На тему: «Характеристика организационных и технически мер инженерно-технической защиты информации в государственных структурах»

КУРСОВАЯ РАБОТА

 

На тему: «Характеристика организационных и технически мер инженерно-технической защиты информации в государственных структурах»

 

Одоевский Алексей Владимирович

 

Оглавление

 

Введение

1 ОРГАНИЗАЦИЯ ОФИСНОЙ ДЕЯТЕЛЬНОСТИ

1.1 Офисная деятельность как особый вид управленческой деятельности

1.2 Структура и функции офисной деятельности

1.3 Проблемы организации офисной деятельности

1.4 Понятие и функции офисных технологий

1.5 Технологии защиты данных

Выводы по разделу

2 ОСНОВНЫЕ НАПРАВЛЕНИЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ РЕСУРСОВ

2.1 Информационная безопасность предпринимательской

деятельности

2.2 Информационные ресурсы, продукты и услуги

2.3 Конфиденциальность как главное условие защиты информации от несанкционированного доступа

2.4 Конфиденциальные документы

2.5 Угрозы конфиденциальной информации

2.6 Каналы утраты информации

Выводы по разделу

3 ОРГАНИЗАЦИЯ ИНЖЕНЕРНО-ТЕХНИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ

3.1 Общие положения по инженерно-технической защите информации в организациях

3.2 Организационные и технические меры по инженерно-технической защите информации

Выводы по разделу

Заключение

Список использованной литературы

Введение

В решении проблемы информационной безопасности значительное место занимает построение эффективной системы организации работы с персоналом, обладающим конфиденциальной информацией. В предпринимательских структурах персонал обычно включает в себя всех сотрудников данной фирмы, в том числе и руководителей.

Персонал генерирует новые идеи, новшества, открытия и изобретения, которые продвигают научно-технический прогресс, повышают благосостояние сотрудников фирмы и являются полезными не только для фирмы в целом, но и для каждого отдельного сотрудника. Каждый сотрудник объективно заинтересован в сохранении в тайне тех новшеств, которые повышают прибыли и престиж фирмы. Несмотря на это, персонал, к сожалению, является в то же время основным источником утраты (разглашения, утечки) ценной и конфиденциальной информации.

Никакая, даже самая совершенная в организационном плане и великолепно оснащенная технически система защиты информации не может соперничать с изобретательностью и хитростью человека, задумавшего украсть или уничтожить ценную информацию. Обычный секретарь руководителя фирмы имеет возможность нанести фирме такой значительный ущерб, что окажется под вопросом само ее существование.

Многие специалисты по защите информации считают, что при правильной организации работы с персоналом защита информации фирмы сразу обеспечивается не менее чем на 80% без применения каких-либо дополнительных методов и средств защиты.

Обеспечение безопасности информации в информационных системах от случайных или преднамеренных воздействий персонала, направленных на неправомерное использование, уничтожение, модификацию тех или иных данных, изменение степени доступности ценных сведений в машинной и внемашинной сферах предполагает наличие надежной защиты ценных для предпринимателя документов, прежде всего конфиденциальных.

Необходимый уровень защищенности документированной информации достигается в значительной степени за счет использования в обработке традиционных, машиночитаемых и электронных конфиденциальных документов эффективной для конкретной фирмы специализированной традиционной или автоматизированной технологической системы, позволяющей решать задачи не только документационного обеспечения управленческой и производственной деятельности, но и сохранности носителей и конфиденциальности информации.

 

ОРГАНИЗАЦИЯ ОФИСНОЙ ДЕЯТЕЛЬНОСТИ

Технологии защиты данных

Реализация функции защиты данных преследует две цели:

- обеспечение целостности данных, т. е. сохранности информации как таковой;

- охрана данных от несанкционированного доступа.

Обеспечение целостности данных предусматривает прежде всего сохранение неизменными (или в допустимом диапазоне) тех свойств носителя информации, которые обеспечивают ее фиксирование и хранение в одном и том же виде в течение требуемого интервала времени.

Это относится к таким материально-вещественным носителям, как бумага, магнитные пленки и диски, различные проекционные материалы (фотопленки, слайды, микрофиши и т. п.), оптические диски. Их сохранность обеспечивается соблюдением надлежащих условий хранения и использования, вытекающих из физико-химических свойств носителей.

Иначе обстоит дело в тех случаях, когда носителем является передающая среда систем коммуникаций. Здесь целостность передаваемых данных во многом зависит от надежности используемых средств связи и задействованных при передаче информации технологий. В подавляющем большинстве случаев эти технологии либо реализуются предприятиями связи, находящимися вне офиса, либо выполняются автоматически соответствующей коммуникационной аппаратурой.

Охрана данных от несанкционированного доступа предусматривает защиту как носителей, так и самих данных.

Защита материально-вещественных носителей обеспечивается определенной системой работы с ними, когда все офисные технологии, связанные с ними, выполняются таким образом, чтобы ограничить или вовсе запретить доступ к ним. Реализация такого режима связана в основном с мерами организационного характера и выступает в форме специальной регламентации уже рассмотренных офисных технологий практически для всех их функций.

Что касается охраны от несанкционированного доступа передающей среды систем коммуникаций, то здесь в основном используются методы и технологии защиты каналов связи, реализуемые специальными техническими средствами и службами.

Защита от несанкционированного доступа собственно данных достаточно разнообразна и может предусматривать:

- криптографические средства как при хранении и использовании данных (программы шифровки и дешифровки), так и при их передаче (например, скремблирование);

- условный доступ, когда для использования данных необходимо выполнение определенных требований (задание имени и пароля, соблюдение временных ограничений, выполнение определенных организационных процедур и т. п.).

Выводы по разделу

Офисная деятельность - это определенным образом организованная в пространстве и времени совокупность действий множества людей (персонала), реализация которых обеспечивает условия эффективного выполнения управленческой деятельности для конкретной системы, управления.

Управленческое решение принимается тогда, когда выявлена та или иная управленческая проблема, проблемная ситуация, т. е. такое положение, когда при наличии данного, существующего состояния управляемого объекта (процесса) возникает необходимость другого, поскольку сохранение данного состояния мешает нормальному его функционированию, совершенствованию и развитию

Состав специалистов, выполняющих задачи в рамках офисной деятельности, определяется необходимым ее объемом в конкретных пространственных и временных конфигурациях управленческой деятельности соответствующими нормативными документами (квалификационными справочниками) и может включать в себя как собственно управленческий персонал (лиц, принимающих и готовящих решения), так и персонал, обеспечивающий информационную и организационную поддержку процесса выработки и принятия решения.

Квалификация офисного персонала определяется, прежде всего, наличием соответствующей профессиональной подготовки.

Определение цели, задачи (или задач) офисной деятельности определяется ее содержанием как процесса, обеспечивающего эффективную реализацию управленческой деятельности в рамках конкретной системы управления.

Офисная технология - информационная технология, объект и результат которой определяются потребностями реализации управленческой деятельности в рамках конкретной формы осуществления офисной деятельности (офиса).

Реализация функции защиты данных преследует две цели:

- обеспечение целостности данных, т. е. сохранности информации как таковой;

- охрана данных от несанкционированного доступа.

Защита от несанкционированного доступа собственно данных достаточно разнообразна и может предусматривать:

- криптографические средства как при хранении и использовании данных (программы шифровки и дешифровки), так и при их передаче (например, скремблирование);

- условный доступ, когда для использования данных необходимо выполнение определенных требований (задание имени и пароля, соблюдение временных ограничений, выполнение определенных организационных процедур и т. п.).

 

Конфиденциальные документы

Под конфиденциальным (закрытым, защищаемым) документом понимается необходимым образом оформленный носитель документированной информации, содержащий сведения ограниченного доступа или использования, которые составляют интеллектуальную собственность юридического или физического лица. Конфиденциальные документы не следует называть секретными или ставить на них гриф секретности, так как конфиденциальные и секретные документы отражают различные виды тайны.

Конфиденциальные документы включают в себя:

- в государственных структурах: служебную информацию ограниченного распространения, именуемую в чиновничьем обиходе информацией для служебного пользования, т. е. информацией, отнесенной к служебной тайне, а также документы, имеющие рабочий характер и не подлежащие публикации в открытой печати (проекты документов, сопутствующие материалы и др.);

- в предпринимательских структурах и направлениях подобной деятельности: сведения, которые их собственник или владелец в соответствии с законодательством имеет право отнести к коммерческой (предпринимательской) тайне, тайне фирмы, тайне мастерства, другим видам негосударственной тайны;

- независимо от принадлежности: любые персональные (личные) данные о гражданах, а также сведения, содержащие профессиональную тайну, технические и технологические новшества (до их патентования), тайну предприятий связи, сферы обслуживания и т. п.

Особенностью конфиденциального документа является то, что он представляет собой одновременно:

- массовый носитель ценной, защищаемой информации;

- основной источник накопления и объективного распространения этой информации, а также ее неправомерного разглашения или утечки;

- обязательный объект защиты.

Конфиденциальность документов всегда имеет значительный разброс по срокам ограничения свободного доступа к ним персонала фирмы (от нескольких часов до значительного числа лет). Следует учитывать, что основная масса конфиденциальных документов после окончания их исполнения или работы с ними теряет свою ценность и конфиденциальность. Например, переписка до заключения контракта может иметь гриф конфиденциальности, но после его подписания этот гриф с письменного разрешения первого руководителя фирмы снимается.

Исполненные документы, сохранившие конфиденциальный характер и ценность для деятельности фирмы, формируются в дела в соответствии с номенклатурой дел. Период нахождения конфиденциальных документов в делах может быть кратковременным или долговременным в зависимости от ценности информации, содержащейся в документах дела. Период конфиденциальности документов определяется по указанному выше перечню конфиденциальных сведений и зависит от специфики деятельности фирмы. Например, производственные, научно-исследовательские фирмы обладают более ценными документами, чем торговые, посреднические и др.

Документы долговременного периода конфиденциальности (программы и планы развития бизнеса, технологическая документация ноу-хау, ноу-ноу, изобретения и др.) имеют усложненный вариант обработки и хранения, обеспечивающий безопасность информации и ее носителя. Документы кратковременного периода конфиденциальности, имеющие оперативное значение для деятельности фирмы,- обрабатываются и хранятся по упрощенной схеме и могут не выделяться из технологической системы обработки открытых документов при наличии в этой системе минимальных защитных, контрольных и аналитических элементов.

Следовательно, конфиденциальные документы характеризуются специфическими особенностями, которые отражают их сущность как носителей информации ограниченного доступа и определяют построение системы защиты этой информации.

 

Каналы утраты информации

Угрозы сохранности, целостности и конфиденциальности информационных ресурсов ограниченного доступа практически реализуются через риск образования канала несанкционированного получения (добывания) кем-то ценной информации и документов. Этот канал представляет собой совокупность незащищенных или слабо защищенных фирмой направлений возможной утраты конфиденциальной информации, которые злоумышленник использует для получения необходимых сведений, преднамеренного незаконного доступа к защищаемой информации.

Каждая конкретная фирма обладает своим набором каналов несанкционированного доступа к информации, что зависит от множества моментов - профиля деятельности, объемов защищаемой информации, профессионального уровня персонала, местоположения здания и т. п.

Функционирование канала несанкционированного доступа к информации обязательно влечет за собой утрату информации или исчезновение носителя информации.

В том случае, когда речь идет об утрате информации по вине персонала, используется термин «разглашение (огласка) информации». Человек может разглашать информацию устно, письменно, с помощью жестов, мимики, условных сигналов, лично, через посредников, по каналам связи и т. д. Термин «утечка информации», хотя и используется наиболее широко, однако в большей степени относится, по нашему мнению, к утрате информации за счет ее перехвата с помощью технических средств разведки, по техническим каналам.

Утрата информации характеризуется двумя условиями, а именно информация переходит: а) непосредственно к заинтересованному лицу - конкуренту, злоумышленнику или б) к случайному, третьему лицу.

Под третьим лицом в данном случае понимается любое постороннее лицо, получившее информацию во владение в силу обстоятельств или безответственности персонала, не обладающее правом владения ею и, что очень важно, не заинтересованное в этой информации. Однако от третьего лица информация может легко перейти к злоумышленнику.

Переход информации к третьему лицу представляется достаточно частым явлением и его можно назвать непреднамеренным, стихийным, хотя при этом факт разглашения информации, нарушения ее безопасности имеет место. Возникает так называемый случайный, стихийный канал утраты информации.

Непреднамеренный переход информации к третьему лицу возникает в результате:

- утери или неправильного уничтожения документа, пакета с документами, дела, конфиденциальных записей;

- игнорирования или умышленного невыполнения сотрудником требований по защите документированной информации;

- излишней разговорчивости сотрудников при отсутствии злоумышленника (с коллегами по работе, родственниками, друзьями, иными лицами в местах общего пользования, транспорте и т. п.); 

- работы с документами ограниченного доступа при посторонних лицах, несанкционированной передачи их другому сотруднику;

- использования сведений ограниченного доступа в открытой документации, публикациях, интервью, личных записях, дневниках и т. п.;

- отсутствия маркировки (грифования) информации и документов ограниченного доступа (в том числе документов на технических носителях);

- наличия в конфиденциальных документах излишней информации ограниченного доступа;

- самовольного копирования сотрудником документов в служебных или коллекционных целях.

В отличие от третьего лица злоумышленник или его сообщник целенаправленно стремятся овладеть конкретной информацией и преднамеренно, противоправно устанавливают контакт с источником этой информации или преобразуют канал ее объективного распространения в канал ее разглашения или утечки. Каналы утраты информации в условиях хорошо построенной системы защиты информации формируются злоумышленником. При плохо построенной системе выбираются им из множества возможных каналов. В любом случае такие каналы всегда являются тайной злоумышленника.

Каналы несанкционированного доступа, утраты информации могут быть двух типов: организационные и технические. Обеспечиваются они легальными и нелегальными методами.

Организационные каналы разглашения информации отличаются большим разнообразием видов и основаны на установлении разнообразных, в том числе законных, взаимоотношений злоумышленника с фирмой или ее сотрудником для последующего несанкционированного доступа к интересующей информации.

Основными видами организационных каналов могут быть:

- поступление злоумышленника на работу в фирму, как правило, на техническую, второстепенную должность (оператором ЭВМ, секретарем, дворником, слесарем, охранником, шофером и т. п.);

-  участие в работе фирмы в качестве партнера, посредника, клиента, использование разнообразных обманных способов;

- поиск злоумышленником сообщника (инициативного помощника), работающего в интересующей его фирме, который становится его соучастником;

- установление злоумышленником доверительных взаимоотношений с сотрудником учреждения, фирмы или посетителем, сотрудником другого учреждения, обладающим интересующими злоумышленника сведениями;

- использование коммуникативных связей фирмы - участие в переговорах, совещаниях, переписке с фирмой и др.;

- использование ошибочных действий персонала или умышленное провоцирование злоумышленником этих действий;

- тайное или по фиктивным документам проникновение в здание фирмы и помещения, криминальный, силовой доступ к информации, т. е. кража документов, дискет, дисков, компьютеров, шантаж и склонение к сотрудничеству отдельных сотрудников, подкуп сотрудников, создание экстремальных ситуаций и т. п.;

- получение нужной информации от третьего (случайного) лица.       

Организационные каналы находятся или формируются злоумышленником индивидуально в соответствии с его профессиональным умением оценивать конкретную ситуацию, сложившуюся в фирме, и прогнозировать их крайне сложно. Обнаружение организационных каналов требует проведения серьезной аналитической работы.

Техническое обеспечение офисных технологий создает широкие возможности несанкционированного получения ценных сведений. Любая управленческая деятельность всегда связана с обсуждением ценной информации в кабинетах или по линиям связи, проведением расчетов и анализа ситуаций на ЭВМ, изготовлением, размножением документов и т. п.

Технические каналы утечки информации возникают при использовании злоумышленником специальных технических средств промышленного шпионажа, позволяющих получать защищаемую информацию без непосредственного контакта с персоналом фирмы, документами, делами и базами данных. Технический канал представляет собой физический путь утечки информации от источника или канала объективного распространения информации к злоумышленнику.

Канал возникает при анализе злоумышленником физических полей и излучений, появляющихся в процессе работы вычислительной и другой офисной техники, при перехвате информации, имеющей звуковую, визуальную или иную форму отображения. Основными техническими каналами являются: акустический, визуально-оптический, электромагнитный и др. Это каналы прогнозируемые, носят стандартный характер и перекрываются стандартными средствами противодействия.

При построении системы защиты информации фирмы часто не учитывают опасность этих каналов или пренебрегают ими, так как стоимость средств перекрытия этих каналов требует больших затрат.

Акустический канал возникает за счет образования звуковой волны в кабинетах руководителей при ведении переговоров, залах заседаний в процессе совещаний, в рабочих помещениях при диктовке документов и в других подобных случаях. В процессе разговора, даже негромкого, мы «сотрясаем воздух», и это сотрясение передается окружающим нас предметам. Звуковая волна заставляет вибрировать стекла в окнах, стеновые панели, элементы отопительных систем, вентиляционные пространства и другие предметы. Звук распространяется всегда по множеству путей. Возникшие колебания можно сканировать с помощью специальной техники с этих предметов и на достаточно большом расстоянии преобразовывать в слышимый звук.

Акустический канал может образовываться также за счет «микрофонного эффекта», свойственного механическому воздействию звуковой волны на электродинамики радио- и телевизионной аппаратуры, динамики радиотрансляции, реле в холодильниках, электрозвонках и других приборах. Например, при подключении к электродинамикам любого типа можно за пределами офиса фирмы (вне контролируемой зоны) прослушивать помещения и вести запись переговоров.

Визуальный, или визуально-оптический, канал связан с наблюдением за зданием, помещениями и персоналом фирмы с помощью оптических приборов, позволяющих, например, читать информацию на дисплее, оценивать действия персонала охраны, идентифицировать сотрудников, иногда читать документы на их рабочих столах, знакомиться с системами хранения документов и т. д. Наблюдение за помещениями фирмы всегда сопровождается фото- и видеозаписью.

Электромагнитные каналы сопровождают работу средств радиосвязи, радиотелефонов, бытовой и производственной видеотехники, компьютеров, диктофонов и других подобных приборов.

Обычным и профессионально грамотным является творческое сочетание в действиях злоумышленника каналов обоих типов, например установление доверительных отношений с сотрудником фирмы или лицом, проживающим рядом со зданием фирмы, и перехват с его помощью информации по техническим каналам. Вариантов и сочетаний каналов может быть множество. Изобретательность грамотного злоумышленника не знает предела, поэтому риск утраты информации всегда достаточно велик. При эффективной системе защиты информации фирмы злоумышленник разрушает отдельные элементы защиты и формирует необходимый ему канал получения информации.

В целях практической реализации поставленных задач злоумышленник определяет не только каналы несанкционированного доступа к информации фирмы, но и совокупность методов получения этой информации.

Легальные методы входят в содержание понятий «невинного шпионажа» и «разведки в бизнесе», отличаются правовой безопасностью и, как правило, предопределяют возникновение интереса к конкурирующей фирме. В соответствии с этим может появиться необходимость использования каналов несанкционированного доступа к требуемой информации. В основе «невинного шпионажа» лежит кропотливая аналитическая работа специалистов-экспертов над опубликованными и общедоступными материалами конкурирующей фирмы. Одновременно изучаются продукция фирмы, рекламные издания, сведения, полученные в процессе официальных и неофициальных бесед и переговоров с сотрудниками фирмы, материалы пресс-конференций, презентаций фирмы и продукции научных симпозиумов и семинаров, сведения, получаемые из информационных сетей.

При комплексном системном анализе этих материалов появляется возможность формирования из разрозненных и в отдельности неконфиденциальных сведений достаточно полной картины, отражающей имеющиеся в фирме секреты. Этот процесс аналогичен принципу мозаики, когда из множества сегментов складывается определенная картинка.

Легальные методы дают злоумышленнику основную массу интересующей его информации и позволяют определить состав отсутствующих защищаемых сведений, которые предстоит добыть нелегальными методами.

Нелегальные методы получения ценной информации всегда носят незаконный характер и используются в целях доступа к защищаемой информации, которую невозможно получить легальными способами. В основе нелегального получения информации лежит поиск злоумышленником существующих в фирме и наиболее эффективных в конкретных условиях незащищенных организационных и технических каналов несанкционированного доступа к информации, формирование таких каналов при их отсутствии и реализация плана практического комплексного использования этих каналов.

Нелегальные методы предполагают: воровство, продуманный обман, подслушивание разговоров, подделку идентифицирующих документов, взяточничество, инсценирование или организацию экстремальных ситуаций, использование различных криминальных приемов и т. д. В процессе реализации нелегальных методов часто образуется агентурный канал добывания ценной информации, т. е. преступное сотрудничество злоумышленников или злоумышленника и его сообщников. К нелегальным методам относятся также: перехват информации, объективно распространяющейся по техническим каналам (акустическому, электромагнитному и др.), визуальное наблюдение за помещениями фирмы и персоналом, анализ продуктов и объектов, содержащих следы защищаемой информации, анализ архитектурных особенностей объектов защиты, анализ отходов производства, мусора, выносимого из офиса. Незаконный характер перехвата информации по техническим каналам, так же как и изучение общедоступных источников, определяется не процессом, а целью этих действий злоумышленника.

В результате эффективного использования каналов несанкционированного доступа к информации ограниченного доступа и разнообразных методов ее добывания злоумышленник получает:

- подлинник или официальную копию документа (бумажного, машиночитаемого, электронного), содержащего информацию ограниченного доступа;

-  несанкционированно, нелегально сделанную копию этого документа (рукописную или изготовленную с помощью копировального аппарата, фототехники, компьютера и т. п.);

- диктофонную, магнитофонную или видеокассету с записью текста документа, переговоров, совещания;

- письменное или устное изложение за пределами фирмы содержания документа, ознакомление с которым осуществлялось санкционированно или тайно;

- устное изложение текста документа по телефону, мобильной связи, переговорному устройству, специальной радиосвязи и т. п.;

- аналог документа, переданного по факсимильной связи или электронной почте;

- речевую или визуальную запись текста документа, выполненную с помощью технических средств разведки (радиозакладок, встроенных микрофонов и видеокамер, микрофотоаппаратов, фотографирования с большого расстояния).

Получение ценных документов или информации ограниченного доступа может быть единичным явлением или регулярным процессом, протекающим на протяжении относительно длительного времени. Длительность этого процесса является наиболее предпочтительной, поэтому каналы несанкционированного доступа всегда носят тайный характер.   

Следовательно, любые информационные ресурсы фирмы являются весьма уязвимой категорией, и при интересе, возникшем к ним со стороны злоумышленника, опасность их утраты становится достаточно реальной. Безопасность информации в современных условиях компьютеризации информационных процессов имеет принципиальное значение для предотвращения незаконного и часто преступного использования ценных сведений.

 

Выводы поразделу

Безопасность информационных ресурсов (информации) - защищенность информации во времени и пространстве от любых объективных и субъективных угроз (опасностей), возникающих в обычных условиях функционирования фирмы и условиях экстремальных ситуаций: стихийных бедствий, других неуправляемых событий, пассивных и активных попыток злоумышленника создать потенциальную или реальную угрозу несанкционированного доступа к документам, делам, базам данных.

Политика (концепция, программа) информационной безопасности фирмы практически реализуется комплексом направлений и методов защиты информации, обеспечивающим ее безопасность.

Информационная безопасность, безопасность информации и защита информации связаны единой целью, решаемыми задачами и последовательной реализацией их в условиях необходимости обеспечения экономической безопасности предприятия.

Информационные ресурсы (информация) являются объектами отношений физических и юридических лиц между собой и с государством, составляют в совокупности информационные ресурсы России и охраняются законом наряду с другими видами ресурсов.

Документированная информация является комплексным понятием, основанным на ее двуединстве: с одной стороны, это информация (факты, данные, сведения), а с другой - материальный носитель. В процессе документирования информация (результат творческой работы человека) овеществляется, становится документом. Подобный подход к документированной информации представляется существенным при решении задач обеспечения безопасности информации и сохранности ее носителя.

Документ может быть не только и даже не столько управленческим (деловым), имеющим в большинстве случаев текстовую, табличную или анкетную форму. Значительно большие объемы наиболее ценных документов представлены в изобразительной форме: конструкторские документы, картографические, научно-технические, документы на фотографических, магнитных и иных носителях.

По принадлежности к тому или иному виду собственности информационные ресурсы могут быть государственными или негосударственными и как элемент состава имущества находиться в собственности граждан, органов государственной власти, исполнительных органов, органов местного самоуправления, государственных учреждений, организаций и предприятий, общественных объединений, предпринимательских структур. Защите, охране подлежит любая ценная документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю или иному лицу.

Ценная информация охраняется нормами права (патентного, авторского, смежных прав и др.), товарным знаком или защищается включением ее в категорию информации, составляющей тайну фирмы.

Документированная информация ограниченного доступа всегда принадлежит к одному из видов тайны - государственной или негосударственной. В соответствии с этим документы делятся на секретные и несекретные.

Обязательным признаком (критерием принадлежности) секретного документа является наличие в нем сведений, составляющих в соответствии с законодательством государственную тайну. Несекретные документы, включающие сведения, относимые к негосударственной тайне (служебной, коммерческой или предпринимательской, банковской, профессиональной, производственной и др.) или содержащие персональные данные граждан, именуются конфиденциальными.

Конфиденциальный (закрытый, защищаемый) документ- необходимым образом оформленный носитель документированной информации, содержащий сведения ограниченного доступа или использования, которые составляют интеллектуальную собственность юридического или физического лица.

Конфиденциальность документов всегда имеет значительный разброс по срокам ограничения свободного доступа к ним персонала фирмы (от нескольких часов до значительного числа лет).

    Угроза утраты информации - единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных.

Каждая конкретная фирма обладает своим набором каналов несанкционированного доступа к информации, что зависит от множества моментов - профиля деятельности, объемов защищаемой информации, профессионального уровня персонала, местоположения здания и т. п.

Утрата информации характеризуется двумя условиями, а именно информация переходит: а) непосредственно к заинтересованному лицу - конкуренту, злоумышленнику или б) к случайному, третьему лицу.

Общие положения по инженерно-технической защите     информации в организациях

Рассмотренные ранее вопросы создают теоретическую базу для построения, модификации и эксплуатации системы защиты информации.

Любая система создается под заданные требования с учетом существующих ограничений. Факторы, влияющие на структуру и функционирование системы, называются системообразующими. К ним относятся:

-   перечни защищаемых сведений, составляющих государственную (по тематике государственного заказа, если он выполняется организацией) и коммерческую тайну;

-   требуемые уровни безопасности информации, обеспечение которых не приведет к превышению ущерба над затратами на защиту информации;

-   угрозы безопасности информации:

-   ограничения, которые надо учитывать при создании или модернизации системы защиты информации;

-   показатели, по которым будет оцениваться эффективность системы защиты.

Структура и алгоритм функционирования системы защиты организации определяются в руководящих, нормативных и методических документах. К руководящим документам относятся:

-   руководство (инструкция) по защите информации в организации;

-   положение о подразделении организации, на которое возлагаются задачи по обеспечению безопасности информации;

-   инструкции по работе с грифованными документами;

-   инструкции по защите информации о конкретных изделиях: В различных организациях эти документы могут иметь разные наименования, отличающиеся от указанных. Но сущность этих документов остается неизменной, так как необходимость в них объективна.

Порядок защиты информации в организации определяется соответствующим руководством (инструкцией). Оно может содержать следующие разделы:

-   общие положения;

-   перечень охраняемых сведений;

-   демаскирующие признаки объектов организации;

-   демаскирующие вещества, создаваемые в организации;

-   оценки возможностей органов и средств добывания информации,

организационные и технические мероприятия по защите информации;

-   порядок планирования работ службы безопасности;

-   порядок взаимодействия с государственными органами, решающими задачи по защите материальной и интеллектуальной собственности, государственной и коммерческой тайны.

Но в данном руководстве нельзя учесть всех особенностей защиты информации в конкретных условиях. В любой организации постоянно меняется ситуация с источниками и носителями конфиденциальной информации угрозами ее безопасности. Например, появлению нового товара на рынке предшествует большая работа, включающая различные этапы и стадии: проведение исследований, разработка лабораторных и действующих макетов, создание опытного образца и его доработка по результатам испытаний, подготовка производства (документации, установка дополнительного оборудования, изготовление оснастки - специфических средств производства, необходимых для реализации технологических процессов), изготовление опытной серии для выявления спроса на товар, массовый выпуск продукции.

На каждом этапе и стадии к работе подключаются новые люди, разрабатываются новые документы, создаются узлы и блоки с информативными для них демаскирующими признаками. Созданию каждого изделия или самостоятельного документа сопутствует свой набор информационных элементов, их источников и носителей, угроз и каналов утечки информации, проявляющиеся в различные моменты времени.