Руководство по защите информации от утечки по техническим каналам на объекте

Просмотров: 839

III. Методы и способы защиты информации

от утечки по техническим каналам

3.1. Защита речевой информации и информации, представленной в виде информативных электрических сигналов и физических полей, осуществляется в случаях, когда при определении угроз безопасности персональных данных и формировании модели угроз применительно к информационной системе являются актуальными угрозы утечки акустической речевой информации, угрозы утечки видовой информации и угрозы утечки информации по каналам побочных электромагнитных излучений и наводок, определенные на основе методических документов, утвержденных в соответствии с пунктом 2 Постановления Правительства Российской Федерации от 17 ноября 2007 г. N 781.

3.2. Для исключения утечки персональных данных за счет побочных электромагнитных излучений и наводок в информационных системах 1 класса могут применяться следующие методы и способы защиты информации:

использование технических средств в защищенном исполнении;

использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;

размещение объектов защиты в соответствии с предписанием на эксплуатацию;

размещение понижающих трансформаторных подстанций электропитания и контуров заземления технических средств в пределах охраняемой территории;

обеспечение развязки цепей электропитания технических средств с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;

обеспечение электромагнитной развязки между линиями связи и другими цепями вспомогательных технических средств и систем, выходящими за пределы охраняемой территории, и информационными цепями, по которым циркулирует защищаемая информация.

3.3. В информационных системах 2 класса для обработки информации используются средства вычислительной техники, удовлетворяющие требованиям национальных стандартов по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам средств вычислительной техники.

3.4. При применении в информационных системах функции голосового ввода персональных данных в информационную систему или функции воспроизведения информации акустическими средствами информационных систем для информационной системы 1 класса реализуются методы и способы защиты акустической (речевой) информации.

Методы и способы защиты акустической (речевой) информации заключаются в реализации организационных и технических мер для обеспечения звукоизоляции ограждающих конструкций помещений, в которых расположена информационная система, их систем вентиляции и кондиционирования, не позволяющей вести прослушивание акустической (речевой) информации при голосовом вводе персональных данных в информационной системе или воспроизведении информации акустическими средствами.

Величина звукоизоляции определяется оператором исходя из характеристик помещения, его расположения и особенностей обработки персональных данных в информационной системе.

3.5. Размещение устройств вывода информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав информационной системы, в помещениях, в которых они установлены, осуществляется таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей персональные данные.

Использование компьютеров и другой техники при обработке конфиденциальной информации создает побочные электромагнитные излучения. Они могут быть использованы — перехвачены и преобразованы в данные. Утечка информации по каналам ПЭМИН (побочные электромагнитные излучения и наводки) стала благоприятной средой для работы злоумышленников уже в 70-е годы ХХ века, и технологии продолжают совершенствоваться.

Способы перехвата информации

Основой технологии перехвата становится техническое закладное устройство, скрытно внедренное в компьютер или помещение, где он находится. Впервые технология начала использоваться в период Первой мировой войны для перехвата сигналов военных телефонов и радиостанций. Тогда выяснилось, что при работе проявляются демаскирующие признаки в виде побочных излучений оборудования и это излучение может использоваться для получения информации. По мере развития технологий создавались средства ПЭМИН-нападения и ПЭМИН-защиты. Иногда в научной и технической литературе встречается термин ПЭМИ (паразитные электромагнитные излучения), определение термина приводит ГОСТ Р 50922-2006, который под ПЭМИ понимает паразитные электромагнитные излучения, возникающие при работе средств электронной обработки информации.

Первой серьезной демонстрацией возможности перехвата побочных излучений стала выставка в Каннах, проходящая в рамках Международного конгресса по вопросам безопасности ЭВМ 1985 года. Участникам показали, что данные, выведенные на экран компьютера, можно перехватить путем анализа электромагнитных полей. 

Виды каналов утечки

Электромагнитное излучение, возникающее в процессе обработки информации, имеет различную природу. Это значит, что для снятия данных необходимо использовать различные технологии и типы электронных закладных устройств. Наиболее часто разведки или конкуренты используют:

• излучение отдельных элементов технических средств обработки данных и передачи информации (ТСПИ), включая кабели электропитания и заземления;
• излучения на частотах работы высокочастотных генераторов;
• излучения на частотах самовозбуждения усилителей низкой частоты.

В техническом канале утечки информации (ТКУИ) носителем данных становится электроток и колебания его напряжения. Помимо напряжения изменяются сила тока, частота и фаза, колебания могут являться носителями информационного сигнала. Электрические и магнитные поля возникают при прохождении тока через детали техники, провода. Побочные излучения наводятся на металлические (токопроводящие) элементы строительных конструкций, с возникающих полей производят съем данных. Перехват информации осуществляют или в пределах контролируемой зоны, попадание в которую невозможно без пропусков, или вне ее, где снятие напряжения происходит с выходящих из зоны проводников: строительных конструкций, элементов систем водоснабжения, отопления, вентиляции, проводов электрооборудования, систем кондиционирования — посторонних проводников. 

Раньше практиковалось параллельное подключение закладных устройств к линиям связи, но развитие технологий привело к созданию возможности быстрого выявления при измерении напряжения, его падение меняет рабочие характеристики линии связи. Сейчас средства перехвата подключаются к линии связи через согласующее устройство, незначительно снижающее падение напряжения, или через специальное устройство компенсации падения напряжения. Контактный способ все еще применяется, но только для снятия данных с коаксиальных и низкочастотных кабелей связи.

Некоторые кабели связи производятся так, что внутри них предусмотрено повышенное давление воздуха. Его снижение вызывает срабатывание сигнализации, поэтому закладные устройства используют механизм, исключающий риск снижения давления.

Среди устройств, которые дают возможность для снятия информации, могут быть различные приспособления: задающие генераторы, генераторы тактовой частоты, гетеродины радиоприемных и телевизионных устройств, видеокамер, генераторы измерительных приборов. 

Более подробная классификация каналов ПЭМИН предложена ГОСТ, на первом уровне разделившим их на электрические и магнитные. Каналы утечки информации подразделяются на:

• ПЭМИ от информационных цепей;
• ПЭМИ от электрических сетей технических средств обработки информации;
• паразитное электромагнитное излучение;
• наводки.

Далее стандарт дает классификацию наводок:

• наводки в электрических цепях, имеющих собственный выход за пределы объекта обработки информации;
• наводки в линиях связи;
• наводки, вызванные побочными и паразитными излучениями, содержащими информацию;
• наводки в цепях электропитания, вызванные побочными и паразитными излучениями, содержащими информацию;
• наводки в цепях заземления.

Побочные электромагнитные излучения возникают при работе с компьютером в следующих случаях:

• вывод данных на монитор;
• ввод текста с клавиатуры;
• запись данных на съемные носители;
• считывание информации со съемных носителей;
• передача данных по телекоммуникационным каналам связи;
• вывод данных на периферийные устройства печати — принтеры, плоттеры;
• общение по голосовым мессенджерам или в режиме телеконференции;
• сканирование документов;
• запись информации от сканера на магнитный носитель.

---

«СёрчИнформ КИБ» перехватывает данные, передаваемые по различным каналам – почта, облачные сервисы, съемные носители, мессенджеры, документы, отправленные на печать. Программа анализирует поток данных и выявляет случаи их небезопасного использования.

---

Для перехвата данных используются устройства:

• радиотехнической разведки;
• технические средства разведки (ТСР) побочных электромагнитных излучений и наводок (ПЭМИН).

Устройства радиоперехвата требуют размещения в том же помещении, где находится техника, ТСР ПЭМИН могут размещаться за пределами охраняемого периметра.
Если контактный способ снятия информации исключен из-за риска выявления закладных устройств, применяется индукционный метод. При этом используется эффект возникновения вокруг кабеля связи электромагнитного поля при прохождении по нему информационных электрических сигналов. Их и снимают индукционные датчики. Обычно этот способ применяется для получения данных с симметричных кабелей токов высокой частоты.

Современным средствам снятия информации не мешает изоляция кабеля. Они способны получить данные, даже если он защищен на двух уровнях — сначала обмотан металлической проволокой, а затем помещен в металлический футляр. Если необходимо получить информацию бесконтактно с телефонных линий, не обладающих дополнительной защитой, применяются высокочувствительные низкочастотные усилители, оборудованные антеннами, которые работают на магнитном принципе. Часто устройства съема информации дополнительно оснащены радиопередатчиками для пересылки данных на приемник, иногда он может быть установлен за несколько километров от охраняемой зоны. Фиксация радиоизлучения создает дополнительные возможности выявления закладных устройств.

Зона перехвата излучений

Пространство вокруг работающего компьютера, в котором напряжение электромагнитного поля превышает фоновые значения, начинается, в зависимости от мощности и защищенности компьютера, с радиуса в 10—15 метров и достигает нескольких десятков. Оно называется зоной R2, и в нем возможен перехват данных работающим средством электромагнитной разведки. Обычно параметры зоны указываются в сертификате соответствия оборудования.

В работе государственных органов власти — МИД, ряда правоохранительных органов — часто используются тщательно защищенные компьютеры семейства Secret. Эти машины представляют собой модификацию серийных отечественных или зарубежных ПЭВМ, , доработанных для повышения характеристик защищенности информации от утечки по техническим каналам. Это достигается за счет побочных электромагнитных излучений и наводок (ПЭМИН) и НСД. Для компьютеров этого семейства зона R2 не превышает 8—10 м. Такие ПЭВМ после доработки и в целях сертификации проходят специальные проверки и исследования, предназначенные для выявления при помощи контрольно-измерительной техники возможных технических каналов утечки данных.

Доработка проводится без использования специальных средств зашумливания, параметры желаемой зоны R2 устанавливаются заказчиком при подготовке ТЗ.

Комплекс мероприятий для снижения риска утечки данных

Американская программа TEMPEST предложила комплекс решений для снижения риска перехвата данных путем использования побочных электромагнитных излучений и наводок. При защите одновременно реализуется два механизма:

• устанавливается система ограниченного доступа к информационной системе, компьютерному оборудованию, помещениям, где оно находится;
• разрабатывается механизм исключения или затруднения получения технических, преобразуемых в информацию данных разведками.

Комплекс средств для защиты информации от утечки по каналам ПЭМИН делится на активные и пассивные механизмы. Нецелесообразно внедрять их в качестве реакции на угрозу, когда утечка уже произошла. Предварительно требуется составить план мероприятий, в котором будут учтены все возможные каналы и угрозы, уже реализованные злоумышленниками и гипотетические. При разработке плана мероприятий отдельно рассматриваются:

• способы выявления побочных электромагнитных излучений и наводок;
• организационные меры борьбы;
• защита электромагнитного поля;
• меры защиты компьютерного оборудования;
• меры защиты линий связи.

Организационные меры реализуются в любом случае, меры защиты ПЭВМ и линий связи — исходя из результатов аудита безопасности.

Выявление ПЭМИН в информационной системе и защита от них

Вне зависимости от того, используются ли злоумышленниками побочные излучения и наводки от компьютеров, первым этапом борьбы с ними становится изолирование рабочих машин от Интернета, чтобы избежать передачи вовне перехваченной информации. Маршрутизатор является обязательным средством, но не единственным. Серьезную дополнительную защиту от утечек данных по каналам ПЭМИН, несанкционированного взаимодействия приложений, способных передавать информацию друг другу и обеспечивать ее утечку по менее контролируемым каналам, от проникновения в информационную систему организации вредоносных программ дает межсетевой экран.

В государственных организациях неуклонно соблюдается принцип изоляции компьютеров, на которых обрабатываются данные повышенного уровня конфиденциальности, от общей сети Интернет. Иногда это решается полным отказом от взаимодействия, иногда оборудование подключается к государственным и ведомственным сетям Рунета с повышенным уровнем защиты.

Если сотруднику предоставляются две рабочие машины, одна из которых подключена к Интернету, вторая нет, это не решает задачу. Информация, обрабатываемая в локальной сети, и побочные излучения компьютеров, направленные на кабели локальной сети, с легкостью наводятся на провода машины, подключенной к Интернету. Кабели открытой сети часто выходят за пределы охраняемого помещения, и подключить к ним закладное устройство несложно. Это создает необходимость прокладывания кабелей с соблюдением рекомендованных ФСТЭК правил безопасности. Разработку топологии прокладки проводов лучше проводить на первом этапе обустройства помещения, до установки оборудования. Правильность построения защищенной от перехвата данных по каналам ПЭМИН сети подтверждается аттестацией.

Дополнительный риск создает использование вредоносных программ, работающих по принципу Soft TEMPEST. Выполняя формально не запрещенные операции, они генерируют дополнительное излучение, модулированное информационным сигналом, которое считывается закладными устройствами. Интересно, что в рамках программы TEMPEST реализуются и защитные меры, разработаны специальные шрифты, которые при вводе данных способны погасить побочные излучения.

При анализе оборудования на побочные излучения нельзя ограничиваться компьютерами, дополнительно проверяются:

• средства связи — от IP-телефонии до «кремлевки», если она установлена в кабинете руководства;
• средства звукоусиления и звукозаписи;
• факсовые аппараты;
• оборудование для проведения видеоконференций;
• элементы умного дома;
• сигнализации всех типов;
• диспетчерская связь;
• оргтехника;
• метрологическая аппаратура;
• световые приборы, передающие информацию путем преобразования электромагнитного излучения в световое;
• СКУД.

Проверка ведется при помощи специального оборудования по заранее составленному плану. Закладные устройства могут быть подключены к оборудованию, проводам питания и заземления, электророзеткам. Информация по наводкам легко переходит от одного кабеля к другому, поэтому проверке подлежат все провода и сети, если они заранее не размещены недоступным способом или не экранированы. Также в зоне риска находятся пульты управления технологическим оборудованием, распределительные щиты.

Организационные меры

Основной организационной мерой становится защита помещения, при необходимости — с дальнейшей сертификацией степени защищенности по методике ФСТЭК. Чаще всего мерой защиты становится «клетка Максвелла» — решетка из металла, встроенная в стены помещения. Побочные излучения распространяются по ней, выходя за пределы комнаты в состоянии, непригодном для качественного съема информации. Аттестация помещения станет необходимой мерой, гарантирующей защиту. Для защиты от ЗУ, которые могут установить внутри такого помещения,  используется контроль доступа лиц и их проверка на входе в организацию на предмет проноса закладных устройств.

Меры защиты электромагнитного поля

Существует комплекс мероприятий, изменяющих параметры электромагнитного поля и снижающих риск утечки данных по каналам ПЭМИН. Существуют многочисленные способы активного подавления электромагнитных излучений:

• метод «синфазной» низкочастотной маскирующей помехи — в провод по определенному временному алгоритму подаются сигналы маскирующего низкочастотного шума. Уровень сигнала в разы превосходит передаваемый, и снятие данных становится невозможным; 
• использование высокочастотной маскирующей помехи. Низкочастотный сигнал подавляет речевой при передаче по линии. Для маскировки применяются широкополосные аналоговые сигналы типа «белого шума» или дискретные сигналы типа псевдослучайной последовательности электромагнитных импульсов; 
• применение ультразвуковой маскирующей помехи. Принцип работы аналогичен предыдущему, создавать ультразвуковые помехи проще, но качество маскировки снижается; 
• использование низкочастотной маскирующей помехи. Способ рассчитан на подавление работы подключенных диктофонов, вместо речи на них записывается «белый шум»; 
• повышение напряжения. Оно переводит закладки в нелинейный режим работы, ЗУ с параллельным подключением отключаются; 
• понижение напряжения. Оно также подавляет работу устройств съема информации; 
• компенсационный способ, на линию подается чистый шум; 
• метод «выжигания». На линию направляются высоковольтные импульсы, выжигающие входные каналы ЗУ.

Выбор технических средств подавления напряжения электромагнитного поля в каналах утечки информации ПЭМИН выбирается в зависимости от частоты использования городской телефонной связи.

Защита ПЭВМ

При защите информации от утечек основным принципом становится снижение уровня излучения или использование шумов, которые сделают ПЭМИН нечитаемым, не дадут возможность преобразования. В первую очередь защищаются компьютеры. Если нет возможности приобрести уже защищенное по модели Secret оборудование, возможна доработка имеющегося силами специальных лицензированных организаций, по направлениям:

• использование фильтра-генератора для защиты цепей питания и заземления;
• применение устройств зашумливания.

Дополнительно, если компьютер не защищен при помощи сертифицированных ФСТЭК технологий, используются генераторы шума. Уровень маскирующего сигнала обычно на 10—20 дБ превышает уровень побочных излучений. Государственная комиссия по радиочастотам при Минсвязи выделила для генераторов шума полосу радиочастот 0,1—1000 МГц. Пиковые значения напряженности электромагнитного поля для каждой из подгрупп частот установлены в ГОСТ, и они проявляются в пределах 10 м от работающего компьютера. Активная форма защиты иногда предполагает использование одновременно нескольких генераторов для стоящих рядом машин, что ставит перед специалистами задачу сложить напряжения и избежать их конфликта, приводящего к появлению неконтролируемых зон.

Интересно, что использование генераторов шума в повышенном количестве является демаскирующим признаком, способным оповестить заинтересованных лиц о том, что в помещении обрабатывается информация ограниченного доступа.

Защита линий связи

ПЭМИН становятся основным способом для снятия информации с линий телефонной связи. Большинство организаций все еще используют городские телефонные линии, и при разработке объекта одно из первых мероприятий, которые предпринимают конкуренты или технические разведки, — подключение к этому каналу утечки информации приемно-передающего или регистрирующего устройства. Следует учитывать, что телефонные переговоры перехватываются не только с кабелей связи, но и методами акустической разведки. Разговор по телефону может быть записан акустическими закладными устройствами прямо в момент звонка. Если этого не произошло, данные могут быть восстановлены и переданы злоумышленнику позднее при помощи микрофонного эффекта телефона и метода высокочастотного (ВЧ) навязывания. В этом случае высокочастотный сигнал передается в электрическую цепь, которая имеет паразитную связь с техническим закладным устройством, снабженным микрофоном.

Защита обычных городских линий от перехвата и дешифровки побочных излучений осуществляется при помощи пяти видов технических средств:

• криптографические системы защиты (скремблеры), алгоритмы шифрования речи, кодирующие поступающий сигнал; 
• анализаторы телефонных линий; 
• односторонние маскираторы речи; 
• средства пассивной защиты; 
• установщики активной заградительной помехи. 

Выбор средства зависит от цели организации и ее возможностей, технических или бюджетных.

Скремблеры

Метод действует в рамках нескольких шагов. На первом речь абонента шифруется так, чтобы злоумышленник, перехватывающий сигнал, не мог расшифровать его. Шифрование происходит в телефонном аппарате абонента. Обработанное сообщение на следующем этапе передается на линии связи и на последнем оно дешифруется в аппаратесобеседника. Расшифровать сигнал можно, но для этого требуются:

• специалисты-криптоаналитики;
• дорогое оборудование;
• время.

Некоторые алгоритмы расшифровываются долго, за этот период времени сообщение может потерять актуальность. Плюс скремблера — при высокой цене криптографического оборудования, начинающейся от 1000 долларов, расшифровать речь практически невозможно. Защита обеспечивается по всей линии связи, и получить перехватываемые данные с расшифровкой в реальном режиме времени нельзя.

Минусы:

• совместимое оборудование ставится у всех абонентов, переговоры с которыми нужно защищать. Это дорого. Дешифровщик может устанавливаться на городской АТС, но в схеме защиты появляется третье лицо; 
• происходит потеря времени, необходимая для синхронизации аппаратуры и обмена ключами в начале защищенного сеанса;
• скремблер не страхует от перехвата акустического сигнала из помещения.

Анализаторы телефонных линий

Приборы страхуют от утечек, постоянно измеряя и анализируя параметры состояния телефонных линий: значения постоянной составляющей напряжения на телефонной линии, величину постоянного тока, возникающего в телефонном канале связи во время разговора. Зафиксированное изменение напряжения в линии в момент снятия трубки с высокой долей вероятности говорит об утечке информации. Если зафиксирован сигнал с частотой выше 50 кГц, то, вероятно, подсоединена аппаратура ВЧ-навязывания или по ней передается модулированный высокочастотный сигнал. Проанализировав параметры, прибор подаст сигнал о выявлении прослушки. Некоторые виды оборудования имеют в устройстве блок, способный активировать активную заградительную помеху. Кабельные радары и системы нелинейной локации в кабельных линиях с точностью до сантиметра определят место, где на линии следует искать подсоединенное устройство съема информации. Для обмана анализатора вероятному злоумышленнику потребуется использовать ЗУ с механизмом компенсации изменений. 

Плюсы анализаторов — возможность выявления ЗУ и места его расположения. Недостатки — прибор часто не дает идеально точных показаний из-за невысокого технического состояния городских телефонных коммуникаций. На них влияют изменение температуры, наводки от промышленных предприятий, это создает возможность ложных срабатываний. Приборы видят не все виды закладных устройств, и для них часто требуются предварительная проверка линий на чистоту сигнала и настройка, что сложно сделать скрытно.

Односторонние маскираторы речи

Этот тип приборов не очень широко распространен. Принцип работы — при звонке важного собеседника абонент включает режим маскиратора. На телефонную линию подается интенсивный маскирующий шумовой сигнал в полосе частот, пропускаемых телефонным каналом, который распространяется по всей длине канала связи. Адаптивный фильтр компенсирует возникающие помехи, и абонент получает голосовой сигнал в хорошем качестве, при этом подключенные закладные устройства распознать его не в состоянии.
Теоретически злоумышленник может записать сигнал, также воспользоваться адаптивным фильтром и анализатором, отделяющим шумы от речи, но это требует оборудования и значительных временных затрат. В течение срока дешифровки актуальность сообщения может снизиться. Среди плюсов оборудования — высокая степень шифровки, возможность модифицировать сигналы с мобильных устройств. Недостатки — исходящие сообщения не шифруются, а шум в трубке может заставить неподготовленного абонента усилить голос, что увеличивает риск перехвата информации акустическими закладками.

Средства пассивной защиты

Фильтры и аналогичные приспособления встраиваются в разрыв линии или в аппарат, блокируют возможность перехвата и дешифровки побочных излучений (ПЭМИН). Они способны обеспечить предотвращение перехвата:

• акустических данных при помощи метода ВЧ-навязывания;
• речевой информации, которую могут перехватить из-за микрофонного эффекта телефонного аппарата;
• речевой информации в помещениях с помощью микрофонов, передающих данные по телефонной линии на высоких частотах.

Основной минус средств — ограниченность действия, они блокируют закладные устройства, работающие по принципам ПЭМИН, но не способны справиться с акустическими закладками.

Активные заградительные помехи

Приборы для постановки активной заградительной помехи работают с широким диапазоном закладных электронных устройств. Задача решается способами зашумливания — добавления в телефонную линию различного вида сигналов (заградительных помех) — и модификацией стандартных параметров напряжения телефонной линии. Помехи при прохождении по линии в несколько раз превосходят уровень стандартного сигнала и компенсируются, гасятся дополнительными устройствами при достижении речевой информацией абонента. Помехи могут обеспечить смещение или «размывание» несущей частоты передатчика, внезапные скачки передающей частоты, искажение высокочастотного сигнала, дополнительную модуляцию, снижение мощности электромагнитного излучения, передаваемого по телефонным каналам утечки информации.

Разработка плана мероприятий по защите от ПЭМИН требует высокой квалификации сотрудников, реализация плана связана с временными и финансовыми затратами. Поэтому при его подготовке нужно ограничиться необходимыми мерами, без излишних механизмов защиты.

22.03.2021

В соответствии со статьей 8 Федерального закона от 28.12.2010 № 390-ФЗ «О безопасности» Президент Российской Федерации устанавливает компетенцию федеральных органов исполнительной власти в области обеспечения безопасности, руководство деятельностью которых он осуществляет и решает в соответствии с законодательством Российской Федерации вопросы, связанные с обеспечением защиты информации и государственной тайны.

Соответствующими указами Президентом определены федеральные органы исполнительной власти, реализующие полномочия по защите информации:

Федеральная служба то техническому и экспортному контролю Российской Федерации (ФСТЭК России) — Указ Президента РФ от 16.08.2004 № 1085 «Вопросы Федеральной службы по техническому и экспортному контролю».

ФСТЭК России является федеральным органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

• обеспечения безопасности критической информационной инфраструктуры Российской Федерации;

• противодействия иностранным техническим разведкам на территории Российской Федерации;

• обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;

• защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;

• осуществления экспортного контроля.

Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения государственными органами и организациями.

ФСТЭК России осуществляет методическое руководство деятельностью государственных органов и организаций в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации.

Федеральная служба безопасности Российской Федерации (ФСБ России) — Указ Президента РФ от 11.08.2003 № 960 «Вопросы Федеральной службы безопасности Российской Федерации».

Основными задачами ФСБ России в области защиты информации являются:

• обеспечение в пределах своих полномочий защиты сведений, составляющих государственную тайну, и противодействия иностранным организациям, осуществляющим техническую разведку;

• формирование и реализация в пределах своих полномочий государственной и научно-технической политики в области обеспечения информационной безопасности;

• организация в пределах своих полномочий обеспечения криптографической и инженерно-технической безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в Российской Федерации и ее учреждениях за рубежом.

Различие компетенций вышеперечисленных органов исполнительной власти заключается в следующем:

ФСТЭК России формирует требования и производит контроль мероприятий по защите информации некриптографическими методами (разграничение прав пользователей, защита информации от побочных электромагнитных излучений, защита речевой информации и др.);

ФСБ России формирует требования и производит контроль мероприятий по защите информации криптографическими методами (защита каналов связи, электронная подпись).

Защита информации некриптографическими методами является наиболее массовым видом при создании защищенных информационных систем.

В соответствии со статьей 12 федерального закона «О безопасности» органы государственной власти субъектов Российской Федерации и органы местного самоуправления в пределах своей компетенции обеспечивают исполнение законодательства Российской Федерации в области обеспечения безопасности.

2. Нормативно-правовая база защиты информации

Основой для формирования государственной политики и развития общественных отношений в области обеспечения информационной безопасности, а также для выработки мер по совершенствованию системы обеспечения информационной безопасности является Доктрина информационной безопасности Российской Федерации, утвержденная Указом Президента РФ от 5 декабря 2016 г. № 646.

Организация работ по защите информации в органах исполнительной власти осуществляется их руководителями. Для организации и проведения работы по защите информации создаются специальные подразделения по защите информации (или штатные специалисты).

В органах исполнительной власти субъекта может циркулировать два вида информации подлежащей обязательной защите в соответствии с действующим законодательством:

1. Информация, составляющая государственную тайну (Указ Президента РФ от 11.02.2006 № 90 «О перечне сведений, отнесенных к государственной тайне»).

2. Конфиденциальная информация (Указ Президента РФ от 06.03.1997 № 188 «Об утверждении Перечня сведений конфиденциального характера»), которая в свою очередь делится на несколько составляющих, наиболее часто встречающихся в исполнительных органах власти:

персональные данные (любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу);

служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с федеральными законами (служебная тайна – сведения, содержащие информацию ограниченного доступа, документы с пометкой «Для служебного пользования»).

Для вышеперечисленных видов информации должны в обязательном порядке применяться меры по защите информации.

Защита сведений, отнесенных к государственной тайне, осуществляется в соответствии с законом РФ от 21.07.1993 N 5485-1 (ред. от 29.07.2018) «О государственной тайне» и инструкцией по обеспечению режима секретности в РФ от 05.01.2004 3-1.

Одна из основных целей защиты информации – это предотвращение ее утечки по техническим каналам.

В соответствии со статьей 16 Федерального закона «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г. № 149-ФЗ, обладатель информации обязан обеспечить:

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

6) постоянный контроль за обеспечением уровня защищенности информации.

3. Требования по защите информации

Конкретные требования по защите информации, которые должен обеспечить обладатель информации, отражены в руководящих документах ФСТЭК и ФСБ России. Документы также делятся на ряд направлений:

• защита информации при обработке сведений, составляющих государственную тайну;

• защита конфиденциальной информации (в т.ч. персональных данных);

• защита информации в ключевых системах информационной инфраструктуры.

Конкретные требования по защите информации определены в руководящих документах ФСТЭК России.

При создании и эксплуатации государственных информационных систем (а это все информационные системы областных органов исполнительной власти) методы и способы защиты информации должны соответствовать требованиям ФСТЭК и ФСБ России.

Документы, определяющие порядок защиты конфиденциальной информации и защиты информации в ключевых системах информационной инфраструктуры имеют пометку «Для служебного пользования». Документы по технической защите информации, как правило, имеют гриф «секретно».

4. Аттестация объектов информатизации

Основной единицей в терминах защиты информации принято считать объект информатизации – совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенных для ведения конфиденциальных переговоров (если упрощенно, объекты информатизации – это автоматизированные системы, на которых обрабатывается защищаемая информация и защищаемые помещения, в которых ведутся конфиденциальные переговоры).

Подтверждением того, что объект информатизации защищен, является наличие на объекте «аттестата соответствия» («Положение по аттестации объектов информатизации по требованиям безопасности информации». Утверждено Председателем Государственной технической комиссии при Президенте Российской Федерации 25 ноября1994 г.).

Под аттестацией объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа – «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утвержденных ФСТЭК России.

Наличие на объекте информатизации действующего «Аттестата соответствия» дает право обработки информации с уровнем секретности (конфиденциальности) на период времени, установленным в «Аттестате соответствия».

Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки конфиденциальной информации, информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров.

Пpи аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счет побочных электромагнитных излучений и наводок пpи специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации.

Аттестация проводится органом по аттестации (организация, имеющая лицензии ФСТЭК России).

Расходы по проведению всех видов работ и услуг по аттестации объектов информатизации оплачивают заявители.

Для проведения аттестации объектов информатизации, на которых обрабатывается:

информация, содержащая сведения, составляющие государственную тайну, требуется лицензия ФСТЭК России на право осуществления мероприятий и (или) оказания услуг в области защиты государственной тайны (в части технической защиты информации);

конфиденциальная информация требуется лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации.

Органы по аттестации объектов информатизации несут ответственность за выполнение возложенных на них функций, обеспечение сохранности государственных и коммерческих секретов, а также за соблюдение авторских прав pазpаботчиков аттестуемых объектов информатизации и их компонент.

5. Сертификация средств защиты информации

В соответствии с Постановлением Правительства РФ от 26.06.1995 № 608 «О сертификации средств защиты информации» технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации являются средствами защиты информации.

Указанные средства подлежат обязательной сертификации, которая проводится в рамках систем сертификации средств защиты информации. При этом криптографические (шифровальные) средства должны быть отечественного производства и выполнены на основе криптографических алгоритмов, рекомендованных ФСБ России.

Оценка соответствия средств, предназначенных для защиты информации конфиденциального характера проводится на основании Постановления Правительства РФ «Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, а также процессов ее проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения, об особенностях аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по подтверждению соответствия указанной продукции (работ, услуг)» от 15 мая 2010 г. № 330-дсп.

На аттестованных объектах информатизации должны применяться сертифицированные по требованиям безопасности информации средства защиты информации. Сертификация средств защиты осуществляется испытательными лабораториями.

Федеральными органами по сертификации являются ФСТЭК России и ФСБ России в части:

• разработки и производства средств защиты информации, составляющей государственную тайну;

• разработки и производства средств защиты конфиденциальной информации.

6. Построение системы защиты информации в организации

Вопросы создания и непосредственного руководства подразделениями по защите информации в органах государственной власти возлагаются на руководителей органов государственной власти или их заместителей.

Для организации и проведения работ по защите информации создаются специальные подразделения по защите информации (или штатные специалисты).

Указанные подразделения организуют свою деятельность в соответствии с «Типовым положением о подразделении по защите информации от иностранных технических разведок и от ее утечки по техническим каналам в министерствах и ведомствах, в органах государственной власти субъектов Российской Федерации», утвержденным решением Гостехкомиссии России от 14 марта 1995 г. № 32.

7. Контроль состояния защиты информации

Контроль состояния защиты информации (далее — контроль) осуществляется с целью своевременного выявления и предотвращения утечки информации по техническим каналам, несанкционированного доступа к ней, преднамеренных программно-технических воздействий на информацию и оценки защиты ее от иностранных технических разведок.

Контроль заключается в проверке выполнения актов законодательства Российской Федерации по вопросам защиты информации, решений ФСТЭК России, а также в оценке обоснованности и эффективности принятых мер защиты для обеспечения выполнения утвержденных требований и норм по защите информации.

Контроль организуется ФСТЭК России, ФСБ России, другими органами государственной власти, входящими в государственную систему защиты информации, и предприятиями в соответствии с их компетенцией.

ФСТЭК России организует контроль силами центрального аппарата и территориальных Управлений ФСТЭК России.

Центральный аппарат ФСТЭК России осуществляет в пределах своей компетенции контроль в органах государственной власти и на предприятиях, обеспечивает методическое руководство работами по контролю.

Территориальные управления ФСТЭК России, в пределах своей компетенции осуществляют контроль в органах государственной власти и на предприятиях, расположенных в зонах ответственности этих управлений.

Органы государственной власти организуют и осуществляют контроль на подчиненных им предприятиях через свои подразделения по защите информации. Повседневный контроль за состоянием защиты информации на предприятиях проводится силами их подразделений по защите информации.

Контроль на предприятиях негосударственного сектора при выполнении работ с использованием сведений, отнесенных к государственной или служебной тайнам, осуществляется органами государственной власти, ФСТЭК России, ФСБ России и заказчиком работ в соответствии с их компетенцией.

Защита информации считается эффективной, если принимаемые меры соответствуют установленным требованиям или нормам.

Несоответствие мер установленным требованиям или нормам по защите информации является нарушением.