А. Артемов - Информационная безопасность. Курс лекций
Исполнение конфиденциального документа – процесс составления и оформления официального документа. В отличие от открытых документов стадия исполнения конфиденциальных документов включает ряд дополнительных технологических этапов и процедур, обеспечивающих сохранность носителя и конфиденциальность документируемой информации. Стадия включает в себя следующие технологические этапы: установление уровня грифа конфиденциальности сведений, подлежащих включению в будущий документ; оформление и учет носителями» документирования данной конфиденциальной информации; документирование информации, изготовление конфиденциального документа, издание документа. Указанные этапы характеризуются не только регламентированной технологией, но и жесткими правилами работы персонала с конфиденциальным документом.
Использование конфиденциального документа – включение документа в информационно-документационную систему, обеспечивающую исполнение других документов, выполнение управленческих действий и принятие решений. Для использования в работе обычно поступают: законодательные акты, организационно-правовые, нормативные, распорядительные, справочно-информационные документы, разнообразные рекламные издания и научно-техническая информация.
Источник конфиденциальной информации – объективно пассивный накопитель (концентратор) конфиденциальной информации. В научной литературе часто используется альтернативный для сферы защиты информации термин – «носитель конфиденциальной информации» по аналогии с термином «секретоноситель». К основным видам источников относятся: традиционные и электронные документы, базы данных, персонал фирмы и окружающие ее люди, физические поля, сопровождающие работу вычислительной и другой офисной техники, публикации о фирме и ее разработках, рекламные издания, выставочные материалы. Каждый из источников делится на множество подвидов. Классификация источников конфиденциальной информации, сопровождающих работу конкретной фирмы, является одной из главных составных частей аналитической работы по выявлению каналов несанкционированного доступа к конфиденциальной информации и обеспечению безопасности информации» каждом источнике.
Источник угрозы конфиденциальной информации – объективные и субъективные явления, события, факторы, действия и обстоятельства, содержащие опасность для ценной информации. К объективным источникам можно отнести: экстремальные ситуации, несовершенство технических средств и др. Субъективные источники связаны с человеческим фактором и включают злоумышленников различного рода, посторонних лиц, посетителей, неквалифицированный или безответственный персонал, психически неполноценных людей, сотрудников, обиженных руководством фирмы, и др. Источники угрозы могут быть внешними и внутренними. Внешние источники находятся вне фирмы и представлены чрезвычайными событиями, а также организационными структурами и физическими лицами, проявляющими определенный интерес к фирме. Внутренние источники угрозы связаны с фатальными событиями в здании фирмы, а также с персоналом. Однако наличие источника угрозы само по себе не является угрозой. Угроза реализуется в действиях.
К
Канал несанкционированного доступа к информации – совокупность незащищенных или слабо защищенных фирмой направлений возможной утраты конфиденциальной информации, которые злоумышленник использует для получения необходимых сведений, преднамеренного незаконного доступа к защищаемой информации. В основе выявления возможного канала несанкционированного доступа лежит взаимодействие злоумышленника с источником информации или преобразование канала объективного распространения информации в канал ее утраты. Этот процесс требует проведения поисковой и аналитической работы и организуется тайно. Каждая фирма обладает своим набором каналов несанкционированного доступа к информации, что зависит от множества моментов – профиля деятельности, объема защищаемой информации, совершенства применяемой системы защиты информации и противодействия злоумышленникам, эффективности аналитической работы, профессионального уровня персонала, местоположения здания фирмы и др. Канал несанкционированного доступа может быть организационным и техническим и обеспечиваться легальными и нелегальными методами.
Канал несанкционированного доступа организационный – направление несанкционированного доступа злоумышленника к конфиденциальной информации, включающее в себя: установление разнообразных, в том числе законных, взаимоотношений злоумышленника с фирмой (поступление на работу в фирму, участие в работе фирмы в качестве партнера, посредника, клиента, использование разнообразных обманных способов, разрешенная или не разрешенная работа с документом, делом, базой данных и т. п.); сотрудничество с работником фирмы или лицом, имеющих доступ к документации фирмы; тайное или по фиктивными документам проникновение в здание фирмы, помещения, незаконное получение документов, информации; использование коммуникативных связей фирмы (участие в конфиденциальных совещаниях и переговорах, переписке с фирмой и др.). Организационный канал в большинстве случаев основывается на таком распространенном явлении, как случайное или умышленное разглашение конфиденциальной информации персоналом фирмы. Организационные каналы отбираются или формируются злоумышленником индивидуально в соответствии с его профессиональным умением, конкретной ситуацией и прогнозировать их сложно.
Канал несанкционированного доступа технический – физический путь утечки информации от источника или канала объективного распространения информации к злоумышленнику. Основывается на применении злоумышленником специальных технических средств разведки, позволяющих получить защищаемую информацию без непосредственного контакта с источником, владеющим этой информацией. Канал возникает: при анализе злоумышленником физических полей и излучений, появляющихся в процессе работы вычислительной и другой офисной техники, при перехвате информации, имеющей звуковую, визуальную или иную форму отображения. Основными видами технических каналов являются: акустический, электромагнитный, визуально-оптический и др. Каналы носят стандартный характер и перекрываются также стандартным набором средств противодействия. Это каналы прогнозируемые. Часто используются злоумышленником одновременно с трудно прогнозируемыми организационными каналами.
Канал объективного распространения конфиденциальной информации — путь перемещения конфиденциальных сведений из одного источника в другой в качестве санкционированного (разрешенного, законного) действия или в силу объективных закономерностей. Указанный канал отличается активностью и включает в себя: деловые, управленческие, торговые, научные и другие коммуникативные регламентированные связи, информационные сети, естественные технические каналы излучения, создания фона, поля. Например: обсуждение конфиденциального вопроса на закрытом совещании, передача документа на исполнение, запись на бумаге изобретения, переговоры с потенциальным партнером, работа на ЭВМ и др.
Картотека учетная – традиционный справочно-информационный банк данных по конфиденциальным документам при любых видах учета. Разновидность учетных картотек: валовая нумерационная картотека, в которой карточки располагаются в последовательности учетных номеров документов; картотека на неисполненные документы, в которой карточки располагаются по исполнителям (картотека «За исполнителями»); справочная картотека на исполненные документы, в которой карточки располагаются по корреспондентам, рубрикам номенклатуры дел или другому удобному для использования признаку; кодификационная картотека по распорядительным документам; контрольная сроковая картотека.
Карточка архивного фонда — учетный документ, содержащий название, сведения о количестве, составе документов архивного фонда и месте его хранения, предназначенный для централизованного государственного учета архивных документов.
Коллегиальность контроля – один из важнейших методов обеспечения сохранности носителя и конфиденциальности информации. Предусматривает регулярную проверку вторым сотрудником службы конфиденциальной документации полноты охвата учетом всех поступивших и подготовленных документов, чистых носителей информации, правильности заполнения учетных форм, указания местонахождения документа, правомерности передачи документов. Коллегиально ведется проверка наличия документов, уничтожение документов и проверка соблюдения исполнителями порядка работы с конфиденциальными документами.
