Утечка - это бесконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена.
Утечка информации осуществляется по различным техническим каналам. Известно, что информация вообще переносится или передается либо энергией, либо веществом. Это либо акустическая волна (звук), либо электромагнитное излучение, либо лист бумаги (написанный текст) и др. С учетом этого можно утверждать, что по физической природе возможны следующие пути переноса информации: световые лучи, звуковые волны, электромагнитные волны, материалы и вещества. Соответственно этому классифицируются и каналы утечки информации на визуально-оптические, акустические, электромагнитные и материально-вещественные. Под каналом утечки информации принято понимать физический путь от источника конфиденциальной информации к злоумышленнику, посредством которого последний может получить доступ к охраняемым сведениям. Для образования канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также наличие на стороне злоумышленника соответствующей аппаратуры приема, обработки и фиксации информации.
Несанкционированный доступ - это противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа к охраняемым секретам. Несанкционированный доступ к источникам конфиденциальной информации реализуется различными способами: от инициативного сотрудничества, выражающегося в активном стремлении «продать» секреты, до использования различных средств проникновения к коммерческим секретам. Для реализации этих действий злоумышленнику приходится часто проникать на объект или создавать вблизи него специальные посты контроля и наблюдения — стационарных или в подвижном варианте, оборудованных самыми современными техническими средствами. Если исходить из комплексного подхода к обеспечению информационной безопасности, то такое деление ориентирует на защиту информации, как от разглашения, так и от утечки по техническим каналам и от несанкционированного доступа к ней со стороны конкурентов и злоумышленников. Такой подход к классификации действий, способствующих неправомерному овладению конфиденциальной информацией, показывает многогранность угроз и многоаспектность защитных мероприятий, необходимых для обеспечения комплексной информационной безопасности.
С учетом изложенного остается рассмотреть вопрос, какие условия способствуют неправомерному овладению конфиденциальной информацией.
По статистике это:
• разглашение (излишняя болтливость сотрудников) — 32%;
• несанкционированный доступ путем подкупа и склонения к сотрудничеству со стороны конкурентов и преступных группировок — 24%;
• отсутствие на фирме надлежащего контроля и жестких условий обеспечения информационной безопасности — 14%;
• традиционный обмен производственным опытом — 12%;
• бесконтрольное использование информационных систем — 10%;
• наличие предпосылок возникновения среди сотрудников конфликтных ситуаций — 8%;
Приведённые статистики говорят о том, что наиболее уязвимым местом в системе безопасности корпоративной информационной системы являются сами сотрудники, вольно или невольно совершающе нарушения безопасности информационной системе.
2.2. Меры предотвращения угроз.
По способам воздействия все меры по минимизации угроз подразделяют на:
• правовые (законодательные);
• морально-этические;
• административные;
• физические;
• аппаратно-программные.
Перечисленные меры безопасности КИС можно рассматривать как последовательность барьеров или рубежей защиты информации. Для того чтобы добраться до защищаемой информации, нужно последовательно преодолеть несколько рубежей защиты. Рассмотрим их подробнее.
Первый рубеж защиты, встающий на пути человека, пытающегося осуществить НСД к информации, является чисто правовым. Этот аспект защиты информации связан с необходимостью соблюдения юридических норм при передаче и обработке информации. К правовым мерам защиты информации относятся действующие в стране законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией ограниченного использования и ответственности за их нарушения. Этим они препятствуют несанкционированному использованию информации и являются сдерживающим фактором для потенциальных нарушителей.
Второй рубеж защиты образуют морально-этические меры. Этический момент в соблюдении требований защиты имеет весьма большое значение. Очень важно, чтобы люди, имеющие доступ к компьютерам, работали в здоровом морально-этическом климате.
К морально-этическим мерам противодействия относятся всевозможные нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения компьютеров в стране. Эти нормы большей частью не являются обязательными, как законодательно утвержденные, но их несоблюдение обычно ведет к падению престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаными (например, общепризнанные нормы честности, патриотизма и т.д.), так и оформленными в некий свод правил или предписаний. Например, "Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США" рассматривает как неэтичные действия, которые умышленно или неумышленно:
• нарушают нормальную работу компьютерных систем;
• вызывают неоправданные затраты ресурсов (машинного времени, памяти, каналов связи и т. п.);
• нарушают целостность информации (хранимой и обрабатываемой);
• нарушают интересы других законных пользователей и т. п.
Третьим рубежом, препятствующим неправомочному использованию информации, являются административные меры. Администраторы всех рангов с учетом правовых норм и социальных аспектов определяют административные меры защиты информации.
Административные меры защиты относятся к мерам организационного характера. Они регламентируют:
• процессы функционирования КИС;
• использование ресурсов КИС;
• деятельность ее персонала;
• порядок взаимодействия пользователей с системой, с тем чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.
Административные меры включают:
• разработку правил обработки информации в КИС;
• совокупность действий при проектировании и оборудовании вычислительных центров и других объектов КИС (учет влияния стихии, пожаров, охрана помещений и т. п.);
• совокупность действий при подборе и подготовке персонала (проверка новых сотрудников, ознакомление их с порядком работы с конфиденциальной информацией, с мерами ответственности за нарушение правил ее обработки; создание условий, при которых персоналу было бы невыгодно допускать злоупотребления и т.д.);
• организацию надежного пропускного режима;
• организацию учета, хранения, использования и уничтожения документов и носителей с конфиденциальной информацией;
• распределение реквизитов разграничения доступа (паролей, полномочий и т.п.);
• организацию скрытого контроля над работой пользователей и персонала КИС;
• совокупность действий при проектировании, разработке, ремонте и модификации оборудования и программного обеспечения (сертификация используемых технических и программных средств, строгое санкционирование, рассмотрение и утверждение всех изменений, проверка на удовлетворение требованиям защиты, документальная фиксация изменений и т. п.).
Важно отметить, что, пока не будут реализованы действенные меры административной защиты ЭВМ, прочие меры будут, несомненно, неэффективны. Административно-организационные меры защиты могут показаться скучными и рутинными по сравнению с морально-этическими и лишенными конкретности по сравнению с аппаратно-программными. Однако они представляют собой мощный барьер на пути незаконного использования информации и надежную базу для других уровней защиты.
Четвертым рубежом являются физические меры защиты. К физическим мерам защиты относятся разного рода механические, электро- и электронно-механические устройства или сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации.
Пятым рубежом являются аппаратно-программные средства защиты. К ним относятся различные электронные устройства и специальные программы, которые реализуют самостоятельно или в комплексе с другими средствами следующие способы защиты:
• идентификацию (распознавание) и аутентификацию (проверка подлинности) субъектов (пользователей, процессов) КИС;
• разграничение доступа к ресурсам КИС;
• контроль целостности данных;
• обеспечение конфиденциальности данных;
• регистрацию и анализ событий, происходящих в КИС;