Информационное обеспечение работ по защите информации в автоматизированных системах обработки данных Текст научной статьи по специальности «Компьютерные и информационные науки»

УДК 004.056

ИНФОРМАЦИОННОЕ ОБЕСПЕЧЕНИЕ РАБОТ ПО ЗАЩИТЕ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ ОБРАБОТКИ ДАННЫХ

Д. В. Кочуров, Е. А. Рогозин

В статье обосновывается необходимость создания единого централизованного информационного ресурса обеспечения информационной безопасности

Ключевые слова: защита информации, несанкционированный доступ к информации, автоматизированная система обработки данных, средство вычислительной техники

Современный этап развития общества характеризуется возрастающей ролью

информационной сферы, представляющей собой совокупность информационных ресурсов и информационной инфраструктуры,

осуществляющей сбор, накопление,

распространение и использование информации. Прогрессирующая зависимость экономически развитых стран от источников информации привела к формированию такого понятия как национальные информационные ресурсы, которые начинают играть столь же существенную роль, которую относительно недавно играли только тяжелая индустрия и сырьевые ресурсы. Информационная сфера, являясь системообразующим фактором жизни общества, активно влияет на состояние политической, экономической, оборонной и других составляющих безопасности страны.

Эффективность и безопасность функционирования различных структур общества существенным образом зависит от обеспечения информационной безопасности (ИБ), и в ходе технического прогресса эта зависимость будет возрастать. Согласно Доктрине информационной безопасности РФ, одной из составляющих национальных интересов Российской Федерации в информационной сфере является защита информационных ресурсов от

несанкционированного доступа (НСД), обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России [1].

Проблема ИБ определяется как состояние защищенности информационной среды от внешних и внутренних угроз. В состав объектов ИБ входят [2]:

- информационные ресурсы или собственно информация;

- система формирования, распространения и использования информационных ресурсов;

- информационная инфраструктура.

Кочуров Дмитрий Вадимович - ФГНИИЦ РЭБ ОЭСЗ Минобороны России, начальник лаборатории, тел. 8-903-650-1679

Рогозин Евгений Алексеевич - ВИПС (филиал Академии ФСО России), д-р техн. наук, доцент, тел. 8-906-673-9536 24

В [3] под ИБ понимается состояние защищенности информации, обрабатываемой средствами вычислительной техники (СВТ) или автоматизированной системой (АС), от внутренних или внешних угроз. При этом состояние

защищенности характеризуется свойствами конфиденциальности, целостности и доступности информации при ее обработке техническими средствами. Соответственно, нарушение безопасности информации представляет собой утрату свойств, характеризующих безопасность информации при ее обработке техническими средствами. Основными источниками угроз ИБ являются:

- деятельность человека;

- отказы и неисправности технических средств информатизации;

- стихийные бедствия и катастрофы.

В общем случае факт получения охраняемых сведений злоумышленниками или конкурентами называют утечкой [4]. Однако одновременно с этим в значительной части официальных материалов [1,

3, 7, 9] используются такие понятия, как

разглашение сведений и несанкционированный доступ к конфиденциальной информации. В частности в [3] НСД определяется как доступ к информации при ее обработке техническими средствами, нарушающий правила разграничения доступа, используя возможности этих технических средств.

Утечка информации может осуществляться по различным техническим каналам. Известно, что информация вообще переносится или передается либо энергией, либо веществом. Это либо акустическая волна (звук), либо электромагнитное излучение, либо лист бумаги (написанный текст) и др. С учетом этого можно утверждать, что по физической природе возможны следующие пути переноса информации: световые лучи, звуковые волны, электромагнитные волны, материалы и вещества.

Соответственно этому классифицируются и каналы утечки информации на визуальнооптические, акустические, электромагнитные и материально-вещественные [2, 3, 5].

На рис. 1 приведены возможные технические каналы утечки информации.

Из рисунка видно, что существует много возможностей неправомерного овладения

информацией или нанесение ей ущерба. многих источниках [2, 4-8].

Возможные способы защиты рассмотрены во

Информация

Характеризуется свойствами

Конфиденциальность

Целостность

Доступность

Угрожают безопасности информации _________________1____________________

Человек

Визуально-

оптический

По природе образования

За счет отраженного света

За счет собственного излучения

По среде распростране ния___________

Свободное

пространство

Отказы и неисправности технических средств

Стихийные

бедствия

По диапазону

Видимый

ИК

УФ

Направляющие

линии

-------!-------------------!--------------

Способствуют утечке информации по каналам:

_______I_______ —*■

Акустический

Электромагнит

ный

Каналы утечки классифицируются:

Распространени е акустических колебаний в свободном пространстве

Окна, двери, вентиляция...

Воздействие акустических колебаний на элементы конструкций здания

Стены,трубы системы отопления, водоснабжения

Воздействие акустических колебаний на технические средства обработки информации

Микрофонный

эффект,

модуляция

линий

передачи

информации

Побочные -электромагнитные излучения, связи и наводки

По цепям питания,

По цепям

заземления,

За счет

взаимного

влияния

проводов и

устройств

Излучение ВЧ генераторов

Излучение НЧ генераторов на частотах самовозбужден ия

Высокочастотное облучение средств передачи информации

Материально-

вещественный

По физическому состоянию

Твердые массы

Жидкости

Газообразные

вещества

По физической природе

Химические

— Биологические

Радиоактивные

По среде распространения

В земле

В воде

В воздухе

Рис. 1. Технические каналы утечки информации

Анализ материалов, посвященных вопросу защиты информации, показывает, что обеспечение защиты информации может вестись по следующим основным направлениям [4, 7]:

- правовая защита - специальные законы,

другие нормативные акты, правила, процедуры и мероприятия, обеспечивающие защиту

информации на правовой основе;

- организационная защита - регламентация

производственной деятельности и

взаимоотношений исполнителей на нормативно -правовой основе, исключающая или ослабляющая нанесение какого-либо ущерба исполнителям;

- инженерно-техническая защита -использование различных технических средств, препятствующих нанесению ущерба коммерческой деятельности.

При этом на первый план выходит проблема организации непрерывного комплексного контроля безопасности информации.

Работы по созданию систем защиты информации (СЗИ), как и любых других сложных систем, выполняются в три этапа:

подготовительный, основной и заключительный. Назначение и общее содержание названных этапов

является общепринятым: на предварительном этапе изучаются и оцениваются все факторы, влияющие на защиту информации; на этапе основных работ принимается принципиальное решение о необходимом уровне защиты и осуществляется проектирование СЗИ; на этапе заключительных работ производится оценка СЗИ, причем как по критериям эффективности, так и по техникоэкономическим показателям.

Однако, как показывает опыт организации защиты информации, каким бы совершенным не был проект системы защиты и его первоначальная реализация, в процессе функционирования систем обработки данных возникают непредвиденные обстоятельства, обусловливаемые, с одной стороны, действиями факторов, неучтенных на этапе создания системы защиты, а с другой -изменениями, происходящими в процессе функционирования систем обработки данных. Весь процесс организации работ по защите удобно представить в виде циклической процедуры [6], структура и общее содержание которой приведены на рис. 2.

Рис. 2. Структура и содержание цикла работ по защите информации

Как следует из представленного рисунка, основу работ по защите информации составляют следующие положения:

- непрерывный сбор информации о функционировании механизмов защиты и о проводимых работах;

- систематический анализ состояния защищенности информации;

- систематическое уточнение требований к защите информации;

- регулярное проведение всего цикла работ по организации защиты.

Из сказанного выше вытекает необходимость информационного обеспечения работ по защите информации.

Под информационным обеспечением работ по защите информации понимается сбор, хранение,

обработка и предоставление участникам процесса защиты взаимосвязанных сведений по следующим основным вопросам:

- характеристики существующих

программных и технических систем и средств защиты информации;

- организации, участвующие в решении задач защиты информации;

- работы по защите информации, проводимые организациями и службами;

- специализированная измерительная база, предназначенная для оценки технических параметров защищенности систем обработки информации.

Организации, участвующие в решении проблемы защиты информации, обладают значительной информацией, но эта информация не структурирована и разрозненна. Отсутствие достаточной информации в подразделениях, отвечающих за ИБ, значительно снижает эффективность их работы.

Таким образом, одним из мероприятий, которое может значительно повысить эффективность работ по защите информации является создание общего информационного ресурса защиты информации, выполняющего указанные выше функции.

Рис. 3. Структурная схема организации работ по созданию защищенных СВТ и АС

На рис. 3 приведена структурная схема

организации работ по созданию защищенных СВТ и АС обработки данных, составленная с учетом организационной структуры, порядка проведения работ по защите информации от НСД и взаимодействия на государственном уровне [9].

В настоящее время наработано большое количество официальных документов, научных трудов, справочно-информационных материалов,

руководящих методических материалов и инструкций по организации защиты информации. Однако существуют объективные трудности использования этой информации, в связи с ее разрозненностью и отсутствием систематизации. Существующее положение дел является очевидным доводом в пользу разработки единого информационного ресурса по защите информации,

основанного на системе типовых документов по защите информации.

Основное назначение информационного ресурса по защите информации может быть сформулировано следующим образом:

- обеспечение научно-методологического и концептуального единства при решении всех вопросов защиты информации;

- создание условий для однозначного понимания и практической реализации основных положений унифицированной концепции защиты информации;

- обеспечение необходимыми данными всех органов и лиц, участвующих в защите информации;

- обеспечение нормативно-правового

регулирования процессов защиты информации.

Таким образом, разработка единого информационного ресурса должна способствовать созданию условий для наиболее эффективного решения задач защиты информации в АС обработки данных.

Литература

1. Доктрина информационной безопасности Российской Федерации. М., 2000.

2. Герасименко В.Г., Нестеровский И.П. и др. Основы информационной безопасности. Учебное пособие. Воронеж, 1997, 82 с.

3. Руководящий документ «Защита от несанкционированного доступа к информации. Термины и определения». Сборник руководящих документов по защите информации от несанкционированного доступа. -М.: Гостехкомиссия России, 1998.

4. Ярочкин В.И. Информационная безопасность: Учебник для студентов вузов. - М.: Академический Проект; Гаудеамус, 2-е изд., 2004, 544 с.

5. Хорев А.А. Защита информации от утечки по техническим каналам. Часть 1. Технические каналы

утечки информации. Учебное пособие. М.:

Гостехкомиссия России, 1998, 320 с.

6. Герасименко В.А., Малюк А.А. Основы защиты информации. - М.: Инкомбук, 1997, 537 с.

7. Герасименко В.А. Защита информации в автоматизированных системах обработки данных. -М.:Энергоатомиздат, кн. 1 и 2, 1994,

8. Бузов Г.А. Защита от утечки информации по техническим каналам. - М.: Горячая линия-Телеком, 2005, 416 с.

9. Руководящий документ «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники». - М.: Гостехкомиссия России.

Федеральный государственный научно-исследовательский испытательный центр радиоэлектронной борьбы и оценки эффективности снижения заметности» Минобороны России

Воронежский институт правительственной связи (филиал Академии ФСО России)

INFORMATION SUPPORT OF INFORMATION PROTECTION WORKS IN COMPUTER-BASED SYSTEMS OF

DATA HANDLING

aids

D.V. Kochurov, E.A. Rogozin

In this article, necessity of creation common information resource for information protection support has proved

Key words: information protection, unauthorized access to information, computer-based systems of data handling, computer