42. Источники конфиденциальной информации и каналы ее утраты
Понятие и классификация источников конфиденциальной информации. Классификация каналов объективного распространения конфиденциальной информации. Понятие угрозы информации, виды угроз. Понятие несанкционированного канала утраты конфиденциальной информации. Случайные и преднамеренные условия возникновения этого канала. Поиск или формирование такого канала злоумышленником. Последствия образования канала несанкционированного доступа к информации: утрата носителя и конфиденциальной информации, разрушение информации, её кража, модификация, подмена, фальсификация и др. Понятия разглашения и утечки информации, их отличие.
Понятие и классификация источников конфиденциальной информации. Источники (обладатели) ценной, конфиденциальной документированной информации представляют собой накопители (концентраторы, излучатели) этой информации. К числу основных видов конфиденциальной информации относят: персонал, окружающие фирму люди, документы, публикации о фирме, ее разработках, рекламные издания, выставочные материалы, физические поля, волны, излучения.
Выделяются следующие блоки конфиденциальной информации:
служебная, научно-техническая и технологическая информация предприятия; публикации, в том числе сотрудников предприятия, создаваемые ими книги, статьи, доклады;
деловая информация предприятия;
правовая, учредительная, организационная, распорядительная документация;
рабочие записи сотрудников, их служебные дневники, личные рабочие планы, переписка по коммерческим и научным вопросам;
личные архивы сотрудников.
К научно-технической и технологической информации можно отнести сведения о схемах устройств, конструкциях машин, устройств и отдельных узлов, используемых материалах, их составах, методах и способах производства, перспективных устройствах, модификациях существующих машин и приборов, перспективных технологиях, путях их модернизации, программное обеспечение ЭВМ.
Эта информация, лежащая в основе производства продукции, приносящей прибыль предприятию, часто является объектом промышленного шпионажа со стороны конкурентов предприятия.
Контроль за этой частью документации осложняется из-за разбросанности по рабочим местам, участкам, цехам, где на основе этой документации производится готовая продукция. Уменьшение степени опасности утечки информации достигается путем организации сведений, составляющих КТ, доводимых до непосредственных рабочих мест и четкой регистрацией документов в соответствии с режимом их оборота на предприятии.
Документация о разработке перспективных устройств и модернизации существующих, отчеты о проводимых научно-исследовательских и опытно-конструкторских работах требуют постоянной защиты на всех уровнях ее разработки - начиная от замысла и заканчивая разработкой опытного образца.
Серьезным источником сведений об информации может послужить деловая информация предприятия, включающая: сведения о финансовой деятельности предприятия, финансовую отчетность, сведения о кредитах, платежеспособности, стратегические и тактические планы развития предприятия, создание новой продукции в том числе с применением новых технологий ноу-хау, анализ конкурентоспособности производимой предприятием продукции, эффективности, экспорта и импорта, планы завоевания рынка для сбыта продукции, планы маркетинга, данные об уровне предельных цен, наличии товаров на складах.
К аналогичным серьезным источникам сведений о ценной информации можно так же отнести:
списки торговых клиентов, посредников, конкурентов, сведения о взаимоотношениях с ними, о проводимых совместных операциях и их объемах, условиях действующих контрактов.
диктофонную, магнитофонную, видеокассету с записью текста документа, переговоров, совещания;
письменное или устное изложение за пределами фирмы содержания документа, ознакомление с которым осуществлялось санкционировано или тайно;
устное изложение текста документа по телефону, переговорному устройству, специальной радиосвязи;
аналог документа, переданного по факсимильной связи или электронной почте;
речевую или визуальную запись текста документа, выполненную с помощью технических средств разведки (радиозакладок, встроенных микрофонов и видеокамер, микрофотоаппаратов, фотографирования с большого расстояния). Получение ценных документов или информации ограниченного доступа может быть единичным явлением или регулярным процессом, протекающим на протяжении относительно длительного времени.
Информация источника всегда распространяется во внешнюю среду. Каналы распространения информации носят объективный характер, отличаются активностью и включают в себя: деловые, управленческие, торговые, научные, коммуникативные регламентированные связи; информационные сети; естественные технические каналы.
Канал распространения информации представляет собой путь перемещения ценных сведений из одного источника в другой в санкционированном режиме (разрешенном) или в силу объективных закономерностей.
Утрата информационных ресурсов ограниченного доступа может наступить:
при наличии интереса конкурента, учреждений, фирм или лиц к конкретной информации;
при возникновении риска угрозы, организованной злоумышленником или при случайно сложившихся обстоятельствах;
при наличии условий, позволяющих злоумышленнику осуществить необходимые действия и овладеть информацией.
Эти условия могут включать:
отсутствие системной аналитической и контрольной работы по выявлению и изучению угроз, каналов и степени риска нарушений безопасности информационных ресурсов;
неэффективную систему защиты информации или отсутствие этой системы;
непрофессионально организованную технологию обработки и хранения конфиденциальных документов;
неупорядоченный подбор персонала и текучесть кадров, сложный психологический климат в коллективе;
отсутствие системы обучения сотрудников правилам защиты информации ограниченного доступа;
отсутствие контроля со стороны руководства фирмы за соблюдением персоналом требований нормативных документов по работе с информационными ресурсами ограниченного доступа;
бесконтрольное посещение помещений фирмы посторонними лицами.
Понятие угрозы информации, виды угроз. Все информационные ресурсы фирмы постоянно подвергаются объективным и субъективным угрозам утраты носителя или ценности информации.
Под угрозой или опасностью утраты информации понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных.
Риск угрозы любым (открытым и ограниченного доступа) информационным ресурсам создают стихийные бедствия, экстремальные ситуации, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица. К угрозам, создаваемым этими лицами, относятся: несанкционированное уничтожение документов, ускорение угасания (старения) текста или изображения, подмена или изъятие документов, фальсификация текста или его части.
В отличие от объективного распространения утрата информации влечет за собой незаконный переход конфиденциальных сведений, документов к субъекту, не имеющему права владения ими и использования в своих целях.
Понятие несанкционированного канала утраты конфиденциальной информации. Основной угрозой безопасности информационных ресурсов ограниченного распространения является несанкционированный (незаконный, неразрешенный) доступ злоумышленника или постороннего лица к документированной информации и как результат — овладение информацией и противоправное ее использование или совершение иных действий.
Под злоумышленником понимается лицо, действующее в интересах конкурента, противника или в личных корыстных интересах (агентов иностранных спецслужб, промышленного и экономического шпионажа, криминальных структур, отдельных преступных элементов, лиц, сотрудничающих со злоумышленником, психически больных лиц).
Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности фирмы (работники коммунальных служб, экстремальной помощи, прохожие), посетители фирмы, работники других организационных структур, а также сотрудники данной фирмы, не обладающие правом доступа в определенные помещения, к конкретному документу, информации, базе данных. Каждое из указанных лиц может быть злоумышленником или его сообщником, агентом, но может и не быть им.
Целью и результатом несанкционированного доступа может быть не только овладение ценными сведениями и их использование, но и их видоизменение, уничтожение, подмен.
Угрозы сохранности, целостности и конфиденциальности информационных ресурсов ограниченного доступа практически реализуются через риск образования канала несанкционированного получения (добывания) кем-то ценной информации и документов. Этот канал представляет собой совокупность незащищенных или слабо защищенных фирмой направлений возможной утраты конфиденциальной информации, которые злоумышленник использует для получения необходимых сведений, преднамеренного незаконного доступа к защищаемой информации.
Каждая конкретная фирма обладает своим набором каналов несанкционированного доступа к информации, что зависит от множества моментов — профиля деятельности, объемов защищаемой информации, профессионального уровня персонала, местоположения здания.
Функционирование канала несанкционированного доступа к информации обязательно влечет за собой утрату информации, исчезновение носителя информации.
Каналы утечки конфиденциальной информации или КТ - физический путь от источника КТ к злоумышленнику (конкуренту), посредством которого может быть реализован несанкционированный доступ к охраняемым сведениям. Для установления канала утечки необходимы определенные энергетические, пространственные и временные условия и соответствующие технические средства восприятия и фиксирования информации.
Каналы несанкционированного доступа могут быть двух типов: организационные и технические. Обеспечиваются они легальными и нелегальными методами.
Это каналы прогнозируемые, носят стандартный характер и перекрываются стандартными средствами противодействия. Обычным и профессионально грамотным является творческое сочетание в действиях злоумышленника каналов обоих типов, например установление доверительных отношений с сотрудником фирмы и перехват информации по техническим каналам с помощью этого сотрудника. Вариантов и сочетаний каналов может быть множество. Изобретательность грамотного злоумышленника не знает предела, поэтому риск утраты информации всегда достаточно велик. При эффективной системе защиты информации фирмы злоумышленник разрушает отдельные элементы защиты и формирует необходимый ему канал получения информации.
В целях практической реализации поставленных задач злоумышленник определяет не только каналы несанкционированного доступа к информации фирмы, но и совокупность методов получения этой информации.
Организационные каналы разглашения информации отличаются большим разнообразием видов и основаны на установлении разнообразных, в том числе законных, взаимоотношений злоумышленника с фирмой или ее сотрудником для последующего несанкционированного доступа к интересующей информации.
Одним из важных источников, образующий возможный канал утечки информации, является «человек». К нему относятся сотрудники предприятия как производящие и работающие с коммерчески ценной информацией, так и имеющие к ней доступ в силу своих служебных отношений в том числе сотрудники сторонних организаций (работники государственных учреждений, банков, инспекций, судов).
Основными видами организационных каналов могут быть:
• поступление злоумышленника на работу в фирму, как правило, на техническую или вспомогательную должность (оператором ЭВМ, секретарем, дворником, охранником, шофером);
Эффективным способом получения информации о конкурирующей фирме является засылка к конкуренту на предприятие своих агентов под видом рабочих, рассыльных, клерков, дворников и среднего руководящего персонала. Такой очевидец – это лучший источник информации, если ему удается войти в доверие к боссу или даже к руководителю рангом ниже.
• участие в работе фирмы в качестве партнера, посредника, клиента, использование разнообразных обманных способов;
Для обеспечения жизнеспособности предприятия, повышения его прибыли приходится поддерживать широкие связи с поставщиками сырья и комплектующих изделий, продукции предприятия, различными государственными учреждениями (банки, инспекции, суды, арбитраж, пресса, мэрия, префектура).
Такое обилие взаимодействующих предприятий, учреждений и отдельных лиц создает дополнительные проблемы в защите КТ предприятия и создает новые возможные каналы утечки через задействованных в этом процессе сотрудников сторонних организаций.
• поиск злоумышленником сообщника, работающего в интересующей его фирме, который становится его соучастником;
• установление злоумышленником доверительных взаимоотношений с сотрудником учреждения, фирмы или посетителем, сотрудником другого учреждения, обладающим интересующими злоумышленника сведениями;
Однако наряду с возможным предательством сотрудников нужно иметь в виду более простые способы получения информации, связанные с обманом служащих, предприятия. Создаются специальные ложные предприятия, которые широко предлагают работу специалистам из конкурирующих фирм. Цель этих предложений - выведать тайны конкурентов. Первоначально выясняется круг лиц, которые интересуют клиента, затем, названия газет, которые эти специалисты выписывают, после чего в одной из этих газет помещают объявление: нужен такой—то специалист, указывают условия найма (заработная плата, как минимум в два раза больше, чем получает этот специалист, дополнительно премии, льготы).
Условия, предлагаемые фирмой через газету, оказываются настолько привлекательными, что редко кто не попадает в ловушку. Специалист заполняет необходимые анкеты, встречается с будущим начальством и, желая показать себя с лучшей стороны, рассказывает, как правило, не только о том, что делает сам, но и о работе своего отдела. Через определенное время он получает вежливый отказ и остается на прежнем месте, досадуя, что упустил свой шанс. А шпионская фирма получает те сведения, которые ее интересовали, и продает из за большие деньги клиенту.
Как разновидность этого способа получения информации о конкурентах промышленные фирмы иногда сами выходят с предложениями о переходе к ним на более высокооплачиваемую работу основным специалистам фирмы-конкурента. Эта так называемая «кража мозгов».
За небольшую прибавку к зарплате можно получить от этого специалиста ценнейшие сведения.
• использование коммуникативных связей фирмы – участие в переговорах, совещаниях, переписке с фирмой;
Одной из наиболее опасных форм существования коммерчески ценной информации является информация, которая также увязана с людьми (служащими предприятия).
Особая опасность возможности их утечки связана с поведением их обладателя. Этот человек в силу определенных своих слабостей (болтливость, стремление показать себя более, компетентным), может легко (лесть, посулы) рассказать о них конкуренту.
• использование ошибочных действий персонала или умышленное провоцирование злоумышленником этих действий;
В большинстве случаев утечка информации происходит в результате сознательных (в качестве мести, за взятку, под угрозой шантажа) или злостно-ошибочных действий (слабое знание требований по защите информации или злостное невыполнение этих требований) работников предприятия.
Поэтому условие сохранения КТ предприятия – правильная кадровая политика, создание нормального психологического климата в коллективе.
• тайное или по фиктивным документам проникновение в здание фирмы и помещения, криминальный, силовой доступ к информации, т.е. кража документов, дискет, дисков, компьютеров, шантаж и склонение к сотрудничеству отдельных сотрудников, подкуп сотрудников, создание экстремальных ситуаций;
• получение нужной информации от третьего (случайного) лица.
Организационные каналы отбираются или формируются злоумышленником индивидуально в соответствии с его профессиональным умением, конкретной ситуацией, и прогнозировать их крайне сложно. Обнаружение организационных каналов требует проведения серьезной поисковой и аналитической работы. Широкие возможности несанкционированного получения подобных сведений создает техническое обеспечение офисных технологий. Любая управленческая деятельность всегда связана с обсуждением ценной информации в кабинетах или по линиям связи, проведением расчетов и анализа ситуаций на ЭВМ, изготовлением, размножением документов и т.п.
Технические каналы утечки информации возникают при использовании злоумышленником специальных технических средств промышленного шпионажа, позволяющих получать защищаемую информацию без непосредственного контакта с персоналом фирмы, документами, делами и базами данных. Технический канал представляет собой физический путь утечки информации от источника или канала объективного распространения информации к злоумышленнику. Канал возникает при анализе злоумышленником физических полей и излучений, появляющихся в процессе работы вычислительной и другой офисной техники, при перехвате информации, имеющей звуковую, зрительную или иную форму отображения. Основными техническими каналами являются: акустический, визуально-оптический, электромагнитный.