Техническое обеспечение безопасности объекта

Техническое обеспечение безопасности должно базироваться:

• а) на системе стандартизации и унификации;
• б) на системе лицензирования деятельности;
• в) на системах сертификации средств защиты;
• г) на системе сертификации ТС и ПС объекта информатизации;
• д) на системе аттестации защищенного объекта информатизации.

Система физической защиты (безопасности) материальных объектов и финансовых ресурсов включает в себя следующие элементы.

• а) Система инженерно-технических и организационных мер охраны. Предусматривает:
  • — многорубежность построения охраны территории, здания, помещения по нарастающей от наименее ценной к наиболее ценной оберегаемой информации;
  • — комплексное применение современных технических средств охраны, обнаружения, наблюдения, сбора и обработки информации, обеспечивающих достоверное отображение и объективное документирование событий;
  • — надежную инженерно-техническую защиту вероятных путей несанкционированного вторжения в охраняемые пределы;
  • — устойчивую (дублированную) систему связи и управления всех взаимодействующих в охране структур;
  • — высокую подготовку и готовность основных и резервных сил охраны к оперативному противодействию нарушителю;
  • — самоохрану персонала.
• б) Система регулирования доступа. Предусматривает:
  • — объективное определение «надежности» лиц, допускаемых к критичной информации;
  • — максимальное ограничение количества лиц, допускаемых на объект защиты;
  • — установление для каждого работника (или посетителя) дифференцированного по времени, месту и виду деятельности права доступа на объект;
  • — оборудование контрольного пункта техническими средствами, обеспечивающими достоверный контроль проходящих, объективную регистрацию прохода и предотвращение несанкционированного (в том числе силового) проникновения посторонних лиц.
• в) Система мер (режим) сохранности и контроль вероятных каналов утечки информации. Предусматривает:
  • — максимальное ограничение посещений режимных зон лицами, не участвующими в работе;
  • — организацию и осуществление присутственного (явочного) и дистанционного — по техническим каналам (скрытого) контроля над соблюдением режима безопасности;
  • — организацию тщательного контроля любых предметов и веществ, перемещаемых за пределы режимных зон;
  • — обеспечение защищенного хранения документов, финансовых средств и ценных бумаг;
  • — соблюдение персональной и коллективной материальной и финансовой ответственности в процессе открытого обращения финансовых ресурсов и материальных ценностей;
  • — организацию тщательного контроля на каналах возможной утечки информации;
  • — оперативное выявление причин тревожных ситуаций и пресечение их развития или ликвидацию во взаимодействии с силами охраны.
• г) Система мер возврата материальных ценностей (или компенсации). Система мер возврата утраченных материальных и финансовых ресурсов слагается из совместных усилий служб и государственных органов охраны правопорядка и безопасности.

Основными составляющими обеспечения безопасности ресурсов компании являются:

а) Система физической защиты (безопасности) материальных объектов и финансовых ресурсов.

Условие надежности хранения реализуется с помощью:

• — хранилищ конфиденциальных документов, оборудованных техническими средствами охраны в соответствии с установленными требованиями, доступ в которые ограничен и осуществляется в установленном порядке;
• — выделения помещений, в которых разрешается работа с конфиденциальной документацией, оборудованных сейфами и металлическими шкафами, а также ограничения доступа в эти помещения;
• б) Система безопасности информационных ресурсов. Система обеспечения безопасности информационных ресурсов должна предусматривать комплекс организационных, технических и программных средств и мер по защите информации в процессе традиционного документооборота при работе исполнителей с конфиденциальными документами и сведениями, при ведении конфиденциальных переговоров.

При этом основными направлениями реализации технической политики обеспечения информационной безопасности в этих сферах деятельности является защита информационных ресурсов от хищения, утраты, уничтожения, разглашения, утечки, искажения и подделки за счет несанкционированного доступа (НСД).

В рамках указанных направлений технической политики обеспечения информационной безопасности необходима реализация разрешительной системы допуска исполнителей (пользователей) к работам, документам и информации конфиденциального характера.

Требование обоснованности доступа реализуется в рамках разрешительной системы допуска к работам, документам и сведениям, в которой устанавливается: кто, кому, в соответствии с какими полномочиями, какие документы и сведения (носители информации, информационные массивы) для каких действий или для какого вида доступа может предоставить и при каких условиях.

Положение о персональной ответственности реализуется с помощью:

• — росписи исполнителей в журналах, карточках учета, других разрешительных документах, а также на самих документах;
• — проверки подлинности (аутентификации) исполнителей (пользователей) на основе использования паролей, ключей, магнитных карт, а также биометрических характеристик личности при доступе в выделенные помещения (зоны).

Правило разграничения информации по уровню конфиденциальности реализуется с помощью предварительно учтенных тетрадей для ведения конфиденциальных записей или носителей информации, предназначенных для информации определенного уровня секретности.

Для снижения риска нарушения конфиденциальности следует осуществить следующие меры:

• — ограничение доступа исполнителей и посторонних лиц в здания, помещения, где проводятся работы конфиденциального характера, в том числе на объекты информатики, на которых обрабатывается (хранится) информация конфиденциального характера;
• — учет документов, информационных массивов, регистрация действий пользователей информационных систем, контроль над несанкционированным доступом и действиями пользователей;
• — снижение уровня и информативности ПЭМИН, создаваемых различными элементами технических средств обеспечения производственной деятельности и автоматизированных информационных систем;
• — снижение уровня акустических излучений;
• — электрическая развязка цепей питания, заземления и других цепей технических средств, выходящих за пределы контролируемой территории;
• — активное зашумление в различных диапазонах;
• — противодействие оптическим и лазерным средствам наблюдения;
• — проверка технических средств и объектов информатизации на предмет выявления включенных в них закладных устройств;

Защита информационных ресурсов от несанкционированного доступа должна предусматривать:

• — обоснованность доступа, когда исполнитель (пользователь) должен иметь соответствующую форму допуска для ознакомления с документацией (информацией) определенного уровня конфиденциальности и ему необходимо ознакомление с данной информацией или необходимы действия с ней для выполнения производственных функций;
• — персональную ответственность, заключающуюся в том, что исполнитель (пользователь) должен нести ответственность за сохранность доверенных ему документов (носителей информации, информационных массивов), за свои действия в информационных системах;
• — надежность хранения, когда документы (носители информации, информационные массивы) хранятся в условиях, исключающих несанкционированное ознакомление с ними, их уничтожение, подделку или искажение;
• — разграничение информации по уровню конфиденциальности, заключающееся в предупреждении показания сведений более высокого уровня конфиденциальности в документах (носителях информации, информационных массивах) с более низким уровнем конфиденциальности, а также предупреждение передачи конфиденциальной информации по незащищенным линиям связи;
• — контроль над действиями исполнителей (пользователей) с документацией и сведениями.

Система контроля над действиями исполнителей реализуется с помощью:

• — организационных мер контроля при работе исполнителей с конфиденциальными документами и сведениями;
• — соблюдения целостности технической среды, обрабатываемой информации и средств защиты, заключающегося в физической сохранности средств информатизации, выполнении средствами защиты предусмотренных функций, изолированности средств защиты от пользователей.

Безопасное использование технических средств информатизации Одним из методов технической разведки и промышленного шпионажа является внедрение в конструкцию технических средств информатизации закладных устройств перехвата, трансляции информации или вывода технических средств из строя.

В целях противодействия такому методу воздействия на объекты информатики, для технических средств информатизации, предназначенных для обработки конфиденциальной информации, в обязательном порядке проводится проверка этих средств, осуществляемая специализированными организациями с помощью специальных установок и оборудования, как правило, в стационарных условиях в соответствии с установленными требованиями. Защита речевой информации при проведении конфиденциальных переговоров. Исходя из возможности перехвата речевой информации при проведении разговоров конфиденциального характера с помощью внедрения закладных устройств, акустических, виброакустических и лазерных технических средств разведки, противодействие этим угрозам должно осуществляться всеми доступными средствами и методами.

Обеспечение качества в системе безопасности Необходимой составляющей системы безопасности должно быть обеспечение качества работ и используемых средств и мер защиты, нормативной базой которого является система стандартов и других руководящих нормативно-технических и методических документов по безопасности, утвержденных федеральными органами государственного управления в соответствии с их компетенцией и определяющие нормы защищенности информации и требования в различных направлениях защиты информации.