Рекомендации по обеспечению защиты информации от утечки по техническим каналам на объектах информатизации

А. Г. Пятачков,
Центральный банк РФ,
к.т.н.

В настоящей статье рассматривается состав и порядок осуществления мероприятий по защите любого действующего объекта информатизации, направленных на предотвращение утечки по техническим каналам циркулирующей в нем информации. В целях однозначного понимания рекомендаций в конце статьи приводится используемая в материале терминология.

При учете данных рекомендаций в практических работах следует принимать во внимание следующие положения.
В общем случае защита объекта информатизации достигается путем проведения целого комплекса мероприятий (по защите информации от несанкционированного доступа (НСД), мероприятий организационно-режимного характера и т. п.). В результате проведения всех работ на объекте создается комплексная система защиты информации, составной частью которой является подсистема ее защиты от утечки по техническим каналам.
К защищаемым от утечки информации по техническим каналам объектам информатизации могут относиться:
объекты вычислительной техники (ВТ);
объекты обработки речевой, смысловой, графической и буквенно-цифровой информации;
служебные помещения.
Рекомендации представляют собой первый типовой вариант состава и порядка проведения работ по защите информации от утечки по техническим каналам на действующем объекте информатизации. Этот вариант предполагает, что предприятие - владелец защищаемого объекта не выполняет своими силами только ту часть работ, для проведения которых требуется использование специальных измерительных и поисковых средств и систем (предполагается, что их у этого предприятия нет). Вторым типовым вариантом может быть случай, при котором проводимые мероприятия остаются теми же, но их исполнители меняются: практически все эти работы осуществляет сторонняя организация, имеющая соответствующие полномочия (лицензии). В таком случае с данной организацией заключается договор на защиту объекта информатизации "под ключ" (или несколько разнесенных по времени договоров на отдельные этапы работ). При этом роль подразделений предприятия - владельца защищаемого объекта в основном сводится только к обеспечению соответствующих работ, контролю за их выполнением и к их приемке. Кроме указанных двух путей решения задачи защиты объекта информатизации могут использоваться иные пути, когда одна часть мероприятий выполняется по первому, а вторая - по второму типовому варианту.
Разделение всего объема мероприятий по защите на приводимые ниже этапы не означает обязательного разнесения работ, отнесенных к соседним этапам, по времени.

Определение необходимого уровня эффективности защиты объекта информатизации

Требуемый уровень защищенности объекта информатизации от утечки информации по техническим каналам представляет собой необходимую степень эффективности мер и средств информационной безопасности. Все последующие защитные мероприятия осуществляются в соответствии с этой степенью. Такой уровень определяется рабочей группой, составленной из представителей структурного подразделения, являющегося владельцем защищаемого объекта информатизации (эксплуатирующего объект информатизации) и подразделений безопасности (в том числе подразделения защиты информации). Возглавляет группу сотрудник подразделения защиты информации.

Обследование объекта информатизации, подлежащего защите

Ниже рассматриваются работы по обследованию всех возможных типов объектов информатизации. К ним относятся:
служебное помещение (как отдельный объект информатизации), в котором циркулирует защищаемая речевая информация и где отсутствуют основные технические средства (ОТСС) - первый тип защищаемого объекта;
требующий защиты объект вычислительной техники (ВТ) или объект обработки речевой, графической, смысловой или буквенно-цифровой информации, расположенный в служебном помещении, в котором циркулирует речевая информация, не подлежащая защите - второй тип защищаемого объекта;
объект информатизации, аналогичный предыдущему, но расположенный в служебном помещении, в котором циркулирует речевая информация, подлежащая защите - третий тип защищаемого объекта;

Обследование объекта информатизации первого типа
Осуществляется оценка (преимущественно на качественном, а не на количественном уровне) специальных свойств служебного помещения и прилегающей к ним территории, оказывающих влияние на образование технических каналов утечки речевой информации, циркулирующей в этом помещении.
С этой целью проводится анализ (на качественном уровне) звукоизоляционных и виброизоляционных свойств помещения, выполняется его осмотр и осмотр прилегающих к нему помещений и территорий на предмет визуального выявления подслушивающих устройств. Кроме того, рассматривается состав вспомогательных технических средств и систем (ВТСС), размещенных в данном помещении. Проводится анализ ВТСС (в том числе и их линий связи), а также анализ их цепей электроснабжения и заземления, на предмет выявления технических каналов утечки речевой информации. При этом обращается особое внимание на элементы ВТСС, обладающие микрофонным эффектом и возможностью организации на их базе канала утечки информации за счет "навязывания".
Если звукоизоляционные и виброизоляционные свойства служебного помещения по каким-либо причинам не поддаются объективной качественной оценке и, следовательно, непонятно, надо ли проводить дополнительные работы по усилению звукоизоляции и виброизоляции, осуществляется инструментальная проверка этих свойств.
Фиксируются ВТСС, на основе которых образуются технические каналы утечки речевой информации, имеющие соответствующие сертификаты Гостехкомиссии России. Далее отмечаются те из них, которые таких сертификатов не имеют, но прошли инструментальные исследования (их результатом являются наличие определенных технических характеристик, представляющих собой исходные данные для проведения мероприятий по защите речевой информации). И, наконец, выявляются те ВТСС, на которые нет ни сертификатов, ни результатов инструментальных исследований. Последние подвергаются таким исследованиям.
С учетом всех полученных таким образом данных оценивается степень опасности утечки речевой информации, циркулирующей в служебном помещении, и разрабатываются мероприятия по защите.
Обследование выполняется рабочей группой. Для инструментальных исследований звукоизоляционных и виброизоляционных свойств помещений, а также инструментальных исследований ВТСС привлекается сторонняя организация, имеющая соответствующие лицензии. В рабочую группу включаются сотрудники подразделений безопасности (в том числе и подразделения защиты информации), подразделения, эксплуатирующего обследуемое помещение (являющееся его владельцем), подразделения информатизации, подразделения по эксплуатации зданий и технических систем (энергосистемы, системы связи, радиотрансляции, электрочасофикации, центрального отопления и пр.), подразделения капитального строительства.
Представитель подразделения защиты информации назначается руководителем рабочей группы. Он же является основным методистом обследования. У него накапливается вся информация, собираемая рабочей группой, для ее обобщения и составления итоговых документов по обследованию. Представитель подразделения, эксплуатирующего помещение (владеющего этим помещением), выдает все необходимые сведения по его назначению, составу и техническим характеристикам размещаемых в нем технических средств и систем, особенностям их эксплуатации и т. п., организует его посещение членами рабочей группы, знакомит их с техническими, эксплуатационными и иными документами, имеющими отношение к собственно помещению и к смонтированным в нем техническим средствам и системам. Специалист подразделения информатизации участвует в работе группы в случае расположения в данном помещении средств и систем ВТ, представляя часть необходимой информации по этим средствам и системам, которую не могут представить владельцы помещения. Члены рабочей группы, являющиеся сотрудниками подразделения по эксплуатации зданий и технических систем и подразделения капитального строительства, собирают все требующиеся сведения по особенностям конструкции помещения с точки зрения его звукоизоляции и виброизоляции, по конструктивным особенностям здания, по выполнению электроснабжения и заземления технических средств и систем, по прокладке различных кабелей, трубопроводов и других коммуникаций в данном помещении. Сотрудники соответствующих подразделений безопасности представляют информацию о размерах контролируемой зоны, ее границе, о технических средствах и системах охраны, их линиях и оконечных устройствах, находящихся в данном помещении.
В результате проведенных мероприятий рабочая группа и сторонние организации (если последние привлекались к рассмотренным работам) оформляют следующие документы: протоколы инструментальных исследований (если они проводились), акт обследования служебного помещения и план-график проведения мероприятий по его защите. В заключительной части акта обследования приводятся разработанные мероприятия по защите, в плане-графике - подразделения предприятия-исполнителя каждого из требующихся мероприятий. Выполнение тех из них, которые предприятие не в состоянии осуществить своими силами, поручаются сторонним организациям, имеющим соответствующие полномочия (лицензии). С ними должна существовать предварительная договоренность о проведении соответствующих работ (могут быть подготовлены проекты договоров).

Обследование объекта информатизации второго типа
Все технические средства и системы помещения, в котором находится защищаемый объект информатизации, разделяются на ОТСС и ВТСС.
ОТСС в свою очередь делятся на три группы: сертифицированные по требованиям защиты информации от утечки по каналу побочных излучений и наводок (имеющие соответствующие сертификаты как на средства и системы, непосредственно обрабатывающие, хранящие или передающие защищаемую информацию); не имеющие таких сертификатов, но прошедшие инструментальные исследования на предмет получения необходимых данных на их защиту от утечки информации за счет побочных излучений и наводок (имеющие соответствующие протоколы исследований); иные ОТСС. Проверяется наличие указанных сертификатов и протоколов. Последняя группа ОТСС подвергается инструментальным исследованиям (измерение уровней и оценка степени опасности побочных излучений и наводок, возникающих при работе этих ОТСС).
Фиксируется расположение ОТСС (включая их линии связи) относительно границы контролируемой зоны и относительно ВТСС и их линий связи, на которые могут наводиться информативные сигналы, источником которых являются ОТСС. Отмечаются линии связи ОТСС, выходящие за пределы контролируемой зоны, а также имеющие параллельные пробеги с иными линиями связи и другими протяженными токопроводящими конструкциями (трубопроводы центрального отопления, водоснабжения и т. п.). Рассматриваются схемы и особенности выполнения систем электроснабжения и заземления ОТСС и ВТСС, освещения и розеточной сети помещения. Оценивается опасность утечки информации по техническим каналам при эксплуатации ОТСС на основе проведенного обследования (в том числе на основе анализа результатов инструментальных исследований). Разрабатываются мероприятия по защите информации.
Работы осуществляются рабочей группой, аналогичной по составу той, которая действует на объектах первого типа. При необходимости проведения инструментальных исследований к ним привлекается сторонняя организация, имеющая соответствующие полномочия. По их результатам работ выпускаются протоколы инструментальных исследований ОТСС (если такие исследования осуществлялись), акт обследования объекта информатизации, план-график проведения мероприятий по защите данного объекта информатизации.

Обследование объекта информатизации третьего типа
В данном случае выполняются работы, которые предусмотрены для объектов первого и второго типа теми же силами. Кроме того, дополнительно часть ОТСС обследуются с точки зрения возможности возникновения на их базе каналов утечки речевой информации (за счет микрофонного эффекта, вследствие навязывания и т. п.). По результатам этих работ оформляются документы, аналогичные указанным в предыдущих двух пунктах: один комплект - на собственно служебное помещение (как отдельный объект информатизации - объект информатизации первого типа), другой - на объект информатизации, представляющий собой объект ВТ или объект обработки речевой, графической, смысловой или буквенно-цифровой информации (как на отдельный объект информатизации - объект информатизации второго типа). План-график проведения мероприятий по защите может быть одним на оба объекта информатизации.

Внедрение мер и средств защиты объекта информатизации

Работы осуществляются в соответствии с планом-графиком, составленным по результатам обследования.

Внедрение мер и средств защиты объекта информатизации первого типа
Эти работы могут представлять собой доработку защищаемого помещения на предмет улучшения звукоизоляционных и виброизоляционных свойств с целью блокирования утечки речевой информации по акустическому и виброакустическому каналам (создание покрытий и экранов из звукопоглощающих материалов, выполнение дополнительного остекления окон, установка двойных дверей с тамбурами, установка в инженерно-технические коммуникации шумопоглотителей, устранение щелей и трещин на стыках ограждающих конструкций, и дверей или окон и т. п.) или установку сертифицированных объектовых средств защиты речевой информации (системы акустического и виброакустического зашумления и т.п.), проведение организационных мероприятий по снижению вероятности съема информативного вибросигнала с наружной поверхности ограждающих конструкций и т. д.
ВТСС защищаемого помещения могут демонтироваться или заменяться на аналоги (желательно сертифицированные по требованиям безопасности речевой информации), обладающие необходимыми защитными свойствами, дорабатываться с целью устранения микрофонного эффекта и возможности эффективного воздействия на них внешнего сигнала для создания канала утечки информации за счет "навязывания". Другим вариантом защиты ВТСС служебного помещения, обладающих микрофонным эффектом, является использование специальных сертифицированных средств защиты речевой информации, блокирующих такой эффект. Может быть принято решение о необходимости отключения части ВТСС служебного помещения, не обладающих необходимыми защитными свойствами, на период проведения мероприятий, связанных с обсуждением защищаемых сведений.
В защищаемом помещении осуществляются поисковые работы (с использованием специальных средств и систем) на предмет выявления подслушивающих устройств. Производится инструментальная оценка (на количественном уровне) акустической и виброакустической защищенности данного помещения. Выполняются повторные инструментальные исследования несертифицированных ВТСС (в случае их доработки). Если по каким-либо причинам достоверно известны не все специальные характеристики сертифицированных ВТСС, дополнительно проводятся их инструментальные исследования.
На основе анализа эффективности осуществленных мероприятий с учетом результатов инструментальных исследований делается вывод об их достаточности. В противном случае осуществляются дополнительные защитные мероприятия с последующими инструментальными исследованиями, которые должны подтвердить, что защита помещения обеспечена.
Все инструментальные исследования выполняются сторонними организациями, имеющими необходимые лицензии. Остальные работы проводят соответствующие структурные подразделения предприятия с привлечением (при необходимости) сторонних организаций, имеющих соответствующие полномочия. Контроль за выполнением плана-графика, по которому выполняются работы, производится подразделением защиты информации предприятия.
По результатам проведения рассмотренных мероприятий составляются протоколы инструментальных исследований и инструментальных поисковых работ, Акт приемки работ по защите помещения.

Внедрение мер и средств защиты объекта информатизации второго типа
ОТСС и их линии связи с целью обеспечения защиты от утечки информации за счет побочных излучений могут удаляться (в пределах этих помещений) на максимально возможное расстояние от границы контролируемой зоны, заменяться на аналогичные (желательно сертифицированные по соответствующим требованиям безопасности информации), обладающие меньшим уровнем побочных излучений, а несертифицированные дорабатываться с целью минимизации уровней их побочных излучений или устранения высокочастотной генерации. Защита информации от утечки за счет побочных излучений в данном случае может быть также обеспечена путем установки систем активной защиты ОТСС (на базе генераторов электромагнитных шумовых сигналов).
В целях блокирования каналов утечки информации за счет возникающих при работе ОТСС информативных наводок на оконечные устройства и линии связи ВТСС, последние могут удаляться на безопасное расстояние от ОТСС или вообще демонтироваться, а линии связи ОТСС экранироваться. Кроме того, могут устраняться выходы линий ВТСС за пределы контролируемой зоны, параллельные пробеги линий ВТСС с линиями ОТСС.
Для блокирования каналов утечки информации за счет наводок в сеть электроснабжения ОТСС и систему заземления могут применяться следующие мероприятия: экранирование цепей электроснабжения и заземления, фильтрация этих цепей, использование систем активной защиты, отключение потребителей, находящихся за пределами контролируемой зоны от подстанции, от которой осуществляется питание ОТСС, прочие защитные мероприятия (в том числе и чисто организационного характера).
Выполняются повторные инструментальные исследования несертифицированных ОТСС (в случае их доработки). Если по каким-либо причинам известны не все специальные характеристики сертифицированных ОТСС, дополнительно проводятся их инструментальные исследования.
По результатам этих исследований на основе анализа проведенных мероприятий делается заключение о достаточности этих мероприятий. Если они не достаточны, осуществляются дополнительные работы по защите информации с последующими инструментальными исследованиями, которые должны подтвердить эффективность защиты объекта информатизации.
Требования к исполнителям работ и к составу итоговых документов аналогичны требованиям, предусмотренным для служебного помещения.

Внедрение мер и средств защиты объекта информатизации третьего типа
В данном случае выполняются работы, проводятся на объектах первого и второго теми же силами. Кроме того, в общем случае часть ОТСС защищается с точки зрения возникновения на их основе каналов утечки речевой информации. По результатам этих работ оформляются пакеты документов, указанных в предыдущих пунктах: один - на собственно служебное помещение, как объект информатизации, другой - на объект информатизации, представляющий собой объект ВТ или объект обработки речевой, графической, смысловой или буквенно-цифровой информации.

ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Защищаемые объекты информатизации - средства и системы информатизации (автоматизированные системы различного уровня и назначения на базе средств вычислительной техники, в том числе информационно-вычислительные комплексы и т. п.), технические средства приема, передачи и обработки информации (телефонии, звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие средства обработки речевой, графической, видео, смысловой и буквенно-цифровой информации), в которых циркулирует защищаемая информация, вместе с помещениями, в которых они размещены, а также сами помещения (если последние рассматриваются как объекты защиты речевой информации).
Защищаемые действующие объекты информатизации - объекты информатизации, существовавшие и функционировавшие до начала проведения мероприятий по защите информации, в которых информация, требующая защиты, не циркулировала. Потребность в защите таких объектов возникает в результате принятия решения о необходимости их использования для обработки (обсуждения) охраняемых сведений.
Основные технические средства и системы (ОТСС) защищаемого объекта информатизации - технические средства и системы (вместе с их коммуникациями), непосредственно используемые для обработки, хранения и передачи защищаемой информации.
Вспомогательные технические средства и системы (ВТСС) защищаемого объекта информатизации - технические средства и системы, не предназначенные для передачи, обработки и хранения защищаемой информации, устанавливаемые в служебных помещениях, где защищается от утечки по техническим каналам циркулирующая в них речевая информация или размещаются ОТСС.
Защищаемые объекты вычислительной техники (ВТ) - защищаемые объекты информатизации, в состав которых в качестве ОТСС входят средства или системы информатизации.
Защищаемые объекты обработки речевой, графической, смысловой и буквенно-цифровой информации - защищаемые объекты информатизации, в состав которых в качестве ОТСС входят средства звукозаписи, звуковоспроизведения и звукоусиления или средства тиражирования и размножения документов.
Контролируемая зона (КЗ) - пространство, в котором исключено неконтролируемое пребывание посторонних лиц и транспортных средств.

ЛИТЕРАТУРА

1. Агеев А. С., Пятачков А. Г. и др. Организация и современные методы защиты информации. М.: Концерн "Банковский Деловой Центр", 1998.