Принципы инженерно-технической защиты информации

 

В основу защиты информации должны быть положены следующие принципы, аналогичные принципам ее добывания, а именно:

· непрерывность защиты информации, характеризующая постоянную готовность системы защиты к отражению угроз безопасности информации в любое время;

· активность, предусматривающая прогнозирование действий злоумыш­ленника, разработку и реализацию опережающих мер по защите;

· скрытность, исключающая ознакомление посторонних лиц со средства­ми и технологией защиты информации;

· целеустремленность, предполагающая сосредоточение усилий по пре­дотвращению угроз для наиболее ценной информации;

· комплексное использование различных способов и средств защиты ин­формации, позволяющая компенсировать недостатки одних достоинствами других.

Эти принципы хотя и не содержат конкретных рекомендаций, однако оп­ределяют oбщие требования к способам и средствам защиты информации.

 

Следующая группа принципов характеризует основные профессиональные подходы к организации защиты информации, обеспечивает рациональный уровень ее защиты и позволяет сократить затраты.

Эта группа включает:

· соответствие уровня защиты ценности информации;

· гибкость защиты;

· многозональность защиты, предусматривающая размещение источников информации в зонах с контролируемым уровнем ее безопасности;

· многорубежность защиты информации на пути движения злоумышлен­ника или распространения носителя.

Первый принцип определяет экономическую целесообразность примене­ния тех или иных мер защиты. Он заключается в том, что затраты на защиту не должны превышать цену защищаемой информации. В противном случае защита нерентабельна.

Так как цена информации - величина переменная, зависящая как от источника информации, так и времени, то во избежание неоправданных расходов защита должна быть гибкой. Гибкость защиты проявляется в возможно­сти изменении степени защищенности в соответствии с изменившимися тре­бованиями к безопасности информации. Степень защищенности информации определяет уровень безопасности информации.

Требуемый уровень безопасности информации достигается многозональностью и многорубежностью защиты. Принципы многозональности и многорубежности иллюстрируются на рис. 5.1.

Многозональность обеспечивает дифференцированный санкционированный доступ различных категорий сотрудников и посетителей к источни­кам информацией реализуется путем разделения пространства, занимаемого объектом защиты (организацией, предприятием, фирмой или любой другой государственной и коммерческой структурой) на так как называемые контро­лируемые зоны. Типовыми зонами являются:

- территория, занимаемая организацией и ограничиваемая забором или условной внешней границей;

- здание на территории;

- коридор или его часть;

- помещение (служебное, кабинет, комната, зал, техническое помещение, склад и др.);

- шкаф, сейф, хранилище.

Зоны могут быть независимыми, (здания организации, помещения зда­ний), пресекающимися и вложенными (сейфы внутри комнаты, комнаты внутри здания, здания на территории организации).

С целью воспрепятствования проникновению злоумышленника в зону на её границе создаются, как правило, один или несколько рубежейзаши­ты.

Особенностью защиты границы зоны является требование равной про­чности рубежей на границе и наличие контрольно-пропускных пунктов или постов, обеспечивающих управление доступом в зону людей и автотранс­порта.

Рубежи защиты создаются и внутри зоны на пути возможного движения злоумышленника или распространения иных носителей, прежде всего, элек­тромагнитных и акустических полей. Например, для защиты акустической информации от подслушивания в помещении может быть установлен рубеж защиты в виде акустического экрана.

Каждая зона характеризуется уровнем безопасности находящейся в ней информации. Безопасность информации в зоне зависит от:

· расстояния от источника информации (сигнала) до злоумышленника или его средства добывания информации;

· количества и уровня защиты рубежей на пути движения злоумышленника или распространения иного носителя информации (например, по­ля);

· эффективности способов и средств управления допуском людей и авто­транспорта в зону

· мер по защите информации внутри зоны.

Чем больше удаленность источника информации от места нахождения злоумышленника или его средства добывания и чем больше рубежей защи­ты, тем больше время движения злоумышленника к источнику и ослабле­ние энергии носителя в виде поля или электрического тока.

Количество и пространственное расположение зон и рубежей выбираются таким обра­зом, чтобы обеспечить требуемый уровень безопасности защищаемой ин­формации как от внешних (находящихся вне территории организации), так и внутренних (проникших на территорию злоумышленников и сотрудни­ков). Чем более ценной является защищаемая информация, тем большим количеством рубежей и зон целесообразно окружать ее источник и тем сложнее злоумышленнику обеспечить разведывательный контакт с ее но­сителями. Вариант классификация зон по степени защищенности приведен в табл. 5.1.

 

Категория зоны	Наименование зоны	Функциональное назначение зоны	Условие доступа сотрудников	Условие доступа посетителей
	Свободная	Места свободного посещения	Свободный	Свободный
I	Наблюдае­мая	Комнаты приема посетителей	Свободный	Свободный
II	Регистраци­онная	Кабинеты сотрудников	Свободный	С регистрацией по удостоверению личности
Ш	Режимная	Секретариат, компьютер­ные залы, архивы	По идентификационным картам	По разовым пропускам
IV	Усиленной зашиты	Кассовые операционные залы, материальные скла­ды	По спецдокументам	По спецпропускам
V	Высшей защиты	Кабинеты высших руководителей, комнаты для ве­дения переговоров, специ­альные хранилища	По спецдокументам	По спецпропускам

Безопасность информации в і-й зоне оценивается вероятностью обеспечения заданного уровня безопасности информации в течение опреде­ленного времени τ. Для независимых зон значения этих вероятностей неза­висимые, для вложенных (территория-здание-этаж-помещение-сейф) - . Если безопасность информации в каждой зоне обеспечивается только рубежом на ее границе, то для доступа злоумышленника, например, к документу, хранящемуся в сейфе, ему необхо­димо преодолеть 5 рубежей: границу территории, войти в здание, в коридор нужного этажа, в помещение и открыть сейф. В этом случае безопасность информации в k-ой зоне оценивается величиной

где - вероятность преодоления злоумышленником -го рубежа за время .

Например, если для всех вероятность =0.2 за = 5 мин., то =0.99968 обеспечивается в течение 25 мин. За большее время значение вероятности снизится, так как увеличится вероятность преодоления злоумышленником рубежей защиты.

Рассмотренные выше принципы относятся к защите в целом. При по­строении системы защиты целесообразно учитывать также следующие прин­ципы:

· минимизация дополнительных задач и требований к сотрудникам организации, вызванных мерами по защите информации;

· надежность в работе технических средств системы, исключающая как не реагирование на угрозы безопасности (пропуски угроз) информации, так и ложные реакции при их отсутствии;

· ограниченный и контролируемый доступ к элементам системы обеспе­чения безопасности информации;

· непрерывность работы системы в любых условиях функционирования объекта защиты, в том числе при, например, кратковременном выклю­чении электроэнергии;

· адаптируемость (приспособляемость) системы к изменениям окружаю­щей среды.

Смысл указанных принципов очевиден, но следует остановиться подроб­нее на последнем. Дело в том, что закрытая информация о способах и средст­вах ее защиты в конкретной организации со временем становится известной все большему количеству людей, в результате чего увеличивается вероят­ность попадания этой информации к злоумышленнику. Поэтому целесооб­разно производить изменения в структуре системы защиты периодически или при появлении достаточно реальной возможности утечки информации о системе защиты, например, при внезапном увольнении информированного сотрудника службы безопасности.