В условиях формирования общего экономического пространства и свободного рынка, порождающего острую конкуренцию, перед предприятиями особо остро встает задача сохранения коммерческой тайны. В наше время беззастенчивое заимствование, проще говоря, воровство интеллектуальной и промышленной собственности (методик, программ, знаний, технологий, планов, расчётов, и т.п.) стало массовым процессом. Не секрет, что информация, добытая таким путем, дает конкурентное преимущество.
При этом всё чаще для получения (хищения) значимой коммерческой информации используются специальные технические средства. Сегодня их масса. Это и использование радиозакладок с различными частотными и модуляционными характеристиками и простых диктофонов. Сети электропитания и слаботочные цепи (телефонные линии, охранная и пожарная сигнализация, радиоточки, сетевые коммуникации). Стетоскопы, изделия работающие в стандартах GSM, Bluetooth, Wi-Fi. Это и экзотика типа передатчиков, работающих в инфракрасном диапазоне. И много чего ещё. Да, в конце концов, никто не застрахован от того, что ему в систему вентиляции не спустят с чердака обычный кабель с микрофоном или камерой на конце. Соответственно у преступника, задумавшего похитить у вас информацию, представляющую для вас ценность, есть много способов как это сделать.
Что же делать, чтобы защититься? Своими рекомендациями с Zakon.kz поделился специалист в сфере информационной безопасности Игорь Чернов:
Надо отметить, что для защиты от утечки информации необходимо использовать ряд мероприятий различного характера. Условно их можно разделить на три категории: организационного (оперативного) характера; использование защитной техники; специальные проверочные мероприятия.
Все эти мероприятия должны составлять единый комплекс и должны быть увязаны друг с другом.
Мероприятия организационного (оперативного) характера.
Это и подбор персонала. Это и разделение персонала на лиц, имеющих доступ к коммерческой тайне и не имеющих такого доступа. Это и организация такого доступа и наличие четких контролей. Это и разграничение помещений на режимные и обычные. Это и организация пропускного режима и ограничение доступа посторонних лиц и работников компании, не имеющих допуска к коммерческой тайне, в помещения и на объекты в которых возможна установка специальных технических средств. Это и использование локальных систем видеонаблюдения и контроля доступа. Это и наличие четких инструкций для действий в случае хищения/попытки хищения информации, отработанный механизм реагирования.
Использование защитной техники.
Защитная техника всё более входит в моду и многими воспринимается как панацея от «прослушки». При этом все хотят одного – купил, включил и забыл. И могу говорить и делать, что хочу, и никто при этом меня не услышит и не увидит. Когда же этим желающим объясняешь, что такой техники в природе не существует, все удивляются, приводят названия технических средств защиты информации, о которых узнали в Интернете и цитируют рекламные материалы, из которых следует, что такая техника есть и успешно работает.
Необходимо знать, что установка технических средств защиты не дает 100% гарантии от подслушивания или подглядывания. И этот процент тем меньше, чем выше квалификация специалиста, который против вас работает. И который знает, как использовать такую технику, применяемую вами, вам во вред.
Если вас решили прослушать специалисты, имеющие профессиональную технику и опыт ее применения, шансов противостоять этому, используя только защитную технику у вас практически нет. Необходимо знать, что ТСЗИ, осуществляющих абсолютную защиту, в природе не существует.
Каждое изделие спроектировано, изготовлено и рассчитано для подавления одного-двух, редко нескольких каналов утечки информации. И необходимо также знать, что есть каналы утечки, которые можно блокировать только частично, а есть каналы, которые невозможно блокировать вообще никакой техникой.
Кроме того хочу указать на ещё одну серьёзную ошибку тех, кто закупает и использует такую технику. Она заключается в том, что техника закупается бессистемно по принципу «чем больше, тем лучше» без учёта специфики помещений. При этом большая часть такой техники может оказаться попросту бесполезной. А может оказаться и так, что потенциальные каналы утечки информации, которые должна быть блокирована такой техникой не будут ими блокированы. Как пример можно привести применение шумогенераторов для виброакустической защиты. Излучатели таких генераторов очень часто ставят на окна например на 3 этаже, что абсолютно бессмысленно, но пропускают другие виброакустические каналы, которые должны быть этой техникой блокированы. Это понятно, поскольку продавцы такой техники – не профессионалы, а коммерческие структуры, и чем больше они её продадут, тем соответственно больше получат прибыль. А напугать клиента сам Бог велел.
Поэтому прежде чем покупать устанавливать и использовать такую технику необходимо провести обследование помещения на предмет выявления возможных потенциальных каналов утечки и потом уже такой техникой блокировать эти возможные каналы.
Очень часто задают вопрос – так применять технику или нет? Да, применять, но знать её недостатки и учитывать их при проведении мероприятий по защите информации.
Проверочные мероприятия.
Хочу выделить три категории проблем, с которыми вы столкнетесь при организации проверки своих помещений.
1. Организационные проблемы.
Две основных ошибки при планировании и проведении проверочных мероприятий.
- Мероприятия проводятся либо хаотично и бессистемно, либо по итогам свершившегося факта.
- О планируемом проверочном мероприятии знает большое число сотрудников. В результате происходит утечка информации и технику либо изымают, либо бросают.
Сам по себе разовый поиск даёт мало реальных результатов. Даже в случае обнаружения «жука» вопросов возникает больше, чем ответов. Проверка, повторюсь, имеет смысл только в том случае, если она является одним из звеньев общего плана мероприятий, организационных и технических, направленных на предотвращение утечки информации. Остановлюсь на организационных мероприятиях. Проводимые проверки условно можно разделить на три категории: первичная – наиболее полная проверка, после которой необходимо получить «стерильное» помещение; плановые проверки, которые проводятся в определенный период времени; внеплановые или контрольные проверки, которые проводятся по мере необходимости, например перед ответственным совещанием, после подозрительного посещения, и т. п.
Также при планировании защитных мероприятий необходимо знать, какие мероприятия нужно проводить в случае временного нахождения в посторонних помещениях, например в гостиничных номерах, саунах, при проведении переговоров на чужой территории и т. п. Необходимо знать, какие меры предпринимать в случае обнаружения «жука», удалить его или попытаться провести игру. Но в любом случае необходимо знать одну аксиому: ЛУЧШЕ ИСКАТЬ «ЖУКА», ЧЕМ ЕГО ПРОПУСТИТЬ.
2. Технические проблемы.
В нынешнее время поиск и локализация «жуков» невозможен без применения поисковой техники. Причем наличие такой техники зачастую принимается за некую гарантию от возможного применения «жуков». Это большая ошибка. Необходимо знать, что любой поисковый прибор является только инструментом. И каким бы хорошим он ни был, у него есть свои характеристики и возможности, которые всегда ограничены. Зная возможности поисковой аппаратуры, применяемой на объекте, грамотный специалист может осуществить внедрение техники таким образом, что обнаружить ее имеющимися поисковыми устройствами будет очень трудно, а иногда и практически невозможно. И ещё. Как и с любым инструментом, с поисковой техникой надо уметь работать. Не просто уметь её включать и выключать, а именно работать. В неумелых руках такая техника – просто дорогостоящая железка.
3. Человеческий фактор.
Поиск и локализация закладок – дорогое удовольствие. И, что вполне естественно, есть достаточно желающих «по-лёгкому нарубить капусты». Тем более заказчик в этом деле лох и развести его на бабки сам Бог велел. Пример – только за последний год мне для исследования трижды приносили муляжи якобы найденных «жуков». Кстати проблема не только наша. Я общаюсь с российскими коллегами у них такая же история. Уместно вспомнить поговорку про дешёвый сыр. На самом деле, специалистов, способных качественно провести мероприятия по поиску «жуков» очень мало. Как быть? Обратите, прежде всего, внимание на техническую оснащенность специалиста. Я думаю, вы сможете отличить промышленные образцы поисковой техники от самоделок или дешёвых сканеров. Посмотрите на то, что техник делает. Не стесняйтесь задавать специалисту вопросы. Проверка помещения – сложное организационно-техническое мероприятие. Это длительная и кропотливая работа. Невозможно за 20-30 минут проверить объект, на это уходит гораздо больше времени. Причём все это время специалист должен именно работать. Вспомните перечисленные нами выше технические каналы утечки информации. Специалист должен отработать их все.
И все же что делать, если вы случайно или не случайно обнаружили в офисе или дома «жука»? На самом деле вариантов всего два – снять его или оставить. И оба эти варианта имеют как свои плюсы так и минусы. В первом случае вы прекращаете утечку информации, что само по себе уже неплохо. Но остается много невыясненных вопросов, прежде всего, кто и по чьему заказу его установил. Кроме того, вы не застрахованы от установки нового изделия, уже с учетом ошибок, которые привели к обнаружению первого. Во втором случае можно попытаться выяснить, каким путем «жук» к вам попал, и использовать его во вред противной стороне, например, дезинформируя ее. Но это очень тонкая игра, и справиться с ней не так просто. Можно навредить самому себе.
Фото:chip.ua
