Для работы с конфиденциальной информацией предприятию необходимо создать защищаемое помещение (ЗП). Его важно правильно обустроить и аттестовать.
Аттестация помещений – это комплекс проверочных мероприятий, цель которых оценить соответствие помещений требованиям информационной безопасности.
Требования к защищаемому помещению
При создании защищаемого помещения важно учитывать его расположение. Лучше оборудовать ЗП не на первом и последнем этажах. Желательно — в центре контролируемой зоны, а не на ее границе. На окнах должны быть плотные шторы или жалюзи. Хорошо, если окно всего одно, или можно выбрать помещение вообще без окон. Важно обеспечить звуковую изоляцию и исключить утечку информации по акустическим каналам. Например, стены должны быть кирпичными или бетонными. В качестве дополнительных преград можно использовать многослойные неоднородные перекрытия, а потолки сделать подвесными. Входная дверь должна препятствовать распространению звуковой информации, поэтому деревянную дверь можно обить войлоком и установить уплотнитель. Но правильнее установить железную толстую дверь или две двери с тамбуром. На окна следует также установить резиновые прокладки. Батарея должна быть одна, лучше – вообще без нее. То же самое касается вытяжки.
Для исключения утечки информации используются средства защиты информации (СЗИ). Например, генераторы шума. Также применяются СЗИ для создания помех на телефонных линиях, подавления диктофонов, радиомикрофонов, защиты электросети. Для начала надо тщательно проверить возможные каналы утечки информации: обследовать акустические каналы, выявить особенности электропитания помещения и слаботочные линии. Грамотный подход поможет выстроить эффективную защиту данных и сэкономить деньги.
Это далеко не полный и не однозначный перечень требований, остальные содержатся в нормативных документах ФСТЭК и ограничены в распространении. Получить их можно, направив заявку в ФСТЭК России. В заявке необходимо указать:
- организационно-правовую форму предприятия,
- юридический адрес,
- фактический адрес,
- банковские реквизиты,
- количество и названия необходимых документов.
Если указать неполные сведения, заявка не будет рассмотрена. Когда ФСТЭК принял обращение, он отправляет заявителю счет и договор.
Как происходит аттестация?
Аттестация помещений по требованиям информационной безопасности – процедура, которую может проводить только организация, имеющая лицензию ФСТЭК на техническую защиту информации. Нужно выбрать надежную организацию-лицензиата и отправить заявку на аттестацию. Аттестующий орган рассматривает заявку, после чего заключается договор и составляется план проверочных мероприятий.
Перед подачей заявки следует провести контроль по следующим пунктам:
- обследование помещения,
- проверка документов,
- проверка расположения помещения относительно границ контролируемой зоны,
- проверка охранной системы,
- проверка системы пропускного контроля,
- проверка системы электроснабжения,
- проверка пожарной сигнализации,
- проверка подготовки сотрудников и разделения ответственности между ними.
Если ЗП полностью соответствует всем нормам, можно смело подавать заявку на аттестацию.
Сама аттестация помещения ФСТЭК включает в себя проверку каналов утечки информации инструментальным методом. Тестируются:
- акустический канал,
- виброакустический канал,
- акустоэлектрический канал,
- радиоизлучения,
- электромагнитные излучения.
После этого составляется список необходимых СЗИ. Происходит их закуп и установка. Затем проводится еще один инструментальный контроль с уже установленными СЗИ. По результатам проверки разрабатываются итоговые документы:
- протокол испытаний,
- заключение по результатам испытаний,
- аттестат соответствия.
Аттестат соответствия выдается сроком до 3 лет. В течение этого времени компания обязана сохранять неизменными условия функционирования ЗП.
Центр безопасности информационных систем предлагает квалифицированную помощь в подготовке помещения с последующей его аттестацией.
