Каналы утечки информации можно квалифицировать на следующие группы:
-визуально-оптические;
-акустические (включая и акустико-преобразовательные);
-радиоэлектронные;
-материально-вещественные (бумага, фото, магнитные носители).
Блокирование оптического канала утечки информации возможно с помощью организационных средств:
· На время проведения конфиденциальных совещаний и переговоров жалюзи должны закрываться
· При приёме посетителей на столе не должно находиться конфиденциальных документов, если в этом нет необходимости
· Телевизор не должен быть развёрнут экраном к окну
· Во время проведения конфиденциальных совещаний дверь должна быть плотно закрыта, а в идеале около двери должен постоянно находиться доверенный сотрудник компании, например, секретарь
Источником акустического сигнала могут быть:
· Говорящий человек
· Технические средства звуковоспроизведения
· Механические узлы технических средств и машин
Речь человека характеризуется рядом параметров:
· Громкость звука. Представляет собой взвешенную по частоте интенсивность звука.
· Тоновый диапазон или диапазон частот. Обычно тоновый диапазон составляет от 64 до 1300 Гц. Самые низкие тоны басовых голосов составляют около 40 Гц, а высокие тоны детских голосов могут достигать 4000 Гц.
· Тембр голоса человека определяется количеством и величиной гармоник (обертонов) его спектра.
Для предотвращения утечки информации по акустическому каналу необходимо применение специальных мер:
· Установка оконных блоков с повышенной звукоизоляцией (тройной стеклопакет)
· Заполнение пространства между стеклами специальными инертными газами
· Уплотнение притворов переплётов
· Установка окон в раздельные рамы
· Уплотнение притворов, что позволит увеличить величину звукоизоляции примерно на 5-10 дБ
· Изготовление двери из специальных звукоизолирующих материалов, что позволит дополнительно увеличить звукоизоляцию на 5-15 дБ
· Организация тамбуров с облицовкой внутреннего пространства тамбура звукопоглощающими материалами
· Организация в тамбурах воздушных пушек для создания хаотических воздушных потоков.
В защищаемом помещении источниками акустоэлектронного т канала утечки информации являются:
· Электропровода
· Провода пожарной и охранной сигнализации
· Радиопровода
· Телефонные провода
· Провода системы звукоусиления
Для блокирования акустоэлектронного канала утечки следует использовать приборы зашумляющие цепи электропитания и слаботочные цепи, а также подавители диктофонов и сотовых телефонов:
· Соната-С1 и Импульс – линейное зашумление цепей электропитания
· Мозаика – для блокирования сотовых телефонов всех стандартов
· Дурман – подавление сигналов ленточных и цифровых диктофонов
МП-2, МП-3, МП-5 – для подавления опасных сигналов в громкоговорителях, цепях
Материально-вещественным каналом утечки информации выступает документация. Скрытие этого канала утечки информации в первую очередь регулируется на организационном уровне, выработкой определенных правил обращения с бумажными носителями.
10. Структура разбиения работ
| Наименование работы | Продолжи-тельность, maxДни | Продолжи-тельность, minдни |
| 1. Приказ руководства предприятия о разработке проекта комплексной системы защиты информации (КСЗИ). Назначение ответственных за проект. Определение примерных сроков проекта. | 2 | 1 |
| 2. Формирование команды разработчиков КСЗИ. | 2 | 1 |
| 3. Знакомство с информационной системой и информационными ресурсами предприятия. Составление первого отчета о полученных результатах. | 3 | 2 |
| 4. Составление перечня конфиденциальной информации (КИ) предприятия (изучение уже существующего перечня, дополнение, преобразования). | 2 | 1 |
| 5. Изучение нормативной документации предприятия. | 2 | 1 |
| 6. Изучение журналов регистрации конфиденциальных документов, имеющихся в организации. | 3 | 2 |
| 7. Выделение объектов защиты и их категорирование. Составление отчета. | 4 | 3 |
| 8. Изучение имеющихся технических средств защиты информации (в том числе на наличие антивирусного ПО) | 4 | 3 |
| 9. Проверка технических средств обработки, хранения и передачи информации на наличие средств несанкционированного съема информации и вирусов. | 10 | 8 |
| 10. Изучение имеющейся системы охраны периметра организации, системы пожарной безопасности, охранной сигнализации. Изучение прилегающей территории. Выявление пустот в физической защите периметра. | 5 | 4 |
| 11. Составление отчета по результатам проверки технических средств, по результатам проведения осмотра периметра. Анализ достаточности уже существующих на предприятии мер защиты. | 4 | 3 |
| 12. Разделение персонала организации по уровням доступа к конфиденциальной информации. | 5 | 4 |
| 13. Составление новых должностных инструкций, согласование с руководством организации, обоснование. | 6 | 5 |
| 14. Анализ достаточности используемых мер защиты. Выявление угроз безопасности, расчет рисков и их ранжирование. Вторичная оценка стоимости проекта. | 8 | 7 |
| 15. Составление перечня технических средств защиты, необходимых для дополнения и усовершенствования используемых мер. | 4 | 3 |
| 16. Заключение договора на поставку необходимых технических средств, ПО. Установка сроков поставки, монтажа и настройки нового оборудования. | 15 | 13 |
| 17. Обучение персонала предприятия работе с новым оборудованием. | 4 | 3 |
| 18. Проверка новой систем защиты от несанкционированного проникновения в защищаемое помещение. Искусственная реализация возможных угроз с целью выявления слабых мест в системе защиты. | 6 | 5 |
| 19. Составление полного отчета по проделанной работе. | 5 | 4 |
| 20. Предоставление проекта директору предприятия. | 2 | 1 |
| 21. Возможные доработки и исправления проекта. | 2 | 0 |
| Итого | 98 | 74 |
11. Структурная схема организации
Структурная схема организации содержит в себе совокупность должностных лиц, участвующих в проекте по созданию КСЗИ, и выполняемых ими функций в процессе этой деятельности.
В структурную схему входят:
1. Начальник отдела по защите информации
2. Главный инженер по защите информации
3. Начальник службы безопасности
4. Инженер по защите информации
5. Начальник отдела конфиденциального делопроизводства
6. Менеджер по кадрам
7. Сотрудник службы безопасности
12. Матрица ответственности
13.
| Задачи | Начальник отдела по защите информации | Главный инженер по защите информации | Начальник службы безопасности | Инженер по защите информации | Начальник отдела конфиденциального делопроизводства | Менеджер по кадрам | Сотрудник службы безопасности |
| 1.Приказ руководства предприятия о разработке проекта комплексной системы защиты информации (КСЗИ). Назначение ответственных за проект. Определение примерных сроков проекта. | x | x | x | ||||
| 2. Формирование команды разработчиков КСЗИ. | x | x | x | ||||
| 3. Знакомство с информационной системой и информационными ресурсами предприятия. Составление первого отчета о полученных результатах. | x | x | x | ||||
| 4. Составление перечня конфиденциальной информации (КИ) предприятия (изучение уже существующего перечня, дополнение, преобразования). | x | x | |||||
| 5. Изучение нормативной документации предприятия. | x | x | x | ||||
| 6. Изучение журналов регистрации конфиденциальных документов, имеющихся в организации. | x | ||||||
| 7. Выделение объектов защиты и их категорирование. Составление отчета. | x | x | x | ||||
| 8. Изучение имеющихся технических средств защиты информации (в том числе на наличие антивирусного ПО) | x | x | x | ||||
| 9. Проверка технических средств обработки, хранения и передачи информации на наличие средств несанкционированного съема информации и вирусов. | x | x | x | x | |||
| 10. Изучение имеющейся системы охраны периметра организации, системы пожарной безопасности, охранной сигнализации. Изучение прилегающей территории. Выявление пустот в физической защите периметра. | x | x | x | ||||
| 11. Составление отчета по результатам проверки технических средств, по результатам проведения осмотра периметра. Анализ достаточности уже существующих на предприятии мер защиты. | x | x | x | x | |||
| 12. Разделение персонала организации по уровням доступа к конфиденциальной информации. | x | x | |||||
| 13. Составление новых должностных инструкций, согласование с руководством организации, обоснование. | x | x | |||||
| 14. Анализ достаточности используемых мер защиты. Выявление угроз безопасности, расчет рисков и их ранжирование. Вторичная оценка стоимости проекта. | x | x | |||||
| 15. Составление перечня технических средств защиты, необходимых для дополнения и усовершенствования используемых мер. | x | x | x | x | |||
| 16. Заключение договора на поставку необходимых технических средств, ПО. Установка сроков поставки, монтажа и настройки нового оборудования. | x | x | |||||
| 17. Обучение персонала предприятия работе с новым оборудованием. | x | x | x | ||||
| 18. Проверка новой систем защиты от несанкционированного проникновения в защищаемое помещение. Искусственная реализация возможных угроз с целью выявления слабых мест в системе защиты. | x | x | x | x | x | ||
| 19. Составление полного отчета по проделанной работе. | x | x | x | ||||
| 20.Предоставление проекта директору предприятия. | x | x | x |
14. Сетевой график и диаграмма Ганта