Informace o sledování stavu. Technická kontrolní opatření pro účinnost ochrany informací. Dokumentace výsledků kontroly. Požadavky na kontroly bezpečnosti informací

Vzhledem k tomu, že opatření kontroly/analýzy zabezpečení osobních údajů jsou součástí základních souborů ochranných opatření počínaje PZ4 - PZ3, většina provozovatelů osobních údajů si pořídila bezpečnostní skenery. Občas se setkávám s následujícím dotazem: je nutné tento skener vůbec spouštět a pokud ano, jak často a co přesně kontrolovat.

Zkusme na to přijít:
Skenery se používají k implementaci skupiny opatření ke kontrole (analýze) zabezpečení osobních údajů (ANZ) povinných v souladu s nařízením FSTEC Ruska č. 21 ze dne 18. února 2013.
Podívejme se, jestli existuje právní úkony RF některé povinné požadavky na pořadí nebo frekvenci bezpečnostního skenování:

Řád FSTEC Ruska č. 21
“8.8. Opatření ke kontrole (analýze) zabezpečení osobních údajů by měla zajistit kontrolu úrovně zabezpečení osobních údajů zpracovávaných v informační systém, prováděním systematických opatření k analýze zabezpečení informačního systému a testování výkonnosti systému ochrany osobních údajů.
ANZ.1 Identifikace, analýza zranitelností informačního systému a rychlá eliminace nově identifikovaných zranitelností
Kontrola instalace ANZ.2 Aktualizace software včetně nástrojů pro aktualizaci softwaru ochrana informací
ANZ.3 Kontrola provozuschopnosti, nastavení a správného fungování softwaru a nástrojů informační bezpečnosti
ANZ.4 Kontrola složení technické prostředky, software a nástroje pro bezpečnost informací“

GOST R 51583-2014 postup pro vytvoření AS v chráněné verzi

Nebylo nalezeno více regulačních právních aktů obsahujících požadavky na bezpečnostní analýzu

Tedy v regulačních právních aktech Ruské federace neobsahuje požadavky na pořadí a četnost provádění bezpečnostních skenů, respektive nastavení skenovacích profilů, frekvence analýzy zranitelnosti určuje provozovatel nezávisle
Jak může určit toto pořadí a periodicitu?

s největší pravděpodobností je nutné vycházet z vlastností a kritičnosti informačního systému, skladby používaného softwaru a vnitřních pravidel pro aktualizaci softwaru;

Je také nutné chápat, že na základě výsledků skenu generuje report o zranitelnostech, které je potřeba ještě dopracovat – odstranit zranitelnosti a nainstalovat chybějící aktualizace. Nemá smysl skenovat častěji, než mají odpovědné osoby čas na zpracování hlášení a odstranění zranitelností. Frekvence skenování > průměrná doba zpracování zprávy o zranitelnosti

Při určování pořadí a četnosti skenování se může provozovatel informačního systému řídit vlastními odbornými znalostmi v oblasti informační bezpečnosti, zkušenostmi s prováděním bezpečnostních analýz, doporučeními externích odborníků a držitelů licence FSTEC, ale i dokumenty, které mají status z „doporučeno“ nebo „ osvědčené postupy”

V tomto případě je třeba vzít v úvahu, že opatření bezpečnostní analýzy by měla být systematický(bod 8.8 FSTEC objednávka č. 21) a musí být dostatečný k neutralizaci aktuálních hrozeb (odst. 2 nařízení vlády č. 1119)

Podívejme se, co je v nejlepších metodických dokumentech a osvědčených postupech:

GOST R ISO/IEC 27002-2012
„12.6 Správa technických zranitelností
Cíl: Zmírnit rizika vyplývající ze zneužití zveřejněných technických zranitelností.

Řízení technické zranitelnosti by mělo být prováděno účinným, systematickým a opakovatelným způsobem, přičemž by měla být prováděna měření k potvrzení jeho účinnosti. Tyto úvahy by se měly vztahovat na operační systémy a jakékoli další používané aplikace.
12.6.1 Řízení technické zranitelnosti

Míra a prostředky kontroly a řízení

Je nutné získat včasné informace o technických zranitelnostech používaných informačních systémů, posoudit expozici organizace těmto zranitelnostem a přijmout vhodná opatření k řešení rizika s nimi spojeného.

Neustále aktualizovaný a úplný inventář majetku (viz 7.1) je předpokladem pro efektivní řízení technických zranitelností. Specifické informace potřebné pro podporu správy technických zranitelností zahrnují informace o dodavateli softwaru, číslech verzí, aktuálním stavu nasazení (například jaký software je nainstalován na kterých systémech) a osobách odpovědných za software v rámci organizace. bezpečnost.

Podobně by měla být přijata včasná opatření v reakci na identifikaci potenciálních technických zranitelností. Pro zavedení efektivního procesu řízení technických zranitelností je nutné provést následující doporučení:
a) organizace potřebuje definovat a stanovit role a povinnosti související se správou technických zranitelností, včetně monitorování zranitelnosti, hodnocení rizik zranitelnosti, záplatování, sledování majetku a jakýchkoli dalších koordinačních funkcí;
b) informační zdroje, která bude použita k identifikaci a vytváření povědomí o významných technických zranitelnostech, by měla být určena pro software a další technologie na základě soupisu majetku (viz 7.1.1); tyto informační zdroje by měly být aktualizovány po změnách v inventáři nebo při nalezení jiných nových nebo užitečných zdrojů;
c) je nutné stanovit časové parametry pro reakci na upozornění na potenciálně významná technická zranitelnost;
d) jakmile byla identifikována potenciální technická zranitelnost, organizace určí související rizika a opatření, která mají být přijata; takové akce mohou zahrnovat záplatování postižených systémů a/nebo použití jiných kontrol a kontrol;
e) v závislosti na naléhavosti řešení technické zranitelnosti by přijatá opatření měla být v souladu s kontrolami spojenými s řízením změn (viz 12.5.1) nebo podle postupů reakce na incidenty bezpečnosti informací (viz .13.2);
f) pokud je možné nainstalovat opravu, měla by být vyhodnocena rizika spojená s její instalací (rizika představovaná zranitelností by měla být porovnána s rizikem instalace opravy);
g) náplasti by měly být testovány a vyhodnoceny před instalací, aby bylo zajištěno, že jsou účinné a nevedou k nepřijatelným vedlejším účinkům; pokud není možné nainstalovat opravu, je třeba zvážit další opatření a kontroly, například:
1) deaktivace služeb spojených se zranitelností;
2) přizpůsobení nebo přidání řízení přístupu, jako jsou firewally na okrajích sítě (viz 11.4.5);
3) vylepšené monitorování pro detekci nebo prevenci skutečných útoků;
4) zvyšování povědomí o zranitelnostech;
h) revizní záznam by měl zaznamenávat všechny provedené postupy;
i) proces řízení technické zranitelnosti by měl být pravidelně sledován a hodnocen, aby byla zajištěna důvěra v jeho účinnost a efektivitu;
j) měly by být upřednostněny vysoce rizikové systémy.

dodatečné informace

Správné fungování procesu řízení technické zranitelnosti je pro mnoho organizací důležité, proto by měl být tento proces pravidelně monitorován. Přesný soupis je důležitý, aby bylo zajištěno, že budou identifikována potenciálně významná technická zranitelnost.

Řízení technické zranitelnosti lze považovat za dílčí funkci řízení změn a jako takové může těžit z procesů a postupů řízení změn (viz 10.1.2 a 12.5.1).

Prodejci často pociťují značný tlak na co nejrychlejší vydání záplat. Náplast proto nemůže adekvátně vyřešit problém a může mít vedlejší účinky. V některých případech také po aplikaci opravy nemusí být snadné ji odinstalovat.

Pokud nelze provést adekvátní testování oprav, například kvůli nákladům nebo nedostatku zdrojů, lze zvážit zpoždění implementace změn, aby bylo možné posoudit související rizika na základě zkušeností ostatních uživatelů.“

RS BR IBBS-2.6-2014
"deset. Provozní fáze
10.1. Hlavní úkoly ve fázi provozu z hlediska zajištění bezpečnosti informací jsou:
- periodické hodnocení zabezpečení ABS (provádění činností k identifikaci typických zranitelností softwarových komponent ABS, penetrační testování);
10.2. Četnost prací na hodnocení bezpečnosti je určena rozhodnutím
Jím organizaci RF BS. Pro základní bankovní systémy používané k implementaci technologie bankovních plateb
nelogický proces, doporučuje se provést komplexní posouzení bezpečnosti ne
méně než jednou ročně“

metodický dokument FSTEC Ruska „Opatření na ochranu informací ve státních informačních systémech“, kterou lze dle uvážení provozovatele rovněž využít k zajištění bezpečnosti osobních údajů
“ANZ.1 IDENTIFIKACE, ANALÝZA A ODSTRANĚNÍ CHYBNÝCH STRÁNEK INFORMAČNÍHO SYSTÉMU
Identifikace (vyhledávání), analýza a eliminace zranitelnosti by měly být prováděny ve fázích tvorby a provozu informačního systému. Během provozní fáze se v intervalech stanovených operátorem provádí vyhledávání a analýza zranitelností. Přitom je to povinné pro kritická zranitelnost vyhledávání a analýza zranitelností v případě zveřejnění ve veřejných zdrojích informace o nových zranitelnostech v nástrojích informační bezpečnosti, hardwaru a softwaru používaných v informačním systému.
Požadavky na vyztužení ANZ.1:
2) provozovatel musí aktualizovat seznam zranitelností naskenovaných v informačním systému s frekvencí jím stanovenou, jakož i po objevení se informací o nových zranitelnostech;“

· řídí se metodickým dokumentem FSTEC - po zveřejnění informace o kritické zranitelnosti nebo aktualizaci musí být bezpodmínečně provedena bezpečnostní analýza;

U OS Windows se takové zranitelnosti objevují v průměru měsíční;

Podle mého názoru by pro zajištění neutralizace současných hrozeb měla být provedena alespoň bezpečnostní analýza pomocí skenerů čtvrtletní

· pro začátek při určování toho, co a jak zkontrolovat, můžete použít Přílohu 3 Doporučení k provedení bezpečnostního posouzení k RS BR IBBS-2.6-2014 – část 2 „Identifikace známých zranitelností“

1. Organizace práce na technickou ochranu informace:

1.1 Organizace technické ochrany informací klasifikovaných jako státní a úřední tajemství před technickými a technickými daty a před únikem technickými kanály:

• dostupnost směrnic a normativně-technických dokumentů k problematice technické ochrany informací;
• dostupnost dokumentů upravujících činnost konstrukčních celků pro technickou ochranu informací (úkoly, funkční odpovědnosti atd.);
• analýza a posouzení skutečného nebezpečí úniku informací technickými kanály, úplnost a správnost identifikace možných technických kanálů pro ochranu proti úniku informací;
• úplnost, kvalita a platnost vypracování organizačních a technických opatření na ochranu informací, postup při jejich provádění;
• postup při organizování a sledování stavu technické ochrany informací, její účinnosti;
• včasnost a úplnost dodržování požadavků řídících dokumentů, rozhodnutí Státní technické komise Ruska, regulačních, technických a metodických dokumentů o technické ochraně informací.

1.2. Studium a analýza činnosti strukturních celků (odp úředníci), zajistit bezpečnost informací, které mají být chráněny, jejich úkoly a funkční odpovědnosti.

1.3. Analýza materiálů charakterizujících zpravodajskou dostupnost informací kolujících v strukturální dělení. Detekce přítomnosti na 1000 m zahraniční mise uplatňující právo extrateritoriality, místa pobytu zahraničních specialistů.

1.4 Studium a analýza seznamu informací podléhajících ochraně:

• dostupnost seznamu informací, které mají být chráněny před průzkumnými technickými prostředky a před únikem přes technické kanály:
• úplnost a správnost definice demaskovacích znaků, které tyto informace odhalují;

1.5 Dostupnost systému informační bezpečnosti:

• přítomnost úkolů pro technickou ochranu informací v organizačních a správních dokumentech upravujících činnost organizací a útvarů, které jsou součástí jednotné soustavy orgánů vládou kontrolované V Ruské federaci;
• organizace a provádění prací na technické ochraně informací v ústředí ministerstva (odboru) a v podnicích, organizacích a institucích jemu podřízených;
• interakce v otázkách technické ochrany informací s jinými ministerstvy (odděleními) a dalšími organizacemi třetích stran;
• zajištění kontroly účinnosti ochrany informací tvořících státní a služební tajemství ve všech podnicích, institucích a organizacích, které jsou podřízeny a podřízeny ministerstvu (odboru), které s nimi pracuje.

1.6 Analýza možných technických kanálů pro únik informací o informacích klasifikovaných jako státní tajemství při činnosti ministerstva (odboru) a jim podřízených podniků, organizací a institucí.

1.7 Analýza informačních toků při fungování strukturních celků.

1.8 Analýza složení hardwaru a softwaru zapojených do zpracování informací, jejich umístění, technologie zpracování informací a stavu jejich ochrany:

• stav účtování veškerého hardwaru a softwaru tuzemské i zahraniční výroby podílejících se na zpracování informací podléhajících ochraně;
• umístění elektronických zařízení, TSPI (s odkazem na prostory, ve kterých jsou instalovány), trasy pro pokládku informačních a neinformačních okruhů, které přesahují kontrolované území.

1.9 Analýza dostupnosti informací zpracovávaných v automatizovaném řídicím systému, počítači a dalších technických prostředcích.

1.10 Studie organizace a skutečného stavu přístupu personálu údržby a obsluhy k informačním zdrojům.

2. Sledování stavu ochrany informací:

Organizace informační bezpečnosti v systémech a prostředcích informatizace a komunikace:

• certifikace systémů a prostředků automatizace a komunikace, které se podílejí na zpracování informací klasifikovaných jako státní a úřední tajemství;
• provádění speciálních kontrol k identifikaci vestavěných zařízení;
• činnosti strukturálních jednotek odpovědných za automatizaci procesů zpracování informací, účetnictví, ukládání, přístup k jejich magnetickým médiím, povinnosti osob odpovědný za informační bezpečnost;
• včasnost a správnost implementace systému bezpečnosti informací, vydání povolení ke zpracování důvěrných informací;
• správné umístění a použití technických prostředků, jejich jednotlivých prvků;
• aplikovaná opatření na ochranu informací před únikem v důsledku rušivého elektromagnetického záření a rušení, elektroakustických přeměn;
• přijatá opatření k zamezení neoprávněného přístupu k informacím, jakož i odposlechu technickými prostředky řečových informací z prostor a chráněných objektů.

• ověření dodržování požadavků návodu k obsluze a provozního řádu pro technické prostředky přenosu, uchovávání a zpracování informací TSPI (obcházení všech přidělených prostor);
• kontrola včasnosti a správnosti kategorizace přidělených prostor, postupu při jejich certifikaci při uvádění do provozu a vydání povolení k právu konat důvěrné akce a vést důvěrná jednání;
• kontrola dostupnosti, kvality instalace a provozu prostředků na ochranu řečových informací před únikem přes technické kanály;
• ověření splnění požadavků na provádění zvláštních kontrol technických prostředků (pro absenci speciálních vyzařovacích zařízení);

2.3.3 Provádět instrumentální kontrolu zabezpečení řečových informací cirkulujících ve vyhrazených místnostech, zpracovávaných a přenášených TSPI, za účelem identifikace možných technických únikových kanálů:

. Kontrola plnění požadavků zákona Ruské federace „o státním tajemství“

Postup při přijímání cizích státních příslušníků a jeho splnění požadavků normativní dokumenty. Vyhodnocení uplatňovaných opatření na ochranu informací při návštěvách organizací (podniků) zahraničními zástupci. Účast specialistů na boj proti zpravodajství na analýze možných kanálů úniku informací, atestaci a speciálních prohlídkách prostor před a po přijetí zahraničních specialistů. Dostupnost přijímacích programů, koordinace s FSB. Vývoj a implementace (v případě potřeby) dalších opatření pro technickou ochranu informací.

3.1 Prověřování disponibility strukturálních útvarů, zaměstnanců, jejich úrovně vzdělání, kvalifikace, zajišťování řešení otázek souvisejících se státním tajemstvím. 3.2 Kontrola dostupnosti licence pro právo vykonávat práci související s prováděním zákona Ruské federace „O státním tajemství“, a to jak ve strukturálních odděleních na plný úvazek, tak v externích organizacích provádějících práce (poskytující služby) pro technickou ochranu informací v zájmu ministerstva (odboru) a podřídit jim podniky, organizace a instituce. 3.3 Kontrola dostupnosti pokynů a jejich obsahu k problematice technické ochrany informací (zákon Ruské federace „O státním tajemství“, Seznam informací, které mají být chráněny ... atd.). 3.4 Kontrola stavu režimu utajení na útvarech a stupně jeho souladu s řídícími dokumenty pro vedení evidence (vybavení prostor, účetnictví a ukládání důvěrných dokumentů, přístup k evidenci a důvěrným dokumentům). 3.5 Kontrola včasnosti a správnosti sdělování požadavků pokynů k technické ochraně informací zaměstnancům útvarů, jejich znalosti zaměstnanci. 3.6 Kontrola správnosti kategorizace informací podle stupně důvěrnosti, postupu při jejich účtování a uchovávání při použití technických prostředků (EVT, TSPI, vybavení kanceláře apod.). 3.7 Kontrola správnosti tisku (reprodukce) důvěrných dokumentů, jejich zaúčtování a postupu při jejich upozornění exekutorů. 3.8 Kontrola postupu pro umožnění zaměstnancům pracovat s utajovanými informacemi. 3.9 Kontrola organizace práce pro snížení stupně utajení (odtajnění) dokumentů a podávání informací exekutorům. 3.10 Kontrola dostupnosti „Certifikátů shody“ pro přidělené prostory a technické prostředky zapojené do zpracování informací, které mají být chráněny, a certifikačních dokumentů pro prostředky technické ochrany informací a sledování jejich účinnosti.

4. Otázky, které je třeba vzít v úvahu při ověřování držitelů licence

4.1 Zkontrolováno:

• dostupnost licence (povolení) k právu vykonávat práci na technické ochraně informací, ověřování platnosti licence ve stanovených lhůtách a dodržování skutečně provedené práce držitelem licence (1.5)*;
• držitel licence má doklady o státní registraci podnikatelská činnost a zakladatelská listina (1.7)*;
• stav výrobní a testovací základny, dostupnost regulačních a metodická dokumentace provádět práce na deklarovaných typech činností (1.6)*;
• personální zajištění vědeckých a technických pracovníků pro provádění prací na deklarovaných druzích činnosti. Úroveň připravenosti specialistů na práci (1,6) *;
• odborné školení vedoucího podniku držitele licence a (nebo) jím pověřených osob k řízení licencovaných činností (1.7)*;
• dodržování smluvních závazků k zajištění bezpečnosti důvěrného a hmotného majetku jednotlivců a právnické osoby kdo využil služeb držitele licence (2.4)*;
• včasnost a úplnost prezentace v vládní agentura pro licencování nebo licenčnímu centru pro informace o práci vykonávané na konkrétních typech činností uvedených v licenci v souladu s požadavky Státní technické komise Ruska (2.4)*;
• kvalita služeb poskytovaných držitelem licence (posouzení účinnosti opatření přijatých držiteli licence k technické ochraně informací u 1-3 spotřebitelských podniků, které využily služeb držitele licence (3.2) *.

4.2 Výsledky ověřování držitelů licencí se promítnou do podoby samostatné části zákona nebo osvědčení, vydaného na základě výsledků plánované kontroly ministerstev (odborů) a jim podřízených podniků, organizací a institucí. Na základě získaných výsledků je učiněn závěr o shodě držitele povolení se stanovenými požadavky a možnosti jeho další práce v deklarovaných oblastech.

Poznámka: *) Oddíly „Předpisy o státním povolování činností v oblasti ochrany informací“ jsou uvedeny v závorkách.

Kontrola bezpečnosti informací před neoprávněným přístupem spočívá v kontrole souladu účinnosti opatření na ochranu informací se stanovenými požadavky nebo standardy na informační bezpečnost. Všechny skupiny prostředků ochrany proti neoprávněnému přístupu, námi zvažované v předchozích přednáškách, jsou vyzkoušeny.

Dodržování je kontrolováno popisy technologický postup zpracování a uložení chráněných informací do reálného procesu.

Posuzuje se možnost přenos informací vyšší úrovně důvěrnosti na nosič informací nižší úrovně.

Probíhá analýza povolená a zakázaná spojení mezi subjekty a objekty přístupu s odkazem na konkrétní OTSS a personál.

Posuzuje se shoda povolená a zakázaná připojení k permisivnímu systému přístupu personálu k chráněným zdrojům ve všech fázích zpracování.

Ověřování se zpravidla provádí pomocí softwarových a softwarových a hardwarových bezpečnostních kontrol. Jako příklad uvažujme produkty jedné společnosti - OOO "Centrum bezpečnosti informací".

Nástroj pro kontrolu zabezpečení proti UA "Auditor 2 XP" je určen ke kontrole přístupových práv k informačním zdrojům.

• zobrazení všech informací obsažených v DRP (je možné pouze prohlížení);
• porovnání struktury zdrojů pracovní stanice popsané v DRP se skutečnou strukturou zdrojů;
• vytvoření zprávy o výsledcích srovnání;
• vytvoření plánu pro testování objektů pracovní stanice;
• kontrola skutečných přístupových práv uživatelů k přístupu k objektům;
• vytvoření zprávy o výsledcích testu.

Síťový skener "Network Auditor" verze 3.0 je určen k detekci zranitelností v nainstalovaném síťovém softwaru a hardwaru, které používají protokoly TCP/IP stack. Systém má dostatek příležitostí, jednou z nich je vyhledávání zranitelností obsažených v databázi hrozeb a zranitelností FSTEC, o kterých jsme uvažovali dříve. Kromě toho program vyhledává zranitelnosti obsažené v cve.mitre. org, ovaldb.altx-soft.ru, microsoft. com a některé další zdroje.

Prostředky fixace a kontroly výchozího stavu softwarový balík"FIX" je určen k řízení subsystému integrity. Hlavní rysy programu:

• oprava počátečního stavu softwarového balíčku;
• kontrola počátečního stavu softwarového balíku;
• oprava a kontrola adresářů;
• kontrola rozdílů v určených souborech (adresářích);
• schopnost pracovat s dlouhými názvy souborů a názvy obsahujícími znaky azbuky.

Program vyhledávání a zaručeného ničení informací na discích "TERIÉR" umožňuje řídit ničení informací. Pro kontrolu je potřeba vytvořit soubor s kontrolní kombinací znaků na důvěrném logickém disku, lokalizovat sektory pomocí "TERRIER", smazat soubor pomocí standardních nástrojů a ovládat jeho vymazání pomocí TERRIER.

18.4. Dokumentace výsledků kontroly. Požadavky na kontroly bezpečnosti informací

Je třeba poznamenat, že na prostředky sledování účinnosti opatření na ochranu informací i na výrobce těchto prostředků jsou kladeny poměrně přísné požadavky. V souladu s „Předpisy o licenční činnosti k vývoji a výrobě nástrojů ochrany důvěrných informací“, schváleným nařízením vlády č. 171 ze dne 3. března 2012, je vývoj a výroba technických prostředků pro sledování účinnosti opatření na ochranu informací podléhající licencování. A vyvinuté a vyrobené prostředky pro sledování účinnosti ochranných opatření by samy měly mít osvědčení o shodě FSTEC podle požadavků vyhlášky vlády Ruské federace ze dne 26. června 1995 N 608 „O certifikaci nástrojů bezpečnosti informací“.

Sledování účinnosti ochrany je završeno vydáním Závěru se stručným posouzením souladu objektu informatizace s bezpečností informací, konkrétními doporučeními k eliminaci narušení, uvedením systému ochrany objektu informatizace do souladu se stanovenými požadavky, zlepšením tohoto systému, doporučení pro sledování fungování objektu informatizace. K Závěru jsou připojeny protokoly o zkouškách, které potvrzují výsledky získané během zkoušek a zdůvodňují závěr uvedený v závěru.

Sledování efektivnosti VBI spočívá v kontrole souladu kvalitativních a kvantitativních ukazatelů efektivnosti činností VBI s požadavky nebo standardy na efektivnost VBI.

Sledování účinnosti VBI zahrnuje:

Technická kontrola účinnosti VBI - kontrola účinnosti VBI, prováděná pomocí technických prostředků kontroly.

Organizační kontrola účinnosti VBI - kontrola souladu úplnosti a platnosti činností pro VBI s požadavky směrnic a regulačních a metodických dokumentů v oblasti VBI;

Technická kontrola účinnosti VBI (o které uvažujeme) je kontrola účinnosti VBI, prováděná pomocí technických prostředků kontroly.

V závislosti na cílech a cílech kontroly a také na vlastnostech kontrolovaných objektů může být technická kontrola účinnosti VBI:

Komplexní, kdy je organizace a stav VBI kontrolována proti úniku všemi možnými technickými kanály charakteristickými pro řízený technický prostředek (objekt informatizace), před neoprávněným přístupem k informacím nebo zvláštními vlivy na něj;

Cílená, kdy je kontrola prováděna jedním z možných technických kanálů úniku informací, charakteristických pro řízený technický prostředek, který má chráněné parametry nebo ve kterém kolují chráněné informace;

Selektivní, kdy se z celého složení technických prostředků na zařízení vyberou ty z nich, které mají podle výsledků předběžného posouzení s největší pravděpodobností technické kanály pro únik chráněných informací.

V závislosti na konkrétních podmínkách technické kontroly lze kontrolu účinnosti provádět následujícími způsoby:

Instrumentální metoda, kdy se při kontrole používají technické měřicí přístroje a simulují se reálné provozní podmínky technických průzkumných prostředků;

Instrumentálně-výpočtová metoda, kdy se provádí měření v bezprostřední blízkosti objektu kontroly a následně se výsledky měření přepočítají na místo (podmínky) předpokládaného umístění průzkumného zařízení;

Výpočtová metoda, kdy je účinnost VBI hodnocena výpočtem, na základě skutečných podmínek umístění a schopností technického průzkumného zařízení a známých vlastností objektu řízení.

Podstatou technických kontrolních opatření je provádění instrumentálních (nástrojově kalkulovaných) kontrol účinnosti ochrany informací před únikem přes technické kanály vznikající v důsledku:

1) rušivé elektromagnetické záření (SEMI) při provozu hlavních technických prostředků a systémů (OTSS) objektu informatizace;

3) rušení informačního signálu na spojovacích vedeních VTSS umístěných v oblasti pokrytí PEMI OTSS;

4) nerovnoměrný odběr proudu v napájecí síti OTSS;

5) lineární vysokofrekvenční ukládání a elektroakustické transformace jako metody zachycení řečové informace prostřednictvím HTSS instalovaného ve vyhrazených místnostech.

Přístrojová kontrola se provádí podle standardních programů a standardních metod schválených atestačními a certifikačními orgány. Veškeré měřicí zařízení je předepsaným způsobem certifikováno metrologickými orgány.

Hlavní regulační a metodické dokumenty upravující činnosti pro technickou kontrolu posuzovaných objektů jsou:

2. GOST 29339-92. Informační technologie. Ochrana informací před únikem rušivým elektromagnetickým zářením a záchyty při jejich zpracování pomocí výpočetní techniky. Všeobecné technické požadavky;

3. Sbírka metodických dokumentů ke kontrole chráněných informací zpracovávaných výpočetní technikou před únikem v důsledku elektromagnetického záření a snímačů (PEMIN). Schválený nařízením Státní technické komise Ruska ze dne 19. listopadu 2002 č. 391.

4. Objednávka Federální služba o technické a exportní kontrole (FSTEC Ruska) ze dne 11. února 2013 N 17 Moskva

5. Příkaz FSTEC Ruska ze dne 18. února 2013 č. 21 "O schválení Složení a obsahu organizačních a technických opatření k zajištění bezpečnosti osobních údajů při jejich zpracování v informačních systémech osobních údajů."

Akt kontroly stavu VBI by měl obsahovat následující části:

1. Obecné informace o předmětu kontroly;

2. Obecné otázky organizace VBI na zařízení;

3. Organizace a stav ochrany objektů informatizace;

4. Úplnost a kvalita práce provedené držiteli licence FSTEC Ruska na ochraně a certifikaci objektů informatizace;

Skrývání informací o prostředcích, komplexech, objektech a systémech zpracování informací. Tyto úkoly lze rozdělit na technické a organizační.

Organizační úkoly skrýt informace o objektech mají za cíl zabránit prozrazení těchto informací zaměstnanci a jejich úniku tajnými kanály.

Technické úkoly jsou zaměřeny na odstranění nebo oslabení technických demaskovacích znaků chráněných objektů a technických kanálů pro únik informací o nich. Skrytí se přitom provádí snížením elektromagnetické, časové, strukturální a atributové dostupnosti, jakož i oslabením přiměřenosti mezi strukturou, topologií a povahou fungování prostředků, komplexů, objektů, zpracování informací. a řídicí systémy.

Řešením tohoto problému je realizace souboru organizačně-technických opatření a opatření, která zajistí splnění základního požadavku na prostředky, komplexy a systémy zpracování informací - zpravodajské zabezpečení a směřuje k dosažení jednoho z hlavních cílů - vyloučení nebo značné ztížení vyhledávání, lokalizace, radiového sledování zdrojů radiového vyzařování, klasifikace a identifikace objektů technickou zpravodajskou službou podle odhalených demaskovacích znaků.

Řešení problému snížení elektromagnetické dostupnosti znesnadňuje jak detekci energie, tak určení souřadnic oblasti, kde se nacházejí zdroje rádiového vyzařování, a také prodlužuje čas na odhalení demaskovacích značek, snižuje přesnost měření parametrů a signálů rádia. emisní prostředky.

Snížení dočasné dostupnosti prostředků pro vyzařování rádia znamená zkrácení doby jejich provozu pro vyzařování během přenosu informace a prodloužení doby pauzy mezi relacemi zpracování informací. Pro snížení strukturální a orientační dostupnosti prostředků, komplexů a systémů zpracování informací jsou přijímána organizační a technická opatření k oslabení demaskujících znaků a vytvoření tzv. „šedého pozadí“.

Třída 1.2. Dezinformace nepřítele.

Tato třída zahrnuje úkoly, které spočívají v šíření záměrně nepravdivých informací o skutečném účelu některých předmětů a produktů, skutečném stavu některé oblasti státní činnosti, stavu věcí v podniku atd.

Dezinformace se obvykle provádí šířením nepravdivých informací různými kanály, napodobováním nebo zkreslováním znaků a vlastností jednotlivých prvků předmětů ochrany, vytvářením falešných předmětů, které se svým vzhledem nebo projevy podobají předmětům zájmu oponenta, atd.

Roli dezinformací zdůraznil A.F.Viviani, specialista v oblasti kontrašpionáže: Obrovské množství informací na nás padá, padá, vybuchuje. Je to falešné, ale vypadá to věrohodně; je to pravda, ale ve skutečnosti je to lstivě překresleno, aby vzbuzovalo dojem falešnosti; částečně nepravdivý a částečně pravdivý. Vše záleží na zvolené metodě tzv. dezinformace, jejímž smyslem je přimět vás věřit, přát si, přemýšlet, rozhodovat se směrem, který je výhodný pro ty, kteří nás potřebují z nějakého důvodu ovlivnit...

Technická dezinformace u předmětu ochrany je soubor organizačních opatření a technických opatření směřujících k klamání technického zpravodajství o skutečných cílech systémů zpracování informací, seskupování a činnosti vojsk a záměrech složek velení a řízení.

Řešení tohoto problému se provádí v rámci známého provozního rádiového maskování zkreslením technických demaskovacích znaků chráněného objektu nebo simulací technických demaskovacích znaků falešného objektu.

Konkrétní úkoly technických dezinformací jsou:

Zkreslení demaskujících znaků skutečných objektů a systémů odpovídajících znakům falešných objektů;

Vytváření (napodobování) falešného prostředí, objektů, systémů, komplexů reprodukováním demaskujících znaků skutečných objektů, struktur systémů, situací, akcí, funkcí atd.;

Přenos, zpracování, ukládání nepravdivých informací v systémech zpracování;

Napodobování bojové činnosti prostředků, komplexů a systémů zpracování informací na falešných kontrolních bodech;

Účast sil a prostředků na demonstrativních akcích ve falešných směrech;

Přenos nepravdivých informací (rádiové dezinformace), počítat s jejich zachycením nepřítelem atp.

Obecně lze tyto úkoly seskupit do konkrétních úkolů rádiové imitace, rádiové dezinformace a demonstračních akcí.