6 Требования к обеспечению режима безопасности
При обработке информации ограниченного доступа в ТС должны соблюдаться требования «Инструкции по обеспечению режима безопасности».
Ответственность за выполнение режима безопасности при обработке информации ограниченного доступа в ТС несет руководитель подразделения, в ведении которого находится ТС.
Персональную ответственность за обеспечение режима секретности при выполнении непосредственных работ по обработке режимных машинных документов несет исполнитель, выполняющий эту работу.
Администратор безопасности настраивает аудит и контроль за работой пользователей рабочего места ТС для ведения автоматического учета:
времени работы пользователей;
запущенных пользователями на выполнение прикладных программ;
учет обращений к устройствам вывода на отчуждаемые носители;
список обработанных режимных машинных документов.
Ежемесячно администратор должен выполнять анализ данных журналов аудита и контроля. На основании выполненного анализа администратор информационной безопасности подготавливает отчет с указанными выше данными, подписывает его и сдает его, вместе с копией журналов аудита и контроля на машинном носителе, ответственному за выполнение режима безопасности для прохождения дальнейшей обработки.
Журналы учета режимных работ на рабочих местах ТС, распечатки системных журналов контроля (аудита) ТС в виде машинописных документов, а также сами архивные машинные документы содержащие информацию об обращениях к СВТ, попытках или фактах несанкционированного доступа к информации ограниченного доступа, подлежат регистрации в установленном порядке.
По фактам и попыткам несанкционированного доступа к информации ограниченного доступа, а также в случаях утечки или уничтожения обрабатываемой с использованием средств вычислительной техники информации ограниченного доступа, проводятся служебные расследования.
Контроль работы пользователя выполняют ответственный за соблюдение режима безопасности и администратор информационной безопасности, каждый в рамках своих должностных обязанностей.
Мероприятия по защите информации являются составной частью деятельности органов безопасности предприятия и осуществляются во взаимосвязи с другими мерами по обеспечению установленного режима безопасности проводимых работ.
Министерство образования и науки РФ
ФГБОУ ВПО «ПЕНЗЕНСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ»
Кафедра «Информационная безопасность систем и технологий»
ОТЧЁТ
о практической работе №2
Анализ технических каналов утечки информации
Дисциплина: |
ОДкИБТКС |
Группа: |
11ПТ1 |
Выполнила: |
Цыганова В.А. |
Вариант задания: |
Газонаполнительная станция |
Принял: |
Алексеев В.М. |
Пенза 2016
Схема объекта приведена на рисунке 1.
Рисунок 1 – Схема защищаемых объектов
На охраняемой территории располагаются:
кабинет начальника газонаполнительной станции (А);
операционный отдел (Б).
На территории контролируемой зоны располагаются:
бухгалтерия и отдел кадров (В);
отдел ИТ и ИБ (Г).
Защищаемые объекты расположены в одноэтажном здании, которое полностью принадлежит газонаполнительной станции.
Защищаемый объект №1 - кабинет начальника газонаполнительной станции (А).
Защищаемый объект А расположен в одноэтажном здании, которое полностью принадлежит газонаполнительной станции.
Со стороны стены А1 расположена служба охраны, со стороны стены А2 – общий коридор, со стороны стены А3 – бухгалтерия и отдел кадров.
Окна помещения расположены на стене А4. Окна оборудованы жалюзи и шторами. Окна выходят на улицу с интенсивным движением.
Из мебели в помещении установлен 1 рабочий стол, на котором расположен ПЭВМ и телефон. Также в помещении установлен стол, на котором размещено МФУ.
Из основных технических средств в помещении установлены ПЭВМ и МФУ, включенные локальную сеть.
Из вспомогательных технических средств в помещении установлен телефон.
Помещение оборудовано системой пожарной и охранной сигнализации, линии которых выходят на пульт дежурного охранника (помещение службы охраны). Помещение электрифицировано (освещение, питание оборудования).
Радиаторы отопления расположены вдоль стены А4, трубы отопления спускаются в подвал.
Режим работы газонаполнительной станции представляет собой шестидневную рабочую неделю. Доступ клиентов и сотрудников в защищаемый объект А разрешен в рабочие часы по предварительному согласованию с начальником. Сотрудники службы охраны обязаны регистрировать каждого посетителя в журнале учета.
В ночное время помещение закрывается на ключ, опечатывается и сдается по охрану дежурному.
Системы жизнеобеспечения (отопление, канализация) обслуживаются по заявке приходящим сотрудником.
Просмотр со стороны улицы с помощью оптических приборов невозможен, т.к. здание окружено высоким кирпичным забором, а территория охраняется круглосуточно. Также обязательным условием в помещении является закрытие окон шторами и жалюзи во время проведения переговоров с клиентами и сотрудниками, во время работы с документами и т.д. Также ПЭВМ начальника расположена экраном монитора в сторону стены А2, что исключает возможность просмотра информации на экране со стороны окон (А4).
Однако, о канале утечки видовой информации свидетельствует факт нахождения в помещении посетителей. Если ввести обязательным условием отключение монитора и хранение документов в закрываемом сейфе при отсутствии сотрудника на рабочем месте, то реального визуального канала утечки информации нет. Но при том не стоит исключать человеческий фактор.
Прослушивание помещений возможно со стороны улицы через открытые окна и форточки, что свидетельствует о потенциальном канале утечки акустической информации. В связи с тем, что прослушивание помещения со стороны улицы привлекает внимание, легко обнаруживается, при этом создаются сильные акустические помехи, в дальнейшем данный канал утечки не рассматривается. Если ввести обязательным условием закрытие окон и форточек во время переговоров с клиентами и сотрудниками, то реального акустического канала утечки информации нет.
Съем информации о ведущихся в помещении переговорах с собственниками имущества с оконных стекол за счет их вибрации с помощью лазерного микрофона со стороны дороги, что свидетельствует о дополнительном потенциальном канале утечки акустической информации, реальное существование которого может быть установлено после проведения инструментальных измерений.
Прослушивание помещений возможно со стороны стен А1, А2 и А3. В связи с тем, что доступ в службу охраны (А1), отдел кадров и бухгалтерию (А3) имеют только сотрудники, то данная угроза в дальнейшем не рассматривается. В коридоре (А2) могут находиться помимо сотрудников посетители, что свидетельствует о потенциальном канале утечки акустической информации. В связи с этим, со стороны общего коридора (А2) по стене проложен шумоизоляционный материал, а также обязательным условием является закрытие дверей в помещение. Поэтому реального акустического канала утечки информации нет. Также стоит отметить, что прослушивание помещения из коридора привлекает внимание сотрудников и легко обнаруживается.
Стоит отметить, что в помещении применяется акустическое зашумление трубопровода (отопление, водоснабжение, канализация и т.д.), дверных проемов и систем вентиляции.
Перехват ПЭМИН и выделение полезной информации - весьма трудоемкая и дорогостоящая задача, требующая применения сложной специальной техники. Также источник угроз должен обладать определенными знаниями в данной области. В связи с этим канал утечки информации за счет ПЭМИН не рассматривается, так как затраты на реализацию данной угрозы превышают возможную выгоду.
Защищаемый объект №2 – Операционный отдел (Б).
Защищаемый объект Б расположен в одноэтажном здании, которое полностью принадлежит газонаполнительной станции.
Со стороны стены Б1 расположен гардероб и техническое помещение, со стороны стены Б2 – общий коридор, со стороны стены Б3 – отдел ИТ и ИБ.
Окна помещения расположены на стене Б4. Окна оборудованы жалюзи и шторами. Окна выходят на улицу с лесонасаждениями.
Из мебели в помещении установлено 4 рабочих стола, на которых расположены по одной ПЭВМ и телефон. Также в помещении установлен стол, на котором размещено МФУ.
Помещение оборудовано системой пожарной и охранной сигнализации, линии которых выходят на пульт дежурного охранника (помещение службы охраны). Помещение электрифицировано (освещение, питание оборудования). Радиаторы отопления расположены вдоль стены Б4, трубы отопления спускаются в подвал.
Режим работы газонаполнительной станции представляет собой шестидневную рабочую неделю. Доступ клиентов и сотрудников в защищаемый объект Б разрешен в рабочие часы по предварительному согласованию с начальником. Сотрудники службы охраны обязаны регистрировать каждого посетителя в журнале учета.
В ночное время помещение закрывается на ключ, опечатывается и сдается по охрану дежурному.
Системы жизнеобеспечения (отопление, канализация) обслуживаются по заявке приходящим сотрудником.
Анализ технических каналов утечки информации соответствует анализу технических каналов утечки информации в помещении А.
Защищаемый объект №3 – отдел кадров и бухгалтерия (В).
Защищаемый объект В расположен в одноэтажном здании, которое полностью принадлежит газонаполнительной станции.
Со стороны стены В1 расположен кабинет начальника газонаполнительной станции, со стороны стены В2 – общий коридор, со стороны стены В3 – лесонасаждения.
Окна помещения расположены на стене В3 и В4. Окна оборудованы жалюзи и шторами. Окна выходят на высокий кирпичный забор, за которым находится улица с интенсивным движением (со стороны В4) и лесонасаждения (со стороны В3).
Из мебели в помещении установлены 3 рабочих стола, на которых расположены ПЭВМ и телефоны. Также в помещении установлены 2 стола, на каждом из которых размещено МФУ.
Из основных технических средств в помещении установлены ПЭВМ и МФУ, включенные локальную сеть.
Из вспомогательных технических средств в помещении установлены телефоны.
Помещение оборудовано системой пожарной и охранной сигнализации, линии которых выходят на пульт дежурного охранника (помещение службы охраны). Помещение электрифицировано (освещение, питание оборудования).
Радиаторы отопления расположены вдоль стен В3 и В4, трубы отопления спускаются в подвал.
Доступ клиентов в защищаемый объект В не разрешен. Доступ сотрудников осуществляется в рабочие часы. Системы жизнеобеспечения (отопление, канализация) обслуживаются по заявке приходящим сотрудником.
Анализ технических каналов утечки информации соответствует анализу технических каналов утечки информации в помещении А. Однако дополнительной мерой защиты от утечки акустической информации со стороны В1 (т.к. в кабинете начальника газонаполнительной станции могут находиться не только сотрудники) является шумоизоляционный материал, проложенный вдоль стены В1.
Защищаемый объект №4 – отдел ИТ и ИБ (Г).
Защищаемый объект Г расположен в одноэтажном здании, которое полностью принадлежит газонаполнительной станции.
Со стороны стены Г1 расположен операционный отдел, со стороны стены Г2 – общий коридор.
Окна помещения расположены на стенах Г4 и Г3. Окна оборудованы жалюзи и шторами. Окна выходят на высокий кирпичный забор, за которым находятся лесонасаждения (Г3 и Г4).
Из мебели в помещении установлены 2 рабочих стола, на которых расположены ПЭВМ и телефоны. Также в помещении установлен стол, на котором размещены 4 сервера БД.
Помещение оборудовано системой пожарной и охранной сигнализации, линии которых выходят на пульт дежурного охранника (помещение службы охраны). Помещение электрифицировано (освещение, питание оборудования). Радиаторы отопления расположены вдоль стен Д4, трубы отопления спускаются в подвал.
Доступ клиентов в защищаемый объект Г не разрешен. Доступ сотрудников осуществляется в рабочие часы. Системы жизнеобеспечения (отопление, канализация) обслуживаются по заявке приходящим сотрудником. В ночное время помещение закрывается на ключ, опечатывается и сдается по охрану дежурному.
Системы жизнеобеспечения (отопление, канализация) обслуживаются по заявке приходящим сотрудником.
Анализ технических каналов утечки информации соответствует анализу технических каналов утечки информации в помещениях А и В.
По результатам анализа технических каналов утечки информации был сформирован перечень угроз безопасности по техническим каналам утечки, представленный ниже.
Для служебного пользования
Экз. №1
УТВЕРЖДАЮ
Начальник
газонаполнительной станции
г. Пенза
Кореляков Даниил Владимирович
____________________
«___» _______________
ПЕРЕЧЕНЬ
угроз безопасности информации по техническим каналам утечки
№ п/п |
Технический канал утечки информации |
Условия отсутствия канала утечки информации |
1 |
Канал утечки видовой информации |
1) Закрытие окон шторами и жалюзи. 2) Охрана периметра для исключения возможности появления посторонних лиц на территории. 3) Блокировка компьютера (отключение монитора) при отсутствии сотрудника на рабочем месте. 4) Хранение документов в закрываемом сейфе при отсутствии сотрудника на рабочем месте. |
2 |
Канал утечки акустической информации |
1) Закрытие окон и форточек 2) Закрытие дверей. 3) Прокладка шумоизоляционного материала вдоль стен. 4) Зашумление трубопроводов и систем вентиляции. 5) Зашумление дверей и окон. |
Министерство образования и науки РФ
ФГБОУ ВПО «ПЕНЗЕНСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ»
Кафедра «Информационная безопасность систем и технологий»
ОТЧЁТ
о практической работе №3