Материал: Технические средства обеспечения информационной безопасности. Гончаров И.В., Герасименко В.Г

5.4.4. Методы поиска электронных устройств перехвата информации с использованием нелинейных локаторов и рентгеновских аппаратов

Перед проведением работ необходимо удалить из контролируемого помещения электронные устройства, если нельзя это сделать, то обследование надо проводить при пониженной мощности излучения или чувствительности аппаратуры поиска. Процесс поиска закладных устройств включает два этапа:

-обнаружение электронного устройства и определение его местоположения;

-идентификация обнаруженного устройства.

Обнаружение электронного устройства и определение его местоположения производится путем последовательного обхода помещения. Антенну необходимо перемещать вдоль всей обследуемой поверхности на расстоянии 5… 20 см от них, при скорости перемещения не более 30 см/с. При появлении акустического сигнала и свечении индикаторов, медленно перемещая датчик параллельно обследуемой поверхности и изменяя ориентацию антенны относительно обследуемой поверхности вблизи обнаруженного объекта, определяется его точное месторасположение. Если имеется свечение только индикатора, то это означает, что обнаружен помеховый объект с контактными нелинейностями.

Идентификация обнаруженного устройства является наиболее ответственной частью работы и требует от оператора навыка. Электронные устройства, в которых имеются полупроводниковые элементы, создают отклик, который на индикаторном устройстве дает свечение индикатора, сигнализирующего о приеме отраженного сигнала на второй гармонике. При обнаружении электронного устройства наблюдается устойчивое свечение светодиодов столбца. При простукивании по обследуемой поверхности в различных точках зоны обнаружения показания индикаторного устройства не изменяются. Неустойчивое свечение светодиодов, треск в головных телефонах при простукивании по обследуемой поверх-

ности являются характерными признаками помехового сигнала от контактов и ржавых поверхностей.

Для идентификации обнаруженного устройства также можно использовать металлоискатели и рентгеновские установки. Методика использования металлоискателей аналогичена поиску с использованием индикаторов электромагнитного поля. Идентификация обнаруженного предмета производится визуально или с использованием нелинейного локатора. Могут использоваться ультразвуковые приборы и тепловизоры.

При применении рентгеновской установки обследуемый предмет размещается между излучателем и просмотровой приставкой или рентгенотелевизионным преобразователем. Плоскость экрана преобразователя должна находиться как можно ближе к контролируемому предмету.

5.5. Специальные проверки выделенных помещений

Специальные проверки проводятся при аттестации помещений, для ведения конфиденциальных переговоров, а также периодически /24/.

Выделяют следующие виды специальных проверок:

-специальное обследование выделенного помещения;

-визуальный осмотр выделенного помещения;

-комплексная специальная проверка выделенного помеще-

ния;

-визуальный осмотр и специальная проверка новых предметов и мебели в выделенном помещении;

-специальная проверка радиоэлектронной аппаратуры в выделенном помещении;

-периодический контроль выделенного помещения;

-специальная проверка проводных линий;

-проведение тестового «прозвона» всех телефонных аппаратов в выделенном помещении, с контролем прохождения всех вызывных сигналов АТС.

Периодичность и виды проверок помещений зависит от степени важности помещения и порядка допуска в них посторонних лиц.

Специальное обследование и визуальный осмотр выделенного помещения проводится без применения технических средств, все остальное с применением технических средств. Специальное обследование выделенного помещения проводится после строительства объекта, капитального ремонта, периодически с привлечением соответствующих специалистов.

Визуальный осмотр выделенного помещения производится перед началом и после служебных совещаний, в начале и после рабочего дня. Визуальный осмотр и специальная проверка новых предметов и мебели производятся перед их установкой в выделенном помещении.

Специальная проверка радиоэлектронной аппаратуры проводится после их закупки или ремонта.

Специальная проверка проводных линий осуществляется после окончания строительства объекта или после проведения капитального ремонта, а также периодически. Привлекаются соответствующие специалисты.

Радиоконтроль выделенных помещений производится с целью обнаружения активных радиозакладок с использованием сканерных приемников и программно-аппаратных комплексов контроля.

Тестовый «прозвон» телефонных аппаратов проводится при установке нового телефонного аппарата или после ремонта телефонного аппарата, а также периодически.

Специальные проверки должны проводится специалистами организаций, имеющих лицензии уполномоченных органов.

6. ОРГАНИЗАЦИЯ ЗАЩИТЫ ИНФОРМАЦИИ ОТ УТЕЧКИ ПО ТЕХНИЧЕСКИМ КАНАЛАМ

6.1. Лицензирование деятельности в области защиты информации

Система государственного лицензирования деятельности предприятий в области защиты информации является составной частью государственной системы защиты информации /1,3,10/. Деятельность системы лицензирования организуют государственные органы по лицензированию, которыми являются подразделения исполнительных органов власти.

Для получения лицензии получатель представляет заявление; представление органа государственной власти РФ; материалы экспертизы, подтверждающие наличие необходимых условий для проведения работ по заявленным видам деятельности, а также профессиональную пригодность руководитель предприятиязаявителя или лиц, уполномоченных им для руководства лицензируемой деятельностью; копии документов о государственной регистрации предпринимательской деятельности и устава предприятия. Лицензия выдается подавшему заявку на ее получение пред- приятию-заявителю, располагающему производственной и материальной базой, научным и научно-техническим персоналом, нормативными и методическими документами при соответствии их требованиям государственного органа по лицензированию на основании экспертизы деятельности предприятия по заявленному направлению деятельности. Отказ в выдаче лицензии производится в случаях, если:

отсутствуют необходимые условия для проведения работ по заявленному виду деятельности;

профессиональная подготовка руководителя предприятиязаявителя или лиц, уполномоченных им для руководства лицензируемой деятельностью, не соответствует установленным требованиям;

в представленных для получения лицензии документах указаны недостоверные сведения;

заявитель в установленном законом порядке признан виновным в недобросовестной конкуренции в лицензируемой деятельности.

6.2. Перечень видов деятельности предприятий в области защиты информации, подлежащих лицензированию Гостехкомиссией России

Лицензированию подлежат следующие виды деятельности в области защиты информации:

-сертификация, сертификационные испытания защищенных ТСОИ, технических средств защиты информации, технических средств контроля эффективности мер защиты информации, защищенных программных средств обработки информации, программных средств по требованиям безопасности информации, программных средств защиты информации, программных средств контроля защищенности информации;

-аттестование систем информатизации, автоматизированных систем управления, систем связи и передачи данных, технических средств приема, передачи и обработки подлежащей защите информации, технических средств и систем, не обрабатывающих эту информацию, но размещенных в помещениях, где она обрабатывается, а также помещений, предназначенных для ведения переговоров, содержащих охраняемые сведения, на соответствие требованиям руководящих и нормативным документов по безопасности ин-

формации и контроль защищенности информации в этих системах, технических средствах и помещениях;

-разработка, производство, реализация, монтаж, наладка, установка, ремонт, сервисное обслуживание защищенных ТСОИ, технических средств защиты информации, технических средств контроля эффективности мер защиты информации, защищенных программных средств обработки информации, программных

средств защиты информации, программных средств контроля защищенности информации;

-проведение специсследований на побочные электромагнитные излучения и наводки ТСОИ;

-проектирование объектов в защищенном исполнении;

-подготовка и переподготовка кадров в области защиты информации по видам деятельности, перечисленным в данном перечне.

Организационную структуру системы государственного лицензирования предприятий в области защиты информации обра-

зуют: государственные органы по лицензированию; лицензионные центры; предприятия-заявители.

Государственные органы по лицензированию в пределах своей компетенции осуществляют следующие функции:

-организуют обязательное государственное лицензирование деятельности предприятий;

-выдают государственные лицензии предприятиямзаявителям;

-осуществляют научно-методическое руководство лицензионной деятельностью;

-утверждают перечни лицензионных центров;

-согласовывают составы экспертных комиссий, представляемые лицензионными центрами;

-осуществляют контроль и надзор за полнотой и качеством проводимых лицензиатами работ в области защиты информации;

-обеспечивают публикацию необходимых сведений о лицензионной деятельности;

-рассматривают спорные вопросы, возникающие в ходе экспертизы предприятия-заявителя.

Лицензионные центры осуществляют следующие функции:

-формируют экспертные комиссии и представляют их состав на согласование с руководителями соответствующих государственных органов по лицензированию и отраслей промышленности;

-планируют и проводят работы по экспертизе заявителей;

-контролируют полноту и качество выполненных лицензиатами работ;

-систематизируют отчеты лицензиатов и ежегодно представляют сводный отчет в соответствующие государственные органы по лицензированию;

-принимают участие в работе соответствующих государственных органов по лицензированию при рассмотрении спорных вопросов, возникающих в процессе экспертизы предприятиязаявителя, и фактов некачественной работы лицензиатов.

Лицензионные центры могут создаваться при государственных органах по лицензированию, в регионах и отраслях промышленности (ведомствах) Российской Федерации.

Порядок проведения лицензирования предприятийзаявителей в области защиты информации включает следующие действия:

-проведение экспертизы заявителя;

-подачу, рассмотрение заявления на лицензирование, оформление и выдачу лицензий;

-учет лицензиатов и информирование в сфере лицензирова-

ния.

6.3.Сертификация средств защиты информации

Порядок сертификации средств защиты информации (из перечня приведѐнного в таблице) в Российской Федерации и ее учреждениях за рубежом устанавливает Положение о сертификации средств защиты информации.

Система сертификации средств защиты информации пред-

ставляет собой совокупность участников сертификации, осуществляющих ее по установленным правилам. Существует система обязательной и добровольной сертификации. Сертификация средств защиты информации осуществляется на основании требований государственных стандартов, нормативных документов, утвержденных правительством РФ и федеральными органами по сертификации в пределах их компетенции и по требованиям безопасности

96

информации. Координацию работ по сертификации средств защиты информации осуществляет Межведомственная комиссия по защите государственной тайны.

Участниками сертификации средств защиты информации являются:

-федеральный орган по сертификации;

-центральный орган системы сертификации (создается при необходимости) – орган, возглавляющий систему сертификации однородной продукции;

-органы по сертификации средств защиты информации – органы, проводящие сертификацию определенной продукции;

-испытательные лаборатории – лаборатории, проводящие сертификационные испытания определенной продукции;

-изготовители – продавцы, исполнители продукции. Центральные органы системы сертификации, органы по сер-

тификации и испытательные лаборатории проходят аккредитацию на право проведения работ по сертификации. Аккредитация проводится только при наличии у указанных органов и лабораторий лицензии на соответствующие виды деятельности.

Испытательные лаборатории проводят сертификационные мероприятия, испытания средств защиты информации, по их результатам оформляют заключения и протоколы, которые направляют в соответствующие органы по сертификации.

Система сертификации средств ЗИ по требованиям безопасности информации включает в себя и аттестацию объекта информатизации. Основными схемами проведения сертификации средств защиты информации являются:

-единичных образцов средств защиты информации – проведение испытаний этих образцов на соответствие требованиям по защите информации;

-для серийного производства средств защиты информации – проведение типовых испытаний образцов средств защиты информации на соответствие требованиям по защите информации и последующий инспекционный контроль за стабильностью характе-

97

ристик сертифицированных средств защиты информации, определяющих выполнение этих требований.

Органы, осуществляющие сертификацию средств защиты информации несут ответственность, установленную законодательством РФ, за выполнение возложенных на них обязанностей обеспечения защиты государственной тайны и других конфиденциальных сведений, сохранность материальных ценностей, за соблюдение авторских прав изготовителя при сертификационных испытаниях средств защиты информации.

Перечень средств защиты информации, подлежащих сертификации по требованиям безопасности информации, и область применения данных средств представлены в табл. 6.1.

6.4. Аттестация объектов информатизации по требованиям безопасности информации

Под объектами информатизации (ОИ), аттестуемыми по требованиям безопасности информации, понимают автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения, предназначенные для обработки и передачи информации, подлежащей защите, вместе с помещениями, в которых они установлены, а также помещения, предназначенные для ведения конфиденциальных переговоров /6/.

Основные принципы, организационную структуру системы аттестации объектов информатизации по требованиям безопасности информации, порядок проведения аттестации, а также проведение контроля и надзора за аттестацией и эксплуатацией атте-