Організація режиму секретності на державних підприємствах та в установах. Організація та обладнання режимно – секретних органів

Служба  безпеки – особи, що відповідають за фізичну охорону приміщення і доступ до нього, а також контролює доступ тих чи інших осіб і засобів(автомобілів) на її територію згідно встановлених правил. Може здійснювати візуальний нагляд  периметру території  за допомогою систем відео спостереження.

 

Основними функціями  СБ є:

• Захист території, приміщення та секретної інформації;
• організація перевірок надійності функціонування СЗ;
• навчання користувачів і персоналу АС правилам безпечної обробки інформації;
• контроль за дотриманням користувачами і персоналом АС встановлених правил поводження з інформацією, яка захищається, в процесі її автоматизованої обробки;
• вживання заходів при спробах НСД до інформації і при порушеннях правил функціонування системи захисту.

Працівники СБ мають  доступ до всіх приміщень  центру геоінформаційних технологій  та можуть перевіряти будь-кого з персоналу центру задля визначення факту порушення безпеки об’єкту та інформації

Технічний персонал – особи, що займаються наладкою програмного забезпечення, встановленням певних пакетів та програм.

      Весь персонал має право доступу в кімнату особистої гігієни та приймальну кімнату, гардероб.

 

3. Права

Працівники  СБ мають права контролювати переміщення  персоналу по території, давати їм доручення та завдання з низки питань, що входять у його функціональні обов'язки та припиняти будь-які дії працівників або технічних пристроїв якщо є загроза безпеці інформації. Також може контролювати дотримання персоналом своїх обов’язків та політики безпеки центру.

Користувачі та системний адміністратор можуть звертатись до СБ задля отримання доступу в приміщення з ОД та надання ІзОД.

Технічні  працівники можуть звертатись до працівників  інших підрозділів для отримання  доступу до певних приміщень.

4. Відповідальність

Всі працівники  центру геоінформаційних технологій несуть відповідальність за невиконання своїх функціональних обов’язків, за надання недостовірної інформації що може призвести до помилок, збої або відмови ІС, за невиконання наказів та розпоряджень вищого керівництва, за недотримання дисципліни та програми безпеки центру.

5. Право підпису.  Умови роботи

 Режим роботи працівників визначається відповідно до Правил внутрішнього трудового розпорядку, установлених вцентрі. Працівникам для забезпечення їх діяльності надається право підпису організаційно-розпорядчих документів з питань, що входять у їх функціональні обов'язки. При необхідності користувачам, системному адміністратору та працівникам СБ може надаватись службовий транспорт якщо він треба для прямого виконання функціональних обов’язків.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Аналіз умов розташування об’єкта інформаційної діяльності:

  Дане приміщення  не знаходиться на відстані  меншій 200 м. від представництв іноземних держав тому цей фактор дозволяє не використовувати особливих умов для проектування системи безпеки.

 

 Один ПК без доступу до глобальної мережі Інтернет. Системний телефон та два телефони, підключені до міні АТС виконують телекомунікаційні функції. Ксерокс та радіоприймач використовують лише в межах їх функціонального призначення.

Внаслідок наявності  вище перерахованих елементів ІС виникають такі канали витоку інформації: акустичний, електричний та оптичний. Через дані канали можуть реалізовуватись такі типи загроз:

• через апаратуру - копіювання вихідних документів, магнітних та інших носіїв інформації; використання закладних та дистанційних підслуховуючих пристроїв; відключення або вивід з ладу підсистем забезпечення функціонування обчислювальних систем;  оглядання даних, щокопіюються, читання залишених без догляду документів; оглядання даних, що виводяться на екран; прослуховування мережі за допомогою програмних або програмно-апаратних аналізаторів тощо.
• через середовище - пожежа, повінь, землетрус, шквал, вибух; вологість, запиленість, зміни температури; аварія систем життєзабезпечення; відмови систем живлення, систем забезпечення нормальних умов роботи апаратури та персоналу; збої систем живлення, систем забезпечення нормальних умов роботи апаратури та персоналу тощо.
• через персонал - дії щодо дезорганізації функціонування системи; несанкціоновані зміни, підміна елементів програм, елементів баз даних, апаратури, магнітних носіїв; використання вад мов програмування, ОС; несанкціоноване використання робочих станції, терміналів ЛОМ та технічних пристроїв; копіювання вихідних документів, магнітних та інших носіїв інформації тощо.
• через програмне забезпечення - відмови програм; помилки програм; ураження програмного забезпечення комп’ютерними вірусами; несанкціонований дистанційний доступ до ЛОМ та переадресація передачі даних; прослуховування мережі за допомогою програмних або програмно-апаратних аналізаторів тощо.

Цей список не є вичерпним  і може бути доповнений.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ІІІ. Визначення та аналіз загроз об’єктам захисту  та безпосередньо інформації. Побудова моделі загроз.

 

Загроза – будь-які  обставини або події, що можуть бути причиною порушення безпеки об’єкта  та нанесення збитків.

 

Модель загроз об'єкту захисту містить аналіз можливого  переліку загроз безпечному стану об'єкта захисту та їх джерел, а також  аналіз ризиків з боку цих загроз відповідно до умов функціонування підприємства.

В залежності від виду об’єкту та специфіки його функціонування, по різному можуть проявляти себе і загрози, характерні для цього  об’єкта.

 

Визначення та систематизація переліку загроз, які виникають у відповідності до кожної окремої сукупності об’єктів захисту, здійснюється виходячи із усіх можливих джерел виникнення загроз. При наступному уточненні можливих загроз, головну увагу потрібно концентрувати на інформаційних сигналах та полях, середовищі їх поширення та засобах їх обробки. Тому перелік можливих загроз інформаційним ресурсам та засобам їх обробки визначається виходячи із можливих шляхів утворення каналів витоку інформації та можливих випадкових та навмисних впливів на інформаційні системи.

Усі загрози ТЗІ  та ІзОД відносяться до трьох головних категорій: природні, ненавмисні та навмисні.

Природні загрози. Ці загрози наражають на небезпеку кожне підприємство чи частину устаткування: пожежі, повені, збої електроживлення, та інші нещастя. Ви не можете завжди запобігати таким нещастям, але Ви можете швидко з'ясовувати, якщо це відбувається (з пожежною системою, температурними датчиками, та захисними пристроями електроживлення). Ви можете мінімізувати шанс збитку, викликаного несприятливими подіями (наприклад, деякими типами систем вогнегасіння). Ви можете створювати політику безпеки, що вживає заходів проти усіляких видів небезпек для комп'ютерів подібно палінню, проливанню напоїв на електронне устаткування, і т.д. Ви можете також планувати нещастя (копіюючи критичні дані для використання в резервній

системі, що буде використовуватися  в критичних ситуаціях).

Ненавмисні  загрози. Цей вид загроз виникає в результаті некомпетентних дій, наприклад, користувача чи адміністратора системи, що не був навчений належним образом, не мають документацію та не розуміють важливість належних процедур захисту. Користувач може занижувати гриф таємності даних, пробувати використовувати пакет бази даних, щоб виконати просту модифікацію чи зіпсувати файл. Адміністратор системи може стати користувачем, що має широкі можливості доступу, та змінювати захист на файлі паролю чи на критичному системному програмному забезпеченні. Через неуцтво різного роду користувачів зруйноване та загублено багато більше коштовної інформації,

чим через злочинні наміри.

Навмисні загрози. Ці загрози цікаві та заслуговують висвітлення в печаті. Проти них створені кращі програми захисту. Злочинці входять у дві категорії: сторонні та присвячені особи. Деякі типи неправомочних дій здійсненні тільки деякими типами злочинців. Наприклад, перехоплення та декодування електромагнітних випромінювань, чи виконання визначеного криптографічного аналізу можуть виконувати тільки так називані "висококваліфіковані злочинці", що мають істотні ресурси обчислювальних засобів,

грошей, часу та персоналу.

 

 

Для інформації, загрози  можуть здійснюватися такими каналами витоку інформації:

- технічними каналами, що включають канали побічних електромагнітних випромінювань і наводів, акустичні, оптичні, радіотехнічні, хімічні та інші канали;

- каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;

- несанкціонованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту для використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів.

- внаслідок  різноманітних впливів природного походження (природні катастрофи, кліматичні умови).

- випадкових  чи навмисних впливів техногенного  походження.

Засіб	Можливі канали витоку інформації від засобів
Основні технічні засоби, які знаходяться  в приміщенні
Комп'ютерна техніка(3 ПК), сканер, ксерокс.	Випромінювання електромагнітних сигналів, які потім могуть перехоплюватись  випадковими антенами
	Перегляду сторонніми особами  зображення на моніторі
	Спостереження сторонніми особами за роботою з клавіатурою, апаратом
	Несанкціонованого доступу  до оперативної пам’яті чи накопичувачів комп’ютера
Телефонний  комутатор	Несанкціоноване підключення
	Стороннього впливу на елементи конструкції апаратів, чутливі до електричних чи магнітних полів, з боку інших технічних засобів, проводів та кабелів, що знаходяться поруч
Кабелі, проводи та ланцюги, які  мають вихід за межі контрольованої  зони	Безконтактного знімання інформації (тобто випромінювання електромагнітних сигналів самими кабелем, проводом)
	Безконтактного знімання інформації (тобто випромінювання електромагнітних сигналів самими кабелем, проводом)
	Безпосереднього гальванічного  підключення
Технічні  засоби, які не є основними
Телефон  проводовий підключений до телефонного комутатора, переговорний пристрій, радіотелефон	Властивості елементів конструкції апаратів перетворювати акустичні сигнали в електромагнітні як мовного (мікрофонний ефект), так і радіодіапазону (автогенерація)
	Властивості елементів  конструкції апаратів перетворювати  акустичні сигнали в електромагнітні  як мовного (мікрофонний ефект), так і радіодіапазону (автогенерація) за умов цілеспрямованого стороннього впливу
	Стороннього впливу на елементи конструкції апаратів, чутливі до електричних чи магнітних полів, з боку інших технічних засобів, проводів та кабелів, що знаходяться поруч
	Випромінювання електромагнітних сигналів
	Перехоплюватись випадковими  антенами
	Випромінювання акустичних сигналів
Вимірювальні прилади, устаткування для аналізу та синтезу  біологічних сполук	Оглядання даних, що виводяться на екран
	Використання електромагнітних імпульсів з метою зруйнування інформації,  засобів її обробки
	Безконтактного знімання інформації (тобто випромінювання електромагнітних сигналів самими кабелем, проводом)
Мережа  електроживлення	Нерівномірності споживання току пристроями, які приймають участь в обробці інформації
Проводи заземлення	Нерівномірності струмів, що протікають проводами та шинами
Системи централізованого опалення, каналізації,	Розповсюдження акустичних сигналів вздовж коробів, труб
	Розповсюдження електромагнітних  сигналів вздовж коробів, труб
Система пожежної сигналізації	властивості елементів  конструкції пристроїв перетворювати  акустичні сигнали в електромагнітні  з подальшим передаванням колами електроживлення або керування
	стороннього впливу на елементи конструкції пристроїв, чутливі до електричних чи магнітних полів, з боку інших технічних засобів, проводів та кабелів, що знаходяться поруч
	властивості елементів  конструкції апаратів перетворювати  акустичні сигнали в електромагнітні  радіодіапазону (автогенерація).
Лампи денного світла, кондиціонер, іонізатор  повітря	властивості елементів  конструкції пристроїв перетворювати  акустичні сигнали в електромагнітні  з подальшим передаванням колами електроживлення
	стороннього впливу на елементи конструкції пристроїв, чутливі до електричних чи магнітних полів, з боку інших технічних засобів, проводів та кабелів, що знаходяться поруч
Система супутникового телебачення	властивості елементів  конструкції апаратів перетворювати  акустичні сигнали в електромагнітному радіодіапазону (паразитна модуляція)
	стороннього впливу на елементи конструкції апаратів, чутливі до електричних чи магнітних полів, з боку інших технічних засобів, проводів та кабелів, що знаходяться  поруч
	випромінювання електромагнітних сигналів, які потім могуть перехоплюватись випадковими антенами
	перегляду сторонніми особами  зображення на екрані

- канал спеціального впливу нештатними програмними і/або програмно-технічними засобами на елементи обладнання, програми, дані та процеси в АС, що встановлюються в процесі її експлуатації, з метою реалізації будь-яких з основних видів загроз для інформації та ін.

 

 

 

Визначення  типів дестабілізуючих факторів

      Дестабілізуючі фактори – це такі явища чи події, що можуть з’явитися на будь-якому етапі життєвого циклу АС і наслідком яких можуть бути загрози інформації. На основі аналізу архітектури, технології та умов функціонування АС та всіх можливих в принципі ДФ вводиться поняття типу дестабілізуючого фактора, що дає можливість класифікувати ДФ за способами їх реалізації. Така класифікація ДФ є вичерпною. Виділяють такі типи ДФ:

1. кількісна недостатність – фізична недостача компонентів АС для забезпечення необхідного рівня захищеності оброблювальної інформації;
2. якісна недостатність – недосконалість конструкції чи організації компонентів АС, внаслідок чого не забезпечується необхідний рівень захищеності оброблювальної інформації;
3. відмова елементів АС – порушення працездатності елементів, що призводить до неможливості виконання ними своїх функцій;
4. збій елементів АС – тимчасове порушення працездатності елементів, що призводить до неправильного виконання ними в цей момент своїх функцій;
5. помилки елементів АС – неправильне (одноразове чи систематичне) виконання елементами своїх функцій внаслідок специфічного (постійного і/або тимчасового) їхнього стану;
6. стихійні лиха – випадкові неконтрольовані явища, що призводять до фізичних руйнувань;
7. злочинні дії – дії людей, що спеціально спрямовані на порушення захищеної інформації;
8. побічні явища – явища, що супроводжують виконання елементом АС своїх функцій.

Типи ДФ ІС вцілому  – це узагальнені типи, що визначаються типами окремих елементів ІС (визначені в таблицях відносно кожної кімнати центру геоінформаційних технологій)

В загальному випадку типи ДФ ІС будуть визначатися сумою типів ДФ ПК,  устаткування для синтезу та аналізу біологічних сполук, переговорного пристрою, радіо – та проводового телефонів,  ксерокс, сканера, системи супутникового телебачення, кабелів ліній електроживлення і пожежної сигналізації, ламп денного світла , іонізатора повітря та кондиціонера. В результаті отримаємо:

 

Кількісна недостатність – це крадіжка технічних засобів (системний блок, жорсткий диск), офісної техніки, ламп, кабелів та їх частин; крадіжка носіїв інформації (жорстких дисків та паперових документів); крадіжка безпосередньо інформації.