6. 2.5. Ранжирование угроз

Таблица 8. Ранжирование угроз

Величина угрозы	Ранг угрозы
Более 1000	1
100..1000	2
10..100	3
1..10	4
Менее 1	5

Выводы:

• Построена модель возможных технических каналов утечки информации с ранжированием каналов по вероятности реализации злоумышленником;

• Согласно данной модели наибольшую опасность несанкционированной утечки информации представляют радиоэлектронный (закладные устройства), прямой оптический (наблюдение с использованием оптических средств) и функциональный канал с использованием программно-аппаратных закладных устройств внутри ПЭВМ. Именно этим каналам необходимо уделить повышенное внимание при проектировании системы защиты.

Глава 3. Меры по совершенствованию инженерно-технической защиты информации

На практике в определенной степени все мероприятия по защите информации подразделяются на три группы:

• организационные;

• организационно-технические;

• инженерно-технические.

3.1. Проектирование организационных мер защиты информации

Организационные меры защиты – меры общего характера, затрудняющие доступ к ценной информации посторонним лицам, вне зависимости от особенностей способа обработки информации и каналов утечки информации.

Организационные методы должны быть направлены на решение следующих задач [11]:

• реализация в фирме эффективного механизма управления, обеспечивающего защиту конфиденциальной информации и недопущение ее утечки;

• осуществление принципа персональной ответственности руководителей подразделений и персонала фирмы за защиту конфиденциальной информации;

• определение перечней сведений, относимых в фирме к различным категориям (видам) конфиденциальной информации;

• ограничение круга лиц, имеющих право доступа к различным видам информации в зависимости от степени ее конфиденциальности;

• подбор и изучение лиц, назначаемых на должности, связанные с конфиденциальной информацией, обучение и воспитание персонала предприятия, допущенного к конфиденциальной информации;

• организация и ведение конфиденциального делопроизводства;

• осуществление систематического контроля за соблюдением установленных требований по защите информации.

В целях совершенствования организационных мер по защите информации,

Предлагается:

совместно с руководством фирмы разработать инструкцию, предусматривающую решение всех вышеперечисленных задач.

Формально это может быть самостоятельная инструкция или раздел в более общем положении по защите коммерческой тайны фирмы, где будут отражены:

— права, обязанности и ответственность сотрудников и руководителей по доступу и виды разрешений на доступ к конкретным материалам;

— порядок доступа к сведениям, составляющим коммерческую тайну представителей заказчика;

— порядок доступа к этим сведениям представителей государственных структур;

— порядок посещения совещаний, конференций по закрытым вопросам, регулирование публикаций;

— рассылка носителей информации в другие предприятия и обмен ими между подразделениями фирмы. [12, с. 188]

В инструкции указанное положение целесообразно отражать в виде таблиц (матриц доступа), которые содержат перечень руководителей, имеющих право давать допуск лиц к той или иной информации или перечень документов, дел, других носителей, к которым допущены те или иные работники фирмы.

Реализация данной системы требует нанесения ограничительных пометок на документы и формирование списка допущенных к ним сотрудников на конкретных носителях совокупной информации (оптических дисках, делах и т.д.).

Кроме того, в целях повышения степени защиты информации без больших финансовых затрат, руководству фирмы

Рекомендуется:

• Более тщательное наблюдение за персоналом, в особенности за низкооплачиваемыми работниками (уборщики и охранники).

• Незаметная проверка послужного списка нанимаемого работника, что поможет избежать проблем в будущем.

• Ознакомление нанимаемого сотрудника с документами, описывающими политику фирмы в области информационной безопасности, и получение от него соответствующей расписки.

• Изменение содержимого всех экранов для входа в систему таким образом, чтобы они отражали политику фирмы в области защиты данных (эта мера настоятельно рекомендуется Министерством юстиции США).

• Повышение уровня физической защиты сотрудников фирмы.

• Блокировка всех дисководов и USB-портов, что позволит минимизировать риск компьютерных краж и заражения вирусами.

• Признание за сотрудниками определенных прав при работе с компьютерами, например организация досок объявлений, соблюдение конфиденциальности электронной почты, разрешение использовать определенные компьютерные игры.