Большая энциклопедия промышленного шпионажа - Каторин Юрий Федорович - Страница 120

>• разработать тест-программу, организовать ее запуск и функционирование во время проведения специальных исследований;

>• инструментально-расчетным методом с использованием различной аппаратуры контроля определять источник и параметры опасного сигнала, выполнение в местах возможного размещения средств разведки норм защиты информации, обрабатываемой средствами информатики, и речевой информации, циркулирующей в выделенных помещениях, разведопасные направления для перехвата информации, влияние условий размещения средств информатики, прокладки их линий связи и других коммуникаций на объекте, окружающих предметов (металлоконструкций), а также расположения выделенных помещений на возможности перехвата информации в реальных условиях;

>• проверять возможность утечки информации по различным каналам, образующимся при обработке информации средствами информатики, и речевой информации, циркулирующей в выделенных помещениях, за счет неравномерностей потребления тока в цепях питания, электромагнитных наводок во вспомогательных коммуникациях, цепях заземления, других токопроводящих коммуникациях и металлоконструкциях, возникновения паразитных электроакустических преобразований и генерации в средствах информатики, распространения звуковых волн в различных средах;

>• эксплуатировать, готовить, проверять основные технические параметры штатной аппаратуры контроля, характеризующие ее готовность к работе. Калибровать аппаратуру контроля;

>• работать на персональных ЭВМ. С помощью специального программного обеспечения выполнять необходимые расчеты при обработке результатов контроля, работать с базами данных, готовить выходные (отчетные) документы;

>• организовать ремонт, техническое обслуживание и поверку применяемой контрольно-измерительной аппаратуры, вычислительной и специальной техники.

1.3. Специалисты предприятий-заявителей должны ИМЕТЬ опыт практической работы по обеспечению защиты информации, обрабатываемой средствами информатики и циркулирующей в выделенных помещениях, и проверке эффективности мер защиты информации на объектах контроля.

2.1. Каждый определенный в заявке вид работ по защите информации должен быть обеспечен средствами измерений и контроля в объеме и по качеству достаточном для проведения, в соответствии с действующими на момент заявления методиками, измерений параметров технических средств, типы которых определены в заявлении. Допускается использование средств измерений на условиях аренды.

2.2. Измерительная база должна ОБЕСПЕЧИВАТЬ:

>• возможность проведения измерений полей в диапазоне частот, установленном в действующей методике (требования по диапазону частот);

>• возможность измерения уровней полей технических средств (требования по чувствительности);

>• возможность измерения опасных сигналов на фоне стационарных полей посторонних радиоэлектронных средств (требования по избирательности);

>• достоверность полученных значений полей (требования по точности, требования по динамическому диапазону);

>• возможность идентификации опасных излучений конкретному образцу, физической цепи (требования по идентификации).

Каждый тип средства измерений и контроля должен быть предназначен для проведения конкретных видов измерений (требования по назначению).

Средства измерений и контроля должны быть метрологически проверены (требования по метрологическому обеспечению).

При измерениях в цепях (средах), опасных для здоровья, должны быть предусмотрены пробники, съемники, датчики и средства защиты, обеспечивающие безопасность проведения работ.

3.1. Требования к помещениям, предназначенным для проведения измерений при предварительных и лабораторных специсследованиях (сертификации продукции), и их технической и технологической оснащенности рассматриваются как совокупность требований к разработанной технологии проведения измерений, измерительной аппаратуре, помещениям, стендам, антенным камерам, а также к организации их содержания, обслуживания и поверки, выполнение которых позволяет организации, претендующей на проведение работ, указанных в заявке, получить лицензию на право их проведения. Кроме того, на предприятии, претендующем на получение лицензии, должны быть выделены помещения, обеспечивающие сохранность исследуемых технических средств заказчика и документов.

4.1. В целях обеспечения сохранности материальных ценностей заказчика и его коммерческих и других секретов, а также обеспечения заявителя секретной нормативно-методической документацией у него должен быть предусмотрен режимно-секретный орган (орган обеспечения безопасности информации) и обеспечена надежная охрана. Допускается отсутствие у заявителя собственных указанных служб при условии обеспечения его услугами таких служб предприятием, у которого арендуются помещения.

«КОНЦЕПЦИЯ ЗАЩИТЫ СРЕДСТВ ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ И АВТОМАТИЗИРОВАННЫХ СИСТЕМ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА К ИНФОРМАЦИИ»

Руководящий документ Гостехкомиссии РФ

Принятые сокращения

AC — автоматизированная система

КСЗ — комплекс средств защиты НСД — несанкционированный доступ

ОС — операционная система

ППП — пакет прикладных программ

ПРД — правила разграничения доступа

РД — руководящий документ

СВТ — средства вычислительной техники

СЗИ — система защита информации СЗИ

НСД — система защиты информации от несанкционированного доступа

СЗСИ — система защиты секретной информации

СНТП — специальное научно-техническое подразделение

СРД — система разграничения доступа

СУБД — система управления базами данных

ТЗ — техническое задание ЭВМ — электронно-вычислительная машина

ЭВТ — электронно-вычислительная техника

1. Общие положения

1.1. Настоящий документ излагает систему взглядов, основных принципов, которые закладываются в основу проблемы защиты информации от НСД, являющейся частью общей проблемы безопасности информации.

1.2. Концепция предназначена для заказчиков, разработчиков и пользователей СВТ и АС, которые используются для обработки, хранения и передачи требующей защиты информации.

1.3. Концепция является методологической базой нормативно-технических и методических документов, направленных на решение следующих задач:

>• выработка требований по защите СВТ и АС от НСД к информации;

>• создание защищенных от НСД к информации СВТ и АС;

>• сертификация защищенных СВТ и АС.

1.4. Концепция предусматривает существование двух относительно самостоятельных и, следовательно, имеющих отличие направлений в проблеме защиты информации от НСД: направление, связанное с СВТ, и направление, связанное с АС.

Отличие двух направлений порождено тем, что СВТ разрабатываются и поставляются на рынок лишь как элементы, из которых в дальнейшем строятся функционально ориентированные АС, и поэтому, не решая прикладных задач, СВТ не содержат пользовательской информации.

Помимо пользовательской информации при создании АС появляются такие отсутствующие при разработке СВТ характеристики АС, как полномочия пользователей, модель нарушителя, технология обработки информации.

В связи с этим, если понятия защищенность (защита) информации от НСД в АС и защищенность (защита) АС от НСД к информации эквивалентны, то в случае СВТ можно говорить лишь о защищенности (защите) СВТ от НСД к информации, для обработки, хранения и передачи которой оно предназначено.

При этом защищенность СВТ есть потенциальная защищенность, т.е. свойство предотвращать или существенно затруднять НСД к информации в дальнейшем при использовании СВТ в АС.

2. Определение НСД

2.1. При анализе общей проблемы безопасности информации выделяются те направления, в которых преднамеренная или непреднамеренная деятельность человека, а также неисправности технических средств, ошибки программного обеспечения или стихийные бедствия могут привести к утечке, модификации или уничтожению информации.