Успех деятельности современного предприятия основан на обладании информацией. Материально-технические ресурсы значительно уступают ей по ценности и важности для работы, поскольку их потеря может быть восполнена без изменения технологии или специфики работы. В то же время утрата конфиденциальной информации представляет собой серьезную проблему. Восстановление базы данных – крайне сложная процедура, результат которой заранее предсказать нельзя. 

Для сохранения информации требуются грамотно организованные системы защиты, которые обеспечат комплексную охрану данных от актуальных угроз. 

Одним из направлений в информационной безопасности является инженерно-техническая защита сведений. Это система средств и мер для обнаружения и отсечки несанкционированных действий с информацией. Рассмотрим ее внимательнее.

Общие положения

Защита информации – это комплекс мероприятий, проводимых с помощью организационных и технических средств. Они выполняются в соответствии с нормами действующего законодательства, определяющего рамки, регулирующего взаимоотношения между участниками информационного обмена.

Особое внимание принято уделять технической защите информации. Она непосредственно противостоит внешним и внутренним угрозам, физически обеспечивая выполнение задач по охране сведений. Организационные мероприятия дают положительный результат, но без эффективной инженерно-технической защиты они не производят полноценного эффекта.

Режим охраны и защиты информации устанавливается ее владельцем (руководством предприятия) в соответствии со спецификой, уровнем ценности, объемами сведений. Использование технических средств защиты происходит в рамках общих действий службы информационной безопасности предприятия.

Комплекс мероприятий, целью которых является сохранность сведений и предотвращение несанкционированных действий с ними, представляет собой постоянно действующую систему технической защиты информации. Она создается после всестороннего анализа имеющейся информации, изучения источников угроз, выработки необходимых мер и правил. Все действия выполняют служба безопасности или отдельные сотрудники, назначенные руководством организации. 

Нередко охрану данных поручают сторонним специалистам, если их компетенция в глазах администрации предприятия не подлежит сомнению. Этот вариант имеет свои преимущества – не приходится отвлекаться на создание своего подразделения, нарабатывать опыт и рисковать конфиденциальной информацией. Однако с развитием и ростом предприятия увеличивается объем информации, возрастает ее ценность. Это вынуждает владельца создавать собственную службу, обеспечивающую техническую защиту информации.

Специалисты по ИБ-аутсорсингу «СёрчИнформ» готовы взять на себя защиту от внутренних угроз ​​​​​​– поиск сотрудников, замешанных в мошеннических схемах, и работников с опасными зависимостями. Узнать об услуге подробнее.

Подготовка к созданию системы защиты информации

Для охраны и защиты информационных массивов нужна отдельная служба, создание которой является результатом комплекса подготовительных мероприятий. В их состав входят:

• анализ информационных баз, определение их ценности, сортировка по уровню важности;
• определение возможных источников угроз;
• составление проекта системы защиты информации, отработка мероприятий в тестовом режиме, устранение ошибок;
• ввод системы в эксплуатацию.

Перечень подготовительных действий может быть существенно расширен. Это определяют специфика предприятия, условия его работы, размеры, количество сотрудников и другие факторы. По результатам подготовки составляется аналитическое обоснование необходимости создания системы охраны данных с использованием технических средств защиты информации.

Основным пунктом, определяющим эффективность последующих мер, является анализ. Проводится тщательное исследование всех аспектов и видов деятельности организации. Изучаются возможности несанкционированного доступа, обработки или передачи информации. Обнаруженные каналы утечки информации немедленно уничтожаются, вводятся меры профилактики их повторного возникновения. 

Выполняется сортировка и классификация защищаемых объектов, вводится система допусков с обязательным тестированием и проверкой сотрудников. Составляется схема помещений (поэтажный план), где определяются контролируемые зоны. Отдельно отмечаются все устройства с выходом в Интернет, системы проводной связи (интерком), телефонные линии, пути прокладки кабелей, оптоволоконные каналы. Все эти точки являются потенциальными источниками угрозы, требуют постоянного внимания, контроля.

Каналы утечки данных

Технические каналы утечки сведений должны стать объектами повышенного внимания службы информационной безопасности. Они делятся на два типа:

1. Скрытые каналы передачи данных, которые при обнаружении подлежат немедленному уничтожению. 

2. Действующие линии связи, сетевые коммуникации и прочие системы, которые активно используются и не могут быть отключены.

Для определения путей утечки конфиденциальной информации составляют и тщательно анализируют следующие документы:

• общий план прилегающей местности в радиусе 100-150 м вокруг объекта защиты. Необходимо отметить на нем все здания и сооружения, рекомендуется указать их владельцев;
• поэтажные схемы помещений с указанием проемов, технических отверстий, вентиляционных магистралей, инженерно-технических коммуникаций и прочих элементов;
• схему контура заземления здания с указанием точки размещения заземлителя;
• схему линий электроснабжения с указанием всех элементов и устройств (трансформатор или подстанция, щиты, распределительные коробки, устройства защитного отключения);
• схему прокладки кабелей телефонной связи, проводов внутреннего интеркома;
• схему установки элементов пожарной сигнализации и план прокладки соединительных проводов. 

Необходимо узнать историю эксплуатации здания – бывшие собственники, какие организации или предприятия размещались в нем ранее, кто строил или реконструировал данный объект. Могли быть внесены изменения и созданы новые проходы, каналы прокладки кабелей или вентиляционные каналы, не отмеченные на поэтажных планах.

Определяются размеры или границы охраняемой зоны, устанавливаются места стоянки автотехники. Иногда для сотрудников предприятия организуют отдельную закрытую стоянку с контролируемым доступом, фиксацией времени прихода и ухода. 

Фиксируются участки, позволяющие наблюдать за охраняемой зоной, получать сведения о перемещениях сотрудников по территории предприятия. 

Отдельно определяются места размещения переговорных комнат, которые должны быть максимально защищены от внешних воздействий. В идеале для переговоров необходимо использовать выделенные помещения с подключением соответствующих средств защиты информации – ультразвуковых глушилок на окнах, экранирования комнат от передачи данных электромагнитными методами, прочих технологий.

Особое внимание следует уделить соседним или смежным помещениям. Необходимо определить их владельца, получить сведения о режиме использования, порядке доступа, прочих особенностях этих объектов. В силу непосредственной близости от охраняемого объекта они представляют повышенную опасность, поэтому нуждаются в плотном наблюдении, контроле. 

Важными объектами являются линии электропитания, коммуникации. Они предоставляют злоумышленникам массу возможностей как физического проникновения в здание, так и подключения к каналам связи для прослушки или участия в переговорах. Кроме этого, подобные линии часто используются для удаленного воздействия на защищаемую информацию.

Категории и группы охраняемых сведений и объектов

Для эффективного обеспечения информационной безопасности предприятия необходим тщательный анализ имеющихся информационных ресурсов. 

Должна быть проведена сортировка данных и разбивка на категории:

• 1 категория – информация, от которой зависит существование организации, экономическая или структурная самостоятельность;
• 2 категория – данные, утрата которых повлечет серьезные финансовые и репутационные потери;
• 3 категория – сведения, имеющие ценность для финансового состояния организации. 

Кроме этого, все имеющиеся данные могут быть поделены на две группы:

1. Сведения, предназначенные только для внутреннего использования в пределах данной организации;

2. Информация, полученная со стороны или предназначенная для передачи другим пользователям.

Учитывая это, для имеющейся информации могут быть определены шесть уровней конфиденциальности – три уровня для группы 1 (внутренние документы) и три уровня для группы 2 (сведения для передачи другим лицам). Такая разбивка позволит ограничить круг доверенных пользователей, получивших допуск к информации высокого уровня конфиденциальности.

Вводится три режима доступа к конфиденциальной информации:

• 1-й устанавливается для менеджмента предприятия (организации) и обеспечивает полный доступ к любым имеющимся сведениям;
• 2-й действует для руководителей подразделений, отделов или служб. Он обеспечивает допуск к информации, необходимой этим сотрудникам по роду деятельности;
• 3-й устанавливается для специалистов (рядовых сотрудников), которые допускаются к определенным базам данных для исполнения своих обязанностей.

Подобное разграничение помогает отсечь от массивов данных сотрудников, чья компетенция не позволяет производить использование или обработку конфиденциальных сведений.

Также необходимо проведение работ по защите объектов информатизации. Под этим термином понимается связка – помещение и определенный объем данных, находящихся в нем. 

Все объекты необходимо рассортировать по степени конфиденциальности данных, а также по уровню сложности физического доступа к ним сотрудников и посторонних лиц. 

Объекты делят на два класса: 

• Класс А означает полное скрытие сигналов, свидетельствующих о работе с информацией.
• Класс В означает частичное скрытие (недоступность параметров обработки) работ с базами данных.

Необходимо учитывать, что организация инженерно-технической защиты информации требует значительных финансовых вложений. Процесс разработки и запуска системы требует приобретения оборудования, подготовки сотрудников службы ИБ, устройства комплексов наблюдения, идентификации. Для того чтобы получить эффективную систему защиты конфиденциальной информации, следует заранее взвесить свои возможности и выделить определенную сумму. По мере развития предприятия оснащенность службы безопасности можно увеличить, расширить ее возможности.

Ввод системы в эксплуатацию

По результатам анализа и подготовительных работ составляется технический проект, на основании которого производится монтаж инженерных систем наблюдения, сигнализации, оповещения и контроля. Эти работы следует поручать организациям, имеющим лицензию ФСТЭК РФ (Федеральной Службы по Техническому и Экспортному Контролю), обладающим необходимым опытом и оборудованием. Важно обращать внимание на количество и состав рабочих бригад, проверять их допуск. После окончания работ помещения проверяют на наличие закладок (электронных средств слежения, прослушки, фото- и видеосъемки). Затем производится проверка работоспособности вновь созданных комплексов оборудования и устраняются обнаруженные ошибки. По результатам приемки составляется акт, в котором отражают состояние систем, вносят замечания и пометки о наличии недостатков. После этого инженерные средства защиты информации окончательно вводят в эксплуатацию.

26.09.2019