Организация работы с документированной информацией ограниченного доступа

время, определение правил вскрытия помещений  и отключения

охранных  технических средств информирования и сигнализирования,

определение правил постановки помещений на охрану, регламентация

работы  указанных технических средств  в рабочее время;

— организацию  контролируемого (в необходимых  случаях

пропускного) режима входа в указанные помещения;

— организацию  действий охраны и персонала в  экстремальных

ситуациях или при авариях техники и  оборудования помещений;

— организацию  выноса из указанных помещений материальных

ценностей, машинных и бумажных носителей информации,

контроль  вносимых в помещение и выносимых  персоналом личных

вещей.

Несмотря  на то, что по окончании рабочего дня конфиденциальные

сведения  должны быть перенесены на гибкие носители и

стерты  с жесткого диска компьютера, помещения, в которых находится

вычислительная  техника, подлежат охране. Объясняется

это тем, что, во-первых, в неохраняемый компьютер  легко установить

одно  из средств промышленного шпионажа и, во-вторых,

злоумышленник может с помощью специальных  методов восстановить

стертую конфиденциальную информацию на жестком диске

(произвести "уборку мусора").

Доступ  к машинным носителям конфиденциальной информации,

хранящимся  вне ЭВМ, предполагает:

— организацию  учета и вьщачи сотрудникам чистых машинных

носителей информации;

— организацию  ежедневной фиксируемой вьщачи сотрудникам

и приема от сотрудников носителей с записанной информацией

(основных  и резервных);

— определение  и регламентацию первым руководителем  состава

сотрудников, 11меющих право оперировать конфиденциальной

информацией с помощью компьютеров, установленных на их

рабочих местах, и получать в службе 1СД учтенные машинные носители

информации;

245

— организацию  системы закрепления за сотрудниками машинных

носителей информации и контроля за сохранностью и целостностью

информации, учета динамики изменения состава записанной

информации;

— организацию  порядка уничтожения информации на носителе,

порядка и условий физического уничтожения  носителя;

— организацию  хранения машинных носителей в службе КД в

рабочее и нерабочее время, регламентацию порядка эвакуации

носителей в экстремальных ситуациях;

— определение  и регламентацию первым руководителем  состава

сотрудников, не сдающих по объективным причинам технические

носители  информации на хранение в службу КД в конце

рабочего  дня, организацию особой охраны помещений и компьютеров

этих  сотрудников.

Работа  сотрудников службы КД и организации  в целом с машинными

носителями  информации вне ЭВМ должна быть организована

аналогично  работе с бумажными конфиденциальными

документами.

Доступ  к конфиденциальным базам данных и файлам — завершающий

этап  доступа сотрудника организации  к компьютеру.

Если  этот сотрудник — злоумышленник, то можно считать, что

самые серьезные рубежи защиты охраняемой электронной информации

он успешно  преодолел. В конечном счете, не "взламывая"

базу  данных, он может просто унести компьютер  или вынуть из

него  и унести жесткий диск.

Обычно  доступ к базам данных и файлам подразумевает:

— определение  и регламентацию первым руководителем  состава

сотрудников, допускаемых к работе с определенными базами

данных  и файлами, контроль системы доступа  администратором

базы  данных; присвоение имен базам данных и файлам, фиксирование

в машинной памяти имен пользователей и операторов,

имеющих право доступа к ним;

— учет состава базы данных и файлов, регулярная проверка

наличия, целостности и комплектности  электронных документов;

— регистрацию (протоколирование) входа в базу данных или

файл, автоматическую регистрацию имени пользователя и времени

работы, сохранение первоначальной информации;

246

— регистрацию (протоколирование) попытки несанкционированного

входа в базу данных или файл, регистрацию  ошибочных

действий  пользователя, автоматическую передачу сигнала тревоги

охране  и автоматическое отключение компьютера;

— установление и бессистемное по сроку изменение имен

пользователей, массивов и файлов (паролей, кодов, классификаторов,

ключевых  слов и т. п.);

— отключение ЭВМ при нарушениях в системе  регулирования

доступа или сбое системы защиты информации;

— механическое (ключом или иным приспособлением) блокирование

отключенной, но загруженной ЭВМ при недолговременных

перерывах в работе пользователя.

Коды, пароли, ключевые слова, ключи, шифры, специальные

программные продукты, аппаратные средства и другие атрибуты

системы защиты информации в ЭВМ разрабатываются, меняются

специализированной  организацией и доводятся до сведения

каждого пользователя работником этой организации  или администратором

базы  данных. Применение пользователями собственных

кодов не допускается.

В соответствии с действующей системой доступа поступившие в

организацию традиционные и электронные документы  делятся на:

— подлежащие рассмотрению первым руководителем;

— подлежащие рассмотрению заместителями первого  руководителя

(по  фамилиям);

— передаваемые руководителям структурных подразделений

или направлений  деятельности организации;

— передаваемые непосредственно исполнителям.

При рассмотрении документов руководителем в целях  защиты

информации  должны быть решены следующие задачи:

— принятие правильного решения по составу  исполнителей,

допускаемых к документу;

— исключение возможности ознакомления с документом посторонних

лиц в  процессе работы руководителей с документами;

— исключение возможности кражи или копирования  документов

посетителями, техническим и обслуживающим  персоналом,

секретарем  и другими лицами;

247

— исключение возможности утечки информации по техническим

каналам (визуальному, акустическому или другим, например

при безответственном обсуждении содержания конфиденциального

документа по незащищенным линиям связи);

— фиксирование факта передачи документа руководителю и

возвращения документа от него;

— обеспечение  физической сохранности всех частей документа

(приложений, листов и т. п.).

Передача  документов руководителям осуществляется работником

службы  КД под роспись в традиционном журнале учета

документов, передаваемых руководству, или бумажном экземпляре

аналогичного  электронного журнала (описи). Роспись за

документ  может ставиться в учетной  карточке документа. Передавать

конфиденциальные  документы руководителям через  их

секретарей  или без росписи в учетной  форме не разрешается.

Традиционные  и электронные конфиденциальные документы

перемещаются  между руководителями или между  руководителями

и исполнителями  только через службу КД.

Документы, возвращенные руководителем с резолюцией, и

документы, прошедшие разметку в службе КД, передаются исполнителям

для ознакомления, использования в работе или исполнения

(работы  с ними). Документы могут также  быть переданы по

передаточному журналу на другие участки службы КД — инвентарный,

документов  предварительного учета, архивный и  др.

Работник  службы КД, вьщавая документы сотрудникам  организации,

обязан:

— не допустить  вьщачу документа лицу, не имеющему права

доступа к нему;

— в  присутствии сотрудника проверить  физическую сохранность

документа, наличие всех приложений, листов и  других частей

документа, зафиксировать факт передачи документа в учетной

форме под роспись сотрудника;

— знакомить  сотрудников только с той частью документа, которая

ему адресована, не разрешать сотрудникам при  ознакомлении

с документом делать выписки из текста на листочки, в записные

книжки  и т. п.;

248

— предотвращать любую возможность ознакомления с документом

постороннего  лица;

— обеспечить учет документов, находящихся у сотрудников,

контроль  сохранности этих документов в рабочее  и нерабочее

время.