kiev-security.org.ua-Защита информационных систем.Обеспечение сохранности информации в вц

Принятая система распределения обязанностей между отдельными служащими может в значительной мере способствовать повышению уровня сохранности и снизить возможности нарушения требований сохранности со стороны персонала. В зарубежной литературе указываются следующие принципы организации работ. Минимизация сведений, доступных персоналу. ------------------------------------------Каждый служащий должен знать только те детали процедур обеспечения сохранности, которые необходимы ему для успешного выполнения своих обязанностей. Минимизация связей персонала. -----------------------------Организация технологического процесса сбора и обработки информации и планирование помещений должны по мере возможности исключить или сводить к минимуму контакты персонала в процессе выполнения работ. Системный программист должен допускаться, когда в этом есть необходимость, в машинный зал и никогда не должен заходить в зону участка подготовки данных. При возможности системные программисты обеспечиваются исправным оборудованием подготовки данных. Программист должен иметь возможность выдавать задания на подготовку данных по обычным планам в соответствии с принятой процедурой. Каждый сотрудник должен знать все о своей работе и связанных с нею ограничениях,а также четко представлять последствия нарушения этих ограничений. Разделение полномочий. ---------------------В системах с высокими требованиями по обеспечению сохранности ответственная работа или процедура выполняется после подтверждения ее необходимости двумя сотрудниками.Например, можно потребовать, чтобы изменение полномочий пользователя осуществлялось только в том случае, когда руководитель и сотрудник, ответственный за обеспечение сохранности, одновременно послали в систему свои пароли с различных, специально выделенных для этой цели терминалов. Минимизация данных, доступных персоналу. -----------------------------------------Данные, которые могут быть обозримы персоналом, ограничиваются. Так, отходы, в том числе и копировальная лента,должны уничтожаться. Выходные данные, полученные на печатающих устройствах и с пультовых машинок, должны предоставляться только тем, кому они предназначены. Операторы участка (отдела) подготовки даннх не должны знать, для какой задачи и какого пользователя они выполняют работу. Обозначения носителей информации не должны раскрывать область их использования. Дублирование контроля. ----------------------Контроль важных операций никогда нельзя поручать одному сотруднику, особенно операторам пульта управления, так как бесконтрольное выполнение операций одним человеком может нанести ущерб сохранности информации. Присутствие еще одного оператора необходимо также и в соответствии с требованиями техники безопасности.Временные или вновь принятые сотрудники, а также сотрудники, проходящие обучение, не должны самостоятельно выполнять ответственные задания. Факт передачи смены обязательно должен быть зафиксирован в специальных журналах с собственноручными подписями ответственных (руководителей) cдающей и принимающей смен, причем должно быть документально зафиксировано не только то, что передается, но и в каком сотоянии передается. Так, обязательно должно быть зафиксировано, в какую смену было то или иное обращение к файлам закрытой информации, когда решалась каждая из функционирующих задач и т.п. За соблюдение мер обеспечения сохранности в каждой рабочей смене должен быть по крайней мере один ответственный старший сотрудник. В течение всей рабочей смены должны вестись журналы работы, по которым составляется детальный протокол работы ВЦ. В хранилищах файлов должны фиксироваться каждая выдача и возвращение носителей с файлами,причем с точностью до минуты. Носители с данными ограниченного пользования должны выдаваться только под расписку. При выдаче этих данных на печатающие устройства, расположенные в здании ВЦ, должна немедленно производиться запись в соответствующих журналах с указанием времени, объема и назначения выдачи. В конце рабочей смены должны быть уничтожены установленным порядком накопившиеся за смену рабочие отходы, о чем также должна быть произведена соответствующая запись в рабочем журнале. По мнению зарубежных специалистов, может и должна использоваться также такая мера защиты, как система наблюдения. Наблюдение может быть слуховым или визуальным, открытым или скрытым, наступательным или защитным и выполняться как непосредственно людьми, так и с помощью различных технических устройств.Под наблюдением здесь понимается непосредственное слежение за объектом, надзор над ними или его охрана.Открытое наблюдение постоянно должно осуществляться руководителями всех рангов за своими подчиненными в течение всего рабочего дня(смены), а также систематически - сотрудниками, ответственными за обеспечение сохранности. Эта форма наблюдения считается основной. Однако в некоторых случаях необходимой становится организация скрытого наблюдения. Если наблюдение скрытое, то это может быть шпионаж или контршпионаж со всеми свойственными им атрибутами. Как отмечают зарубежные специалисты, система наблюдения для обеспечения сохранности данных в ВЦ может быть организована самой администрацией ВЦ (в этом случае она открытая) или специальными организациями (в этом случае - скрытая). Наблюдение должно быть как за персоналом ВЦ, чтобы исключить его несанкционированные действия, так и за тем, чтобы в помещение ВЦ и контролируемые вокруг них зоны не могли проникнуть псторонние лица. Наблюдение за персоналом ВЦ может вестись путем контроля за их деятельностью визуально, с помощью оптических и электронных устройств, а также организацией подслушивания. Визуальное наблюдение за работой персонала может быть организовано в ВЦ установкой специального поста. При этом внешние стены этого поста должны быть непросматриваемыми, а отдельные рабочие места должны быть друг от друга отделены. Сам пост наблюдения может находиться в центре зала, что позволяет вести наблюдение за каждым рабочим местом. При размещении аппаратуры в большом зале, где имеются затемненные места, для наблюдения за работой персонала могут применяться оптические и электронные устройства, например телевизионные системы, зеркала или телескопы. Для наблюдения за деятельностью персонала может применяться такой метод контроля, как подслушивание. Появление миниатюрных микрофонов и устройств связи позволило организовать контроль разговоров, которые ведутся в рабочее время, и выявить нарушения установленных правил обеспечения сохранности. Особой мерой среди организационных мероприятий, направленных на обеспечение сохранности информации, является организация скрытого наблюдения за персоналом ВЦ. Особенность этой меры заключается многими обстоятельствами, основными из которых являются трудности организации и чрезвычайно сильное психологическое воздействие на человека в случае его обнаружения. Поэтому применять его рекомендуется только в случае острой необходимости и очень тщательной организации. Однако следует отметить, что скрытое наблюдение за сотрудниками в капиталистических странах довольно распространено. Использование скрытого наблюдения позволяет разоблачить специалиста ВЦ, занимающегося сбором информации в интересах конкурирующей фирмы или в других целях. Скрытое наблюдение обычно организуется в том случае, если кто-либо из служащих подозревается в хищении информации, и позволяет подтвердить или опровергнуть факт хищения, а также установить цели, способы и сообщников хищения, если сам факт хищения будет доказан. Цели хищения информации зарубежной печатью классифицируются следующим образом: 1. промышленная конкуренция. Конкурирующие фирмы могут стремиться получить информацию по следующим вопросам: исследования и разработки, рынки сбыта, заявки на подряды и т.п. Конкуренты, стремящиеся к получению подобной информации, могут быть представителями своей страны или других стран. Если это представители других стран, то они могут получать помощь от разведывательных организаций своих стран; 2. действия отдельных лиц, стремящихся к личной выгоде или мести; 3. деятельность студенческих и рабочих организаций с подрывной и политической целью; 4. деятельность враждебных государств с политическими, военными или промышленными целями. Мерой борьбы с целью предотвращения хищения информации является установление соответствующего контроля доступа в помещение ВЦ. В некоторых ВЦ работа в ночное время и выходные дни прекращается. Для предотвращения проникновения нарушителя в это время в помещения ВЦ применяется система сигнализации, которая подключается к полицейскому участку или местной охране, используется и телевизионная система, которая и подтверждает факт или показывает место нарушения. В качестве датчиков систем сигнализации могут применяться устройства, реагирующие на изменение окружающих условий(давление в комнате, температура) или условий распространения звуковых или сетевых волн. Сигнал тревоги, поступающий в орган охраны, может быть звуковым или световым. Затраты, связанные с реализацией рассмотренных принципов, невелики. Однако они способствуют как повышению эффективности системы, так и обеспечению сохранности.

18. Обеспечение сохранности информации в вц