Группа вопросов №2.

1. Метою обстеження підприємства є вивчення його ІД, визначення об`єктів захисту - ІзОД, виявлення загроз, їхній аналіз та побудова окремої моделі загроз.2. Обстеження повинно бути проведено комісією, склад якої визначається відповідальною за ТЗІ особою і затверджується наказом керівника підприємства.3. У ході обстеження необхідно:- провести аналіз умов функціювання підприємства, його розташування на місцевості (ситуаційного плану) для визначення можливих джерел загроз;- дослідити засоби забезпечення ІД, які мають вихід за межі контрольованої території;- вивчити схеми засобів і систем життєзабезпечення підприємства (електроживлення, уземлення, автоматизації, пожежної та охоронної сигналізацій), а також інженерних комунікацій та металоконструкцій;- дослідити інформаційні потоки, технологічні процеси передачі, одержання, використання, розповсюдження і зберігання (далі - оброблення) інформації і провести необхідні вимірювання;- визначити наявність та технічний стан засобів забезпечення ТЗІ;- перевірити наявність на підприємстві нормативних документів, які забезпечують функціювання системи захисту інформації, організацію проектування будівельних робіт з урахуванням вимог ТЗІ, а також нормативної та експлуатаційної документації, яка забезпечує ІД;- виявити наявність транзитних, незадіяних (повітряних, настінних, зовнішніх та закладених у каналізацію) кабелів, кіл і проводів;- визначити технічні засоби і системи, застосування яких не обгрунтовано службовою чи виробничою необхідністю і які підлягають демонтуванню;- визначити технічні засоби, що потребують переобладнання (перемонтування) та встановлення засобів ТЗІ.4. За результатами обстеження слід скласти акт, який повинен бути затверджений керівником підприємства.5. Матеріали обстеження необхідно використовувати під час розроблення окремої моделі загроз, яка повинна включати:- генеральний та ситуаційний плани підприємства, схеми розташування засобів і систем забезпечення ІД, а також інженерних комунікацій, які виходять за межі контрольованої території;- схеми та описи каналів витоку інформації, каналів спеціального впливу і шляхів несанкційованого доступу до ІзОД;- оцінку шкоди, яка передбачається від реалізації загроз

4. Відповідно до закону України «Про інформацію» та визначення ОІД наведемо види інформації, що можуть циркулювати на ОІД:· статистична інформація;

· адміністративна інформація (дані);

· масова інформація;

· інформація про діяльність державних органів влади та органів місцевого і регіонального самоврядування;

· правова інформація;

· інформація про особу;

· інформація довідково-енциклопедичного характеру;

· соціологічна інформація.

5. В залежності від форми стану інформації на ОІД можна виділити технологію її обробки:

· зберігання інформації у неробочий час;

· обробка інформації у робочий час;

· обробка інформації у робочий час та зберігання її в неробочій.

5. Характеристики фізичного середовища (наявність категорованих приміщень, територіальне розміщення компонентів ІТС, їхні фізичні| параметри, вплив на них факторів навколишнього середовища, захищеність від засобів технічної розвідки і т. ін.).

Роздел 3

4. Основные угрозы для информации, обрабатываемой в автоматизированной (компьютерной) сети объекта информационной деятельности (предприятия, организации).

Дослідження досвіду проектування, виготовлення, випробувань та експлуатації автоматизованих систем свідчать про те, що інформація в процесі введення, зберігання, обробки, виведення і передачі зазнає різних випадкових впливів. У результаті таких впливів на апаратному рівні відбуваються фізичні зміни рівнів сигналів в цифрових кодах, які несуть інформацію.

При цьому спостерігаються зміни в розрядах 1 на 0 або 0 на 1, або те і інше разом, але в різних розрядах, слідством чого є зміна значення коду на інше. Далі, якщо застосовуються для цієї мети засоби функціонального, контролю, здатні виявити ці зміни, проводиться бракування даного коду, а пристрій, блок, модуль або мікросхема, що беруть участь в обробці, оголошуються несправними. Якщо функціональний контроль відсутній або не здатний виявити несправність на даному етапі обробки, остання продовжується помилковим шляхом, тобто відбувається модифікація інформації. У процесі подальшої обробки, в залежності від змісту і призначення неправильної команди можливі або пересилка інформації за помилковою адресою, або передача перекрученої інформації адресату, або ж стирання чи запис іншої інформації в ОЗУ або ДЗУ.

На програмному рівні в результаті випадкових впливів може статися зміна алгоритму обробки інформації на непередбачений, характер якого також буває різним. Може відбутися зупинка обчислювального процесу, а в гіршому випадку - його модифікація. Якщо засоби функціонального контролю її не виявляють, наслідки модифікації алгоритму або даних можуть призвести до руйнування інформації або її просочення. При програмних помилках можуть підключатися програми введення-виведення і передачі їх на несанкціоновані пристрої.

Причинами випадкових впливів при експлуатації автоматизованої системи можуть бути:

§ відмови і збої апаратури;

§ перешкоди на лініях зв'язку від впливів зовнішньої середи;

§ помилки людини як ланки системи;

§ схемні і системотехнічні помилки розробників; структурні, алгоритмічні і програмні помилки;

§ аварійні ситуації та інші впливи.

Навмисні загрози пов'язані з діями людини, причинами яких можуть бути певне невдоволення своєю життєвою ситуацією, суто матеріальний інтерес або проста розвага із самоствердженням своїх здібностей, як у хакерів тощо.

В обчислювальних мережах порушник може застосовувати наступну стратегію:

§ отримати несанкціонований доступ до секретної інформації;

§ видати себе за іншого користувача, щоб зняти з себе відповідальність або ж використати його повноваження з метою формування помилкової інформації, зміни законної інформації, застосування помилкового посвідчення особистості, санкціонування помилкових обмінів інформацією або ж їх підтвердження;

§ відмовитися від факту формування переданої інформації;

§ затверджувати про те, що інформація отримана від деякого користувача, хоч насправді вона сформована самим же порушником;

§ стверджувати те, що одержувачу в певний момент часу була надіслана інформація, яка насправді не посилалася (або, посилалася в інший момент часу);

§ відмовитися від факту отримання інформації або стверджувати про інший час її отримання;

§ незаконно розширити свої повноваження з доступу до інформації та її обробки;

§ незаконно змінити повноваження інших користувачів (розширити або обмежити, вивести або ввести інших осіб);

§ приховати факт наявності деякої інформації в іншій інформації (прихована передача однієї в змісті іншої);

§ підключитися до лінії зв'язку між іншими користувачами як активного ретранслятора;

§ вивчити, хто, коли і до якої інформації отримує доступ (навіть якщо сама інформація залишається недоступною);

§ заявити про сумнівність протоколу забезпечення інформацією через розкриття деякої інформації, яка, згідно з умовами протоколу, повинна залишатися секретною;

§ модифікувати програмне забезпечення шляхом виключення або додання нових функцій;

§ навмисно змінити протокол обміну інформацією з метою його порушення або підриву довір'я до нього;

перешкодити обміну сполученнями між іншими користувачами шляхом введення перешкод з метою порушення аутентифікації повідомлень Группа вопросов №2.Проведение обследования объектов информационной деятельности

3. Описание объекта информационной деятельности (ОИД) в акте обследования (общие вопросы).
4. Описание результатов обследования «информационной среды» на объекте информационной деятельности (ОИД). Виды информации, которая может подлежать защите на ОИД. Привести примеры классификации информации.3.Переходя непосредственно к интерьеру объекта информационной деятельности, стоит начать с описания покрытий стен, потолка и пола. Неперемещаемых конструкция, в том числе декоративных, например, багеты, плинтуса, дверные наличники. Размещение мебели и рабочих мест тоже требует большого внимания, так как закладные устройства стремятся разместить как можно ближе к источнику звука. Соответственно, рабочие места, а именно обстановка в ближней зоне вокруг них требует повышенного внимания и тщательности обследования. Положительным аспектом данного обследования будет фото (а по возможности и видеофиксация) данного обследования, а также протоколирование интерьерной обстановки с указанием отличительных меток и расстояний с привязкой к конкретной точке. Чаще всего данная точка выбирается из расчета наиболее вероятного источника защищаемой информации. При защите речевой информации – это рабочее место или места субъектов нформационной деятельности. При обследовании интерьера необходимо придерживаться определенной зональности, а именно - общая характеристика интерьера; - система электроснабжения и коммутации; - система освещения; - коммуникации и линии связи; - объекты, не относящиеся к строительным конструкциям помещения; - мебель и передвижные объекты (предметы декора и т.д.) - вспомогательные технические средства; - личные вещи, офисная атрибутика, вспомогательные нетехнические средства и системы. 4. Відповідно до закону України «Про інформацію» та визначення ОІД наведемо види інформації, що можуть циркулювати на ОІД:· статистична інформація;

· адміністративна інформація (дані);

· масова інформація;

· інформація про діяльність державних органів влади та органів місцевого і регіонального самоврядування;

· правова інформація;

· інформація про особу;

· інформація довідково-енциклопедичного характеру;

· соціологічна інформація.

Классификация информации1. Информация подразделяется по форме представления на 2 вида:- дискретная форма представления информации - это последовательность символов, характеризующая прерывистую, изменяющуюся величину (количество дорожно-транспортных происшествий, количество тяжких преступлений и т.п.);- аналоговая или непрерывная форма представления информации - это величина, характеризующая процесс, не имеющий перерывов или промежутков (температура тела человека, скорость автомобиля на определенном участке пути и т.п.).2. По области возникновения выделяют информацию:- элементарную (механическую), которая отражает процессы, явления неодушевленной природы;- биологическую, которая отражает процессы животного и растительного мира;- социальную, которая отражает процессы человеческого общества.3. По способу передачи и восприятия различают следующие виды информации:- визуальную, передаваемую видимыми образами и символами;- аудиальную, передаваемую звуками;- тактильную, передаваемую ощущениями;- органолептическую, передаваемую запахами и вкусами;- машинную, выдаваемую и воспринимаемую средствами вычислительной техники.4. Информацию, создаваемую и используемую человеком, по общественному назначению можно разбить на три вида:- личную, предназначенную для конкретного человека;- массовую, предназначенную для любого желающего ее пользоваться (общественно-политическая, научно-популярная и т.д.) ;- специальную, предназначенную для использования узким кругом лиц, занимающихся решением сложных специальных задач в области науки, техники, экономики.5. По способам кодирования выделяют следующие типы информации:- символьную, основанную на использовании символов - букв, цифр, знаков и т. д. Она является наиболее простой, но практически применяется только для передачи несложных сигналов о различных событиях. Примером может служить зеленый свет уличного светофора, который сообщает о возможности начала движения пешеходам или водителям автотранспорта.- текстовую, основанную на использовании комбинаций символов. Здесь так же, как и в предыдущей форме, используются символы: буквы, цифры, математические знаки. Однако информация заложена не только в этих символах, но и в их сочетании, порядке следования. Так, слова КОТ и ТОК имеют одинаковые буквы, но содержат различную информацию. Благодаря взаимосвязи символов и отображению речи человека текстовая информация чрезвычайно удобна и широко используется в деятельности человека: книги, брошюры, журналы, различного рода документы, аудиозаписи кодируются в текстовой форме.- графическую, основанную на использовании произвольного сочетания в пространстве графических примитивов. К этой форме относятся фотографии, схемы, чертежи, рисунки, играющие большое значение в деятельности человек.Свойства информации можно рассматривать в трех аспектах: техническом - это точность, надежность, скорость передачи сигналов и т.д.; семантическом - это передача смысла текста с помощью кодов и прагматическом - это насколько эффективно информация влияет на поведение объекта.

\. Анализ и оценка угроз информационной безопасности объекта.

Дослідження і аналіз численних випадків впливів на інформацію і несанкціонованого доступу до неї показують, що їх можна розділити на випадкові і навмисні. Наслідками, до яких призводить реалізація загроз, можуть бути: руйнування (втрата) інформації, модифікація (зміна інформації на помилкову, коректну за формою і змістом, але яка має інше значення) і ознайомлення з нею сторонніх. Ціна вказаних подій може бути різною - від невинних жартів до відчутних втрат. Попередження наведених наслідків в автоматизованій системі і є основною метою створення системи безпеки інформації. Для цього необхідно визначити природу загроз, форми і шляхи їх можливого вияву і здійснення.Проаналізуємо об'єкт захисту інформації на предмет введення-виведення, зберігання й обробки інформації і можливостей порушника з доступу до інформації при відсутності засобів захисту в даній автоматизованій системі. Як об'єкт захисту, згідно з класифікацією [2], вибираємо автоматизовану систему, яка може бути елементом обчислювальної мережі або великий АСУ. Для таких систем в цьому випадку характерні наступні штатні канали доступу до інформації:

§ термінали користувачів;

§ термінал адміністратора системи;

§ термінал оператора функціонального контролю;

§ засоби відображення інформації;

§ засоби документування інформації;

§ засоби завантаження програмного забезпечення в обчислювальний комплекс;

§ носії інформації (ОЗУ, ДЗУ, паперові носії);

§ зовнішні канали зв'язку.

Очевидно, що при відсутності законного користувача, контролю і розмежування доступу до терміналу кваліфікований порушник легко скористається його функціональними можливостями для несанкціонованого заволодіння інформацією шляхом введення відповідних запитів або команд. При наявності вільного доступу в приміщення можна візуально спостерігати інформацію на засобах відображення і документування, а на останніх викрасти паперовий носій, зняти зайву копію, а також викрасти інші носії з інформацією: магнітні стрічки, диски тощо. Особливу небезпеку являє собою безконтрольне завантаження програмного забезпечення ЕОМ, в якому можуть бути змінені дані, алгоритми або введена програма "троянський кінь" - програма, що виконує додаткові незаконні функції: запис інформації на сторонній носій, передачу в канали зв'язку іншого абонента обчислювальної мережі, занесення в систему комп'ютерного вірусу тощо. При відсутності розмежування і контролю доступу до технологічної і оперативної інформації можливий доступ до останньої з боку терміналу функціонального контролю. Небезпечною є ситуація, коли порушником є користувач обчислювальної системи, який за своїми функціональними обов'язками має законний доступ до однієї частини інформації, а звертається до іншої за межами своїх повноважень. З боку законного користувача існує багато способів порушувати роботу обчислювальної системи, зловживати нею, витягувати, модифікувати або знищувати інформацію.При технічному обслуговуванні (профілактиці і ремонті) апаратури можуть бути виявлені залишки інформації на магнітній стрічці, поверхнях дисків та інших носіях інформації. Стирання інформації звичайними методами при цьому не завжди ефективне. Її залишки можуть бути легко прочитані.Безпосереднє підключення порушником приймальної апаратури спеціальних датчиків до ланцюгів електроживлення і заземлення, до канав зв'язку також дозволяє здійснити несанкціоноване ознайомлення з інформацією, а несанкціоноване підключення до каналів зв'язку передуючої апаратури може привести і до модифікації інформації.B усіх аспектах проблеми захисту інформації основним елементом є аналіз загроз, яких зазнає система. Останнім часом у різних країнах проведена велика кількість дослідницьких робіт з метою виявлення потенційних каналів несанкціонованого доступу до інформації в обчислювальних мережах. При цьому розглядалися не тільки можливості порушника, що отримав законний доступ до мережевого обладнання, але й впливи, зумовлені помилками програмного забезпечення або властивостями мережевих протоколів, що використовуються. Незважаючи на те, що вивчення каналів несанкціонованого доступу продовжується досі, ще на початку 80-х років були сформульовані п'ять основних категорій загроз безпеки даних в обчислювальних мережах:

§ розкриття змісту повідомлень, які передаються;

§ аналіз трафіка, що дозволяє визначити приналежність відправника і одержувача даних до однієї з груп користувачів мережі, пов'язаних загальною задачею;

§ зміна потоку повідомлень, що може призвести до порушення режиму роботи якого-небудь об'єкта, керованого з видаленої ЕОМ;

§ неправомірна відмова в наданні послуг;

§ несанкціоноване встановлення з'єднання.

Загрози 1 і 2 можна віднести до просочення інформації, загрози 3 і 5- до її модифікації, а загрозу 4 - до порушення процесу обміну інформацією, тобто до її втрати для одержувача.

8. Отчетные документы, составляемые по результатам обследования объекта информационной деятельности (предприятия, организации). Их состав, основные разделы.4.1. "Експертний висновок" розглядається Експертною радою і в
разі затвердження результатів експертизи реєструється та видається
замовнику.4.2. Наявність позитивного рішення щодо експертизи ЗТЗІ є
підставою для включення цього засобу до переліку технічних засобів
загального призначення, що дозволені Департаментом для
використання з метою технічного захисту інформації.
4.3. На підставі позитивного рішення щодо експертизи КСЗІ
замовнику видається зареєстрований "Атестат відповідності"
(додаток 8), який підписується керівником (заступником керівника)
Департаменту.
4.4. Департамент має право призупинити або анулювати дію
"Експертного висновку" та "Атестата відповідності". Порядок
призупинення або анулювання дії зазначених документів визначається
окремим нормативно-правовим документом системи ТЗІ.

Зміст експертного висновку
1. Загальні відомості щодо об'єкта інформаційної діяльності -
тип, місцезнаходження, власник.
2. Загальна характеристика об'єкта експертизи (призначення,
функції, можливості).
3. Вимоги нормативних документів системи ТЗІ в Україні, на
відповідність яким оцінюється об'єкт експертизи.
4. Назва окремої методики, згідно з якою здійснювалася оцінка
об'єкта експертизи, ким розроблена та затверджена, реєстраційний
номер та дата затвердження.
5. Перелік документів і специфікації програмних та технічних
засобів, які надано замовником організатору експертизи.
6. Результати робіт щодо кожного пункту окремої методики
експертизи об'єкта.
7. Докладний висновок щодо відповідності об'єкта експертизи
вимогам нормативних документів системи ТЗІ.
8. Сфера використання (вимоги до умов експлуатації) об'єкта
експертизи.
9. Термін дії експертного висновку.
10. Особливі думки експертів, зафіксовані в протоколах.

9. АКТ