Варианты и технологии несанкционированного доступа к информации, содержащей коммерческую тайну

 

 

 

Реферат

 

по безопасности предпринимательской деятельности

 

на тему:

 

«Варианты и технологии несанкционированного доступа к информации, содержащей коммерческую тайну»

 

 

Студента 3 курса

Иванова А.В.

 

 

 

 

Армавир, 2014 
Учитывая известный афоризм "цель оправдывает средства", можно задать вопрос: какие цели преследует злоумышленник, осуществляя несанкционированный доступ к источникам информации, содержащим коммерческую тайну? В новых рыночно конкурентных условиях возникает масса проблем, связанных не только с обеспечением сохранности предпринимательской (коммерческой) информации, как вида интеллектуальной собственности, но и физических и юридических лиц, их имущественной собственности и личной безопасности. Известно, что предпринимательская деятельность тесно связана с получением, накоплением, хранением, обработкой и использованием разнообразных информационных потоков. Коль скоро информация представляет определенную цену, то факт получения информации злоумышленником приносит ему определенный доход, ослабляя тем самым возможности конкурента. Отсюда главная цель - получение информации о составе, состоянии и деятельности объекта конфиденциальных интересов (фирмы, изделия, проекта, рецепта, технологии и т.д.) в целях удовлетворения своих информационных потребностей. Возможно в корыстных целях и внесение определенных изменений в состав информации, циркулирующей на объекте конфиденциальных интересов. Такое действие может привести к дезинформации по определенным сферам деятельности, учетным данным, результатам решения некоторых задач. Вместе с тем следует отметить, что внесение изменений или дезинформацию трудно осуществлять. Чтобы выдать ложную информацию за истинную, необходимо предусмотреть комплекс социальных мероприятий, согласованных с общим ходом событий по времени, месту, цели и содержанию, что требует глубокого знания информационной обстановки на объекте. Отдельные ложные сведения не всегда могут дать положительный эффект. Кроме того, они могут просто раскрыть намерения провести модификацию или дезинформацию. Более опасной целью является уничтожение накопленных информационных массивов в документальной или магнитной форме и программных продуктов в среде АСОД. Уничтожение - это противоправные действия, направленные на нанесение материального или информационного ущерба конкуренту со стороны злоумышленника. Таким образом, злоумышленник преследует три цели: получить необходимую информацию в требуемом для конкурентной борьбы объеме и ассортименте; иметь возможность вносить изменения в информационные потоки конкурента в соответствии со своими интересами и, в крайних случаях, нанести ущерб конкуренту путем уничтожения материальных и информационных ценностей. Полный объем сведений о деятельности конкурента не может быть получен только каким-нибудь одним из возможных способов доступа к информации. Чем большими информационными возможностями обладает злоумышленник, тем больших успехов он может добиться в конкурентной борьбе. На успех может рассчитывать тот, кто быстрее и полнее соберет необходимую информацию, переработает ее и примет правильное решение.

От целей зависит как выбор способов действий, так и количественный и качественный состав привлекаемых сил и средств посягательства. Состав лиц, добывающих или обеспечивающих добывание необходимой злоумышленнику информации может быть весьма разнообразным. Это могут быть осведомители, агенты, шпики, сексоты (секретные сотрудники), доверенные лица, информаторы, порученцы, стукачи и многие другие. Не исключается также внедрение "своих" людей на конкурирующую фирму с целью решения разведывательных задач. Для внедрения имеются два пути: первый - лицо выступает под собственной фамилией и работает в соответствии с имеющейся у него профессией; второй - лицо трудоустраивается по подложным (поддельным) документам, под прикрытием "легенды". Внедрение своего человека на фирму сложно, но в отличие от человека, просто снабжающего информацией по своей инициативе, он более надежен и легче управляем. В отечественной литературе имеет место различное толкование как понятия способа несанкционированного доступа, так и его содержания. В одних источниках указывается: "Приведем систематизированный перечень путей несанкционированного получения информации: применение подслушивающих устройств, дистанционное фотографирование, перехват электромагнитных излучений, хищение носителей информации и производственных отходов, считывание данных в массивах других пользователей, чтение остаточной информации в ЗУ системы после выполнения санкционированного запроса, копирование носителей информации, несанкционированное использование терминалов зарегистрированных пользователей с помощью хищения паролей и других реквизитов разграничения доступа, маскировки несанкционированных запросов под запросы операционной системы (мистификация), использование программных ловушек, получение защищаемых данных с помощью серии разрешенных запросов, использование недостатков языков программирования и операционных систем, преднамеренное включение в библиотеки программ специальных блоков типа "троянских коней", незаконное подключение к аппаратуре или линиям связи вычислительной системы, злоумышленный вывод из строя механизмов защиты". В других подход к способам несанкционированного доступа иной: "Одной из проблем защиты является классификация возможных каналов утечки информации. Под возможным каналом утечки информации мы будем понимать способ, позволяющий нарушителю получить доступ к обрабатываемой или хранящейся в ПЭВМ информации"; "К каналам утечки относятся: хищение носителей информации (магнитных дисков, лент, дискет, карт); чтение информации с экрана посторонним лицом (во время отображения информации на экране законным пользователем или при отсутствии законного пользователя); чтение информации из оставленных без присмотра распечаток программ; подключение к устройствам ПЭВМ специально разработанных аппаратных средств, обеспечивающих доступ к информации; использование специальных технических средств для перехвата электромагнитных излучений технических средств ПЭВМ; несанкционированный доступ программ к информации; расшифровка программой зашифрованной информации; копирование программной информации с носителей".

В Законе Российской Федерации "Об оперативно-розыскной деятельности в Российской Федерации" указывается: для решения задач оперативно-розыскной деятельности органами, осуществляющими оперативно-розыскную деятельность в соответствии с правилами конспирации применяются:

1.  Опрос граждан.

2. Наведение справок.

3. Сбор образцов для сравнительного исследования.

4. Контрольные закупки.

5. Исследование предметов и документов.

6. Наблюдение.

7. Отождествление личности.

8. Обследование помещений, зданий, сооружений, участков местности и транспортных средств.

9. Контроль почтовых отправлений.

10. Цензура корреспонденции осужденных.

11. Прослушивание телефонных и иных переговоров.

12. Снятие информации с технических каналов связи.

Также в третьих источниках указывается, что промышленные шпионы "...подслушивают, ведут наблюдение, осматривают почту...", экономический шпионаж, как сфера тайной деятельности по сбору, анализу, хранению и использованию ... конфиденциальной информации... ", " ... выуживание информации, от примитивного подслушивания до космического подглядывания...","...космический шпионаж не отменяет тысячелетиями опробованные способы выуживания секретов фирм и государств...", "... спецслужбы рассматривают, прощупывают, зондируют земной шарик всевозможными способами, начиная от простого излучения прессы и кончая сканированием земной толщи лазерными лучами из космоса...".

Любопытный перечень способов получения информации о своих конкурентах опубликовал американский журнал "Chemical Engineering":

1. Сбор информации, содержащейся в средствах массовой информации, включая официальные документы, например, судебные отчеты.

2. Использование сведений, распространяемых служащими конкурирующих фирм.

3. Биржевые отчеты и отчеты консультантов, финансовые отчеты и документы, находящиеся в распоряжении маклеров; выставочные экспонаты и проспекты, брошюры конкурирующих фирм; отчеты коммивояжеров своей фирмы.

4. Изучение продукции конкурирующих фирм; использование данных, полученных во время бесед со служащими конкурирующих фирм (без нарушения законов).

5. Замаскированные опросы и "выуживание" информации у служащих конкурирующих фирм на научно-технических конгрессах (конференциях, симпозиумах).

6. Непосредственное наблюдение, осуществляемое скрытно.

7. Беседы о найме на работу со служащими конкурирующих фирм (хотя опрашивающий вовсе не намерен принимать данного человека на работу в свою фирму).

8. Так называемые "ложные" переговоры с фирмой-конкурентом относительно приобретения лицензии.

9. Наем на работу служащего конкурирующей фирмы для получения требуемой информации.

10. Подкуп служащего конкурирующей фирмы или лица, занимающегося ее снабжением.

11. Использование агента для получения информации на основе платежной ведомости фирмы-конкурента.

12. Подслушивание переговоров, ведущихся в фирмах-конкурентах.

13. Перехват телеграфных сообщений.

14. Подслушивание телефонных переговоров.

15. Кражи чертежей, образцов, документации и т.п.

16. Шантаж и вымогательство.

И, наконец, в пятых источниках указывается, что за каждым своим подопечным "...КГБ тщательнейшим образом следит, используя все мыслимые контрразведывательные способы - слежку, подслушивание телефонных и всех иных разговоров...", "...велось наружное наблюдение...". Возникает закономерный вопрос, что из приведенных понятий можно рассматривать как способ. Под способом вообще понимается порядок и приемы действий, приводящие к достижению какой-либо цели. Энциклопедическое понимание способа производства - исторически обусловленная форма производства материальных благ. Известно также определение способов военных действий, как порядок и приемы применения сил и средств для решения задач в операции (бою). Наконец способ доступа - совокупность приемов работы с данными во внешней памяти. В криминальной сфере отменяются способы сокрытия доходов от налогообложения.

С учетом рассмотренного можно определить способ несанкционированного доступа к источникам конфиденциальной информации как совокупность приемов, позволяющих злоумышленнику получить охраняемые сведения конфиденциального характера. С учетом этой формулировки можно привести систематизированный перечень способов на высоком уровне абстракции. По моему мнению, способами несанкционированного доступа к конфиденциальной информации являются:

1. Инициативное сотрудничество.

2. Склонение к сотрудничеству.

3. Выпытывание, выведывание.

4. Подслушивание переговоров различными путями.

5. Негласное ознакомление со сведениями и документами.

6. Хищение.

7. Копирование.

8. Подделка (модификация).

9. Уничтожение (порча, разрушение).

На мой взгляд, такой перечень является независимым и непересекающимся на выбранном уровне абстракции. Согласившись с тем, что перечень источников конфиденциальной информации также независим и не пересекаем на данном уровне абстракции, можно попытаться провести анализ их взаимосвязи и взаимозависимости. Даже беглый обзор позволяет заключить, что к определенным источникам применимы и определенные способы. Как разнообразны источники, так и разнообразны способы несанкционированного доступа к ним. Можно допустить возможность декомпозиции способов несанкционированного доступа и источников по их применимости в зависимости от определенных условий и ситуаций. Тем не менее, имея формальный набор источников и способов несанкционированного доступа к ним, возможно на допустимом уровне абстракции построить формальную модель взаимосвязи источников и способов на качественном уровне с определенной степенью условности. Такую модель можно было бы назвать обобщенной моделью способов несанкционированного доступа. Не вдаваясь в сущность каждого несанкционированного доступа на общем уровне видно, что значительная их часть применима к таким источникам, как люди, технические средства АСОД и документы. Другие, как бы менее применяемые по количеству охватываемых источников, никак нельзя отнести к менее опасным. Степень опасности проникновения определяется не количеством, а принесенным ущербом. Таким образом, мы получили определенную взаимосвязь источников и возможных способов доступа к ним. Теперь рассмотрим существо и возможные реализации способов несанкционированного доступа.

 

1. Инициативное сотрудничество.

 

Инициативное сотрудничество проявляется в определенных действиях лиц, чем-то неудовлетворенных или остро нуждающихся в средствах к существованию из числа работающих на предприятии или просто алчных и жадных, готовых ради наживы на любые противоправные действия. Известна печальная статистика, говорящая, что 25 процентов служащих предприятия готовы в любое время при любых обстоятельствах предать интересы фирмы, 50 процентов готовы это сделать в зависимости от обстоятельств и лишь 25 процентов, являясь патриотами, никогда не предадут интересы фирмы. Если лицам, не работающим на фирме, необходимо преодолевать физические и технические препятствия для проникновения к секретам, то работающим на фирме этого не требуется.

Тайной информацией они уже обладают или имеют возможность ее собрать. Оскорбленный Наполеоном французский посол в России в сердцах сказал: - "Как он не понимает, что я обладаю всеми секретами его государства и, будучи оскорбленным им, я могу сразу предать его, чтобы отомстить за все сразу ... за все!". В истории человечества накопилось предостаточно примеров инициативного сотрудничества по политическим, моральным или финансовым соображениям, да и просто по различным причинам и побуждениям. Финансовые затруднения, политическое или научное инакомыслие, недовольство продвижением по службе, обиды от начальства и властей, недовольство своим статусом и многое другое толкают обладателей конфиденциальной информации на инициативное сотрудничество с конкурентами и иностранными разведками. Наличие такого человека в подразделении производства и управления позволяет злоумышленнику получать важные сведения о состоянии и деятельности предприятия. Это опасно. В «Безопасность бизнеса: на Вас "наехали"» (М.: Правда 19.05.94) указывается: - "Можно ли не допустить проникновения криминальных элементов внутрь коммерческой структуры, к примеру, банка?" - "Криминальные элементы там с самого начала. Поэтому говорить о том, что их можно как-то не пустить, задержать - просто несерьезно. Работает не костолом с ножом, а может быть, простая девочка, у которой друг - какой-то авторитет или просто представитель уголовного мира. Она нормально трудится, а информацию "сдает", и потом приходят уже по наводке". Но еще более опасно, если такое лицо будет работать в службе безопасности фирмы. В литературе указывается: «Когда в 1967 году были обнародованы сведения об истинной роли Филби (сотрудника разведки), хорошо знавший его бывший сотрудник ЦРУ М. Коуплэнд заявил: "Это привело к тому, что все чрезвычайно обширные усилия западных разведок в период с 1944 по 1951 гг. были просто безрезультатными. Было бы лучше, если бы мы вообще ничего не делали"».