Тема 3.2 Организационно-распорядительная защита информации

Организационно-распорядительная защита реализуется только через людей и предусматривает систему ограничительно-запретительных мер для персонала, допущенного к работе с конфиденциальной информацией ее собственником.

Это направление информационной защиты наиболее хорошо изучено и разработано, поскольку оно практикуется в течение столетий в разных странах для охраны сведений, относящихся к государственной, служебной и коммерческой тайне.

Организационно-распорядительная защита предусматривает только меры защиты от угроз конфиденциальности. Прямая угроза исходит от иностранного государства, разведывательной или преступной организации, политического противника, экономического конкурента, любого постороннего лица, пытающегося незаконными способами получить чужие секреты. Между противником и информацией, на которую он посягает, находятся люди, которым эта информация доверена по службе. Персонал является самым слабым звеном в цепи обеспечения информационной безопасности, поскольку, по признанию многих ведущих специалистов по информационной защите, до 80% информационных преступлений и правонарушений осуществляется по вине людей, которым доверяют.

Противник использует различные меры воздействия на персонал, чтобы с его помощью или при его попустительстве получить нужную информацию. Для этого могут применяться следующие методы:

• подслушивание разговоров на служебные темы;

• вербовка агентов;

• подкуп;

• шантаж;

• угрозы в отношении сотрудника и его близких людей;

• выведывание и пр.

Угроза конфиденциальности может реализоваться и при отсутствии активно действующего противника. Болтливый, небрежный или нелояльный сотрудник может сам создать условия для несанкционированного распространения информации.

Цели организационно-распорядительной защиты – правильный подбор персонала, создание режима защиты конфиденциальной информации, обеспечение для персонала условий, при которых распространять конфиденциальную информацию становится невыгодно и опасно, ограждение своих сотрудников от нежелательного внимания конкурентов и пр.

Организационно-распорядительная защита включает в себя работу с кадрами и внутриобъектовый режим.

Отбор, обучение и расстановка кадров являются одним из ведущих направлений этой защиты. Кадровая работа предусматривает:

• отбор кандидатов на вакантные должности;

• изучение их моральных и деловых качеств;

• обучение персонала;

• расстановку кадров;

• использование дисциплинарной практики;

• увольнение ненадежных сотрудников.

При устройстве на работу, связанную с конфиденциальной информацией, у каждого кандидата принято запрашивать сведения об его предыдущей учебной и производственной деятельности. Кандидат должен представить несколько положительных рекомендаций или назвать имена некоммерческих или профессиональных чиновников, которые смогут подтвердить правильность сообщенных им сведений. Он представляет также заполненную анкету и автобиографию, которые работодатель должен, в необходимом объеме, проверить. Наличие аттестата, диплома или иного свидетельства о полученном образовании является, безусловно, необходимым, но работодатель должен убедиться в том, что нанимаемый сотрудник действительно умеет делать то, ради чего его принимают на работу. Проверке подлежат и банковские счета кандидата. Для сотрудников, которым по служебным обязанностям необходим доступ к секретной информации, обязательна процедура оформления допуска по соответствующей форме.

Допуск к работе с конфиденциальной информацией оформляется только на добровольной основе. Требования о защите информации, содержащей профессиональную, служебную или коммерческую тайну, должны быть включены в трудовой договор. Соглашение о конфиденциальности должно быть подписано сотрудником до того, как он получит реальный допуск к носителям информации. При этом сотрудник обязуется выполнять режим тайны, не разглашать и не использовать без разрешения конфиденциальные сведения и воздерживаться от их разглашения в течение некоторого времени после прекращения трудового договора. Так, для государственной тайны срок неразглашения установлен продолжительностью в пять лет, а для коммерческой тайны – в три года.

В основу построения организационно-распорядительной защиты положены следующие принципы:

1. Информация без носителей не существует, поэтому охранять в первую очередь требуется носители, даже в тех случаях, если они еще не содержат защищаемой информации. Предусматривается регистрация тетрадей, блокнотов, листов бумаги, машинных носителей информации (МНИ), предназначенных для записи и хранения конфиденциальных сведений. Сотрудник, получая зарегистрированный носитель информации во временное или постоянное пользование, подтверждает факт получения своей подписью. Учет и контроль распространяются именно на вещественные носители информации.

Например, пользователям ЭВМ запрещается:

• использовать незарегистрированные машинные носители;

• приносить на работу личные машинные носители;

• записывать на зарегистрированные носители информацию, степень секретности которой превышает гриф секретности носителя;

• оставлять сменные или съемные зарегистрированные носители на рабочих местах или в дисководах;

• выносить без разрешения зарегистрированные МНИ за пределы помещения и объекта;

• пренебрегать средствами гарантированного удаления информации с МНИ;

• копировать компьютерную информацию неустановленными способами;

• распечатывать конфиденциальные документы без разрешения руководителя либо создавать неучтенные копии документов.

Регламентируются вопросы защиты информации энергетических носителей. Например, располагать компьютерный монитор следует так, чтобы информация, выведенная на экран, была недоступна обзору со стороны окна или двери. Пользователь должен вводить клавиатурный пароль так, чтобы движения его пальцев и нажимаемые клавиши не могли видеть посторонние. Во время распечатки документов на матричных принтерах нельзя вести разговоры из этого же помещения по открытым каналам связи.

2. Защищаемая информация во всех ее формах и видах должна быть изолирована от несанкционированного доступа со стороны потенциального нарушителя. В отсутствие персонала вещественные носители конфиденциальной информации должны храниться в закрытых и опечатанных сейфах, а помещение должно быть опечатано и сдано под охрану. Уходя из помещения, сотрудники должны убирать со своих рабочих мест документы конфиденциального содержания. Находясь в помещении, сотрудники должны иметь на своих рабочих местах (столах) только те документы, с которыми они в настоящее время работают. Постоянно должна поддерживаться политика чистого стола и чистого экрана монитора. Технические средства обработки информации, в частности персональные компьютеры, должны защищаться от несанкционированного доступа программно-аппаратными средствами.

3. Персонал ранжируется по степени доверия – от случайных лиц до особо доверенных и лояльных специалистов и руководителей. Степень доверия растет со степенью осведомленности и рангом специалиста. Но вместе с тем ни один сотрудник не должен оставаться бесконтрольным и ни один из них не имеет права пренебрегать требованием режима. Незаконное приобретение прав доступа к информации в зависимости от тяжести наступивших последствий ранжируется от дисциплинарного проступка до преступления, предусмотренного ч. 2 ст. 272 УК РФ.

4. Производственная деятельность сотрудников регламентируется по месту, времени и выполняемым функциям. Доступ в помещения, где хранится, обрабатывается, копируется, печатается и отображается конфиденциальная информация, разрешается только определенным категориям сотрудников. Каждый сотрудник имеет строго определенное рабочее место, на котором он может работать с информацией ограниченного доступа. Помещения, в которых хранится, обрабатывается, озвучивается или отображается конфиденциальная информация, относятся к категории режимных. Доступ посторонних в режимные помещения должен быть запрещен. Посторонними считаются все лица (в том числе и сотрудники других подразделений данной организации), которые функционально не допущены к данной информации. В помещении должен быть (не обязательно на виду) список сотрудников учреждения, которым можно временно находиться в данном помещении. Технический персонал (уборщицы, сантехники, электрики и др.) выполняют свою работу в указанных помещениях только при отсутствии на рабочих местах конфиденциальных документов и под контролем со стороны одного из сотрудников. Такая предосторожность вызвана возможностью установки в помещении или в технических средствах обработки информации электронных или программных закладок.

5. Вводится режим ограничения информированности: каждый сотрудник должен быть осведомлен только в тех вопросах, которые ему необходимо решать. Сотрудники, имеющие допуск к конфиденциальной информации, в обязательном порядке и под расписку ознакомляются с перечнем сведений, которые запрещается разглашать. Допуск к документам, содержащим информацию ограниченного доступа, оформляется распоряжением руководства. При возникновении служебной необходимости в ознакомлении с иной категорией информации допуск оформляется дополнительно. Передача носителей информации другим лицам или копирование информации на другие носители производятся только по разрешению руководителя подразделения. Распечатка конфиденциальных документов производится только в установленных местах, на выделенных для этого принтерах, в разрешенном числе экземпляров.

6. Минимизируются количество и продолжительность контактов сотрудников, не связанных совместной деятельностью. Например, работники каждого цеха на большом предприятии допускаются на его территорию и выпускаются обратно через контрольно-пропускной пункт, закрепленный за конкретным цехом. Для того чтобы сотрудники разных подразделений не контактировали друг с другом без служебной необходимости, их возможные маршруты внутри предприятия делают непересекающимися. Обеденные перерывы для разных подразделений (если столовая одна) устраивают в разное время.

7. Используется политика объединения полномочий. Характерный пример объединения полномочий – вскрытие хранилища со значительными ценностями, для чего требуется одновременное участие нескольких служащих с различными ключами от дверей. Аналогично для доступа к компьютерной информации высокой степени секретности пользователям может назначаться сложный пароль, и каждый из них знает и вводит только часть этого пароля.

8. Осуществляются контроль, наблюдение и надзор за персоналом (в том числе в скрытых формах). Для этого могут использоваться сообщения лояльных сотрудников, визуально-техническое наблюдение за рабочими местами и даже специальные компьютерные программы. Так, одна из фирм, предлагая подобное программное обеспечение, рекламирует его так: «Если Вы желаете знать, чем заняты сотрудники Вашей фирмы в течение рабочего времени – купите нашу программу. Если недобросовестный сотрудник расходует оплачиваемое рабочее время за компьютерными играми, посещает сайты Интернета, содержимое которых не связано с его профессиональной деятельностью, или просто отвлекается от работы за компьютером – Вы своевременно об этом узнаете». Подобные программы скрытно от пользователя фиксируют списки исполняемых задач, делают «снимки» экрана и рабочих окон, благодаря чему работодатель может узнать, чем был занят пользователь в течение рабочего дня. Здесь нет никаких нарушений конституционных прав граждан, поскольку речь идет только о служебном времени и служебном месте.

9. Осуществляются учет и контроль каждого обращения к конфиденциальным сведениям. Получение вещественных носителей конфиденциальной информации производится под роспись в специальных журналах, их передача сотрудникам своего подразделения – по специальному реестру и с разрешения руководства подразделения. Подобным способом фиксируются и факты копирования файлов секретных документов на иные носители.

10. При выполнении совершенно секретных и особой важности работ используются дезинформация и легендирование.

Дезинформация – это форма преднамеренного распространения или мнимого разглашения (утечки) неких планов и намерений, которые не отвечают реальным действиям.

Основная цель дезинформации – отвлечь или израсходовать ресурсы противника на проверку достоверности вымышленных сведений. Защищаемыми ценностями являются реальные планы и намерения. Информационный противник обычно хорошо известен, ведь дезинформатору надо «передумать» своего соперника, а для этого следует знать его цели, ресурсы, привычки, способ мышления. Поэтому дезинформация является адресной. Дезинформация может распространяться на любых носителях – в устной форме, на вещественном носителе, в форме сигнала, передаваемого по каналу связи. Для убедительности дезинформатор может создать или использовать канал утечки. От убедительности распространяемой дезинформации зависит успех дела. Но люди мало верят словам, и для успешности дезинформации часто требуется подкрепить слова делами. Имитацию действий или отвлекающие действия можно рассматривать как разновидность или дополнение дезинформации.

Легендирование представляет собой долговременную дезинформацию и имитацию действий. Оно часто используется для скрытия от противника реальных планов, намерений и действий. Так, во избежание опасности внедрения противником специальных технических средств в аппаратуру обработки информации приобретение этой аппаратуры должно производиться так, чтобы заказчик и цель приобретения остались неизвестными. Сотрудники секретного предприятия должны знать и распространять среди посторонних вымышленные сведения о назначении организации, выпускаемой продукции, своей вымышленной деятельности и профессии. Легенда должна быть правдоподобна и в целях большей достоверности может сопровождаться прочими атрибутами: внешним видом предприятия, одеждой работающих, утилизацией отходов вымышленного производства и др. Здания объектов информатизации не должны отличаться от других своим видом или функциональными элементами (например, специальными антеннами). Ни снаружи, ни внутри здания не должно быть прямых или косвенных признаков того, что в нем обрабатывается ценная информация. Требуется, чтобы двери помещений, выходящих в общий коридор, не отличались друг от друга. Надписи на дверях должны содержать только фамилии и инициалы сотрудников, которые в этих помещениях работают. Надписи «режимно-секретный орган», «секретная библиотека» и тому подобные считаются недопустимыми, если двери помещений выходят в коридор с общим доступом. На объекте информатизации не допускается свободное использование фото,- видео-, аудио и других записывающих устройств. Должно ограничиваться использование сотовых телефонов, поскольку с их помощью можно устанавливать местонахождение их владельца, а дооборудованный телефон может являться средством дистанционного прослушивания или даже устройством дистанционного взрывания.

Допуск к обработке конфиденциальной информации касается не только сотрудников. Собственник информации должен убедиться в том, что техническим средствам обработки информации, в частности компьютерам, тоже можно доверять. Это тоже своего рода «кадровая работа», но в отношении техники.

Для получения предписания на эксплуатацию компьютера, ксерокса, сетевого принтера и другой аппаратуры необходимо:

• приобрести аппаратуру в таком месте и таким образом, чтобы гарантированно обезопасить себя от внедрения и использования «закладных» электронных средств перехвата информации;

• разместить аппаратуру в помещении, защищенном от несанкционированного физического доступа и перехвата информации;

• оценить реальную опасность естественной утечки информации, в том числе по техническим каналам, и предусмотреть защиту от нее;

• приобрести, получить и установить качественное программное обеспечение, свободное от «логических» бомб, программных закладок и компьютерных инфекций;

• закрепить аппаратуру и машинные носители информации за конкретными пользователями.

В автоматизированных информационных системах (АИС) со средним и высоким уровнем требований к сохранности информации вводится принудительное администрирование и назначается администратор безопасности.

Администратор безопасности– это тоже пользователь, но не информационных ресурсов, а системы информационной защиты.

В функции администратора входят перечисленные ниже обязанности:

1. Управление доступом пользователей к АИС и компьютерной информации (регистрация новых пользователей и пользовательских групп, блокирование учетных записей временно отсутствующих пользователей и удаление записей, содержащих сведения об уволенных сотрудниках). В обязанности администратора входит также назначение новых паролей или контроль за их своевременной заменой, проверка уязвимости системы парольной защиты.

2. Контроль за используемым и устанавливаемым (инсталлируемым) программным обеспечением, и защита его от вредоносных программ. Все программное обеспечение, – в том числе операционные системы, программные приложения, утилиты и прочее, должны быть легально приобретены или получены и проверены на функционирование. Для проверки нового программного обеспечения обычно выделяется отдельный компьютер, не включенный в локальную сеть и не используемый для обработки и хранения важной информации.

3. Резервирование хранимых данных. Для резервирования открытой и конфиденциальной информации должны использоваться разные носители. Для того, чтобы снизить риск потери данных в случае нападения, хищения или стихийного бедствия носители архивной информации должны размещаться в надежном хранилище в другой части здания или другом здании.

4. Восстановление информации в случае ее разрушения.

5. Обеспечение работоспособности аппаратуры и оборудования, производительности автоматизированных информационных систем и удобства работы пользователей.

Администратор информационной безопасности – это слишком ответственная обязанность

для того, чтобы ее можно было поручить одному человеку. Общепризнанным методом уменьшения риска случайного или умышленного злоупотребления должностными обязанностями является распределение администраторских обязанностей.

На достаточно крупных предприятиях организуется служба безопасности, в чью компетенцию может входить:

1) обеспечение контрольно-пропускного режима;

2) несение патрульной или сторожевой службы;

3) реагирование на тревожные сигналы персонала или технических средств охраны;

4) проведение административно-режимных мероприятий;

5) надзор за персоналом.

Организационно-распорядительные меры обеспечивают при относительно небольших затратах значительный эффект, но для этого они должны постоянно и скрупулезно насаждаться до тех пор, пока не станут привычными для персонала. В то же время организационно-распорядительные меры не являются панацеей от всех бед. Так, они не обеспечивают защиту информации от внешних угроз, в частности от физического доступа, от утечки и перехвата информации по техническим каналам.