Защита речевой информации

11 февраля 2015

Защита речевой информации - деятельность, направленная на предотвращение утечки информации, которая циркулирует в виде акустических волн (голоса человека).

Если информация существует в виде акустических волн, которые создаются при помощи голосового аппарата человека, она называется речевой.

Речевой сигнал - сложный физический процесс, связанный с изменением акустических параметров, которые содержат информацию о содержании сообщения. Речевой сигнал создается голосовым аппаратом человека и представляет собой колибания воздушной среды в виде волн сжатия и растяжения (акустические колебания). Энергия речевого сигнала сосредоточена в диапазоне 300 - 4000 Гц.

Под воздействием акустических колебаний в ограждающих строительных конструкциях и инженерных коммуникациях помещения, в котором находится источник речевого сигнала, возникающие вибрационные колебания.

Таким образом, в своем первоначальном виде речевой сигнал в помещении присутствует в виде акустических и вибрационных колебаний. Различного рода преобразователи акустических и вибрационных колебаний являются вторичными источниками. К ним относятся: громкоговорители, телефоны, микрофоны, акселерометры и т.д.

В зависимости от среды распространения сигналов и способов их перехвата технические каналы утечки речевой информации можно разделить на: акустические, вибрационные (виброакустические), акустоелектрические, оптоэлектронные и параметрические.
Инженерно-техническое сооружение, которое по функциональному назначению предполагает обращение информации с ограниченным доступом (здания, помещения, транспортные средства и т.п.) называется объектом информационной деятельности (сокращенно - ОИД).
Для защиты речевой информации от утечки по техническим каналам на объектах информационной деятельности, где циркулирует информация с ограниченным доступом, создается комплекс технической защиты информации (сокращенно - КТЗИ или комплекс ТЗИ), которой представляет собой совокупность организационных, инженерных и технических мероприятий и средств.

Акустические каналы утечки информации можно классифицировать следующим образом:

Акустические - за счет распространения акустических колебаний в свободном пространстве (переговоры на открытом пространстве, открытые двери, окна, форточки, вентиляционные каналы);
Вибрационные - за счет воздействия звуковых колебаний на элементы и конструкции зданий, вызывая вибрации (ограждающие конструкции (стены, потолки, полы, окна, двери, короба вентиляционных систем и т.д.), инженерные коммуникации (трубы водоснабжения, отопления, кондиционирования и т.д.));
Оптико-электронные (лазерные каналы) каналы - за счет приема и демодуляции отраженного от вибрирующих под действием акустического сигнала поверхностей помещений (оконных стекол, зеркал и т.п.) излучения;
Акустоелектрические - за счет воздействия звуковых колебаний на ДТСС (за счет изменения параметров (емкость, индуктивность, сопротивление) под действием акустического поля,создаваемого источником речевого сигнала и возникновение электродвижущей силы (ЭДС), либо к модуляции токов, протекающих по этим элементам, за счет «микрофонного эффекта», за счет использования высокочастотного электромагнитного навязывание»);
Параметрические - за счет воздействия звуковых колебаний на ОТС и ДТСС (за счет паразитной модуляции информационным сигналом излучений гетеродинів радиоприемных и телевизионных устройств, находящихся в помещениях, где ведутся конфиденциальные переговоры, за счет образования вторичных радиоволн, при «при высокочастотном облучении» помещения, где установлены закладные устройства, имеющие элементы, параметры которых изменяются под действием речевого сигнала);
Через закладные устройства - каналы утечки акустической ифнормацию, каналы утечки видовой информации*.

* во время обнаружения закладных устройств, как правило, осуществляется комплекс работ по защите от утечки речевой и видовой информации, а также радиомаяков (для подвижных объектов).
** в соответствии с ТР ТЗИ - ПЭМИН-95 (Временные рекомендации по технической защите информации от утечки каналами побочных электромагнитных излучений и наводок), утвержденных приказом Государственной службы Украины по вопросам технической защиты информации от 09 июня 1995 г. № 25, акустоелектричний и параметрический каналы утечки информации объединены и называются каналами побочных электромагнитных излучений и наводок.
При проведении работ по технической защите информации одновременно, с использованием одних и тех же приборов, методик и специалистов могут осуществляться меры по защите нескольких каналов утечки информации. Так, при проведении работ по защите информации от утечки по акустическим каналом могут проводиться работы по защите информации от утечки по виброакустическому и оптоэлектронными каналами. Аналогичным образом осуществляются работы по защите информации от утечки акустоелектричним и параметрическим каналам побочных электромагнитных излучений и наводок (каналы побочных электромагнитных излучений и наводок).

Исходя из этого виды работы по технической защите информации целесообразно проводить по следующим направлениям:

Защита информации от утечки по акустическим, виброакустическому и оптоэлектронными каналами;
Защита информации от утечки акустоелектричними и параметрическими каналами;
Защита информации от утечки через закладные устройства.

Для защиты речевой информации с ограниченным доступом от утечки по техническим каналам на объектах информационной деятельности создается комплекс ТЗИ. Комплекс ТЗИ состоит из следующих мероприятий и средств, предназначенных для защиты информации:

организационных;
инженерных;
технических.

Результатом проведения всех вышеперечисленных мероприятий является испытание и аттестация.
Испытания комплекса ТЗИ - совокупность аналитических, экспериментальных и измерительных работ, которые проводятся с целью определения полноты выполнения требований по защите от утечки информации с ограниченным доступом техническими каналами, а также проверки (контроля) полноты и достаточности реализованных мер защиты информации на объектах информационной деятельности.
Аттестация - это определение соответствия выполненных работ по созданию комплекса ТЗИ на объекте информационной деятельности требованиям нормативных документов по вопросам ТЗИ.
Во время проведения работ по защите информации от утечки техническими каналами осуществляются следующие этапы:
1. Категорирование объекта информационной деятельности.
Категорирование объекта информационной деятельности или другими словами установления категории объекта - это установление классификационной характеристики важности объекта, по которой определяется необходимый уровень защиты информации, обрабатываемой техническими средствами и/или озвучивается на этом объекте.
2. Обследование ОИД.
Обследование необходимо для подготовки исходных данных для формирования требований по созданию комплекса ТЗИ.
Во время обследования выясняются:
- условия функционирования ОИД, архитектурно-строительные особенности и особенности расположения его на местности относительно границ контролируемой зоны (КЗ);
- наличие и порядок работы технических средств, которые будут обрабатывать ИсОД, и технических средств, которые не используют непосредственно для ее обработки, определяют места их расположения на ОИД и их особенности;
- расположение инженерных коммуникаций и металлоконструкций, наличие транзитных, незадействованных кабелей, выходящих за пределы КЗ и т.д.
3. Предварительные инструментальные исследования защищенности речевой информации от утечки техническими каналами.
Предварительные инструментальные исследования защищенности речевой информации проводятся с целью оценки защищенности речевой информации с ограниченным доступом от утечки техническими каналами без использования средств активной защиты.

Результаты обследования и предыдущих инструментальных исследований анализируются и используются при определении угроз для информации с ограниченным доступом и обосновании необходимости внедрения организационных, инженерных и технических мер защиты от утечки ИсОД техническими каналами, в т.ч. принятие решения о необходимости установки средств защиты информации и минимально необходимое ее количество и состав.
4. Определение угроз для информации с ограниченным доступом.
Определение угроз для информации с ограниченным доступом осуществляется на основе сведений, изложенных в акте категоріювання, акте обследования ОИД, протоколах предыдущих инструментальных исследований, строительных схемах, чертежах и т.д.
Возможные угрозы для информации с ограниченным доступом отображаются в Модели угроз для информации, которая циркулирует на ОИД.
5. Формулировка технических требований к комплексу ТЗИ.
Формулировка технических требований к комплексу ТЗИ осуществляется в техническом задании на создание комплекса ТЗИ (далее - ТЗ). ТЗ должно содержать следующие требования:

общие требования;
требования по устойчивости к внешним воздействиям;
требования по безопасности эксплуатации;
требования к метрологическому обеспечению;
требования по обеспечению охраны государственной тайны;
требования по техническому обеспечению выполнения работ;
требования по обеспечению безопасности при выполнении работ;
требования к документации.

6. Проведение монтажных/демонтажных работ, пуско-наладка средств защиты информации.
На этом этапе осуществляется монтаж технических средств защиты информации, необходимых для обеспечения требований технического задания, а также демонтаж систем, транзитных, незадействованных (воздушных, настенных, наружных и заложенных в канализацию) кабелей, контуров и других коммуникаций применение которых не обосновано служебной или производственной необходимостью.
Если невозможно или нецелесообразно защищать информацию пассивными мерами защиты (см. раздел «Защита информации от утечки по акустическим, виброакустическому и оптоэлектронными каналами») используются активные средства защиты информации.
Результаты монтажных работ средств защиты информации отражаются в соответствующем акте.
7. Аттестация ОИД
7.1. Составление Программы и методики испытаний.
7.2. Проведение работ по выявлению закладочных устройств.
7.3. Проведение работ по контролю защищенности речевой информации от утечки за счет акустоелектромагнитных и акустоелектрических преобразований во вспомогательных технических средствах и системах.
7.4. Проведение работ по контролю защищенности речевой информации от утечки по акустическим и виброакустическому каналам на объекте информационной деятельности.
7.5 Выводы по результатам испытаний. Акт аттестации ОИД.
Основные характеристики ОИД отражаются в Паспорте на комплекс технической защиты информации.