PROTECŢIA SURSELOR GENERATOARE DE INFORMAŢII

INFOSEC

PROTECŢIA SURSELOR GENERATOARE DE INFORMAŢII - INFOSEC

Modalităţile şi măsurile de protecţie a informaţiilor clasificate care se prezintă în format electronic sunt similare celor pe suport de hârtie.

Noțiuni generale

INFOSEC – ansamblul măsurilor şi structurilor de protecţie a informaţiilor clasificate care sunt prelucrate, stocate sau transmise prin intermediul sistemelor informatice de comunicaţii şi al altor sisteme electronice, împotriva ameninţărilor şi a oricăror acţiuni care pot aduce atingere confidenţialităţii, integrităţii, disponibilităţii autenticităţii şi nerepudierii informaţiilor clasificate precum şi afectarea funcţionării sistemelor informatice, indiferent dacă acestea apar accidental sau intenţionat.

informaţiile în format electronic – texte, date, imagini, sunete, înregistrate pe dispozitive de stocare sau pe suporturi magnetice, optice, electrice ori transmise sub formă de curenţi, tensiuni sau câmp electromagnetic, în eter sau în reţele de comunicaţii;
sistemul informatic şi de comunicaţii (SIC) – ansamblu informatic prin intermediul căruia se stochează, se procesează şi se transmit informaţii în format electronic;
confidenţialitatea – asigurarea accesului la informaţii clasificate numai pe baza certificatului de securitate al persoanei, în acord cu nivelul de secretizare a informaţiei accesate şi a permisiunii rezultate din aplicarea principiului nevoii de a cunoaşte;
integritatea – interdicţia modificării – prin ştergere sau adăugare – ori a distrugerii în mod neautorizat a informaţiilor clasificate;
disponibilitatea – asigurarea condiţiilor necesare regăsirii şi folosirii cu uşurinţă, ori de câte ori este nevoie, cu respectarea strictă a condiţiilor de confidenţialitate şi integritate a informaţiilor clasificate;
autenticitatea – asigurarea posibilităţii de verificare a identităţii pe care un utilizator de SPAD sau RTD pretinde că o are;
nerepudierea – măsură prin care se asigură faptul că, după emiterea/recepţionarea unei informaţii într-un sistem de comunicaţii securizat, expeditorul/destinatarul nu poate nega, în mod fals, că a expediat/primit informaţii;
risc de securitate – probabilitatea ca o ameninţare sau o vulnerabilitate ale SPAD sau RTD – SIC să se materializeze în mod efectiv;
acreditarea – etapa de acordare a autorizării şi aprobării unui SIC de a prelucra informaţii clasificate, în spaţiul/mediul operaţional propriu;
ameninţarea – posibilitatea de compromitere accidentală sau deliberată a securităţii SPAD sau RTD -SIC, prin pierderea confidenţialităţii, a integrităţii sau disponibilităţii informaţiilor în format electronic sau prin afectarea funcţiilor care asigură autenticitatea şi nerepudierea informaţiilor;
vulnerabilitatea – slăbiciune sau lipsă de control care ar putea permite sau facilita o manevră tehnică, procedurală sau operaţională, prin care se ameninţă o valoare sau ţintă specifică.

Lucrul cu informațiile clasificate în format electronic

Lucrul cu informații clasificate pe sistemele informatice și de comunicații se face doar pe sisteme acreditate.

Suporții pe care sunt gestionate informații clasificate trebuie să fie, în prealabil, înregistrați într-o evidență specifică.

Conform legii, mediile de stocare a sistemelor informatice pentru stocare și prelucrare sunt:

dischete,
compact-discuri,
hard-discuri,
memorii PROM şi EPROM,
riboane

Informaţia în format electronic este reprezentată în texte, date, imagini, sunete, înregistrate pe dispozitive electronice de stocare sau pe suporturi magnetice, optice, electrice ori transmise sub formă de curenţi, tensiuni sau câmp electromagnetic, în eter sau în reţele de comunicaţii.

Informaţie în format electronic întâlnim în sistemele de calcul, în reţelele de transmisii date, în telefonia fixă sau mobilă, în transmisiile radio, etc. Informaţia clasificată în format electronic reprezintă orice informaţie în format electronic de interes pentru securitatea naţională, care, datorită nivelurilor de importanţă şi consecinţelor care s-ar produce ca urmare a dezvăluirii şi diseminării neautorizate, trebuie să fie protejată. Nu se poate vorbi despre informaţie clasificată în format electronic decât în strânsă legătură cu sistemele informatice si de comunicaţie (SIC) care le procesează, stochează sau transmit între diverse componente prin diverse medii de transmitere (fir, aer, mediu de stocare). Securitatea informaţiei în format electronic – stare de siguranţă în care se află informaţia – se realizează prin măsuri de protecţie asupra sistemelor informatice şi de comunicaţii, a căror implementare duce la înlăturarea riscului de securitate (probabilitatea ca o ameninţare la adresa securităţii unui sistem informatic şi de comunicaţii să exploateze o vulnerabilitate a acestuia, efectul fiind compromiterea obiectivelor de securitate, respectiv: confidenţialitatea, integritatea, disponibilitatea, autenticitatea şi nerepudierea informaţiilor clasificate vehiculate prin acel sistem informatic).

Potrivit Standardelor naţionale de protecţie a informaţiilor clasificate în România – securitatea informaţiilor clasificate în format electronic acoperă securitatea calculatoarelor, a mediilor de stocare, a comunicaţiilor, precum şi depistarea şi prevenirea ameninţărilor la care sunt expuse informaţiile şi sistemele informatice.

Există legislaţie în domeniu, începând cu Legea nr.182, Standardele de protecţie a informaţiilor clasificate, Ordinele Directorului ORNISS în care sunt prezentate în amănunt măsurile de protecţie ce trebuie luate pentru protecţia informaţiei clasificate în format electronic. Sunt măsuri şi proceduri care trebuie urmate începând de la achiziţie, operaţionalizare, acreditare şi scoatere din uz a sistemelor informatice. Totuşi, până a ajunge la implementarea în detaliu a tuturor acestor măsuri şi proceduri de securitate sunt necesare şi posibile demersuri care ne stau la îndemână şi a căror implementare duce la scăderea considerabilă a riscului de securitate. O parte din acestea sunt cele valabile şi la gestionarea în condiţii de securitate a documentelor pe suport de hârtie, sau sunt facilități ale sistemelor informatice oferite de fabricant (hard sau soft) sau se referă la protecţia personalului.

Standardele naţionale de protecţie a informaţiilor clasificate operează cu următoarele componente INFOSEC:

Securitatea personalului
Securitatea fizică
Controlul accesului la SIC
Securitatea informaţiilor clasificate în format electronic
Controlul şi evidenţa informaţiilor în format electronic
Manipularea şi controlul mediilor de stocare a informaţiilor clasificate în format electronic
Declasificarea şi distrugerea mediilor de stocare a informaţiilor în format electronic

Dintre aceste componente, ne-am propus să supunem atenţiei componenta de securitate a informaţiei clasificate în format electronic iar în această perspectivă să discutăm despre:

securitatea calculatoarelor – a sistemelor informatice;
securitatea mediilor de stocare;
securitatea comunicaţiilor.

Măsurile de protecţie pentru a căror implementare nu este necesară intervenţia cuiva din afară ci poate fi făcută de structura de securitate – administratorii bazelor de date şi ai reţelelor de calculatoare sunt:

A. Securitatea calculatoarelor – COMPUSEC

Securitatea calculatoarelor – COMPUSEC – aplicarea la nivelul fiecărui calculator a facilităţilor de securitate hardware, firmware şi software, pentru a preveni divulgarea, manevrarea, modificarea sau ştergerea neautorizată a informaţiilor clasificate ori invalidarea neautorizată a unor funcţii.

Mecanismele de securitate hardware, firmware şi software pot contribui individual şi în combinaţie la securitatea calculatoarelor. Securitatea hardware şi firmware utilizează caracteristicile de securitate asigurate de către fabricant prin componentele fizice ale calculatoarelor şi se referă la următoarele aspecte:

proceduri şi documentaţie de securitate pentru pornirea/oprirea echipamentelor de calcul;
instrucţiuni şi proceduri de securitate referitoare la conectarea/ deconectarea echipamentelor în/de la reţea;
proceduri pentru efectuarea unor verificări regulate ale sigiliilor de pe echipamente şi asigurarea că modulele hardware sunt păstrate încuiate, în mod normal, în carcasa echipamentului;
configuraţia calculatorului trebuie să îi asigure acestuia posibilitatea de a putea funcţiona în condiţii variate ( de exemplu trebuie precizat ce terminale / staţii de lucru sau periferice pot fi conectate sau deconectate într-o situaţie specifică de exploatare);
proceduri de securizare a configuraţiei calculatorului pregătit pentru întreţinere şi reparare;
proceduri care trebuie urmate în caz de cedare hardware, cu descrierea acţiunilor care trebuie întreprinse şi de către cine, în vederea securizării calculatorului la deconectare şi ce date trebuie păstrate referitoare la astfel de incidente hardware;
proceduri pentru reconectarea terminalelor / staţiilor de lucru de la distanţă care au fost deconectate din motive de securitate.

Securitatea software are în vedere utilizarea şi controlul oricăror facilităţi de protecţie furnizate prin software: sistem de operare, programe utilitare, programe de aplicaţie:

metode de identificare a utilizatorilor, proceduri de stabilire a conturilor utilizatorilor, a grupurilor de utilizatori şi de alocare a identificatorilor utilizatorilor, proceduri de ştergere a conturilor utilizatorilor în cazul plecării personalului de la post sau atunci când a fost detectată o compromitere a contului respectiv;
metode de autentificare, inclusiv protecţia informaţiilor de autentificare (de exemplu, parole de acces), proceduri de control şi schimbare a mecanismelor de autentificare;
mecanisme de control al accesului şi proceduri de implementare a controlului accesului utilizatorilor pentru utilizarea serviciilor şi resurselor sistemelor informatice;
evidenţa software-lui, a versiunilor sistemelor de operare şi a programelor utilitare, inclusiv cele care vor fi folosite în situaţii deosebite;
controlul asupra facilităţilor de copiere sau de modificare a: datelor, sistemului de operare, programelor utilitare şi a programelor de aplicaţie;
măsuri de precauţie ce trebuie luate înainte şi după procesare sau în timpul pregătirii diferitelor tipuri de activităţi clasificate, incluzând rutine de ştergere a memoriei principale, reguli de declasificare sau de suprascriere a versiunilor anterioare şi proceduri care să asigure că bufferele sunt curăţate şi că toate datele din fişierele jurnalelor de audit şi de evidenţă a deschiderii sesiunilor de lucru ale utilizatorilor sistemului au fost listate şi suprascrise.

B. Securitatea mediilor de stocare a informaţiilor

Într-un sistem informatic şi de comunicaţii, volumul şi densitatea informaţiilor stocate sau procesate, accesibilitatea lor, uşurinţa şi viteza de copiere a informaţiilor, uneori şi de la staţii aflate la distanţă, subliniază nevoia luării unor măsuri de securitate a informaţiilor – a mediilor de stocare a acestora.

Aceste măsuri vizează următoarele aspecte:

proceduri corespunzătoare pentru clasificarea mediilor de stocare;
responsabilităţi şi proceduri pentru înregistrarea, controlul şi evidenţa mediilor de stocare;

Toate mediile de stocare secrete de stat se identifică şi se controlează în mod corespunzător nivelului de secretizare. Pentru informaţiile neclasificate sau secrete de serviciu se aplică regulamente de securitate interne. Identificarea evidenţa şi controlul mediilor de stocare trebuie să respecte următoarele cerinţe:

mijloc de identificare – numărul, seria şi marcajul nivelului de clasificare – pentru fiecare astfel de mediu, în mod separat;
proceduri bine definite pentru emiterea, primirea, retragerea, distrugerea sau păstrarea mediilor de stocare;
să existe evidenţe manuale sau tipărite la imprimantă, indicând conţinutul şi nivelul de secretizare a informaţiilor înregistrate pe mediile de stocare.

Pentru nivelul strict secret şi strict secret de importanţă deosebită, informaţiile detaliate asupra mediului de stocare, incluzând conţinutul şi nivelul de clasificare, se ţin într-un registru adecvat.

3. proceduri pentru achiziţia, păstrarea, evidenţa şi controlul mediilor de stocare pentru calculatoare;

4. proceduri pentru primirea, schimbul şi diseminarea documentelor electronice, inclusiv proceduri de verificare privind existenţa viruşilor de calculatoare şi a software-ului nociv, aplicate tuturor mediilor de stocare care provin din afara sistemului informatic;

5. responsabilităţi şi proceduri pentru declasificarea /distrugerea documentelor electronice şi a mediilor de stocare. Când un mediu de stocare urmează să iasă din uz, trebuie să fie declasificat suprimându-se orice marcaje de clasificare, ulterior putând fi utilizat ca mediu de stocare nesecret. Informaţiile clasificate înregistrate pe medii de stocare refolosibile se şterg doar în conformitate cu procedurile operaţionale de securitate. Dacă mediul de stocare nu poate fi declasificat, atunci trebuie distrus printr-o procedură aprobată. Sunt interzise declasificarea şi refolosirea mediilor de stocare care conţin informaţii strict secrete de importanţă deosebită, acestea putând fi numai distruse, în conformitate cu procedurile operaţionale de securitate. Informaţiile clasificate în format electronic stocate pe un mediu de unică folosinţă – cartele, benzi perforate – trebuie distruse conform prevederilor procedurilor operaţionale de securitate.

C. Securitatea comunicaţiilor

Securitatea comunicaţiilor – aplicarea măsurilor de securitate în telecomunicaţii, cu scopul de a proteja mesajele dintr-un sistem de telecomunicaţii, care ar putea fi interceptate, studiate, analizate şi, prin reconstituire, pot conduce la dezvăluiri de informaţii clasificate. Securitatea comunicaţiilor reprezintă un ansamblu de proceduri, incluzând : – măsuri de securitate a transmisiilor; – măsuri de securitate împotriva radiaţiilor – TEMPEST; – măsuri de securitate criptografică.

Securitatea transmisiilor. Toate mijloacele folosite pentru transmiterea informaţiilor clasificate prin emisii radio se supun instrucţiunilor de securitate a comunicaţiilor emise de către instituţia desemnată la nivel naţional pentru protecţia informaţiilor clasificate. Mecanismele de securitate a transmisiilor concură la asigurarea disponibilităţii şi confidenţialităţii informaţiilor. Totodată, ca o consecinţă a îmbunătăţirii disponibilităţii, prin intermediul mecanismelor utilizate pentru a contracara încercările de a bruia sau de a intercepta transmisia propriuzisă, integritatea datelor este asigurată. Sunt necesare măsuri pentru contracararea unor ameninţări cum ar fi:

interceptarea neautorizată;
bruiajul;
interferenţele;
inducerea în eroare;
analiza traficului.

Concret pentru un sistem informatic aceste probleme apar la reţelele wireless atunci când schimbul de date între server şi celelalte componente ale reţelei se face prin echipamente radio nu prin fire.

Securitatea emisiilor are în vedere ansamblul măsurilor de testare şi de realizare a securităţii împotriva scurgerii de informaţii, prin intermediul emisiilor electromagnetice parazite – TEMPEST. Sistemele informatice care stochează, procesează sau transmit informaţii secrete de stat, vor fi protejate corespunzător faţă de vulnerabilităţile de securitate cauzate de radiaţiile compromiţătoare. Emisiile parazite apar în jurul echipamentelor informatice dar şi a cablurilor prin care circulă informaţia. La o distanţă suficientă (de ordinul metrilor) de aceste cabluri şi în funcţie şi de intensitatea curentului electric care circulă prin cabluri, cu aparatură specială aceste câmpuri electromagnetice pot fi captate iar informaţia poate fi refăcută. Această situaţie este valabilă pentru reţelele de cabluri care nu sunt suficient protejate, fac legătura între corpuri de cladiri, etc. Considerând cazul monitoarelor calculatoarelor trebuie avut în vedere faptul că ele fac parte din categoria perifericelor proiectate şi destinate realizării unui scop precis: aducerea informaţiei din sistemul de calcul la o formă convenabilă utilizatorului uman, respectiv percepţiei optice. În acest caz, cantitatea totală de lumină a ecranului este dată de media ponderată a luminiscenţei ultimilor câteva mii de pixeli iluminaţi de fascicolul de electroni. Aşa că, un observator care poate capta, cu ajutorul unui telescop, de exemplu, lumina difuză, reflectată de pereţi, mobilă sau alte asemenea obiecte aflate în apropierea ecranului şi poate transforma fluxul luminos în semnal electric, poate obţine, după aplicarea unei filtrări corespunzătoare, semnalul video care a produs-o. Specificaţiile standardizate de testare a protecţiei Tempest în cazul emisiei energetice de natură electromagnetică, sunt acelea ale limitei spaţiului controlat. Acesta se defineşte ca distanţa faţă de sursă la care atacatorul poate avea acces şi unde raportul semnal/zgomot trebuie să fie de valoare suficient de mică pentru a împiedica separarea radiaţiei compromiţătoare de zgomotul de fond şi decodificarea acesteia. Instalarea iniţială a sistemului informatic şi de comunicaţii sau orice modificare majoră adusă acestuia vor fi executate de persoane autorizate, în condiţiile de securitate prezentate în standarde. Lucrările vor fi permanent supravegheate de personal tehnic calificat, care are acces la informaţii de cel mai înalt nivel de clasificare pe care respectivul sistem informatic le va stoca, procesa sau transmite.

Securitatea criptografică. Sistemul ori subsistemul informatic destinat preluării, prelucrării, stocării şi transmisiei de date şi informaţii secrete de stat trebuie să fie prevăzut cu sistem de secretizare prin metode, mijloace şi echipamente pentru asigurarea integrităţii, confidenţialităţii şi disponibilităţii acestora. Modul în care este prezentată informaţia în clar, chiar dacă se utilizează codul prescurtat de transmisie sau reprezentarea binară ori alte forme de transmitere la distanţă, nu trebuie să influenţeze nivelul de clasificare acordat informaţiilor respective.

D. Securitatea fizică

Măsurile de securitate fizică sunt necesare pentru a asigura prevenirea accesului neautorizat la informaţii clasificate, efectuării de operaţiuni neautorizate, blocării resurselor şi serviciilor calculatoarelor şi pentru protejarea echipamentelor de calcul (furturi, distrugeri, etc).

Securitatea fizică a sistemelor de calcul şi comunicaţie – ca o componentă INFOSEC – are în vedere mediul în care acestea funcţionează (încăperile în care sunt amplasate, alimentarea cu energie alectrică, condiţiile de mediu, protecţia împotriva incendiilor a inundaţiilor, funcţionarea în situaţii de urgenţă), dar şi accesul personalului în zonele în care sunt amplasate.

Orice persoană capabilă să intre într-un loc care conţine echipament de calcul poate fi în situaţia de a interacţiona sau de a avaria echipamentul şi poate avea acces la informaţiile clasificate prelucrate de acesta.

Ameninţările la adresa securităţii calculatoarelor pot veni din partea oricărei persoane care are pregătirea profesională şi cunoştinţe corespunzătoare despre sistemele de calcul şi posibilitatea de acces la acestea. Astfel, în zonele în care sunt amplasate sisteme informatice care procesează informaţii clasificate, este necesar să se aplice măsuri generale de securitate, cum ar fi:

intrarea personalului şi a materialelor, precum şi plecarea în/din aceste zone să fie controlate prin mijloace bine stabilite;
zonele şi locurile în care securitatea sistemelor informatice poate fi afectată, nu trebuie să fie niciodată ocupate de un singur angajat autorizat (regula celor doi);
Persoanelor care solicită acces temporar sau cu intermitenţe în aceste zone trebuie să li se autorizeze accesul, ca vizitatori, fiind însoţiţi permanent, pentru a avea garanţia că nu pot avea acces la informaţii clasificate şi nici la echipamentele utilizate.

Protecția antivirus

Ca o componentă a protecţiei sistemelor informatice, a informaţiei în format electronic, trebuie să conţină proceduri şi mecanisme de protecţie antivirus atât manuale cât şi automate şi include următoarele măsuri de securitate:

verificarea sistemelor de operare instalate, a pachetelor software şi a programelor utilitare, privind prezenţa viruşilor sau a altui software nociv, cu proceduri pentru ştergerea acestora în cazul detectării lor;
verificarea în permanenţă a fişierelor-datelor stocate în sistemele de calcul – verificare antivirus în timpul procesării, accesării, la introducerea/extragerea datelor în/din sistemele de calcul sau la intervale de timp bine stabilite;
verificarea conţinutului mediilor de stocare (informaţii şi software) primite din surse externe, cu proceduri pentru dezinfectarea lor;
actualizarea în permanenţă a versiunilor de programe antivirus şi utilizarea mai multor produse antivirus (binenţeles licenţiate) – atât pe server-e cât şi pe staţiile de lucru;
raportarea incidentelor cauzate de viruşi, atât către expeditorul mediului de stocare infestat, cât şi către structura de securitate.