!2. Организационно – режимные меры защиты носителей информации в ас.

Проблема защиты машинных носителей информации (МНИ) в АС, решается в основном за счет организационно – режимных мер, делающих невозможным или существенно ограниченным доступ злоумышленников к МНИ и документальным материалам АС. Методы НСД к МНИ совпадают с методами преодоления обычных средств защиты от физического проникновения в локализованное защищаемое пространство. Одним из наиболее надежных подходов к защите МНИ является их физическая защита. Защита МНИ имеет специфику, определяемую их реализацией и организацией.

Данные на носителях хранятся блоками (секторами, кластерами). Для доступа к данным МНИ существуют два основных способа:

1) последовательный доступ, когда блоки записываются друг за другом и для чтения следующего нужно пройти все предыдущие;

2) прямой (произвольный) доступ, блоки записываются и читаются в произвольном порядке.

МНИ характеризуются: различными физическими принципами реализации; широким спектром объемов хранимой информации, многообразием конкретных реализаций носителей производителями.

Задача получения злоумышленником доступа к информации на МНИ может быть представлена как последовательность задач:

1) выбор соответствующего заданному носителю привода – наиболее значимого для обеспечения доступа элемента; 2) запуск соответствующего приводу комплекта программ (ОС, драйверы привода и т.п.); 3) обеспечение порядка использования программ и привода для считывания в память компьютерной системы содержимого МНИ.

Злоумышленник не может получить доступ к информации на МНИ в случаях: когда недоступен сам носитель; когда доступен носитель, но отсутствуют средства взаимодействия с носителем.

Наиболее типична ситуация, когда в защищаемой АС используются распространенные МНИ, а значит, у потенциального злоумышленника существует возможность получить на своем приводе доступ к битовому представлению данных защищаемого носителя. В этом случае практически единственным выходом являются организационные меры защиты.

Организационные меры защиты – меры общего характера, затрудняющие доступ злоумышленников к конфиденциальной информации вне зависимости от способа обработки информации и каналов утечки (каналов воздействия).

Основными задачами обеспечения информационной безопасности АС от угрозы раскрытия конфиденциальности на уровне МНИ являются:

1) исключение прохождения носителей по технологическим участкам, не обусловленным производственной необходимостью: рациональная организация производственного процесса движения МНИ, обеспечивающего целенаправленное распределение носителей по технологическим участкам; 2) предупреждение непосредственного доступа к носителям персонала, не отвечающего за операции с носителями (минимизация доступа): регламентации порядка обращения с носителями.

Регламентация порядка обращения с носителями предусматривает выполнение комплекса мер:

а) Запись информации на рабочих местах, обеспечивающих условия для предотвращения утечки по техническим каналам и физической сохранности носителей.б) Постановку на учет МНИ с простановкой маркировки на зарегистрированном носителе (один из элементов маркировки гриф секретности информации).в) Передачу МНИ между подразделениями организации под расписку.г) Вынос МНИ за пределы организации с разрешения уполномоченных лиц.д) Хранение МНИ в условиях, исключающих НСД посторонних. е) Уничтожение МНИ, которые утратили свои эксплуатационные характеристики или не используются из-за перехода на новый тип носителя, специально организованными комиссиями согласно актам, утверждаемым уполномоченными лицами. Уничтожение носителей должно проводиться путем их физического разрушения, не допускающего восстановление и повторное использование носителей. Перед уничтожением конфиденциальная информация должна быть по возможности гарантированно удалена.ж) Передачу в ремонт средств вычислительной техники без МНИ, которые могут содержать конфиденциальную информацию. В случае ремонта МНИ конфиденциальная информация на них должна быть гарантированно удалена. Если удалить информацию невозможно, решение о ремонте принимается руководителем соответствующего подразделения или коллегиально, а ремонт осуществляется в присутствии лица, ответственного за сохранность информации на данном носителе.

з) Периодический контроль контролирующими подразделениями соблюдения установленных правил обращения с носителями и их физической сохранности.