Большая энциклопедия промышленного шпионажа
3 /Al /B3 /Cl
4 /Al /Bl /C2
5 /Al /B2 /C2
6 /Al /B3 /C2
7 /A2 /Bl /Cl
8 /A2 /B2 /Cl
9 /A2 /B3 /Cl
10 /A2 /Bl /C2
11 /A2 /B2 /C2
12 /A2 /B3 /C2
13 /A3 /Bl /Cl
14 /A3 /B2 /Cl
15 /A3 /B3 /Cl
16 /A3 /Bl /C2
17 /A3 /B2 /C2
18 /A3 /B3 /C2
3.2. Возможность подделки определяется технологией изготовления СЗЗ:
>• Al — СЗЗ изготовлен с использованием отечественных ноу-хау-технологий;
>• А2 — СЗЗ изготовлен с использованием зарубежных ноу-хау-технологий;
>• A3 — СЗЗ изготовлен без использования ноу-хау-технологий.
3.3. Идентифицируемость определяется уровнем сложности сигнальной информации в знаке:
Bl — целостность и подлинность СЗЗ могут быть однозначно определены с применением специальных технических средств контроля или с помощью приборов или устройств с дополнительной (оптической, компьютерной и т. п.) обработкой сигнала по специальной методике, основанной на технологии изготовления СЗЗ;
82 — целостность и подлинность СЗЗ могут быть однозначно определены на основании специальных методик контроля без применения технических средств контроля или с использованием серийно выпускаемых технических средств;
83 — целостность и подлинность СЗЗ могут быть однозначно определены визуально без применения технических средств и специальных методик контроля.
3.4. По стойкости защитных свойств СЗЗ подразделяются на две группы:
>• Cl — в технических условиях на СЗЗ задано изменение его внешнего вида и хотя бы одного характерного признака при несанкционированных воздействиях на СЗЗ или нарушении условий его эксплуатации;
>• С2 — в технических условиях на СЗЗ задано изменение только его внешнего вида при несанкционированных воздействиях на СЗЗ или нарушении условий его эксплуатации.
3.5. Для защиты информации, отнесенной к государственной тайне, и защиты технических средств категорированных объектов используются только СЗЗ, сертифицированные по классу не ниже 6:
>• по классам 1 и 2 — для защиты объектов 1-й категории и информации соответствующей степени секретности;
>• по классам 3 и 4 — для защиты объектов 2-й категории и информации соответствующей степени секретности;
>• по классам 5 и 6 — для защиты объектов 3-й категории и информации
соответствующей степени секретности.
Использование СЗЗ, сертифицированных по классам 7—12, допускается только для защиты объектов 3-й категории и информации соответствующего уровня секретности при обеспечении дополнительных организационно-технических мер защиты, согласованных с Гостехкомиссией России.
3.6. При нарушении режима сохранения информации о применяемой ноу-хау-технологии, изменении условий производства и т. п. использование СЗЗ запрещается, ранее выданный сертификат аннулируется.
2.2. Организация защиты информации
2.2.1. Основные понятия информационной безопасности
После знакомства с некоторыми правовыми актами, которые регулируют (или по крайней мере должны регулировать) деятельность тех лиц, чья сфера интересов находится в области защиты информации или ее съема, вернемся к тому вопросу, с которого начали эту книгу. Что же все-таки такое концепция информационной безопасности? Громкое название этого мероприятия никого не должно вводить в заблуждение. Если отбросить научную, а скорее околонаучную фразеологию, то концепция информационной безопасности как система взглядов на цели, способы обеспечения безопасности информации и средства ее защиты должна в общем виде отвечать на три простых вопроса: что защищать; от чего защищать; как защищать?
С вопросом «что защищать?» связано понятие «объект защиты». Этот вопрос может вызвать недоумение: ясно, что речь идет об информации, значит ее и нужно защищать. А в нашем случае это набор определенных сведений. Но тут всплывает одно из главных свойств информации, вытекающее из самой ее природы. Ее феномен в том, что в физическом, а не в философском плане она подразумевает свой носитель, то есть выражение «получить доступ к информации» следует понимать, как получение доступа к вполне определенному носителю. Это может быть подслушанный разговор, украденный документ, перехваченный факс, выпотрошенный компьютер и т. д. О каналах утечки информации мы подробно говорили в разделе 1.2.
Поэтому под объектом защиты будем подразумевать не абстрактное понятие, а комплекс физических, аппаратных, программных и документальных средств, предназначенных для сбора, передачи, обработки и хранения информации.
Ключевое свойство информации — ее ценность, то есть для нашего случая стоимость ущерба от разрушения, потери или разглашения. Кроме того, спецификой информации является то, что она не исчезает при потреблении, не передается полностью при обмене (в отличие от денег остается и у старого пользователя). С одной стороны, она является неделимой и имеет смысл только при достаточно полном объеме сведений, с другой — качество ее повышается при добавлении новых достоверных данных, то есть можно проводить постепенное накапливание сведений и небольшими частями.
Поэтому, прежде чем ответить на первый вопрос, все-таки необходимо четко разобраться, какая информация потребует защиты. Это может быть, например, весь объем данных, накапливающийся и формирующийся в фирме, которые имеют коммерческую значимость. Сведения о количестве выпускаемой продукции и об объемах продаж. Сведения о поставщиках и производителях, продавцах и дилерах, договорах и клиентах. Планы фирмы, предельные цены, размеры премий дилерам и посредникам, имена и адреса сотрудников. Себестоимость продукции, маркетинговые и аналитические исследования. Финансовое состояние фирмы, размеры оплаты труда, денежный наличный оборот, особенно каналы движения денежной массы. Это могут быть какие-нибудь деловые (или не очень деловые — типа экс-министра В. Ковалева или «человека, похожего на Генерального прокурора Ю. Скуратова») встречи, детали частной жизни и т. д. В каждом отдельном случае нужно тщательно проанализировать: какая конкретная информация может оказаться совершенно нежелательной для огласки. Затем аккуратно привязать эту информацию к носителям. Допустим, если проводятся короткие устные переговоры, без оформления каких-либо документов, то в качестве объекта защиты выступает только сам разговор. Если привлечены какие-нибудь технические средства связи, записи или составляются какие-либо документы, то количество объектов существенно возрастает.
Следующим шагом должна стать их ранжировка по степени ценности содержащейся информации (ведь такие объекты защиты, как разговор и итоговый документ — это «две большие разницы»). И наконец, производится определение потенциально опасных систем, позволяющих получить доступ к этим объектам. В проведении этого этапа работы неплохо могут помочь материалы, содержащиеся как в табл. 1.1.1, так и в первой части данной книги. Поэтому все описанные средства несанкционированного съема информации и привязаны к конкретному носителю, для работы с которым они предназначены. Проделав это простое исследование, можно практически ответить на первый вопрос. Поверьте, если «исследователь» хоть в общих чертах знаком с основными методами работы злоумышленников и возможностями их аппаратуры, то работа не займет много времени.
Вопрос «от чего защищаться?» связан с понятием «угроза». Угроза — потенциальная возможность неправомерного преднамеренного или случайного воздействия на объект защиты, приводящее к потере или разглашению информации. Обычно выделяют внутренние и внешние источники угроз.
К внутренней угрозе относятся как преднамеренные действия, так и непреднамеренные ошибки персонала (не зря говорят: «Простота хуже воровства»). Сразу предупреждаем, что этот сложнейший вопрос выходит за рамки данной книги, здесь нужны специалисты совсем другого профиля.
Внешние угрозы весьма разнообразны. В условиях рыночной экономики, когда существует реальная конкуренция между организациями, у них возникает интерес к деятельности соперничающих фирм. Целью этого интереса является добывание информации, относящейся к сфере коммерческой тайны, то есть о замыслах, финансовом состоянии, клиентах, ценах и т. д. Получение такой информации и ее использование конкурентами (да и некоторыми партнерами) может причинить существенный ущерб фирме. Как уже говорилось выше, имеется достаточно развитый рынок услуг по добыванию информации такого рода. Например, в Санкт-Петербурге целый ряд частных детективных агентств, негласно, конечно, специализируется именно на этом поприще. Есть они и в других крупных городах. Притом, некоторые из них оснащены на достаточно высоком уровне и берутся за любую работу. В частности, уже отмечалось, что московская охранная фирма «Атолл» выполняла заказы по сбору компромата даже на семью президента.