Применение инженерно-технических средств обеспечения информационной безопасности гостиницы Абажур

В рамках данной работы проведен анализ инженерно-технической защиты информации в условиях предприятия ООО «Абажур». Вопросы обеспечения информационной безопасности в настоящее время становятся актуальными в связи с развитием технологий, позволяющих осуществлять съем информации с использованием различных каналов. Информация, полученная в результате работы злоумышленников, может быть использована как средство конкурентной борьбы. Также возможно получение доступа к информации, являющейся объектом авторского права, а также базам данных, нарушение работы которых может привести к остановке работы организации и, как следствие, прямым материальным потерям [2].
Объект исследования: система безопасности гостиницы ООО «Абажур».
Предмет исследования: инженерно-техническая защиты информации.
Целью данной работы является анализ системы инженерно-технической защиты исследуемой организации.
Задачи работы:
 описать объект защиты, определить требования к защищенности;
 смоделировать возможные каналы утечки информации;
 оценить степень угрозы защищаемой информации;
 разработать рекомендации по обеспечению защиты информации от утечек по физическим каналам;
 разработать организационные меры по защите информации.
Методы исследования: изучение литературных источников, нормативно-правовой базы, изучение технической документации средств защиты информации, анализ состояния работы по обеспечению информационной безопасности.
 
1. АНАЛИТИЧЕСКАЯ ЧАСТЬ
1.1 Описание задач применения инженерно-технических средств обеспечения информационной безопасности
Вопросы обеспечения защиты от перехвата с использованием технических каналов в настоящее время являются объектом активных исследований, что обусловлено развитием технологических разработок в указанной области и необходимости разработки средств защиты, отвечающих указанным требованиям.
Современные технические средства с высоким уровнем чувствительности позволяют осуществлять съём информации, представленной в электронном формате, передаваемой в речевой форме или находящейся в значительном удалении от пункта наблюдения и оформленной документально на бумажных носителях.
В зависимости от поставленных задач и уровня ценности обрабатываемых данных возможен перехват информации с последующей расшифровкой и получением несанкционированного доступа к конфиденциальной информации с использованием различных технических средств. Таким образом, в случаях необходимости работы с информацией, обладающей высоким уровнем ценности, необходимо принятие мер, обеспечивающих защиту от утечек.
Проведем анализ специфики обеспечения защиты передаваемых информативных сигналов, передаваемых по оптоволоконным линиям. развитие современного оборудования обеспечивает возможности считывания данных, передаваемых через различные физические среды. Перехват информативных сигналов представляет собой дорогостоящую задачу и производится в случаях, когда передаваемые данные имеют высокий уровень ценности. Устройства, используемые для перехвата информативных сигналов, как правило, малогабаритны, обладают высоким уровнем чувствительности для распознавания сигналов соответствующего типа. При этом конструкция указанных устройств реализована таким образом, чтобы их обнаружение представляло собой сложную задачу.
Таким образом, основные направления по обеспечению защиты от перехвата информативных сигналов связаны с внесением в передаваемые сигналы помех, которые затрудняют их расшифровку и в значительной степени снижают уровень информативности.
На рисунке 1 показана схема классификации видов технических каналов утечки информации.


Рисунок 1 - Схема классификации видов технических каналов утечки информации

В силу развития и усложнения технологий перехвата информации одной из основных задач по обеспечению защиты информации от утечек является как борьба с устройствами, осуществляющими несанкционированный съем информации (что не гарантирует обеспечения полной защиты от утечек информации всех видов), так и работа с коллективом сотрудников, в рамках которой проводится комплекс мероприятий, обеспечивающих возможности повышения дисциплины сотрудников в части соблюдения требований защиты информации, определяется степень их ответственности за нарушения требований по защите от утечек конфиденциальных данных.
Причинами утечек конфиденциальной информации могут являться [10]:
 действия сотрудников, нарушающие требования по защите информации, связанные либо с халатностью, либо с направленной работой злоумышленников;
 активность посторонних лиц – посетителей офиса компании;
 неэффективная организация контроля за состоянием защищенности информационных ресурсов.
В качестве носителей информации, являющихся источниками конфиденциальных данных, могут выступать:
 трафик корпоративных приложений;
 файлы электронной почты;
 документация на бумажных носителях;
 переговоры, в рамках которых проводятся обсуждения конфиденциальных сведений.
Каждый из приведенных источников утечек предполагает необходимость защиты соответствующих физических каналов передачи информации.
Организация работ по защите конфиденциальной информации предполагает необходимость выполнение следующих действий [2]:
 определение списка документов, в которых содержатся сведения, подлежащие защите от утечек;
 определение перечня сотрудников, имеющих допуск к работе с конфиденциальной информацией. Специалисты, не внесенные в указный перечень, не могут быть допущены к работе с информационными ресурсами, содержащими конфиденциальные сведения;
 определение списка помещений, в которых возможна работа, связанная с обработкой конфиденциальных данных. В данных помещениях необходимо использование инженерно-технических решений, обеспечивающих защиту данных от утечек и несанкционированного доступа;
 регламентацию системы корпоративного документооборота (работу с архивами документов, в которых выполняются требования к защите от несанкционированного доступа, используется ограничение доступа сотрудников, не допущенных к работе с конфиденциальной информацией);
 организацию гарантированного уничтожения документации, в которой содержатся конфиденциальные сведения.
По среде распространения технические каналы утечки информации подразделяются на [6]:
 акустические;
 электромагнитные, электрические;
 визуально-оптические;
 вещественные.
Утечки с использованием электронных средств съема информации могут быть реализованы путем перехвата звуковых или иных сигналов с объекта защиты с использованием различных механизмов: установки прослушивающих устройств, прослушивание через помещения, смежные с охраняемыми, а также путём съема сигналов различной физической природы с использованием электронных средств съема, установленных в помещении.
При перехвате речевой информации используется преобразование акустических данных с использованием электронных средств съёма в информацию в электронном виде с дальнейшей передачей сигнала злоумышленнику. Электронные средства съема информации могут представлять собой микрофоны, диктофоны, микропрослушивающую аппаратуру. Также другие электронные устройства, в состав которых микрофоны не включены. также могут производить указанные преобразования вследствие наличия нелинейных и параметрических элементов в компонентной базе устройства. Это вызвано возможными изменениями взаимного расположения элементов устройства при воздействии на него звуковых сигналов. Так, под действием звука производится уменьшение и увеличение расстояния между стенками конденсаторов, что приводит к изменению их емкостных характеристик. Возможность подобных преобразований имеет название микрофонного эффекта [3].

1.2 Требования к защищенности информации для данного объекта
В рамках данной работы проведен анализ защищенности объектов информатизации на примере гостиницы «Абажур».
Номерной фонд гостиницы включает множество сегментов – от бюджетного до люксового.
Обслуживание клиентов гостиницы включает множество разнородных функций, которые включают: бронирование номеров, организацию размещения клиентов, оказание дополнительных услуг, организацию питания, решение вопросов безопасности. Также дополнительные услуги включают: аренду конференц-залов для проведения конференций и др.
Бизнес-процессы гостиничного бизнеса включают:
 организацию приема и размещения клиентов;
 учет данных о номерном фонда, номенклатуре предоставляемых услуг;
 подбор номера в соответствии с классом комфортности;
 бронирование номеров;
 расчет стоимости услуг, проведение платежей за гостиничные услуги;
 учет предоставляемых дополнительных услуг;
 стандартные задачи, связанные с бухгалтерским, налоговым, складским учетом