Что понимается под физической защитой информации

Одним из условий обеспечения информационной безопасности предприятия является его физическая защита

Физическая защита информации— защита информации путем применения организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполномоченных физических лиц к объекту защиты.

Физические средства защиты — это разнообраз­ные устройства, приспособления, конструкции, аппараты, изделия, предназначенные для создания препят­ствий на пути движения злоумышленников.

К физическим средствам относятся механические, электромеханические, электронные, электронно-опти­ческие, радио- и радиотехнические и другие устройства для воспрещения несанкционированного доступа (вхо­да, выхода), проноса (выноса) средств и материалов и других возможных видов преступных действий.

Эти средства применяются для решения следую­щих задач:

1) охрана территории предприятия и наблюдение за ней;

2) охрана зданий, внутренних помещений и контроль за ними;

3) охрана оборудования, продукции, финансов и информации;

4) осуществление контролируемого доступа в здания и помещения.

Все физические средства, на которых строятся системы ограждения и физической изоляции можно разделить на:

— средства предупреждения угроз;

— средства обнаружения угроз;

— средства ликвидации угроз.

К средствам предупреждения относятся:

— естественные и искусственные барьеры;

— особые конструкции периметров, проходов, оконных и дверных переплетов, помещений, сейфов, хранилищ;

Естественные и искусственные барьеры служат для противодействия незаконному проникновению на территорию объекта.

Одним из главных физических средств защиты проходов, помещений, сейфов и хра­нилищ являются замки. Они бывают простыми (с клю­чами), кодовыми (в том числе и с временной задерж­кой на открывание) и с программными устройствами, открывающие двери и сейфы только в определенные часы.

Важнейшим средством физи­ческой защиты является планировка объекта, его зда­ний и помещений по зонам безопасности, которые учитывают степень важности различных частей объек­та с точки зрения нанесения ущерба от различного вида угроз. Оптимальное расположение зон безопасности и размещение в них эффективных технических средств обнаружения, отражения и ликвидации последствий противоправных действий составляет основу концеп­ции инженерно-технической защиты объекта.

Зоны безопасности должны располагаться на объекте последовательно, создавая цепь чере­дующихся друг за другом препятствий (рубежей), ко­торые придется преодолевать злоумышленнику.

К средствам обнаружения угроз можно отнести:

— охранные системы и средства охранной сигнали­зации;

Эффективность работы системы охраны и охран­ной сигнализации в основном определяется парамет­рами и принципом работы датчиков. Применяются датчики следующих типов: механические вык­лючатели, проволока с выключателем, магнитный выключатель, ртутный выключатель, коврики давле­ния, металлическая фольга, проволочная сетка, шифроволновый датчик, ультразвуковой датчик, инфра­красный датчик, фотоэлектрический датчик, акусти­ческий датчик, вибрационный датчик, индуктивный датчик, емкостный датчик и другие.

Каждый тип датчика реализует определенный вид защиты: точечная защита, защита по линии, защита по площади или защита по объему. Механические датчики ориентированы на защиту линии, коврики давле­ния — на точечное обнаружение, а инфракрасные на­ходят широкое применение по площади и по объему.

Датчики посредством тех или иных каналов связи соединены с контрольно-приемным устройством пун­кта (или поста) охраны и средствами тревожного опо­вещения.

Каналами связи в системах охранной сигнализа­ции могут быть специально проложенные проводные или кабельные линии, телефонные линии объекта, линии связи трансляции, системы освещения или ра­диоканалы. Выбор каналов определяется возможнос­тями объекта.

Важным объектом охранной системы являются средства тревожного оповещения: звонки, сирены, подающие постоянные или прерываемые сиг­налы о появлении угрозы.

Одним из распространенных средств охраны яв­ляется охранное телевидение. Осо­бенностью охранного телевидения является возмож­ность не только отметить нарушение режима охраны предприятия, но и контролировать обстановку вокруг него в динамике ее развития, определять опасность дей­ствий, вести скрытое наблюдение и производить ви­деозапись для последующего анализа правонаруше­ния как с целью анализа, так и для привлечения к от­ветственности нарушителя.

Источниками изображения (датчиками) в системах охранного телевидения являются видеокамеры. Видеокамера является наиболее важным элемен­том системы охранного телевидения, так как от ее характеристик зависит эффективность и результатив­ность всей системы контроля и наблюдения.

Обязательной составной частью системы защиты любого объекта является охранное освещение. Разли­чают два вида охранного освещения — дежурное и тревожное.

Дежурное освещение предназначается для посто­янного использования в нерабочие часы, в вечернее и ночное время, как на территории объекта, так и внутри здания.

Тревожное освещение включается при поступле­нии сигнала тревоги от средства охранной сигнализа­ции. Кроме того, по сигналу тревоги в дополнение к освещению могут включаться и звуковые приборы (звонки, сирены и пр.).

Сигнализация и дежурное освещение должны иметь резервное электропитание на случай аварии или выключения электросети. В последние годы большое внимание уделяется созданию систем физической защиты, совмещенных с системами сигнализации.

К средствам ликвидации угроз можно отнести систему пожаротушения.

Контроль доступа в помещения или здания осуществляется посредством опознава­ния службой охраны или техническими средствами.

Контролируемый доступ предполагает ограниче­ние круга лиц, допускаемых в определенные защища­емые зоны, здания, помещения, и контроль за пере­движением этих лиц внутри них.

Основанием допуска служит определенный метод опознавания и сравнения с разрешительными пара­метрами системы. Имеется весьма широкий спектр методов опознавания уполномоченных лиц на право их доступа в помещения, здания, зоны.

На основе опознавания принимается решение о до­пуске лиц, имеющих на это право, или запрещение — для не имеющих его. Наибольшее распространение получи­ли атрибутные и персональные методы опознавания.

К атрибутным способам относятся средства под­тверждения полномочий, такие, в частности, как доку­менты (паспорт, удостоверение), карты (фотокарточ­ки, карты с магнитными, электрическими, механическими идентификаторами и т. д.) и иные средства (клю­чи, сигнальные элементы и т. д.). Заметим, что эти сред­ства в значительной мере подвержены различного рода подделкам и мошенничеству.

Персональные методы — это методы определения лица по его независимым показателям: отпечаткам пальцев, геометрии рук, особенностям глаз. Персо­нальные характеристики бывают статические и дина­мические. К последним относятся пульс, давление, кардиограммы, речь, почерк и другие.

Системы опознавания по отпечаткам пальцев.В основу идентификации положено сравнение относи­тельного положения окончаний и разветвлений линий отпечатка. Поисковая система ищет на текущем изоб­ражении контрольные элементы, определенные при исследовании эталонного образца. Для идентификации одного человека считается достаточным определение координат 12 точек.

Системы опознавания по голосу.Существует не­сколько способов выделения характерных признаков речи человека: анализ кратковременных сегментов, контрольный анализ, выделение статистических харак­теристик. Следует отметить, что теоретически вопро­сы идентификации по голосу разработаны достаточно полно, но промышленное производство пока налаже­но слабо.

Системы опознавания по почеркусчитаются наи­более удобными для пользователя. Основным принци­пом идентификации по почерку является постоянство подписи каждого индивидуума, хотя абсолютного со­впадения не бывает.

Система опознавания по геометрии рук.Для иден­тификации применяют анализ комбинации линий сги­бов пальцев и ладони, линий складок, длины и толщи­ны пальцев и других.

Технически это реализуется путем наложения руки на матрицу фотоячеек. Рука освещается мощной лам­пой, производится регистрация сигналов с ячеек, не­сущих информацию о геометрии.

Все устройства идентификации человека могут работать как отдельно, так и в комплексе. Комплекс может быть узкоспециальным или многоцелевым, при котором система выполняет функции охраны, контро­ля, регистрации и сигнализации. Такие системы явля­ются уже комплексными. Комплексные системы обес­печивают:

— допуск на территорию предприятия по карточке (пропуску), содержащей индивидуальный машинный код;

— блокирование прохода при попытках несанкционированного прохода (проход без пропуска, проход в спецподразделения сотрудников, не имеющих допуска);

— возможность блокирования прохода для нарушителей графика работы (опоздание, преждевременный уход и т. д.);

— открытие зоны прохода для свободного выхода по команде вахтера;

— проверку кодов пропусков на задержание их предъявителей на КПП по указанию оператора системы;

— регистрацию времени пересечения проходной и сохранение его в базе данных персональной ЭВМ;

— обработку полученных данных и формирование различных документов (табель рабочего времени, суточный рапорт, ведомость нарушителей трудовой дисциплины и т. д.), что позволяет иметь оперативную информацию о нарушителях трудовой дисциплины, отработанном времени; оперативную корректировку информации базы данных с доступом по паролю;

— распечатку табелей рабочего времени по произ­вольной группе сотрудников (предприятие в це­лом, структурное подразделение, отдельно выбран­ные сотрудники);

— распечатку списков нарушителей графика рабо­чего времени с конкретными данными о нару­шении;

— текущий и ретроспективный анализ посещения сотрудниками подразделений, передвижения сотрудников через КПП, выдачу списочного состава присутствовавших или отсутствовавших в подразделении или на предприятии для произвольно выбранного момента времени (при условии хранения баз данных за прошлые периоды);

— получение оперативной информации абонентами локальной сети в случае сетевой реализации системы.

Запирающие устройства и специальные шкафы занимают особое место в системах ограничения дос­тупа, поскольку и содержат в себе признаки, как систем физической защиты, так и устройств контроля досту­па. Они отличаются большим разнообразием и пред­назначены для защиты документов, материалов, маг­нитных и фотоносителей и даже технических средств.

Источник

Защита объектов информатизации. Функции и задачи физической защиты Под физической защитой

Функции и задачи физической защиты

Под физической защитой понимается совокупность организационных мероприятий, инженерно-технических средств, действий подразделений охраны в целях предотвращения диверсий или хищений носителей конфиденциальной информации и других материальных средств на охраняемых объектах.

Задачи физической защиты:

– предупреждение случаев несанкционированного доступа на объекты предприятия;

– своевременное обнаружение несанкционированных действий на территории предприятия;

– задержка (замедление) проникновения нарушителя, создание препятствий его действиям;

– пресечение несанкционированных действий на территории предприятия;

– задержание лиц, причастных к подготовке или совершению диверсии, хищению носителей конфиденциальной информации или иных материальных ценностей предприятия.

Физические средства защиты — разнообразные устройства, приспособления, конструкции, аппараты, изделия, предназначенные для создания препятствий на пути движения злоумышленников.

К физическим средствам относятся механические, электромеханические, электронные, электронно-оптические, радио- и радиотехнические и другие устройства для воспрещения несанкционированного доступа (входа-выхода), проноса (выноса) средств и материалов и других возможных видов преступных действий.

Физические средства применяются для решения следующих задач.

1) Охрана территории и наблюдение за ней.

2) Охрана зданий, внутренних помещений и контроль за ними.

3) Охрана оборудования, продукции, финансов и информации.

4) Осуществление контроля доступа в здания и помещения.

5) Нейтрализация излучения и наводок.

6) Создание препятствий визуальному наблюдению.

7) Противопожарная защита.

8) Блокировка действий нарушителя.

Все физические средства защиты объектов можно разделить на три категории: средства предупреждения, средства обнаружения и системы ликвидации угроз. Охранная сигнализация и охранное телевидение, например, относятся к средствам обнаружения угроз; заборы вокруг объектов — это средства предупреждения несанкционированного проникновения на территорию, а усиленные двери, стены, потолки, решетки на окнах и другие меры служат защитой и от проникновения и от других преступных действий. Средства пожаротушения относятся к системам ликвидации угроз.

Допуск — разрешение на проведение определенной работы или на получение определенных документов и сведений.

Защищенная зона — территория объекта предприятия, которая окружена физическими барьерами, постоянно находящимися под охраной и наблюдением, и доступ в которую ограничивается и контролируется.

Нарушитель — лицо, совершившее или пытающееся совершить несанкционированное действие, а также лицо, оказывающее ему содействие в этом.

Несанкционированное действие— хищение или попытка хищения носителей конфиденциальной информации и материальных средств предприятия, осуществление или попытка осуществления несанкционированного доступа, проноса (провоза) запрещенных предметов, совершения диверсии, вывода из строя средств физической защиты.

Несанкционированный доступ — проникновение лиц, не имеющих права доступа, в охраняемые зоны, на объекты, в служебные помещения предприятия.

Обнаружение — установление факта несанкционированного действия.

Функции обнаружения – оповещение о действиях нарушителя (тайных, открытых) с помощью датчиков или систем контроля доступа.

Датчики (извещатели) – средства обнаружения, бывают внешние или внутренние.

Задержка – замедление продвижения нарушителя.

Эффективность задержки –время, необходимое нарушителю после его обнаружения для преодоления каждого элемента задержки.

Элемент задержки – заграждения, замки, механические (активируемые) средства, отряд охраны.

Периметр — граница охраняемой зоны, оборудованная физическими барьерами и контрольно-пропускными пунктами.

Подразделение охраны — вооруженное подразделение, выполняющее задачи по охране и обороне объектов предприятия.

Система охранной сигнализации— совокупность средств обнаружения, тревожно-вызывной сигнализации, системы сбора, отображения и обработки информации.

Техническое средство обнаружения — устройство, предназначенное для автоматической подачи сигнала тревоги в случае несанкционированного действия.

Физический барьер— физическое препятствие, затрудняющее проникновение нарушителя в охраняемые зоны.

Ответные действия – предпринимаются охраной или специальными подразделениями для предотвращения успешного выполнения нарушителем своих задач.

Ответные действия – перехват и нейтрализация, важность связи между силами охраны.

Контроль и управление доступом: комплекс мероприятий, направленных на ограничение и санкционирование перемещение людей, предметов, транспорта в помещениях, зданиях, сооружениях и по территории объектов. Совокупность организационных мер, оборудования и приборов, инженерно-технических сооружений, алгоритмов и программ, которая автоматически выполняет в определенных точках объекта в заданные моменты времени следующие основные задачи: разрешает проход уполномоченным субъектам (сотрудникам, посетителям, транспорту); запрещает проход всем остальным.

В целях физической защиты территории и объектов предприятия решением его руководителя создается система физической защиты (СФЗ), предназначенная для удержания нарушителей от совершения противоправных действий или их обнаружения и задержки, принятия ответных мер. Эта система создается исходя из необходимости и целесообразности при условии невозможности эффективного решения ранее перечисленных задач с использованием традиционных сил и средств охраны предприятия.

Система физической защиты (СФЗ) предприятия включает:

1) организационные мероприятия;

2) инженерно-технические средства;

3) действия подразделений охраны.

К объектам защиты информации могут быть отнесены: охраняемая территория, здание (сооружение), выделенное помещение, информация и (или) информационные ресурсы объекта информатизации.

Результатом защиты информации может быть предотвращение ущерба обладателю информации из-за возможной утечки информации и (или) несанкционированного и непреднамеренного воздействия на информацию.

Термины, относящиеся к угрозам безопасности информации:

– угроза (безопасности информации): совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации;

– фактор, воздействующий на защищаемую информацию: явление, действие или процесс, результатом которого могут быть утечка, искажение, уничтожение защищаемой информации, блокирование доступа к ней;

– источник угрозы безопасности информации: субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации;

– уязвимость (информационной системы); брешь: свойство информационной системы, обусловливающее возможность реализации угроз безопасности обрабатываемой в ней информации.

Условием реализации угрозы безопасности обрабатываемой в системе информации может быть недостаток или слабое место в информационной системе. Если уязвимость соответствует угрозе, то существует риск.

Источник

Физическая безопасность информационных ресурсов

Физическая безопасность информационных ресурсов

В современном мире при защите информации наибольшее внимание следует уделять физической безопасности информационных ресурсов. Своевременная оценка рисков позволит избежать руководству компании незапланированных перерывов в работе и большой потери денег

Станислав Заржецкий
Региональный менеджер Lampertz GmbH &Co

В мире уже много лет существует понятие функциональной безопасности информационных ресурсов. Основными ее составляющими являются:

В наши дни, когда достаточно высока вероятность техногенных катастроф, немаловажным становится вопрос физической безопасности информации. Для информационных центров этот вопрос наиболее актуален.

Немецкая страховая компания Gerling провела исследование, выясняя, сколько в среднем может просуществовать предприятие после полной остановки информационной системы, и пришла к следующим результатам:

Полная остановка информационной системы может привести к банкротству.

Говоря другими словами, достаточно продолжительный простой вычислительного центра может привести к тому, что предприятие просто перестанет существовать.

При этом ответственность за то, чтобы этого не произошло, целиком и полностью лежит на руководстве компании.

Необходимо также отметить, что даже непродолжительный перерыв в работе информационной структуры зачастую приводит к потере огромных денег.

Факторы риска в вычислительных центрах

Согласно статистическим данным, пожары возникают:

Конструкции любого здания содержат в своем составе воду. Это придает прочность как бетону, так и кирпичным строениям.

При воздействии высокой температуры эта вода начинает «выпариваться» в соседнее помещение, в котором может находиться информационный ресурс, что приводит к достижению 100%-ной влажности уже через 10-15 минут.

Например, в комнате 5x6x3 м образуется 870 л воды.

При горении PVC образуется коррозийный газ:

При горении 1 кг PVC образуется до 5800 м3 коррозийного газа. Это значит, что потеря оборудования и информации возможна даже без прямого контакта с огнем.

Все перечисленные выше примеры и данные показывают, насколько значимым является решение вопроса обеспечения физической безопасности информационных ресурсов.

В мире это уже давно является практически одной из самых основных задач СЮ по информационным технологиям компаний.

Как же определить, что нужно сделать и какие решения необходимо использовать для того, чтобы обеспечить полную функциональную защиту данных?

Экономическое обоснование необходимости обеспечения физической безопасности ИТ-ресурсов компании

На сегодняшний день в мире при составлении сметы затрат вычислительного центра на обеспечение физической защиты информационных ресурсов отводится 1 5-20% от общей его стоимости. При этом при калькуляции стоимости учитывается как оборудование, так и программное обеспечение. В некоторых странах и организациях также учитывается и стоимость информации, которая становится известна по результатам проводимых ИТ-аудитов.

На примере крупной компании нефтегазового комплекса мы можем оценить объем затрат на организацию защиты ЦОТ от физического воздействия (табл. 1.)

Эти цифры говорят сами за себя. Обычно бюджеты компаний в Европе включают затраты на организацию физической защиты как одну из обязательных составляющих всего комплекса в целом. При этом решение о финансировании не принимается, если в проекте отсутствует данная составляющая.

Нужно учитывать и тот факт, что активное оборудование вычислительного центра меняется практически полностью в течение 5 лет (происходит естественный процесс замены устаревшего оборудования), и здесь мы получаем совсем другие цифры (табл. 2.).

Говоря иначе, средства, вложенные компанией в безопасность сегодня, будут защищать ее оборудование в течение 20 лет, и при этом рентабельность решения будет расти с каждым годом. Безусловно, решение потребует затрат в процессе его эксплуатации. Можно взять порядка 20% от полученной суммы и списать на эти затраты. Но даже при этом итоговая сумма составит более €1 000 000.

Когда все три составляющие реализованы, тогда можно говорить о том, что существует функциональная безопасность.

Нельзя забывать и о том, что после длительного нагрева бетонные стены подвергаются определенной коррозии. И когда пожарные начинают тушить пожар, через щели и трещины в центр обработки данных попадает еще и вода. В итоге центр обработки данных, несмотря на внутреннее обеспечение системами пожаротушения и кондиционирования, погибает из-за того, что ему не хватило физической защиты. И никакими стандартными строительными методами защитить свой серверный центр компания просто не сможет.

В Европе существуют аналогичные нашим ГОСТам Евронормы, в которых прописываются определенные требования по обеспечению функциональной безопасности к центрам обработки данных, чтобы считать их работоспособными. У нас, к сожалению, подобных норм еще нет.

Обзор решений, предлагаемых в мире по защите информационного ресурса

На сегодняшний день в мире есть целый ряд компаний, которые предлагают решения по физической защите информационных ресурсов. Обычно это некие комплексные модульные решения, которые обеспечивают защиту сразу от целого ряда воздействий.

Такого рода решения гарантируют безопасность всего центра обработки данных.

Всю продукция компаний в Европе можно условно разделить на три основные составляющие:

Наиболее полным и комплексным решением являются комнаты ИТ-безопасности. Это некая модульная конструкция, которая строится по принципу «помещение в помещении» и гарантированно защищает от выше перечисленных факторов физического воздействия. Наиболее ценным в этом перечне защиты является, конечно, устойчивость к температурным воздействиям. Данная конструкция выдерживает нагрев с температурой 11 00 °С в течение 2 часов и при этом внутри помещения не бывает больше 7 0 °С! Никакими строительными решениями добиться такого уровня защиты просто невозможно.

Благодаря своей модульности такие решения обеспечивают возможность установки в любом помещении, без каких либо специальных строительных требований, а главное, могут монтироваться вокруг уже работающего центра без отключения оборудования.

Компаний, прошедших все необходимые уровни тестирования и сертификации своей продукции, не так много. Только две-три из них могут похвастаться наличием сертификата соответствия ЕвронормеEN1 047-2.

Для Европы использование такого рода решений стало правилом. Согласно принятому в прошлом году соглашению Basel II банки и страховые компании просто обязаны их использовать в своей практике.

Целый ряд компаний предлагает также варианты защиты отдельно стоящих 1 9″ стоек модульными сейфами безопасности. Такое решение не слишком дорого стоит, однако обеспечивает необходимый уровень защиты. Производители предлагают использовать свои сейфы на небольших предприятиях и для вынесенных элементов информационной сети, которые находятся в неблагоприятных зонах. Их степень защиты несколько ниже, но при этом «мобильность» решения намного выше.

Нельзя не обратить внимание и на сейфы для носителей информации. К сожалению, у нас в стране стало привычным делом хранение медиа-носителей в обычных, дешевых сейфах. Причем люди не задумываются о том, что такого рода сейфы служат только для обеспечения сохранности документов. Медиа-носители куда более чувствительны к температуре, и обычный сейф их не защитит.

Учитывая все сказанное выше, можно сделать вывод, что нашей стране просто необходимо больше внимания уделять физической безопасности информационных ресурсов. Это становится все более важным, и значимость сохранности информации растет с каждым днем.

Источник