Проектирование системы инженерно-технической защиты информации в кабинете директора ООО «ИНФОРМБЕЗОПАСНОСТЬ»

Обоснование технических средств защиты информации

На сегодняшний день на рынке по защите информации имеется широкий выбор средств защиты от утечки по техническим каналам. В зависимости от предъявленных требований ООО «Информбезопасность» может выбрать себе средство защиты информации наиболее подходящее ей.

При анализе всех технических каналов утечки информации обрабатываемых и хранимых в кабинете директора Общества, было выявлено, что есть место быть следующим угрозам:

• · запись речевой информации противоправными средствами звукозаписи;
• · скрытное прослушивание разговоров из смежных помещений с использованием электронных стетоскопов;
• · прослушивание разговоров направленными микрофонами, установленными в ближайших строениях или транспортных средствах.

Таким образом, комплекс защиты информации от записи речевой информации противоправными средствами звукозаписи, от скрытного прослушивания разговоров из смежных помещений с использованием электронных стетоскопов, а также от прослушивания разговоров направленными микрофонами, установленными в ближайших строениях или транспортных средствах включает средства, предотвращающие утечку акустической информации в простом акустическом канале утечки информации. Они должны обеспечить:

• · звукоизоляцию и звукопоглощение речевой информации в помещениях;
• · акустическое зашумление помещения, в котором ведутся разговоры по закрытой тематике.

Простейшим способом снижения вероятности утечки по выявленным каналам является уменьшение громкости речи во время разговора на конфиденциальные темы. Однако это возможно, если количество собеседников мало, а уровень шумов невелик. Громкость акустического сигнала уменьшают путем звукоизоляции, звукопоглощения и глушения звука.

Звукоизоляция обеспечивает локализацию акустических сигналов в замкнутом пространстве внутри контролируемых зон. Звукоизоляция достигается за счет отражения и поглощения акустической волны [28, с. 117].

Глушение звука достигается путем интенсивного поглощения энергии акустической волны при распространении ее в специальной конструкции, называемой глушителем [15, с.26].

Для повышения уровня акустических помех применяют активные средства — генераторы акустических помех.

Таким образом, для того чтобы обеспечить защиту от скрытного прослушивания разговоров из смежных помещений с использованием электронных стетоскопов, а также защиту от прослушивания разговоров направленными микрофонами, установленными в ближайших строениях или транспортных средствах целесообразно использовать метод звукоизоляции.

Наиболее слабыми элементами помещения являются окна и двери. Поскольку двери данного выделенного помещения удовлетворяют заданным требованиям, то необходимо повысить изоляцию окна. Оконные стекла необходимо изолировать от рам с помощью резиновых прокладок. Целесообразно применение тройного остекления окна на двух рамах, закрепленных на отдельных коробках. При этом на внешней раме устанавливаются сближенные стекла, а между коробками укладывается звукопоглощающий материал.

Что касается звукоизоляции стен, то для достижения наибольшей эффективности снижения уровня опасного сигнала площадь акустической отделки помещении должна составлять не менее 60%. Для защиты помещения лучше всего применить для отделки стен многослойную конструкцию из звукопоглощающих и звукоотражающих материалов, вместе которые и обеспечивают звукоизоляцию. В качестве звукопоглощающих используются материалы ТермоЗвукоИзол, базальтовые маты (МТБ-43, МТБ-30), в качестве звукоотражающих — гипсокартон, гипсоволокнистые листы.

Таким образом, многослойная конструкция из материалов различной структуры и плотности, а также тройное остекление окна снижает все возможные шумовые воздействия и обеспечивает защиту от скрытного прослушивания разговоров из смежных помещений с использованием электронных стетоскопов, а также защиту от прослушивания разговоров направленными микрофонами, установленными в ближайших строениях или транспортных средствах. Стоимость тройного стеклопакета составляет 12 000 рублей, а стоимость многослойной конструкции и ее установка составляет 30 000 рублей.

Что касается обеспечения защиты от записи речевой информации противоправными средствами звукозаписи, то целесообразно выбрать из всех вышеперечисленных методов защиты акустического канала утечки информации метод акустического зашумления помещения, в котором ведутся разговоры по закрытой тематике.

Соответственно необходимо минимизировать риск возникновения акустического канала утечки информации путём использования специальных технических средств защиты от злоумышленников.

Для защиты акустического канала утечки информации могут использоваться следующие устройства:

• · шумовые генераторы;
• · средства поиска закладок;
• · защитные фильтры.

Сравнительная характеристика технических устройств защиты от подслушивания представлена в таблице 3.1.

Таблица 3.1 — Средства защиты акустического канала утечки информации.

Таким образом, проанализировав средства защиты информации от применения подслушивающих устройств, целесообразно использовать систему защиты помещений по виброакустическому каналу SEL SP-157. Система является техническим средством защиты информации, предназначенным для защиты помещений от прослушивания через ограждающие их конструкции и инженерно-технические коммуникации.

Главной составляющей при выборе данного прибора является возможность использования оптимальных параметров акустического и виброакустического шумовых сигналов по любому каналу посредством их установки по октавным полосам с использованием микропроцессоров и 7-ми полосных эквалайзеров соответствующего генератора системы.

Принцип действия системы основан на формировании широкополосных акустических и виброакустических маскирующих шумовых помех (аналоговый белый шум или смешанный с цифровой речеподобной помехой).

Система состоит из центрального генераторного блока и подключаемых к нему по проводам пассивных электромагнитных (вибрационных) или электродинамических (акустических) преобразователей.

К специальным возможностям системы относят:

• · вход в меню настройки защищён 4-хзначным изменяемым паролем;
• · отсчёт времени наработки генерации шума и индикация его значений на жидкокристаллический индикатор отдельно по каждому каналу;
• · защита от коротких замыканий в каждом канале;
• · контроль состояния системы и каждого отдельного излучателя;
• · регулировка уровня излучения каждого излучателя отдельно и по каналам;
• · возможность дистанционного управления.

Система обеспечивает защиту от:

· микроволновых систем, в том числе лазерных микрофонов, используемых для дистанционного съема акустической информации с остеклений оконных проёмов;

· стетоскопных/контактных микрофонов, используемых для съема акустической информации через строительные к…

Таким образом, при построении системы защиты информации, большое значение имеет разработка концепции управления информационной безопасности. Т.к. от контроля и хорошего управления зависит эффективное функционирование созданной системы защиты информации.

В данном дипломном проекте проводится проектирование системы инженерно-технической защиты информации в кабинете директора ООО «Информбезопасность». Путем анализа рынка средств защиты информации были выбраны наиболее подходящие и приемлемые для защиты от выявленных технических каналов утечки в ООО «Информбезопасность».

Как показывает практика, создание системы защиты информации это часть работы, еще и необходимо качественное управление для эффективной работы.

Ответственным за разработку и реализацию политики управления информационной безопасностью является директор ООО «Информбезопасность», который отвечает за ее реализацию и пересмотр в соответствии с установленной процедурой. Указанная процедура обеспечивает осуществление пересмотра политики управления информационной безопасностью в соответствии с изменениями, влияющими на основу первоначальной оценки риска, появление новых уязвимостей или изменения организационной или технологической инфраструктуры. Периодические пересмотры должны осуществляться ежегодно и включать:

• · проверку эффективности политики, исходя из характера, числа и последствий зарегистрированных инцидентов нарушения информационной безопасности;
• · определение стоимости мероприятий по управлению информационной безопасностью;
• · оценку влияния изменений в технологиях.

Для координации внедрения мероприятий по управлению информационной безопасностью в организации создается совет, включающий руководителей подразделений Общества:

• · начальник отдела технической защиты информации;
• · начальник отдела криптографической защиты информации;
• · начальник первого отдела;
• · начальник коммерческого отдела.

Задачи совета:

• · согласовывает конкретные функции и обязанности в области информационной безопасности в рамках всей организации;
• · согласовывает конкретные методики и процедуры информационной безопасности, например, такие как оценка рисков, классификация информации с точки зрения требований безопасности;
• · согласовывает и обеспечивает поддержку инициатив и проектов в области информационной безопасности в рамках всей организации, например, таких как разработка программы повышения осведомленности сотрудников в области безопасности;
• · обеспечивает учет включения требований безопасности во все проекты, связанные с обработкой и использованием информации;
• · проводит анализ инцидентов нарушения информационной безопасности;
• · способствует демонстрации поддержки информационной безопасности со стороны руководства организации [22, с. 54].

На директора ООО «Информбезопасность» возлагается ответственность за разработку и внедрение системы управления информационной безопасностью, а также за оказание содействия в определении мероприятий.

Руководители структурных подразделений Общества несут ответственность за определение подлежащих защите ресурсов и реализацию мероприятий по управлению информационной безопасностью в подразделениях организации. В каждом подразделении назначается ответственное лицо (администратора) для каждого информационного актива, в чьи повседневные обязанности входит обеспечение безопасности данного актива.

Приказом директора ООО «Информбезопасность» определяются:

• · информационные активы и процессы (процедуры) безопасности, связанные с каждой отдельной автоматизированной системой,
• · ответственные за эксплуатацию и обеспечение безопасности каждой автоматизированной системы;
• · уровни полномочий (авторизации) пользователей автоматизированных систем.

Все основные информационные активы должны быть учтены и закреплены за ответственными лицами приказом директора Общества. Приказ должен идентифицировать владельцев всех основных активов и определить их ответственность за поддержание соответствующих мероприятий по управлению информационной безопасностью. Каждый актив должен быть четко идентифицирован и классифицирован с точки зрения безопасности, его владельцы должны быть авторизованы, а данные о них документированы. Кроме того, должно быть указано фактическое местоположение актива.

Информационными активами, связанными с информационными системами, являются:

• · информационные активы: базы данных и файлы данных, системная документация, руководства пользователя, учебные материалы, процедуры эксплуатации или поддержки (обслуживания), планы по обеспечению непрерывности функционирования информационного обеспечения, процедуры действий при сбоях, архивированная информация;
• · активы программного обеспечения: прикладное программное обеспечение, системное программное обеспечение, инструментальные средства разработки и утилиты;
• · услуги: вычислительные услуги и услуги связи, основные коммунальные услуги (отопление, освещение, электроэнергия, кондиционирование) [44, с. 68].

Функции (роли) и ответственность в области информационной безопасности, должны быть документированы. В должностные инструкции следует включать как общие обязанности по внедрению или соблюдению политики безопасности, так и специфические особенности по защите определенных активов или действий, касающихся безопасности.

Обязанности всех сотрудников организации утверждаются директором ООО"Информбезопасность".

Руководители структурных подразделений обязаны:

• · ознакомить под расписку работника, которому для выполнения его трудовых обязанностей нужен доступ к информации, распространение которой в Российской Федерации ограничивается или запрещается, с перечнем информации, составляющей конфиденциальную информацию, обладателями которой является ООО «Информбезопасность»;
• · создать работнику необходимые условия для соблюдения им установленного порядка организации и проведения работ по защите конфиденциальной информации в ООО «Информбезопасность».

Проверки сотрудников, принимаемых в постоянный штат, следует выполнять по мере подачи заявлений о приеме на работу. В них необходимо включать следующее:

• · наличие положительных рекомендаций, в частности в отношении деловых и личных качеств претендента;
• · проверка (на предмет полноты и точности) резюме претендента;
• · подтверждение заявляемого образования и профессиональных квалификаций;
• · независимая проверка подлинности документов, удостоверяющих личность (паспорта или заменяющего его документа).