федерации от 03.11.94 г. № 1233 «Положение о порядке обращения со служебной информацией ограниченного распространения в федеральных органов исполнительной власти»; Решение Гостехкомиссии России и ФАПСИ от 27.04.94 г. № 10 «Положение о государственном лицензировании деятельности в области защиты информации» (с дополнением); Постановление Правительства Российской Федерации от 11.04.2000 г. № 326 «О лицензировании отдельных видов деятельности»; «Сборник руководящих документов по защите информации от несанкционированного доступа» Гостехкомиссия России, Москва, 1998 г.; ГОСТ Р 51275-99 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения»; ГОСТ Р 50922-96 «Защита информации. Основные термины и определения»; ГОСТ Р 51583-2000 «Порядок создания автоматизированных систем в защищенном исполнении»; ГОСТ Р 51241-98 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний»; ГОСТ 12.1.050-86 «Методы измерения шума на рабочих местах»; ГОСТ Р ИСО 7498-1-99 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 1. Базовая модель»; ГОСТ Р ИСО 7498-2-99 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации»; ГОСТ 2.114-95 «Единая система конструкторской документации. Технические условия»; ГОСТ 2.601-95 «Единая система конструкторской документации. Эксплуатационные документы»; ГОСТ 34.201-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем»; ГОСТ 34.602-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создании автоматизированных систем»; ГОСТ 34.003-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения»; РД Госстандарта СССР 50-682-89 «Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Общие положения»; РД Госстандарта СССР 50-34.698-90 «Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Автоматизированные системы. Требования к содержанию документов»; РД Госстандарта СССР 50-680-89 «Методические указания. Автоматизированные системы. Основные положения»; ГОСТ 34.601-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадия создания»; ГОСТ 6.38-90 «Система организационно-распорядительной документации. Требования к оформлению»; ГОСТ 6.10-84 «Унифицированные системы документации. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники, ЕСКД, ЕСПД и ЕСТД»; ГОСТ Р-92 «Система сертификации ГОСТ. Основные положения»; ГОСТ 28195-89 «Оценка качества программных средств. Общие положения»; ГОСТ 28806-90 «Качество программных средств. Термины и определения»; ГОСТ Р ИСОМЭК 9126-90 «Информационная технология. Оценка программной продукции. Характеристика качества и руководства по их применению»; ГОСТ 2.111-68 «Нормоконтроль»; ГОСТ Р 50739-95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации»; РД Гостехкомиссии России «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей», Москва, 1999 г.; РД Гостехкомиссии России «Средства защиты информации. Специальные общие технические требования, предъявляемые к сетевым помехоподавляющим фильтрам», Москва, 2000 г.; ГОСТ 13661-92 «Совместимость технических средств электромагнитная. Пассивные помехоподавляющие фильтры и элементы. Методы измерения вносимого затухания»; ГОСТ 29216-91 «Совместимость технических средств электромагнитная. Радиопомехи индустриальные от оборудования информационной техники. Нормы и методы испытаний»; ГОСТ 22505-83 «Радиопомехи индустриальные от приемников телевизионных и приемников радиовещательных частотно-модулированных сигналов в диапазоне УКВ. Нормы и методы измерений»; ГОСТ Р 50628-93 «Совместимость электромагнитная машин электронных вычислительных персональных. Устойчивость к электромагнитным помехам. Технические требования и методы испытаний».

Руководствуясь положениями вышеперечисленных документов Гостехкомиссия России разработала свои нормативно-методические документы. К ним относятся: ряд методик по оценке защищенности основных технических средств и систем; защищённости информации, обрабатываемой основными техническими средствами и системами, от утечки за счет наводок на вспомогательные технические средства и системы и их коммуникации; защищенности помещений от утечки речевой информации по акустическому и виброакустическому каналам; по каналам электроакустических преобразований. Приняты: решение Гостехкомиссии России от 14.03.95 г. № 32 «Типовое положение о Совете (Технической комиссии) министерства, ведомства, органа государственной власти субъекта Российской Федерации по защите информации от иностранных технических разведок и от ее утечки по техническим каналам»; решение Гостехкомиссии России от 03.10.95 г. № 42 «Типовые требования к содержанию и порядку разработки Руководства по защите информации от технических разведок и ее утечки по техническим каналам на объекте» и ряд других документов.

На базе этих документов разрабатываются необходимые руководящие и нормативно-методические документы в организациях.

К руководящим документам, разрабатываемым в организациях, относятся:

• руководство (инструкция) по защите информации в организации;

• положение о подразделении организации, на которое возлагаются задачи по обеспечению безопасности информации;

• инструкции по работе с грифованными документами;

• инструкции по защите информации о конкретных изделиях.

В различных организациях эти документы могут иметь разные наименования, отличающиеся от перечисленных выше. Но сущность этих документов остается неизменной, так как их наличие в организации объективно.

Порядок защиты информации в организации определяется соответствующим руководством (инструкцией). Руководство должно состоять из следующих разделов:

• общие положения;

• охраняемые сведения об объекте;

• демаскирующие признаки объекта и технические каналы утечки информации;

• оценка возможностей технических разведок и других источников угроз безопасности информации (возможно, спецтехника, используемая преступными группировками);

• организационные и технические мероприятия по защите информации;

• оповещение о ведении разведки (раздел включается в состав Руководства при необходимости);

• обязанности и права должностных лиц;

• планирование работ по защите информации и контролю;

• контроль состояния защиты информации;

• аттестование рабочих мест;

• взаимодействие с другими предприятиями (учреждениями, организациями).

Список літератури