- •Защита от утечки информации по техническим каналам
- •Глава 1. Характеристика технических каналов утечки информации 4
- •Глава 2.Средства обнаружения каналов утечки информации 34
- •Глава 3. Организация инженерно-технической защиты информации 71
- •Глава 4. Методы и средства защиты информации 88
- •Глава 5. Мероприятия по выявлению каналов утечки информации 119
- •Предисловие
- •Глава 1. Характеристика технических каналов утечки информации
- •1.1. Каналы утечки информации, обрабатываемой техническими средствами приема, обработки, хранения и передачи информации
- •Электромагнитные каналы
- •Электрические каналы
- •Параметрические каналы
- •Вибрационные каналы
- •1.2. Каналы утечки речевой информации
- •Акустические каналы
- •Виброакустические каналы
- •Акустоэлектрические каналы
- •Оптико-электронный (лазерный) канал
- •Параметрические каналы
- •1.3. Каналы утечки информации при ее передаче по каналам связи
- •Электромагнитные каналы
- •Электрические каналы
- •Индукционный канал
- •1.4. Технические каналы утечки видовой информации
- •Наблюдение за объектами
- •Съемка объектов
- •Съемка документов
- •1.5. Несанкционированный доступ к информации, обрабатываемой средствами вычислительной техники
- •Атаки на уровне систем управления базами данных
- •Атаки на уровне операционной системы
- •Атаки на уровне сетевого программного обеспечения
- •Программные закладки
- •1.6. Технические каналы утечки информации, возникающей при работе вычислительной техники за счет пэмин
- •Электромагнитные поля - основной канал утечки информационных сигналов
- •Элементарный электрический излучатель (особенности электромагнитного поля в непосредственной близости от источника)
- •Решение уравнений Максвелла для элементарного магнитного излучателя
- •Электрические излучатели электромагнитного поля
- •Магнитные излучатели электромагнитного поля
- •Электрические каналы утечки информации
- •1.7. Акустические и виброакустические каналы утечки речевой информации из объемов выделенных помещений Основные понятия, определения и единицы измерения в акустике
- •Основные акустические параметры речевых сигналов
- •Уровни речевых сигналов
- •Распространение акустических сигналов в помещениях и строительных конструкциях
- •Каналы утечки речевой информации
- •1.8. Закладные устройства и защита информации от них
- •Построение и общие характеристики закладных устройств
- •Радиозакладные устройства
- •Радиозакладные переизлучающие устройства
- •Закладные устройства типа «длинное ухо»
- •Сетевые закладные устройства
- •Направления защиты информации от закладных устройств
- •Глава 2.Средства обнаружения каналов утечки информации
- •2.1. Индикаторы электромагнитных излучений. Радиочастотомеры
- •Характеристики устройств съема, передающих информацию по радиоканалу
- •Средства обнаружения устройств съема информации с радиоканалом
- •2.2. Радиоприемные устройства Сканирующие приемники
- •Режимы работы сканирующих приемников
- •Рекомендации по выбору сканирующего приемника
- •Высокоскоростные поисковые приемники
- •Селективные микровольтметры, анализаторы спектра
- •2.3. Автоматизированные поисковые комплексы
- •Принципы функционирования комплексов
- •Специальное программное обеспечение
- •Применение спо для построения поисковых комплексов
- •Специализированные поисковые программно-аппаратные комплексы
- •Мобильные поисковые комплексы
- •2.4. Нелинейные локаторы
- •Принцип работы нелинейного локатора
- •Эксплуатационно-технические характеристики локаторов
- •Методика работы с локатором
- •2.5. Досмотровая техника
- •Металлодетекторы
- •Приборы рентгеновизуального контроля
- •Переносные рентгенотелевизионные установки
- •Тепловизионные приборы
- •Эндоскопы
- •Средства радиационного контроля
- •Глава 3. Организация инженерно-технической защиты информации
- •3.1. Организационно-методические основы защиты информации Общие требования к защите информации
- •Руководящие и нормативно-методические документы, регламентирующие деятельность в области защиты информации
- •3.2. Методика принятия решения на защиту от утечки информации в организации
- •Алгоритм принятия решения
- •Оценка условий, в которых придется решать поставленную
- •Разработка вариантов и выбор оптимального
- •3.3. Организация защиты информации Основные методы инженерно-технической защиты информации
- •Глава 4. Методы и средства защиты информации
- •4.1. Организация защиты речевой информации
- •Пассивные средства защиты выделенных помещений
- •Аппаратура и способы активной защиты помещений от утечки речевой информации
- •Особенности постановки виброакустических помех
- •Рекомендации по выбору систем виброакустической защиты
- •Подавление диктофонов
- •Нейтрализация радиомикрофонов
- •Защита электросети
- •Защита оконечного оборудования слаботочных линий
- •Защита абонентского участка телефонной линии
- •Защита информации, обрабатываемой техническими средствами
- •Заземление
- •4.2. Организация защиты информации от утечки, возникающей при работе вычислительной техники, за счет пэмин
- •Характеристика канала утечки информации за счет пэмин
- •Методология защиты информации от утечки за счет пэмин
- •Критерии защищенности свт
- •Нормированные уровни помех в каналах утечки
- •Основные задачи и принципы защиты свт
- •Методика проведения специальных исследований технических средств эвт
- •Графический метод расчета радиуса зоны II (r2) технических средств эвт
- •Организация защиты пэвм от несанкционированного доступа
- •Построение системы защиты
- •Состав типового комплекса защиты от несанкционированного доступа
- •Динамика работы комплекса защиты от нсд
- •Глава 5. Мероприятия по выявлению каналов утечки информации
- •5.1. Специальные проверки
- •Порядок проведения специальной проверки технических средств
- •5.2. Специальные обследования
- •Подготовка к проведению специальных обследований
- •Замысел решения на проведение поисковой операции
- •Выполнение поисковых мероприятий
- •Подготовка отчетных материалов
- •5.3. Специальные исследования Общие положения, термины и определения
- •Постановка задачи
- •Специальные исследования в области защиты речевой информации
- •Специальные исследования в области защиты цифровой информации
- •Глава 5
- •Приложения
- •Предписание
- •1. Требования при эксплуатации
- •Предписание
- •1. Требования при эксплуатации
- •2. Контроль за соблюдением требований предписания
- •1. Объект контроля
- •2. Назначение объектов и их краткое описание
- •3. Контролируемая зона
- •4. Вид проводимого инструментального контроля
- •5. Виды разведок, контролируемые каналы и возможные направления
- •8. Метод проведения измерений
- •9. Таблицы результатов измерений и расчетов показателя противодействия
- •Центр безопасности информации «маском» (цби «маском») протокол № хх/200_
- •6. Анализ построения систем вспомогательных технических средств на объекте эксплуатации
- •7. Основные положения методики измерений, исследований и контроля
- •8. Результаты специальных исследований технических средств
- •9. Заключение
- •7. Анализ построения системы электропитания и заземления отсс
- •9. Выводы
- •Список литературы
- •Глава 1. Характеристика технических каналов утечки
- •1.2. Каналы утечки речевой информации....!......................................10
- •1.4. Технические каналы утечки видовой информации.....................15
- •1.5. Несанкционированный доступ к информации, обрабатываемой средствами вычислительной техники...................17
- •1.8. Закладные устройства и защита информации от них................38
- •Глава 2. Средства обнаружения каналов утечки
- •2.1. Индикаторы электромагнитных излучений. Радиочастотомеры.....57
- •2.2. Радиоприемные устройства.........................................................69
- •Глава 3. Организация инженерно-технической защиты
- •Глава 4. Методы и средства защиты информации............................159
- •Глава 5. Мероприятия по выявлению каналов утечки
Руководящие и нормативно-методические документы, регламентирующие деятельность в области защиты информации
К руководящим документам вышестоящих организаций в области защиты информации относятся: «Доктрина информационной безопасности Российской Федерации», утверждена Президентом Российской Федерации 9.09.2000 г. № Пр.-1895; Федеральный закон от 20.02.95 г. № 24-ФЗ «Об информации, информатизации и защите информации»; Федеральный закон от 04.07.96 г. № 85-ФЗ «Об участии в международном информационном обмене»; Федеральный закон от 16.02.95 г. № 15-ФЗ «О связи»; Федеральный закон от 26.11.98 г. № 178-ФЗ «О лицензировании отдельных видов деятельности»; Указ Президента Российской Федерации от 19.02.99 г. № 212 «Вопросы Государственной технической комиссии при Президенте Российской Федерации»; Указ Президента Российской Федерации от 17.12.97 г. № 1300 «Концепция национальной безопасности Российской Федерации» в редакции указа Президента Российской Федерации от 10.01.2000 г. № 24; Указ Президента Российской Федерации от 06.03.97 г. № 188 «Перечень сведений конфиденциального характера».
К нормативно-методическим документам вышестоящих организаций относятся: Постановление Правительства Российской Федерации от 03.11.94 г. № 1233 «Положение о порядке обращения со служебной информацией ограниченного распространения в федеральных органов исполнительной власти»; Решение Гостехкомиссии России и ФАПСИ от 27.04.94 г. № 10 «Положение о государственном лицензировании деятельности в области защиты информации» (с дополнением); Постановление Правительства Российской Федерации от 11.04.2000 г. № 326 «О лицензировании отдельных видов деятельности»; «Сборник руководящих документов по защите информации от несанкционированного доступа» Гостехкомиссия России, Москва, 1998 г.; ГОСТ Р 51275-99 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения»; ГОСТ Р 50922-96 «Защита информации. Основные термины и определения»; ГОСТ Р 51583-2000 «Порядок создания автоматизированных систем в защищенном исполнении»; ГОСТ Р 51241-98 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний»; ГОСТ 12.1.050-86 «Методы измерения шума на рабочих местах»; ГОСТ Р ИСО 7498-1-99 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 1. Базовая модель»; ГОСТ Р ИСО 7498-2-99 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации»; ГОСТ 2.114-95 «Единая система конструкторской документации. Технические условия»; ГОСТ 2.601-95 «Единая система конструкторской документации. Эксплуатационные документы»; ГОСТ 34.201-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем»; ГОСТ 34.602-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создании автоматизированных систем»; ГОСТ 34.003-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения»; РД Госстандарта СССР 50-682-89 «Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Общие положения»; РД Госстандарта СССР 50-34.698-90 «Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Автоматизированные системы. Требования к содержанию документов»; РД Госстандарта СССР 50-680-89 «Методические указания. Автоматизированные системы. Основные положения»; ГОСТ 34.601-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадия создания»; ГОСТ 6.38-90 «Система организационно-распорядительной документации. Требования к оформлению»; ГОСТ 6.10-84 «Унифицированные системы документации. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники, ЕСКД, ЕСПД и ЕСТД»; ГОСТ Р-92 «Система сертификации ГОСТ. Основные положения»; ГОСТ 28195-89 «Оценка качества программных средств. Общие положения»; ГОСТ 28806-90 «Качество программных средств. Термины и определения»; ГОСТ Р ИСОМЭК 9126-90 «Информационная технология. Оценка программной продукции. Характеристика качества и руководства по их применению»; ГОСТ 2.111-68 «Нормоконтроль»; ГОСТ Р 50739-95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации»; РД Гостехкомиссии России «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей», Москва, 1999 г.; РД Гостехкомиссии России «Средства защиты информации. Специальные общие технические требования, предъявляемые к сетевым помехоподавляющим фильтрам», Москва, 2000 г.; ГОСТ 13661-92 «Совместимость технических средств электромагнитная. Пассивные помехоподавляющие фильтры и элементы. Методы измерения вносимого затухания»; ГОСТ 29216-91 «Совместимость технических средств электромагнитная. Радиопомехи индустриальные от оборудования информационной техники. Нормы и методы испытаний»; ГОСТ 22505-83 «Радиопомехи индустриальные от приемников телевизионных и приемников радиовещательных частотно-модулированных сигналов в диапазоне УКВ. Нормы и методы измерений»; ГОСТ Р 50628-93 «Совместимость электромагнитная машин электронных вычислительных персональных. Устойчивость к электромагнитным помехам. Технические требования и методы испытаний».
Руководствуясь положениями вышеперечисленных документов Гостехкомиссия России разработала свои нормативно-методические документы. К ним относятся: ряд методик по оценке защищенности основных технических средств и систем; защищённости информации, обрабатываемой основными техническими средствами и системами, от утечки за счет наводок на вспомогательные технические средства и системы и их коммуникации; защищенности помещений от утечки речевой информации по акустическому и виброакустическому каналам; по каналам электроакустических преобразований. Приняты: решение Гостехкомиссии России от 14.03.95 г. № 32 «Типовое положение о Совете (Технической комиссии) министерства, ведомства, органа государственной власти субъекта Российской Федерации по защите информации от иностранных технических разведок и от ее утечки по техническим каналам»; решение Гостехкомиссии России от 03.10.95 г. № 42 «Типовые требования к содержанию и порядку разработки Руководства по защите информации от технических разведок и ее утечки по техническим каналам на объекте» и ряд других документов.
На базе этих документов разрабатываются необходимые руководящие и нормативно-методические документы в организациях.
К руководящим документам, разрабатываемым в организациях, относятся:
• руководство (инструкция) по защите информации в организации;
• положение о подразделении организации, на которое возлагаются задачи по обеспечению безопасности информации;
• инструкции по работе с грифованными документами;
• инструкции по защите информации о конкретных изделиях.
В различных организациях эти документы могут иметь разные наименования, отличающиеся от перечисленных выше. Но сущность этих документов остается неизменной, так как их наличие в организации объективно.
Порядок защиты информации в организации определяется соответствующим руководством (инструкцией). Руководство должно состоять из следующих разделов:
• общие положения;
• охраняемые сведения об объекте;
• демаскирующие признаки объекта и технические каналы утечки информации;
• оценка возможностей технических разведок и других источников угроз безопасности информации (возможно, спецтехника, используемая преступными группировками);
• организационные и технические мероприятия по защите информации;
• оповещение о ведении разведки (раздел включается в состав Руководства при необходимости);
• обязанности и права должностных лиц;
• планирование работ по защите информации и контролю;
• контроль состояния защиты информации;
• аттестование рабочих мест;
• взаимодействие с другими предприятиями (учреждениями, организациями).
Однако в данном руководстве нельзя учесть всех особенностей защиты информации в конкретных условиях. В любой организации постоянно меняется ситуация с источниками и носителями конфиденциальной информации, угрозами ее безопасности. Например, появлению нового товара на рынке предшествует большая работа, включающая различные этапы и стадии: проведение исследований, разработка лабораторных и действующих макетов, создание опытного образца и его доработка по результатам испытаний, подготовка производства (документации, установка дополнительного оборудования, изготовление оснастки - специфических средств производства, необходимых для реализации технологических процессов), изготовление опытной серии для выявления спроса на товар, массовый выпуск продукции.
На каждом этапе и стадии к работе могут подключаться новые люди, разрабатываться новые документы, создаваться узлы и блоки с информативными для них демаскирующими признаками. Созданию каждого изделия или самостоятельного документа сопутствует свой набор информационных элементов, их источников и носителей, угроз и каналов утечки информации, проявляющихся в различные моменты времени.
Для защиты информации об изделии на каждом этапе его создания должна разрабатываться соответствующая инструкция. Инструкция должна содержать необходимые для обеспечения безопасности информации сведения, в том числе: общие сведения о наименовании образца, защищаемые сведения и демаскирующие признаки, потенциальные угрозы безопасности информации, замысел и меры по защите, порядок контроля (задачи, органы контроля, имеющие право на проверку, средства контроля, допустимые значения контролируемых параметров, условия и методики, периодичность и виды контроля), фамилии лиц, ответственных за безопасность информации.
Основным нормативным документом при организации защиты информации является перечень сведений, составляющих государственную, военную, коммерческую или любую другую тайну. Перечень сведений, содержащих государственную тайну, основывается на положениях закона «О государственной тайне». Перечни подлежащих защите сведений, изложенных в этом законе, конкретизируются ведомствами применительно к тематике конкретных организаций.
Перечни сведений, составляющих коммерческую тайну, составляются руководством фирмы при участии сотрудников службы безопасности.
Другие нормативные документы определяют максимально допустимые значения уровней полей с информацией и концентрации демаскирующих веществ на границах контролируемой зоны, которые обеспечивают требуемый уровень безопасности информации. Эти нормы разрабатываются соответствующими ведомствами, а для коммерческих структур, выполняющих негосударственные заказы, - специалистами этих структур.