Индивидуальное задание

Выявить возможные каналы утечки информации на предприятии.

Утечка информации может происходить как из-за неорганизованности и небрежности в работе предприятия, так и в результате экономического и промышленного шпионажа. Каналами утечки информации являются:

- документы, содержащие информацию;

- персонал, имеющий доступ к информации;

- технические средства и системы обработки информации, в том числе и линии связи.

Наиболее значимая информация предприятия, как правило, задокументирована, так как по действующему законодательству большинство юридических документов должно быть совершено в письменной форме, скреплено подписью и печатью. Небрежное отношение к документации может не только привести к утере ценных сведений, но и принести непоправимый вред из-за физического исчезновения юридически значимого документа, отсутствие которого может в ряде ситуаций оказаться негативным.

Посторонним лицам секретные сведения часто попадают в результате тиражирования документов, их распечатки, из отчетов вышестоящим организациям, из рекламных, научных, информационных публикаций, из заявок на изобретения, из выставочных материалов, из материалов, представленных в ходе совместной деятельности партнерам. Даже наиболее охраняемые секреты предприятия могут стать известными конкурентам из обычных публикаций для широкой публики. Поэтому необходима цензура готовящейся к выходу в свет информации, материалов для конференций, симпозиумов, выставок. Здесь может возникнуть конфликт между желанием использования в рекламных целях наиболее эффектных данных из конфиденциальной информации и необходимостью сохранить коммерческую тайну.

Для предотвращения утечки ценных сведений третьим лицам можно предоставлять без особых предосторожностей информацию лишь общего, итогового характера, не раскрывая сути предмета. Можно давать начальные данные и конечный результат. Пути и средства его достижения, всю конкретную информацию следует опускать. Кроме того, на практике существует достаточно эффективное правило, препятствующее сбору секретной информации о предприятии. Суть его заключается в том, что любую информацию, которая может быть использована конкурентами, следует как можно больше дробить по авторам, времени, публикациям.

Одним из главных каналов утечки информации предприятия является его персонал. Работая на предприятии, имея постоянный доступ к различным документам, результатам разработок и исследований, нередко являющимся секретными, недобросовестный работник может нанести намеренно или в силу небрежности значительный ущерб интересам предприятия, раскрыв его секреты посторонним лицам. Считается, что лучшие поставщики секретных сведений не специальные агенты, а болтуны. Поэтому специалистов по промышленной разведке так привлекают различные съезды, конгрессы, конференции, как источники ценнейшей информации.

Конкуренты могут получать информацию о деятельности интересующей фирмы путем переманивания их специалистов. Угроза коммерческим интересам предприятия может заключаться также в таком обыденном явлении, как увольнение служащих. Это может серьезно угрожать экономической безопасности предприятия, особенно в том случае, если уволившийся переходит на работу в конкурирующую организацию или сам создает аналогичное предприятие. Уволенных сотрудников достаточно сложно бывает привлечь к судебной ответственности за разглашение секретов фирмы, где они раньше работали, но своевременное заключение с сотрудниками предприятия соглашений о конфиденциальности помогает обеспечить сохранение секретов фирмы на определенный срок.

Несанкционированный доступ к секретной информации в последнее время особенно часто стал осуществляться с помощью технических средств. «Съем» конфиденциальной информации может осуществляться простым подключением к телефонным и компьютерным сетям, перехватом радиосообщений, входом в персональный компьютер, установкой радиомикрофонов, использованием лазерной техники для считывания колебаний оконных стекол, считывания и расшифровки излучения компьютеров и другой техники.

Разработать вариант политики безопасности на предприятии.

Значительное внимание в политике безопасности уделяется вопросам обеспечения безопасности информации при ее обработке в автоматизированных системах: автономно работающих компьютерах и локальных сетях. Необходимо установить, как должны быть защищены серверы, маршрутизаторы и другие устройства сети, порядок использования сменных носителей информации, их маркировки, хранения, порядок внесения изменений в программное обеспечение.

Можно привести по этому поводу следующие общие рекомендации:

- в системе должен быть администратор безопасности;

- за каждое устройство должен быть назначен ответственный за его эксплуатацию;

- системный блок компьютера надо опечатывать печатями ответственного и работника IT-службы (или службы безопасности)

- жесткие диски лучше использовать съемные, а по окончании рабочего дня убирать их в сейф;

- если нет необходимости в эксплуатации CD-ROM, дисководов, они должны быть сняты с компьютеров;

- установка любого программного обеспечения должна производиться только работником IT-службы;

- для разграничения доступа сотрудников лучше всего использовать сочетание паролей и смарт-карт (токенов). Пароли должны генерироваться администратором безопасности, выдаваться пользователю под роспись и храниться им также как и другая конфиденциальная информация;

- должно быть запрещено использование неучтенных носителей информации. На учтенных носителях выполняется маркировка, например, гриф, номер, должность и фамилия сотрудника.

Внедрение любой защиты приводит к определенным неудобствам пользователя. Однако эти неудобства не должны быть существенными, иначе человек будет игнорировать существующие правила. Например, можно потребовать завести журнал пользователя персонального компьютера, в котором он должен отмечать время начала и конца работы, характер выполняемых действий, наименование созданных файлов и т.д.

Крайне внимательно надо отнестись к подключению своих информационных ресурсов к Интернету. В политике безопасности этот вопрос должен быть выделен в отдельный раздел. Подключение к Интернету обычно преследует следующие цели:

- получение информации из Интернета;

- размещение в Интернете своей информации о предоставляемых услугах, продаваемых товарах и т.д.

- организация совместной работы удаленных офисов или работников на дому.

В первых двух случаях идеальным с точки зрения безопасности было бы выделение для Интернета автономного компьютера, на котором ни в коем случае не должна храниться конфиденциальная информация. На компьютере должны быть обязательно установлены антивирусные средства защиты с актуальной базой, а также правильно настроенный Firewall. При этом особый контроль надо уделить работе на этом компьютере со сменными носителями информации, а также перлюстрации исходящей почты. В некоторых организациях вся исходящая почта попадает вначале в руки администратора безопасности, который контролирует ее и пересылает дальше.

При необходимости организации распределенной работы сотрудников фирмы наиболее приемлемым решением являются виртуальные частные сети (VPN). В настоящее время имеется много отечественных фирм-разработчиков, представляющих также услуги по установке и настройке соответствующего программного обеспечения.

Изучить методы закрытия информации с использованием скремблирования радиосигналов.

Системы типа С и D не передают какой-либо части исходного речевого сигнала. Речевые компоненты кодируются в цифровой поток данных, который смешивается с псевдослучайной последовательностью, вырабатываемой ключевым генератором по одному из криптографических алгоритмов, и полученное таким образом закрытое речевое сообщение передается при помощи модема в канал связи, на приемном конце которого производятся обратные преобразования с целью получения открытого речевого сигнала.

Технология изготовления широкополосных систем закрытия речи типа С хорошо известна, не представляет особых трудностей техническая реализация используемых для этих целей способов кодирования речи типа АДИКМ (адаптивной дифференциальной импульсно-кодовой модуляции), ДМ (дельта-модуляции) и т.п. Но представленная такими способами дискретизированная речь может передаваться лишь по специально выделенным широкополосным каналам связи с полосой пропускания, обычно лежащей в диапазоне 4.8-19.2 кГц, и не пригодна для передачи по линиям телефонной сети общего пользования, где требуемая скорость передачи данных должна составлять 2400 бит/с. В таких случаях используются узкополосные системы закрытия типа D, главной трудностью при реализации которых является высокая сложность алгоритмов сжатия речевых сигналов, осуществляемых в вокодерных устройствах.

Посредством дискретного кодирования речи с последующим шифрованием всегда достигалась высокая степень закрытия, но в прошлом этот метод не находил широкого распространения в повсеместно имеющихся узкополосных каналах связи из-за низкого качества восстановления передаваемой речи.

Последние достижения в развитии низкоскоростных дискретных кодеров позволили значительно улучшить качество речи без снижения надежности закрытия.

Говоря об уровне, или степени, секретности систем закрытия речи, следует отметин, что эти понятия весьма условные. К настоящему времени не выработано на этот счет четких стандартов или правил. Однако в ряде источников основные уровни защиты определяют как тактический и стратегический, что в некотором смысле пересекается с понятиями практической и теоретической стойкости криптографических систем закрытия данных:

- тактический, или низкий, уровень используется для защиты информации от подслушивания посторонними лицами на период времени, измеряемый минутами или днями. Существует большое количество простых методов, способных обеспечить такой уровень защиты при приемлемой стоимости;

- стратегический, или высокий, уровень защиты информации от перехвата используется в ситуациях, подразумевающих, что высоко квалифицированному, технически хорошо оснащенному специалисту потребуется для дешифрования перехваченного сообщения период времени от нескольких месяцев до многих и многих лет.

Часто используется и понятие средней степени защиты, занимающее промежуточное положение между тактическим и стратегическим уровнем закрытия.