Материал: Технология проектирования систем защиты информации в информационно-телекоммуникационных системах. Язов Ю.К
- требования и рекомендации по защите инфор-
мации при ее автоматизированной обработке и передаче
сиспользованием технических средств;
-порядок обеспечения защиты информации при эксплуатации объектов информатизации;
-особенности защиты информации при разра-
ботке и эксплуатации ИТКС, использующих различные типы средств вычислительной техники (СВТ) и инфор-
мационные технологии;
- порядок обеспечения защиты информации при взаимодействии абонентов с сетями.
Защита информации на объекте информатизации достигается выполнением комплекса организационных мероприятий и применением (при необходимости)
средств защиты информации от утечки информации или воздействия на нее по техническим каналам, за счет не-
276
санкционированного доступа к ней, по предупреждению
преднамеренных программно-технических воздействий
с целью нарушения целостности (модификации, унич-
тожения) информации в процессе ее обработки, переда-
чи и хранения, нарушения ее доступности и работоспо-
собности технических средств.
В документе определяются основы организации защиты информации на объектах информатизации, в том числе в информационно - телекоммуникационных системах, определены требования и рекомендации по защите речевой информации в выделенных помещениях, в системах звукоусиления и звукового сопровождения кинофильмов, при проведении звуко - и видеозаписи, при передаче информации по открытым проводным каналам связи.
В качестве основных мер защиты информации в автоматизированных, в том числе информационнотелекоммуникационных системах рекомендуются:
документальное оформление перечня сведений конфиденциального характера, в том числе с учетом ведомственной и отраслевой специфики этих сведений;
реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к информации и связанным с ее использованием работам, документам;
277
ограничение доступа персонала и посторонних лиц в защищаемые помещения и помещения, где размещены средства информатизации и коммуникационное оборудование, а также хранятся носители информации;
разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
регистрация действий пользователей ИТКС и обслуживающего персонала, контроль несанкционированного доступа и действий пользователей, обслуживающего персонала и посторонних лиц;
учет и надежное хранение бумажных и машинных носителей конфиденциальной информации и их обращение, исключающее хищение, подмену и уничтожение;
использование сертифицированных по требованиям безопасности информации специальных защитных знаков, создаваемых на основе физико-химических технологий для контроля доступа к объектам защиты и для защиты документов от подделки;
резервирование технических средств, дублирование массивов и носителей информации;
использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
использование технических средств, удовлетворяющих требованиям стандартов по электромагнитной совместимости;
использование сертифицированных средств защиты информации;
размещение объектов защиты на максимально возможном расстоянии от границы КЗ;
278
размещение понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в пределах КЗ;
использование сертифицированных систем гарантированного электропитания (источников бесперебойного питания);
развязка цепей электропитания объектов защиты с помощью сетевых помехоподавляющих фильтров, блокирующих (подавляющих) информативный сигнал;
электромагнитная развязка между информационными цепями, по которым циркулирует защищаемая информация и линиями связи, другими цепями ВТСС, выходящими за пределы КЗ;
использование защищенных каналов связи;
размещение дисплеев и других средств отображения информации, исключающее ее несанкционированный просмотр;
организация физической защиты помещений и собственно технических средств обработки информации с использованием технических средств охраны, предотвращающих или существенно затрудняющих проникновение в здания, помещения посторонних лиц, хищение документов и носителей информации, самих средств информатизации;
предотвращение внедрения в ИТКС программвирусов, программных закладок.
В целях дифференцированного подхода к защите информации, обрабатываемой в ИТКС различного уровня и назначения, осуществляемого в целях разработки и применения необходимых и достаточных мер, оптимизации выбора средств защиты информации и затрат на защиту информации, проводится классификация автоматизированных систем
279
Классификация ИТКС как автоматизированной системы осуществляется на основании требований РД Гостехкомиссии России. В случае, когда признаки классифицируемой ИТКС (РД Гостехкомиссии России ―Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации‖) не совпадают с предложенными в РД группами по особенностям обработки информации в ИТКС, то при классификации выбирается наиболее близкая группа защищенности с предъявлением к ИТКС соответствующих дополнительных требований по защите информации.
Так, ИТКС, обрабатывающие информацию, содержащую сведения, составляющие служебную тайну, или персональные данные, должны иметь класс защищенности не ниже 3Б, 2Б и 1Г. и 3Б, 2Б и 1Д соответственно. По решению руководителя организации могут быть приняты дополнительные меры по защите от НСД информации обрабатываемой в ИТКС. Например, в ИТКС может быть введено управление потоками информации и сигнализация попыток нарушения защиты.
Подчеркивается, что в организации должны быть документально оформлены перечни сведений конфиденциального характера, подлежащих защите. Эти перечни могут носить как обобщающий характер в области деятельности организации, так и иметь отношение к какому-либо отдельному направлению работ. Все исполнители должны быть ознакомлены с этими перечнями в части, их касающейся.
Доступ к информации исполнителей (пользователей, обслуживающего персонала) осуществляется в соответствии с разрешительной системой допуска исполните-
280