ПЗ 1 (Защита ИМ). Лабораторная работа 1 дисциплина Информационный менеджмент Защита информации и информационная безопасность
 Скачать 155.5 Kb.
|
|
1.4. Мероприятия по защите информации Работа с персоналом В основе системы защиты информации лежит человеческий фактор, предполагающий преданность персонала интересам фирмы, и осознанное соблюдение им установленных правил защиты информации. Если отдельный сотрудник не оправдает доверия, то никакая эффективная система защиты не сможет гарантировать безопасность информации и предотвратить ее разглашение. В решение проблемы информационной безопасности значительное место занимает выбор эффективных методов работы с персоналом, обладающим конфиденциальной информацией. Персонал генерирует новые идеи, новшества, открытия и изобретения, которые ускоряют научно-технический прогресс, повышают благосостояние сотрудников фирмы и являются полезным не только для фирмы в целом, но и для каждого отдельного сотрудника. Поэтому любой сотрудник объективно заинтересован сохранять в тайне те новшества, которые повышают прибыль и престиж фирмы. Несмотря на это персонал является в то же время основным источником утраты пенной и конфиденциальной информации. Работа с персоналом подразумевает целенаправленную деятельность руководства фирмы и трудового коллектива, направленную на наиболее полное использование трудовых и творческих способностей каждого члена коллектива; воспитание в нем фирменной гордости, препятствующей возникновению желания нанести вред организации, стать соучастником в недобросовестной конкуренции или криминальных действиях. Причем овладение требуемой информацией происходит в большинстве случаев в результате безответственности и необученное™ персонала, его недостаточно высоких личных и моральных качеств. Человеческий фактор должен постоянно учитываться в долговременной стратегии фирмы и ее текущей деятельности, являться основным элементом построения действенной и эффективной системы защиты конфиденциальных информационных ресурсов. В качестве одного из мероприятий можно принять процесс приема сотрудника на работу. Процессу приема на работу должен предшествовать ряд подготовительных этапов, которые позволяют составить точное представление о * том, какой специалист и какой квалификации действительно нужен для данной должности, какими деловыми качествами он должен обладать. Поиск кандидата на вновь создаваемую или вакантную должность в фирме не должен носить бессистемный характер. Случайные претенденты обычно рассылают свои резюме по предприятиям, учреждениям и фирмам, им не важно, где работать, их просто интересует работа по данной специальности. С другой стороны, случайный человек не всегда плох и поэтому данный метод при подборе персонала является наиболее распространенным и объективно завоевал право на существование. Но он не должен быть единственным. Помимо пассивного ожидания прихода человека, существует ряд эффективных направлений активного поиска кандидатов. Поиск кандидатов внутри фирмы, особенно если речь идет о руководителе или специалисте высокого уровня. Можно приглашать на должность лицо, ранее работавшее в фирме и хорошо себя зарекомендовавшее. Поиск кандидатов среди студентов и выпускников учебных заведений, установление связей с подразделениями вузов, занятыми трудоустройством выпускников. Можно иметь достаточно полную информацию о профессиональных и личных качествах студентов. Обращение в государственные и частные бюро, агентства по найму рабочей силы, биржи труда, организации по трудоустройству лиц, уволенных по сокращению штатов, трудоустройству молодежи, бывших военнослужащих. Подобные агентства предлагают требуемый контингент работников на имеющиеся рабочие места, ведут целенаправленный поиск необходимого специалиста высокой квалификации, организуют переподготовку специалистов по индивидуальным заказам. Рекомендации имеющихся на фирме сотрудников. Обычно такие рекомендации отличаются ответственным и взвешенным характером, так как с рекомендуемыми людьми сотрудникам предстоит работать вместе. При приеме на работу необходимо от сотрудника получить обязательство о неразглашении конфиденциальной информации и сохранении тайны фирмы. Подписываться обязательство должно до того, как будет сообщен состав ценных сведений и порядок их защиты. Одновременно в обязательстве предупреждается об ответственности за разглашение этой информации (см. Приложение 1). Регламентация доступа персонала к конфиденциальным сведениям, документам и базам данных является одной из центральных проблем системы защиты информации. Для этого важно четко и однозначно определить: кто, кого, к каким сведениями, когда и как допускает. Режим может представлять собой совокупность ограничительных правил, мероприятий, норм, обеспечивающих контролируемый доступ на определенную территорию, в помещения, к информации и документам. Любой режим базируется на так называемой разрешительной системе. Разрешительная система в общем виде предусматривает необходимость получения специального разрешения на осуществление соответствующих правовых мероприятий, например, на въезд в пограничную зону, на посещение воинской части, выезд за границу страны и т.п. Разрешительная (разграничительная) система доступа в сфере коммерческой тайны представляет собой совокупность правовых норм и требований, устанавливаемых первым руководителем или коллективным органом руководства фирмой с целью обеспечения правомерного ознакомления и использования сотрудниками фирмы конфиденциальных сведений, необходимых им для выполнения служебных обязанностей. Разрешение на доступ к информации всегда выдается полномочным руководителем и только в письменном виде: резолюцией на документе; приказом, утверждающим схему именного или должностного доступа к конкретным группам информации; утвержденным руководителем списком-разрешением на обложке дела, списком ознакомления с документом. Также следует соблюдать правило, по которому регистрируются все лица, имеющие доступ к определенным документам, коммерческим секретам. Особенное внимание должно быть обращено на персонал, постоянно работающий с конфиденциальными документами. С ними должна проводиться постоянная текущая работа, направленная на затруднение работы злоумышленника по добыванию необходимой информации, на противодействие в пассивном или активном виде. Сюда можно отнести обучение сотрудников фирмы правилам защиты информации. Причем обучение должно быть постоянным, начиная с момента приема на работы и подписания обязательства и кончая моментом увольнения. Обучение предполагает приобретение и поддержание на высоком уровне производственных навыков работы с конфиденциальными сведениями, психологическое воспитание сотрудников и воспитание глубокой убежденности в необходимости выполнения требований по защите информации. Одновременно с обучением должны проводиться регулярные совещания-инструктажи с сотрудниками. В процессе инструктажа: до сведения работников необходимо доводить изменения и дополнения, внесенные в действующие нормативно-методические документы по защите информации, приказы и указания руководства фирмы в области защиты информации и информационной безопасности; сотрудники должны информироваться о конкретных угрозах информации, о каналах утечки информации, действиях злоумышленников, принятых дополнительных мерах по защите информации; должны анализироваться случаи нарушения правил защиты информации сотрудниками, сообщаться о фактах утраты секретов по вине сотрудников. Инструктаж, так же как и обучение, должен проводиться индивидуально, с учетом неразглашения информации, сообщаемой на инструктаже. Немаловажным моментом являются психологический климат в коллективе и мотивация деятельности сотрудника. В соответствии с этим текущая или профилактическая работа с персоналом должна являться обязательной составной частью предотвращения попыток отдельных сотрудников воспользоваться в личных целях ценной для фирмы информацией, нарушить требования обеспечения информационной безопасности фирмы. Каждый из сотрудников фирмы, работающий с закрытыми сведениями, документами и базами данных, должен находиться под постоянным наблюдением руководства и коллектива фирмы, оценивающих степень его лояльности по отношению к делам фирмы. Со своей стороны фирма обязана обеспечить любому сотруднику необходимые условия труда и отдыха, постоянно заботиться о его благополучии, повышении квалификации и поддержании на высоком уровне интереса к выполняемым обязательствам и работам. При работе с персоналом фирмы следует сосредоточивать внимание не только на сотрудниках, работающих с конфиденциальной информацией. Под контролем должны находиться также лица, не имеющие доступа к тайне фирмы. Можно предполагать, что эти сотрудники могут быть посредниками в действиях злоумышленника: в проведении электронного шпионажа, создании условий для хищения документов, снятии с них копий. Стабильность кадрового состава является важнейшей предпосылкой надежной информационной безопасности фирмы. Вместе с тем полностью избежать увольнения сотрудников не представляется возможным. Необходим тщательный анализ причин увольнения, на основании которого может быть составлена и реализована программа, исключающая эти причины. Например, повышение окладов, аренда жилья для сотрудников вблизи фирмы и оздоровление психологического климата, увольнение руководителей, злоупотребляющих своим служебным положением. При увольнении сотрудника необходимо: иметь написанное сотрудником заявление об увольнении с подробным раскрытием причины увольнения и, желательно, указанием места предполагаемой работы; принять службой безопасности конфиденциальной документации от увольняющегося сотрудника всех числящихся за ним документов, баз данных, носителей информации, изделий, материалов, с которыми он работал, проверка их комплексности, полноты и оформление приема в описи исполнителя или актом; сдача сотрудником пропуска (идентификатора) для входа в рабочую зону, всех ключей и печатей; проведение сотрудником службы безопасности (или службы персонала) беседы с целью напоминания об обязательстве сохранения сведений, которые были получены при работе в фирме; запрещении использования этих сведений в интересах конкурента или личных целях; подписание сотрудником обязательства о неразглашении им конфиденциальных сведений после увольнения. После сдачи всех документов и материалов сотруднику должно быть запрещено входить в режимную рабочую зону и, при необходимости, выдан пропуск (идентификатор) с правом входа только в определенные административные помещения. Ущерб от увольнения сотрудника резко уменьшается, если тайна раздроблена и известна по частям достаточно большому числу служащих. Желательно по истечении трех месяцев после увольнения направить бывшему сотруднику письмо-напоминание о необходимости сохранения тайны. 1.5. Организация документооборота Целью документооборота является обеспечение управленческой деятельности, процесса принятия решений ценной, полезной, своевременной, полной и достоверной информацией. Конфиденциальные, как и открытые, документы находятся в постоянном движении. Перемещение конфиденциальных документов по множеству иерархических уровней управления создает серьезные предпосылки для утраты ценной информации, требует осуществления защитных мер в отношении документопотоков и документооборота в целом. Наиболее часто встречающимися угрозами конфиденциальным документам в документопотоках могут быть: несанкционированный доступ постороннего лица к документам, делам, базам данных за счет его любопытства или обманных, провоцирующих действий, а также случайных или умышленных ошибок персонала фирмы; утрата документа или отдельных его частей (листов, фотографий, приложений, схем, копий, экземпляров и др.), носителя чернового варианта документа или рабочих записей за счет кражи, утери, уничтожения; утрата информацией конфиденциальности за счет ее разглашения персоналом или утечки по техническим каналам, считывания данных в чужих массивах, использования остаточной информации на копировальной ленте, бумаги, дисках и дискетах, ошибочных действий персонала; подмена документов, носителей и их отдельных частей с целью фальсификации, а также сокрытия факта утери, хищения; случайное или умышленное уничтожение ценных документов и баз данных, несанкционированная модификация и искажение текста, реквизитов; • гибель документов в экстремальных ситуациях. Под защищенным документооборотом (документопотоком) понимают контролируемое движение конфиденциальной документированной информации по регламентированным пунктам приема, обработки, рассмотрения, исполнения, использования и хранения в жестких условиях организационного и технологического обеспечения безопасности как носителя информации, так и самой информации. Помимо общих для документооборота принципов защищенный документооборот должен основываться на ряде дополнительных принципов: ограничения доступа персонала к документам, делам, базам данных деловой, служебной или производственной необходимостью; персональной ответственности должностных лиц за выдачу разрешения на доступ сотрудников к конфиденциальным сведениям и документам; персональной ответственности каждого сотрудника за сохранность доверенного ему носителя и конфиденциальности информации; жесткой регламентации порядка работы с документами, делами и базами данных для всех категорий персонала, в том числе первых руководителей. Защищенность документопотока должна быть достигнута за счет: одновременного использования режимных (разрешительных и ограничительных) мер и технологических приемов, входящих в систему обработки и хранения конфиденциальных документов; нанесения отличительной отметки (грифа) на чистый носитель конфиденциальной информации или документ, в том числе сопроводительный, что позволяет выделить их в общем потоке документов; формирования самостоятельных, изолированных потоков конфиденциальных документов и часто дополнительного их разбиения на подпотоки в соответствии с уровнем конфиденциальности перемещаемых документов. Любому движению (перемещению, передаче) документа должны обязательно предшествовать операции по проверке комплексности, целостности и учету нового местонахождения документа. Вместе с тем дополнительные операции (защитные меры) не должны повышать трудоемкость работы с документами и увеличивать сроки их движения и исполнения. В состав всех документопотоков должен включаться ряд дополнительных стадий обработки конфиденциальных документов: инвентарный учет документов, дел и носителей информации, не включаемых в номенклатуру дел; проверка наличия документов, дел и носителей информации; копирование и тиражирование документов; уничтожение документов, дел и носителей. Для учета конфиденциальных документов необходимо обеспечить их физическую сохранность, комплектность и целостность, контроль доступа к ним персонала, проверку реального наличия документов и аналитическую работу по осведомленности персонала с содержанием документов. Индивидуальному учету подлежат все без исключения конфиденциальные документы. Учет подразумевает не только фиксирование факта поступления или начала работы с документом, но и обязательную регистрацию всех перемещений документа и совершаемых с ним действий. Основным способом защиты информации от различных угроз являются строгая регламентация специализированных технологических процедур учета и контроль за соблюдением работниками утвержденных руководством требований и правил. Учет конфиденциальных документов должен решать задачи фиксирования следующих фактов: поступления пакета с документами, отдельного бумажного или машиночитаемого документа, или документа, поступающего по электронной и факсимильной почте (линиям связи); регистрации исходных сведений о документе и включения его в справочно-информационный банк данных по документам; переноса информации с бумажного носителя на машинный носитель или помещения бумажного документа в соответствующее дело; перемещение документа в процессе его рассмотрения и исполнения, регистрация рабочих сведений; местонахождение документа в любой момент времени в период исполнения документа и при его архивном хранении; регистрация исходных сведений о документе; дата начала и окончания составления, изготовления и издания документа; дальнейшей работы над документом или отправления его по адресу; оформления специально подготовленных носителей для составления конфиденциальных документов; перевода документа с одного виды учета на другой и идентификации учетных номеров; обеспечения поисковой, справочной и контрольной работы по конфиденциальным документам; регулярного удостоверения комплексности документа при выполнении каждой технологической процедуры с целью предупреждения утраты копий и экземпляров документа, черновиков, редакций, приложений, отдельных листов и рабочих записей. Гриф конфиденциальности присваивается документу: исполнителем при подготовке к составлению проекта документа; руководителем структурного подразделения (направления деятельности) или руководителем фирмы при согласовании или подписании документа; работником службы при первичной обработке поступающих документов, если конфиденциальный для фирмы документ не имеет грифа ограничения доступа. Руководители всех рангов и исполнитель должны нести персональную ответственность за своевременное или правильное установление, изменение и снятие грифа конфиденциальности. Фактическое изменение или снятие грифа должно осуществлять должностное лицо, подписавшее (утвердившее) документ, а также первый руководитель фирмы. В большинстве фирм (организаций) ведется автоматизированный учет конфиденциальных документов. Он включает в себя следующие процедуры: подготовка документов к вводу в ЭВМ; ввод исходных сведений о документах в автоматизированный банк данных; ввод в предварительный массив автоматизированного банка данных электронных документов, документов на магнитном носителе и путем сканирования — бумажных документов; распечатка на бумажном носителе (карточке) исходных учетных сведений о документе, при необходимости — распечатка на бумажном носителе копий электронных документов; ежедневная проверка правильности регистрации документов и их наличия; изготовление на учтенной дискете страховой копии документа, поступившего по линии электронной почты; перенос электронных документов из предварительного массива в основной рабочий массив (после выполнения учетных операций); обозначение на бумажном документе или сопроводительном письме к дискете отметки о вводе документа в базу данных с указанием его учетного (поискового) номера; подшивка бумажного документа и бумажной копии электронного документа в дело в соответствии с номенклатурой дел и помещение страховых дискет (в том числе копий поступивших дискет) в ячейку места хранения. На основе применяемых традиционных и электронных регистрационных форм создается справочно-информационный банк данных (учетный аппарат), который предназначен для контроля за сохранностью документов, накопления и систематизации исходных данных о документах, актуализации массивов информации — внесения в учетные формы рабочих сведений в процессе исполнения или использования документов, обеспечения контроля за исполнением документов и проверки их наличия. Для сохранения информации и ее безопасности необходимо утраивать проверки наличия документов. Целью проверки является установление их реального соответствия записям в учетных формах, сохранности, целостности и комплексности, а также своевременное выявление фактов утраты конфиденциальных материалов и определение правильности выполнения процедур и операций по их учету, хранению и использованию. Проверки стимулируют тщательное соблюдение всеми сотрудниками фирмы требований по работе с конфиденциальными материалами, обеспечение их физической сохранности. Регламентированные (обязательные) проверки могут проводиться ежедневно, ежеквартально и по окончании календарного года. Они охватывают весь массив конфиденциальных материалов. Нерегламентированные проверки осуществляются при смене руководителей подразделений или направлений деятельности фирмы, увольнении сотрудников, после завершения экстремальной ситуации, при выявлении факта возможной утраты информации и в других случаях. Этот вид проверки обычно ограничивается конкретной частью конфиденциальных материалов. Ежедневные проверки проводятся в конце рабочего дня всеми сотрудниками фирмы, работающими с конфиденциальными материалами. Квартальные и готовые проверки осуществляются специально назначаемой комиссией. По результатам квартальной и годовой проверок составляется акт. Отсутствие документа, дела или носителя информации у сотрудника, которому они были выданы, считается утратой материалов. В подобном случае должен быть составлен акт и немедленно доложено об утрате первому руководителю организации для принятия решения. Акт необходимо составить также и в случае обнаружения в базе данных компьютера сотрудника или на дискете неучтенной или несанкционированно сохраненной копии электронного документа. Сохранность электронных документов и баз данных При организации доступа сотрудников фирмы (организации) к конфиденциальным массивам электронных документов, базам данных необходимо помнить о его многоступенчатом характере. Можно выделить следующие его главные составные части: • доступ к персональному компьютеру, серверу или рабочей станции; • доступ к машинным носителям информации, хранящейся вне ЭВМ; • непосредственный доступ к базам данных и файлам. Доступ к персональному компьютеру, серверу или рабочей станции, которые используются для обработки конфиденциальной информации, предусматривает: определение и регламентацию первым руководителем фирмы состава сотрудников, имеющих право доступа (входа) в помещение, в котором находятся соответствующая вычислительная техника, средства связи; регламентацию первым руководителем временного режима нахождения этих лиц в указанных помещениях; персональное и временное протоколирование (фиксирование) руководителем подразделения или направления деятельности фирмы наличия разрешения и периода работы этих лиц в иное время (например, в вечерние часы, выходные дни и др.); организацию охраны этих помещений в рабочее и нерабочее время, определение правил вскрытия помещений и отключения охранных технических средств информации и сигнализирования; определение правил постановки помещений на охрану; регламентацию работы указанных технических средств в рабочее время; организацию контролируемого (в необходимых случаях пропускного) режима входа в указанные помещения и выхода из них; организацию действий охраны и персонала в экстремальных ситуациях или при авариях техники и оборудования помещений; организацию выноса из указанных помещений материальных ценностей, машинных и бумажных носителей информации, а также контроль вносимых в помещение и выносимых персоналом личных вещей. Несмотря на то, что по окончании рабочего дня конфиденциальные сведения должны быть перенесены на гибкие носители и стерты с жесткого диска компьютера, помещения, в которых находится вычислительная техника, подлежат охране. Объясняется это тем, что, во-первых, в неохраняемый компьютер легко установить какое-либо средство промышленного шпионажа, во-вторых, злоумышленник может с помощью специальных методов восстановить стертую конфиденциальную информацию на жестком диске (произвести «уборку мусора»). Доступ к машинным носителям конфиденциальной информации, хранящимся вне ЭВМ, предполагает: организацию учета и выдачи сотрудникам чистых машинных носителей информации; организацию ежедневной фиксируемой выдачи сотрудникам и приема от сотрудников носителей с записанной информацией (основных и резервных); определение и регламентацию первым руководителем состава сотрудников, имеющих право оперировать конфиденциальной информацией с помощью компьютеров, установленных на их рабочих местах, и получать учтенные машинные носители информации; организацию системы закрепления за сотрудниками машинных носителей информации и контроля за сохранностью и целостностью информации, учета динамики изменения состава записанной информации; организацию порядка уничтожения информации на носителе, порядка и условий физического уничтожения носителя. Работа сотрудников и фирмы в целом с машинными носителями информации вне ЭВМ должна быть организована по аналогии с бумажными конфиденциальными документами. Доступ к конфиденциальным базам данных и файлам является завершающим этапом доступа сотрудника фирмы к компьютеру. И если этот сотрудник — злоумышленник, то можно считать, что самые серьезные рубежи защиты охраняемой электронной информации он успешно прошел. В конечном счете он может просто унести компьютер или вынуть из него и унести жесткий диск, не «взламывая» базу данных. Обычно доступ к базам данных и файлам подразумевает: определение и регламентацию первым руководителем состава сотрудников, допускаемых к работе с определенными базами данных и файлами; контроль системы доступа администратором базы данных; именование баз данных и файлов, фиксирование в машинной памяти имен пользователей и операторов, имеющих право доступа к ним; учет состава базы данных и файлов, регулярную проверку наличия, целостности и комплектности электронных документов; регистрацию входа в базу данных, автоматическую регистрацию имени пользователя и времени работы; сохранение первоначальной информации; регистрацию попытки несанкционированного входа в базу данных, регистрацию ошибочных действий пользователя, автоматическую передачу сигнала тревоги охране и автоматическое отключение компьютера; установление и нерегулярное по сроку изменение имен пользователей, массивов и файлов (паролей, кодов, классификаторов, ключевых слов и т. п.), особенно при частой смене персонала; отключение ЭВМ при нарушениях в системе регулирования доступа или сбое системы защиты информации; механическое (ключом или иным приспособлением) блокирование отключенной, но загруженной ЭВМ при недлительных перерывах в работе пользователя. Коды, пароли, ключевые слова, ключи, шифры, специальные программные продукты, аппаратные средства и т.п. атрибуты системы защиты информации в ЭВМ разрабатываются, меняются специализированной организацией и индивидуально доводятся до сведения каждого пользователя работником этой организации или системным администратором. Применение пользователем собственных кодов не допускается. Для шифрования данных разработаны специальные программы или системы (так называемые криптосистемы). Существуют определенные требования, предъявляемые к ним: зашифрованное сообщение должно поддаваться чтению только при наличии ключа; число операций, необходимых для определения использованного ключа шифрования по фрагменту шифрованного сообщения и соответствующего ему открытого текста, должно быть не меньше общего числа возможных ключей; число операций, необходимых для расшифровывания информации путем перебора всевозможных ключей, должно иметь строгую нижнюю оценку и выходить за пределы возможностей современных компьютеров (с учетом возможности использования сетевых вычислений); знание алгоритма шифрования не должно влиять на надежность защиты; незначительное изменение ключа должно приводить к существенному изменению вида зашифрованного сообщения даже при использовании одного и того же ключа; структурные элементы алгоритма шифрования должны быть неизменными; дополнительные биты, вводимые в сообщение в процессе шифрования, должны быть полностью и надежно скрыты в шифрованном тексте; длина шифрованного текста должна быть равной длине исходного текста; не должно быть простых и легко устанавливаемых зависимостью между ключами, последовательно используемыми в процессе шифрования; любой ключ из множества возможных должен обеспечивать надежную защиту информации; алгоритм должен допускать как программную, так и аппаратную реализацию, при этом изменение длины ключа не должно вести к качественному ухудшению алгоритма шифрования. Так же могут быть применены и другие меры. |