36. Организационно режимные меры защиты носителей информации.

Проблема защиты машинных носителей информации (МНИ) в АС, решается в основном за счет организационно-режимных мер, делающих невозможным или существенно ограничивающим доступ злоумышленников к МНИ и документальным материалам АС. Методы несанкционированного доступа к МНИ по сути дела совпадают с методами преодоления обычных средств защиты от физического проникновения в локализованное защищаемое пространство. В связи с этим одним из наиболее надежных подходов к защите НИИ является их физическая защита. В то же время защита МНИ имеет специфику, определяемую их реализацией и организацией.

Для доступа к данным МНИ существуют два основных способа: • последовательный доступ, когда блоки записываются друг за другом и для чтения следующего нужно пройти все предыдущие; • прямой (произвольный) доступ, отличающийся тем, что блоки записываются и читаются в произвольном порядке. Например, дисковые накопители являются устройствами произвольного доступа, накопители на магнитной ленте - последовательного доступа.

МНИ характеризуются: • различными физическими принципами реализации; • широким спектром объемов хранимой информации - от единиц до десятков тысяч мегабайт,• многообразием конкретных реализаций носителей различными производителями.

Задача получения злоумышленником доступа к информации состоит из:

1) выбор соответствующего заданному носителю привода - наиболее значимого для обеспечения доступа элемента;

2) запуск соответствующего приводу комплекта программ (операционная система, драйверы привода и т.п.);

3) обеспечение порядка использования программ и привода для считывания в память компьютерной системы содержимого носителя информации.

Злоумышленник не может получить доступ к информации на машинном носителе в двух случаях:

• когда злоумышленнику недоступен сам носитель;

• когда злоумышленнику доступен носитель, но отсутствуют соответствующие средства взаимодействия с носителем.

Основными задачами обеспечения информационной безопасности АС от угрозы раскрытия конфиденциальности на уровне МНИ являются:

• исключение прохождения носителей по технологическим участкам, не обусловленным производственной необходимостью;

• предупреждение непосредственного доступа к носителям персонала, не отвечающего за операции с носителями (минимизация доступа), предупреждение утраты или хищения носителей информации.

Первая задача решается за счет рациональной организации производственного процесса движения носителей информации, обеспечивающего целенаправленное распределение носителей по технологическим участкам, вторая - за счет четкой и обоснованной регламентации порядка обращения с носителями.

Регламентация порядка обращения с носителями предусматривает выполнение комплекса мер:

• Запись информации (создание носителей с информацией) на рабочих местах, обеспечивающих условия для предотвращения утечки по техническим каналам и физической сохранности носителей.

• Постановку на учет МНИ с простановкой соответствующей маркировки на зарегистрированном носителе. Одним из элементов маркировки должен быть гриф секретности информации, хранящейся на данном носителе.

• Передачу МНИ между подразделениями организации, эксплуатирующей АС, под расписку.

• Вынос МНИ за пределы организации только с разрешения уполномоченных лиц.

• Хранение МНИ в условиях, исключающих несанкционированный доступ посторонних. Для хранения рекомендуется использовать надежно запираемые и опечатываемые шкафы. Надлежащие условия хранения должны быть обеспечены для всех учтенных носителей, независимо от того, находятся ли они в эксплуатации или нет

• Уничтожение МНИ, которые утратили свои эксплуатационные характеристики или не используются из-за перехода на новый тип носителя, специально организованными комиссиями согласно актам, утверждаемым уполномоченными лицами. Уничтожение носителей должно проводиться путем их физического разрушения, не допускающего восстановление и повторное использование носителей. Перед уничтожением конфиденциальная информация должна быть по возможности гарантированно удалена.

• Передачу в ремонт средств вычислительной техники без МНИ, которые могут содержать конфиденциальную информацию (без накопителей на жестких дисках и т.п.). В случае ремонта МНИ конфиденциальная информация на них должна быть гарантированно удалена. Если удалить информацию невозможно, решение о ремонте принимается руководителем соответствующего подразделения или коллегиально, а ремонт осуществляется в присутствии лица, ответственного за сохранность информации на данном носителе.

• Периодический контроль контролирующими подразделениями соблюдения установленных правил обращения с носителями и их физической сохранности.

В соответствии сданными условиями можно установить требования, выдвигаемые к обслуживающему персоналу АС. Лицам, эксплуатирующим и обслуживающим АС, запрещается:

• Сообщать кому бы то ни было в какой бы ни было форме, если это не вызвано служебной необходимостью, любые сведения о характере работы, выполняемой в АС; о порядке защиты, учета и хранения МНИ, о системе охраны и пропускном режиме объекта.

• Использовать для работы с конфиденциальной информацией незарегистрированные МНИ.

• Хранить на МНИ информацию с более высокой степенью секретности, чем определено для него в момент регистрации.

• Работать с неучтенными экземплярами конфиденциальных документов, полученных в ходе обращений в АС, и передавать их другим сотрудникам.

• Выносить из помещений, где установлены средства вычислительной техники (СВТ) АС, без разрешения ответственных за режим в этих помещениях: МНИ, содержащие конфиденциальные данные, подготовленные в АС документы, а также другую документацию, отдельные блоки, аппаратуру и иное оборудование.

• Вносить в помещения, где расположены СВТ АС, постороннее имущество и материалы, в том числе кинофотоаппаратуру и радиоаппаратуру.

• Принимать и передавать МНИ и документы без соответствующей расписки в учетных документах, знакомить с ними других сотрудников без разрешения соответствующих должностных лиц.

• Делать на этикетках МНИ или на их упаковках пометки и надписи, раскрывающие содержание этих носителей.

• Уничтожать МНИ и документы без санкции соответствующего должностного лица и оформления в установленном порядке.

• Проводить в АС обработку конфиденциальной информации и выполнять другие работы, не обусловленные заданиями, поступающими запросами и инструкциями по эксплуатации АС, а также знакомиться с содержанием МНИ и документами по вопросам, не имеющим отношения к служебным обязанностям.