ORGANIZACIÓN DE LA PROTECCIÓN DE LA INFORMACIÓN CONTRA FUGAS A TRAVÉS DE CANALES TÉCNICOS.

strong> se refiere a objetos donde los parámetros de las señales de información que surgen durante el procesamiento de información o las negociaciones están ocultos, para lo cual es posible restaurar información confidencial (ocultando información procesada en el objeto).

Tabla 2. Clases de protección de objetos de información y locales dedicados>p>

Al establecer la categoría de un objeto protegido, se tiene en cuenta su clase de protección, así como las capacidades financieras de la empresa. cerrar posibles canales técnicos de fuga de información. Es aconsejable dividir los objetos protegidos en tres categorías.

La categorización de los objetos de información protegidos y los locales designados la llevan a cabo comisiones designadas por los jefes de las empresas en cuya jurisdicción se encuentran.

Las comisiones, por regla general, incluyen representantes de departamentos responsables de garantizar la seguridad de la información y representantes de los departamentos que operan objetos protegidos.

La categorización de los objetos protegidos se realiza en el siguiente orden:

• se determinan los objetos de informatización y las instalaciones específicas que deben protegerse;
• se determina el nivel de confidencialidad de la información procesada por TSOI o discutida en las instalaciones específicas, y el costo del daño que puede causarse a la empresa (organización , firme) como resultado de su fuga se evalúa
• ;para cada objeto protegido, se establece una clase de protección (A o B) y se determinan los canales técnicos potenciales para la fuga de información y los medios técnicos especiales que pueden usarse para interceptar información (Tablas 3, 4);
• la se determina la composición racional de los medios de protección y también se desarrollan medidas organizativas para cerrar un canal técnico específico de fuga de información para cada objeto protegido;
• para la información clasificada como confidencial y proporcionada por la otra parte, la suficiencia de las medidas tomadas para protegerlo (medidas o estándares de protección) se determinan información están determinadas por el acuerdo correspondiente);
• se evalúa el costo de las medidas (organizativas y técnicas) para cerrar un canal técnico específico de fuga de información para cada objeto protegido;
• teniendo en cuenta la evaluación de las capacidades de un enemigo potencial (competidor, atacante) para utilizar ciertos medios técnicos de reconocimiento para interceptar información, así como teniendo en cuenta el costo de cerrar cada canal de fuga de información y el costo del daño que puede ser causado a la empresa como resultado de su filtración, la viabilidad de cerrar esos u otros canales técnicos de filtración de información;
• después de decidir qué canales técnicos de filtración de información deben cerrarse, la categoría de informatización se establece un objeto o local dedicado (Tabla 5).

Los resultados del trabajo de la comisión se documentan en un acta, que es aprobada por el funcionario que nombró la comisión.

Tabla 3. Posibles canales técnicos de fuga de información procesada por PC

Tabla 4. Posibles canales técnicos para las fugas información de voz

Tabla 5. Categorías de objetos de informatización y locales dedicados

Luego de establecer la categoría del objeto de protección, se evalúan las posibilidades de creación e implementación de información de seguridad de la información por parte de la empresa (organización, firma), o la necesidad de atraer organizaciones especializadas que cuenten con las licencias necesarias para tener derecho a realizar la protección de la información. se justifica el trabajo para diseñar e implementar la seguridad de la información.

Se lleva a cabo una evaluación de los costos materiales, laborales y financieros para el desarrollo e implementación de la tecnología de la información, y el plazo aproximado para Se determina el desarrollo e implementación de tecnologías de la información.

Los resultados de la fundamentación analítica de la necesidad de crear un sistema de información tecnológico se documentan en una nota explicativa, la cual debe contener:

• una lista de información confidencial indicando su nivel de confidencialidad;
• una lista de empleados de la empresa admitidos a información confidencial, indicando su modo de acceso y, si es necesario, la matriz de acceso;
• características de la información y estructura organizativa de los objetos protegidos;
• lista de objetos de información sujetos a protección, indicando sus categorías;
• una lista de locales designados a proteger, indicando sus categorías;
• una lista y características de los medios técnicos para procesar información confidencial, indicando su ubicación de instalación;
• una lista y características de los medios auxiliares medios y sistemas técnicos, indicando su ubicación de instalación;
• el nivel esperado de equipamiento de un enemigo potencial (competidor, atacante);
• canales técnicos de fuga de información que deben cerrarse (eliminar );
• medidas organizativas para cerrar canales técnicos de fuga de información;
• lista y características de los medios técnicos de protección de la información propuestos para su uso, indicando su ubicación de instalación;
• métodos y procedimientos para monitorear la efectividad de protección de la información;
• justificación de la necesidad de atraer organizaciones especializadas que tengan las licencias necesarias para realizar trabajos de seguridad de la información para el diseño;
• evaluación de los costos materiales, laborales y financieros para el desarrollo y la implementación de la tecnología de la información;
• plazo de tiempo aproximado para el desarrollo y la implementación de la tecnología de la información;
• lista de medidas para garantizar la confidencialidad de información en la etapa de diseño de tecnologías de la información.

La nota explicativa está firmada por el jefe del grupo (comisión) que realizó la justificación analítica, acordada con el jefe del servicio de seguridad y aprobado por el responsable de la empresa.

Con base en la justificación analítica y los documentos normativos y metodológicos vigentes sobre la protección de la información contra fugas a través de canales técnicos, teniendo en cuenta la clase y categoría establecidas del objeto protegido, se establecen requisitos específicos para la protección de la información, incluidos en la especificación técnica (técnica privada). para el desarrollo de la tecnología de la información.

Los términos de referencia (TOR) para el desarrollo de la tecnología de la información deben contener:

• justificación del desarrollo;
• datos iniciales del objeto protegido en aspectos técnicos, software, informativos y organizativos;
• un enlace a los documentos normativos y metodológicos, teniendo en cuenta qué información de seguridad de la información se desarrollará y pondrá en funcionamiento;
• requisitos específicos para la información de seguridad de la información;
• una lista de medios técnicos de seguridad de la información destinados a su uso;
• composición, contenido y calendario del trabajo en las etapas de desarrollo e implementación;
• lista de contratistas — ejecutantes de diversos tipos de trabajo;
• una lista de productos y documentación científica y técnica presentada al cliente.

Se elaboran los términos de referencia para el diseño de la información y el sistema de protección de la información del objeto protegido. redactado en un documento separado y acordado con la organización de diseño, el servicio de seguridad (especialista) de la organización del cliente en términos de la suficiencia de las medidas para la protección de la información técnica y está aprobado por el cliente.

Etapa de diseño de un sistema técnico de seguridad de la información

Para desarrollar un proyecto técnico para la creación de un sistema de seguridad de la información técnica, deben participar organizaciones autorizadas por el Servicio Federal de Control Técnico y de Exportaciones de la Federación de Rusia.

El proyecto técnico para la información de seguridad de la información debe contener:

• página de título;
• nota explicativa que contenga información sobre las características y estructura organizativa del objeto protegido, información sobre la organización y medidas técnicas para proteger la información contra fugas a través de canales técnicos;
• una lista de objetos de informatización a proteger, indicando su ubicación y la categoría de protección establecida;
• una lista de locales asignados a proteger, indicando su ubicación y la categoría de protección establecida;
• una lista de TSOI instalados que indica la presencia de un certificado (instrucción de operación) y los lugares de su instalación;
• una lista de VTSS instalados que indica la presencia de un certificado y los lugares de su instalación;
• una lista de los medios técnicos instalados de seguridad de la información indicando el certificado de disponibilidad y los lugares de su instalación;
• diagrama (a escala) que indica el plano del edificio en el que se encuentran los objetos protegidos, los límites del área controlada, la subestación transformadora, el dispositivo de puesta a tierra, las rutas para el tendido de servicios públicos, líneas eléctricas, comunicaciones, alarmas contra incendios y de seguridad, lugares de instalación de dispositivos de separación, etc. .p.;
• planos tecnológicos del edificio (a escala) que indican la ubicación de los objetos de información y los locales asignados, las características de sus paredes, techos, materiales de acabado, tipos de puertas y ventanas;
• planos de objetos de información (a escala ) indicando los lugares de instalación TSOI, VTSS y el tendido de sus líneas de conexión, así como las rutas para el tendido de servicios públicos y conductores extraños;
• plano de las comunicaciones de ingeniería de todo el edificio, incluido el sistema de ventilación;
• diagrama en planta del objeto del sistema de puesta a tierra, indicando la ubicación del electrodo de tierra;
• un diagrama en planta del sistema de suministro de energía del edificio que indica la ubicación del transformador de aislamiento (subestación), todos los tableros de distribución y cajas de conexiones;
• diagrama en planta de la instalación de líneas de comunicación telefónica que indica la ubicación de las cajas de distribución y la instalación de aparatos telefónicos;
• diagrama en planta de los sistemas de seguridad y alarma contra incendios que indique las ubicaciones de instalación y los tipos de sensores, así como las cajas de distribución;
• diagramas de los sistemas de protección activa (si se proporcionan en las especificaciones de diseño);
• instrucciones y manuales para el funcionamiento de los medios técnicos de protección para los usuarios y responsables de garantizar la seguridad de la información en la instalación de informatización.

El diseño técnico, los planos de trabajo, los presupuestos y demás documentación de diseño deben ser tenido en cuenta en la forma prescrita.

El diseño técnico se coordina con el servicio de seguridad (especialista) del cliente, la autoridad de protección de la información de la organización de diseño, representantes de los contratistas — ejecutantes de tipos de trabajo y aprobados por el responsable de la organización de diseño.

A la hora de desarrollar un proyecto técnico se deben tener en cuenta las siguientes recomendaciones:

• Se deben instalar equipos técnicos certificados en las instalaciones designadas para el procesamiento de información y medios técnicos auxiliares;
• para la colocación de dispositivos de información digital, es recomendable elegir locales en el sótano y semisótano (tienen blindaje propiedades);

• Se recomienda ubicar las oficinas de los líderes de la organización, así como los locales especialmente importantes designados, en los pisos superiores (a excepción del último) en el lado menos peligroso desde el punto de vista del reconocimiento;
• es necesario prever el suministro de todas las comunicaciones (suministro de agua, calefacción, alcantarillado, telefonía, red eléctrica, etc.) al edificio en un solo lugar. Es recomendable introducir inmediatamente las entradas de comunicaciones del edificio en la sala del cuadro y asegurarse de que su entrada esté cerrada y se instale un sistema de alarma o seguridad;
• Si el transformador de aislamiento (subestación transformadora), desde el cual se suministra energía al equipo técnico protegido y a las instalaciones dedicadas, está ubicado fuera del área controlada, es necesario prever la desconexión de los buses de baja tensión de la subestación, desde donde los objetos protegidos están alimentados, de consumidores ubicados fuera del área controlada;
• Se recomienda tender los cables de alimentación eléctrica desde un panel de alimentación común según el principio de cableado vertical hasta los pisos con cableado horizontal piso por piso e instalar su propio panel de alimentación en cada piso. Los cables de conexión de los equipos técnicos auxiliares, incluidos los cables de los sistemas de comunicación, deben tenderse de manera similar;
• el número de entradas de comunicaciones al área de las instalaciones protegidas debe ser mínimo y corresponder al número de comunicaciones. Los conductores extraños no utilizados que pasan por las instalaciones protegidas, así como los cables (líneas) de los medios técnicos auxiliares no utilizados deben ser desmantelados;
• el tendido de circuitos de información, así como los circuitos de potencia y puesta a tierra de los medios técnicos protegidos, debe planificarse de tal manera que su recorrido paralelo con varios conductores extraños que se extienden más allá del área controlada quede excluido o reducido a límites aceptables;
• Para poner a tierra los equipos técnicos (incluidos los equipos auxiliares) instalados en locales exclusivos, es necesario proporcionar un circuito de puesta a tierra propio e independiente ubicado dentro del área controlada. Si esto no es posible, es necesario prever ruido lineal en el sistema de puesta a tierra de la instalación;
• es necesario excluir las salidas de conductores extraños (diversas tuberías, conductos de aire, estructuras metálicas del edificio, etc.), en los que están presentes señales informativas inducidas, más allá del área controlada. Si esto no es posible, es necesario prever el ruido lineal procedente de conductores extraños;
• Se recomienda tender tuberías y comunicaciones para distribución horizontal de forma abierta o detrás de falsos paneles que permitan su desmontaje e inspección;
• En los lugares donde las tuberías de comunicaciones técnicas salen fuera de las instalaciones designadas, se recomienda instalar insertos aislantes de vibraciones flexibles, llenando el espacio entre ellos y la estructura del edificio con mortero en todo el espesor de la estructura. Si es imposible instalar insertos, será necesario equipar las tuberías con un sistema de vibración y ruido;
• es necesario prever la colocación de elevadores verticales de comunicaciones para diversos fines fuera del área de ​​las instalaciones asignadas;
• las estructuras de cerramiento de las instalaciones asignadas adyacentes a otras instalaciones de la organización no deben tener aberturas, nichos ni canales pasantes para el tendido de comunicaciones;
• Es aconsejable separar el sistema de ventilación de suministro y extracción y el intercambio de aire de la zona de las instalaciones asignadas, no debe estar conectado con el sistema de ventilación de otras instalaciones de la organización y tener su propia entrada y salida de aire separadas;
• Se recomienda que los conductos del sistema de ventilación estén fabricados con materiales no metálicos. La superficie exterior de los conductos del sistema de ventilación que salen de un área designada o de habitaciones individuales importantes deben estar revestidas con material fonoabsorbente. En los lugares donde los conductos del sistema de ventilación salen de las habitaciones designadas, se recomienda instalar inserciones suaves aislantes de vibraciones hechas de material flexible, como lona o tela gruesa. Las salidas de los conductos de ventilación fuera del área de las instalaciones designadas deben cubrirse con una malla metálica;
• en habitaciones equipadas con un sistema de refuerzo acústico, es aconsejable utilizar revestimiento de las superficies internas de las estructuras de cerramiento. con materiales que absorban el sonido;
• las puertas de habitaciones especialmente importantes deben estar equipadas con vestíbulos;
• los paneles decorativos de las baterías de calefacción deben ser extraíbles para su inspección;
• en habitaciones designadas particularmente importantes, no se recomienda el uso de techos suspendidos, especialmente los no desmontables;
• para el acristalamiento de habitaciones designadas particularmente importantes, se recomienda utilizar techos dobles con protección solar y térmica. -ventanas acristaladas;
• se recomienda hacer los suelos de las habitaciones especialmente importantes sin rodapiés;
• No se recomienda utilizar iluminación fluorescente en las habitaciones designadas. Las lámparas con lámparas incandescentes deben seleccionarse para tensión de red completa sin el uso de transformadores ni rectificadores.

Puesta en servicio de un sistema de seguridad de la información técnica

En la tercera etapa las organizaciones de instalación y construcción toman medidas para proteger la información proporcionada por el diseño técnico.

Las organizaciones autorizadas por el Servicio Federal de Control Técnico y de Exportaciones de la Federación de Rusia deben participar en la instalación de medios técnicos de procesamiento de información, medios técnicos auxiliares, así como en la implementación de medidas técnicas para proteger la información.

La organización instaladora o el cliente adquiere información técnica de identificación certificada y una inspección especial de las TIC no certificadas para la detección de dispositivos electrónicos de interceptación de información (“marcadores”) posiblemente integrados en ellas y sus estudios especiales.

Sobre la base de los resultados de una investigación especial realizada por TSOI, se especifican medidas para proteger la información. Si es necesario, se realizan los cambios apropiados en el diseño técnico, que se acuerdan con la organización de diseño y el cliente.

Se compran y fabrican herramientas certificadas de seguridad de la información técnica, de software y de software-hardware. instalado de acuerdo con el proyecto técnico.

El servicio de seguridad (especialista) organiza el control de todas las medidas de protección de la información previstas por el proyecto técnico.

Durante el período de instalación e instalación de información de identificación personal y medios de seguridad de la información, se debe prestar especial atención a garantizar el régimen y la seguridad del objeto protegido.

Las principales recomendaciones para este período incluyen lo siguiente:

• organización de la seguridad y protección física de las instalaciones del objeto de informatización y las instalaciones dedicadas, excluyendo el acceso no autorizado a información personal, su robo y alteración, robo de soportes de información
• Al realizar la reconstrucción de una instalación, se debe organizar el control y registro de las personas y vehículos que llegaron y salieron del territorio de la obra;
• se recomienda organizar el acceso de los trabajadores de la construcción al territorio y al edificio utilizando pases temporales o listas diarias;
• copias de planos de construcción, especialmente planos de las instalaciones, esquemas de líneas de suministro eléctrico, sistemas de comunicaciones, seguridad y alarma contra incendios, etc. Hay que tenerlos en cuenta y su número es limitado. Al finalizar los trabajos de instalación, copias de dibujos, planos, diagramas, etc. están sujetos a destrucción de acuerdo con el procedimiento establecido;
• es necesario asegurar que los componentes y materiales de construcción estén almacenados en un almacén bajo vigilancia;
• no se recomienda permitir la instalación las operaciones y los trabajos de acabado deben ser realizados por trabajadores individuales, especialmente de noche;
• en la etapa de acabado de los trabajos, es necesario garantizar la seguridad nocturna del edificio.

Algunas medidas para organizar el control durante este período incluyen:

• antes de la instalación, es necesario garantizar una verificación secreta de todas las estructuras montadas, especialmente del equipo de instalación, para detectar la presencia de varios tipos de marcas y sus diferencias entre sí, así como de los dispositivos integrados;
• es necesario organizar inspecciones periódicas de las áreas de las instalaciones asignadas por la tarde o fuera del horario laboral en ausencia de constructores en ellas para identificar áreas y lugares sospechosos;
• organizar el control sobre el avance de todo tipo de obras de construcción en el territorio y en el edificio. La función principal del control es confirmar la exactitud de la tecnología de los trabajos de construcción e instalación y su conformidad con el diseño técnico;
• organizar una inspección de los lugares y secciones de las estructuras que, según la tecnología, son sujeto a recubrimiento con otras estructuras. Dicho control puede organizarse legalmente al amparo de la necesidad de comprobar la calidad de la instalación y los materiales, o de forma encubierta;
• Es necesario comprobar cuidadosamente la conformidad de los diagramas de instalación y el número de cables tendidos con el diseño técnico. Se debe prestar especial atención a la etapa de introducción de comunicaciones por cable y cables en el área de las instalaciones designadas. Todos los alambres y cables de reserva tendidos deben marcarse en un diagrama en planta que indique los lugares donde comienzan y terminan.

Al realizar la inspección, se debe prestar especial atención a los siguientes puntos :

• cambios descoordinados en el número de equipos, cambios en su personal, especialmente durante procesos a largo plazo del mismo tipo;
• la presencia de desviaciones de la tecnología acordada o estándar de los trabajos de construcción e instalación;
• grandes retrasos inaceptables en la realización de operaciones de instalación estándar;
• reemplazo inesperado de tipos de materiales de construcción y elementos estructurales;
• cambios en los diagramas y el orden de instalación de las estructuras;
• realizar trabajos durante el almuerzo o fuera del horario laboral, especialmente por la noche;
• factores psicológicos del comportamiento de los constructores individuales en presencia de supervisores, etc.

Antes de instalar muebles y elementos interiores en las instalaciones designadas y en objetos de tecnología de la información, dispositivos técnicos y Se debe verificar que los equipos de oficina no tengan dispositivos integrados.

Al mismo tiempo, es aconsejable comprobar los equipos técnicos para detectar niveles de radiación electromagnética espuria. Es recomendable realizar dicha verificación en una sala especialmente equipada o en un almacén intermedio.

Después de terminar, se recomienda realizar un análisis exhaustivo del edificio para detectar la posibilidad de fuga de información a través de canales acústicos y de vibración.

Con base en los resultados de las mediciones, teniendo en cuenta la situación real con respecto al régimen de seguridad, se deben desarrollar recomendaciones adicionales para fortalecer las medidas de protección si hay un incumplimiento de los requisitos de protección.

Antes de comenzar la instalación de los dispositivos de protección de la información digital y los medios de seguridad de la información, el cliente determina las divisiones y personas que planea designar responsables de la operación de la información de seguridad de la información. Durante la instalación de los equipos de protección y su operación de prueba, las personas designadas reciben capacitación en los aspectos específicos del trabajo de seguridad de la información.

Junto con representantes de las organizaciones de diseño e instalación responsables de la operación de la información. tecnología, se desarrolla la documentación operativa para la instalación de informatización y las instalaciones dedicadas (pasaportes técnicos de objetos, instrucciones, pedidos y otros documentos).

El pasaporte técnico para el objeto de protección es desarrollado por la persona designada como responsable del funcionamiento y seguridad de la información en este objeto e incluye:

• una nota explicativa que contiene las características de la información y la estructura organizativa del objeto protegido, información sobre las medidas organizativas y técnicas para proteger la información contra la fuga a través de canales técnicos;
• una lista de objetos de informatización a proteger, indicando su ubicación y la categoría de protección establecida;
• una lista de locales asignados a proteger, indicando su ubicación y la categoría de protección establecida;
• una lista de TSOI instalados que indica la presencia de un certificado (instrucción de operación) y los lugares de su instalación;
• una lista de VTSS instalados que indica la presencia de un certificado y los lugares de su instalación;
• una lista de los medios técnicos instalados de seguridad de la información, indicando la disponibilidad de un certificado y la ubicación de su instalación;
• un diagrama (a escala) que indique el plano del edificio en el que se encuentran los objetos protegidos, los límites del área controlada, la subestación transformadora, el dispositivo de puesta a tierra, las rutas de tendido de comunicaciones de ingeniería, líneas eléctricas, comunicaciones, alarmas contra incendios y de seguridad, lugares de instalación de dispositivos de separación, etc.;
• planos tecnológicos del edificio (a escala) que indican la ubicación de los objetos de información y los locales asignados, las características de sus paredes, techos, materiales de acabado, tipos de puertas y ventanas;
• planos de objetos de información (a escala ) indicando los lugares de instalación TSOI, VTSS y el tendido de sus líneas de conexión, así como las rutas para el tendido de servicios públicos y conductores extraños;
• plano de las comunicaciones de ingeniería de todo el edificio, incluido el sistema de ventilación;
• diagrama en planta del objeto del sistema de puesta a tierra, indicando la ubicación del electrodo de tierra;
• un diagrama en planta del sistema de suministro de energía del edificio que indica la ubicación del transformador de aislamiento (subestación), todos los tableros de distribución y cajas de conexiones;
• diagrama en planta de la instalación de líneas de comunicación telefónica que indica la ubicación de las cajas de distribución y la instalación de aparatos telefónicos;
• diagrama en planta de los sistemas de seguridad y alarma contra incendios, indicando las ubicaciones de instalación y los tipos de sensores, así como las cajas de distribución;
• diagramas de los sistemas de protección activa (si se proporcionan).

El pasaporte técnico va acompañado de:

• instrucciones de funcionamiento (certificados de cumplimiento de los requisitos de seguridad de la información) de TSOI;
• certificados de cumplimiento de los requisitos de seguridad de la información en VTSS;
• certificados de cumplimiento de los requisitos de seguridad de la información para los medios técnicos de protección de la información;
• actos de trabajos ocultos realizados;
• protocolos de medición del sonido aislamiento de locales designados y eficacia del blindaje de estructuras y cabañas;
• protocolos para medir el valor de la resistencia a tierra;
• protocolos para medir la atenuación real de las señales de información en lugares de posible ubicación de equipos de reconocimiento.

Después de la instalación e instalación de los medios técnicos de seguridad de la información, su operación de prueba se lleva a cabo en combinación con otro hardware y software para probar su desempeño como parte de un objeto de informatización y probar el proceso tecnológico de procesamiento (transferencia) de información.

Con base en los resultados de la operación de prueba, se llevan a cabo pruebas de aceptación de los equipos de seguridad de la información con la ejecución del acto correspondiente.

Al finalizar la puesta en servicio La instalación de los equipos de protección de la información, la certificación de los objetos de informatización y de los locales asignados se realiza de acuerdo con los requisitos de seguridad. Es un procedimiento para confirmar oficialmente la eficacia de un conjunto de medidas y medios de seguridad de la información implementados en la instalación.

Si es necesario, por decisión del jefe de la organización, se puede realizar un trabajo de búsqueda de dispositivos electrónicos de recuperación de información («dispositivos integrados»), posiblemente integrados en las instalaciones designadas, realizado por organizaciones que tengan las licencias correspondientes del FSB de Rusia.

Durante el período de funcionamiento deberán realizarse periódicamente inspecciones y controles especiales de los locales asignados y de los medios de información. Los exámenes especiales deben realizarse encubiertos para los empleados de la organización o en su ausencia (se permite la presencia de un número limitado de personas entre los gerentes y el personal de seguridad de la organización).

Literatura