Wykrywanie podsłuchów – jak wygląda profesjonalna kontrola pomieszczenia krok po kroku?
Jak wygląda profesjonalne wykrywanie podsłuchów Poznaj etapy kontroli TSCM: analizę zagrożenia, badanie pomieszczeń, widma radiowego, elektroniki i raport.
Zarząd jeszcze nie podjął decyzji, a konkurencja już zna jej najważniejsze założenia.
Poufna oferta wraca do firmy w zmienionej formie. Druga strona podczas negocjacji zna granicę cenową, problemy projektu i argumenty, które padły wyłącznie podczas zamkniętego spotkania.
Pierwsze podejrzenie brzmi:
„Ktoś zainstalował podsłuch.”
To jeden z możliwych scenariuszy, ale nie jedyny.
Informacja mogła zostać przekazana przez uczestnika spotkania, wyniesiona w dokumencie, przesłana z niezabezpieczonego konta, zarejestrowana przez urządzenie znajdujące się w pomieszczeniu albo przechwycona za pośrednictwem telefonu, komputera czy infrastruktury sieciowej.
Dlatego profesjonalne wykrywanie podsłuchów nie powinno polegać na wejściu do biura z jednym miernikiem i kilkuminutowym sprawdzeniu ścian.
Kontrola TSCM musi łączyć analizę zagrożenia, oględziny fizyczne, badanie urządzeń elektronicznych, pomiary sygnałów oraz ocenę sposobu, w jaki informacje powstają, są omawiane i opuszczają organizację.
NIST definiuje TSCM jako techniki służące wykrywaniu, neutralizowaniu i analizowaniu technologii oraz zagrożeń umożliwiających nieuprawniony dostęp do informacji albo ich wynoszenie. Oznacza to, że przedmiotem kontroli nie jest wyłącznie klasyczny nadajnik radiowy ukryty w ścianie. Źródło: NIST
Profesjonalna kontrola zaczyna się przed przyjazdem zespołu
Pierwszym etapem nie jest uruchomienie sprzętu.
Jest nim rozmowa z klientem.
Trzeba ustalić, jakie informacje mogły zostać ujawnione, kto je znał, w jakim pomieszczeniu były omawiane i kiedy po raz pierwszy pojawiły się sygnały, że trafiły do osoby nieuprawnionej.
Inaczej planuje się kontrolę po konflikcie wspólników, inaczej przed przejęciem firmy, a jeszcze inaczej po odejściu kluczowego pracownika posiadającego dostęp do gabinetu zarządu.
Znaczenie ma również to, kto przebywał w obiekcie. Należy uwzględnić pracowników, serwis techniczny, firmy sprzątające, instalatorów, podwykonawców, gości i osoby posiadające klucze albo karty dostępu.
Celem nie jest stworzenie listy podejrzanych.
Chodzi o zrozumienie, w którym momencie i w jaki sposób ktoś mógł uzyskać dostęp do informacji lub pomieszczenia.
Analiza zagrożenia wyznacza zakres kontroli
Przed rozpoczęciem badania określamy obszary o najwyższym poziomie ryzyka.
Może to być sala konferencyjna, w której odbywają się posiedzenia zarządu. Może nim być gabinet prezesa, samochód używany podczas poufnych rozmów albo pomieszczenie, do którego regularnie wchodzą osoby zewnętrzne.
Ważne jest również ustalenie rodzaju informacji, które mogły zostać przejęte.
Jeżeli druga strona znała wyłącznie treść rozmowy, analizujemy urządzenia rejestrujące i kanały transmisji dźwięku. Jeżeli posiadała cały dokument, zakres musi objąć także komputery, drukarki, pocztę, chmurę i obieg plików.
Profesjonalna kontrola nie powinna potwierdzać z góry przyjętej teorii.
Jej zadaniem jest sprawdzenie kilku możliwych źródeł wycieku i stopniowe eliminowanie tych, których nie potwierdzają ustalenia.
Zabezpieczenie warunków badania
Kontrola powinna odbywać się w uzgodnionym terminie i przy możliwie ograniczonej liczbie osób wiedzących o jej przeprowadzeniu.
Nie oznacza to organizowania tajnej akcji bez zgody właściciela albo osoby uprawnionej do zarządzania obiektem. Zleceniodawca musi posiadać prawo do udostępnienia pomieszczeń, wyposażenia i instalacji objętych badaniem.
Zespół przed rozpoczęciem dokumentuje stan obiektu. Pozwala to później ustalić, czy dany element znajdował się w pomieszczeniu już przed kontrolą i czy podczas badania został przemieszczony.
Ważna jest także stabilizacja środowiska radiowego. Urządzenia należące do pracowników, punkty dostępowe, telefony, zestawy konferencyjne i inne źródła emisji powinny zostać rozpoznane. Nie wyłącza się ich bez planu, ponieważ zmiana środowiska może usunąć sygnał, który należało wcześniej zidentyfikować.
Oględziny fizyczne pomieszczenia
Najbardziej zaawansowany analizator nie zastąpi dokładnej kontroli wzrokowej i manualnej.
Urządzenie może nie emitować żadnego sygnału. Może zapisywać materiał w pamięci, uruchamiać się wyłącznie w określonych godzinach albo pozostawać w stanie uśpienia.
Dlatego sprawdzane są elementy, które znajdują się w pobliżu miejsca prowadzenia rozmów lub posiadają dostęp do zasilania.
Szczególnej uwagi wymagają przedmioty, które pojawiły się niedawno, były serwisowane albo zostały przekazane jako wyposażenie przez osobę zewnętrzną. Nie oznacza to jednak, że każda ładowarka, listwa czy czujka jest urządzeniem szpiegującym.
Kontrola ma wykazać, czy budowa, sposób podłączenia i zawartość przedmiotu odpowiadają jego deklarowanej funkcji.
Oględziny obejmują również przestrzenie konstrukcyjne, instalacje, meble, urządzenia biurowe i punkty umożliwiające obserwację osób przebywających w pomieszczeniu.
Analiza widma radiowego
Kolejnym etapem jest badanie aktywności radiowej występującej w kontrolowanym obszarze.
Współczesne biuro jest pełne legalnych emisji. Działają w nim sieci Wi-Fi, telefony, zestawy bezprzewodowe, urządzenia Bluetooth, systemy alarmowe, elementy automatyki i sprzęt konferencyjny.
Samo wykrycie sygnału nie oznacza więc znalezienia podsłuchu.
Trzeba określić jego źródło, sposób pracy, częstotliwość występowania i związek z badanym pomieszczeniem. Analiza powinna pozwolić odróżnić urządzenia znane i zaakceptowane od emisji wymagających dalszej weryfikacji.
Podejrzany sygnał lokalizuje się stopniowo. Porównuje się jego poziom w różnych częściach obiektu, sprawdza zmiany w czasie i ustala, czy reaguje na zdarzenia zachodzące w pomieszczeniu.
Nie każdy podsłuch pracuje stale. Dlatego krótki pomiar wykonany w jednym punkcie może nie ujawnić urządzenia nadającego okresowo.
Wykrywanie elektroniki, która nie nadaje
Jednym z ważnych narzędzi kontroli może być detektor złączy nieliniowych.
Urządzenie służy do wykrywania właściwości charakterystycznych dla elementów elektronicznych, również wtedy, gdy badany sprzęt jest wyłączony i nie emituje sygnału radiowego.
Nie wskazuje automatycznie, że znaleziono podsłuch. W biurze istnieje wiele legalnych elementów elektronicznych.
Pozwala jednak wykrywać elektronikę ukrytą w miejscu, w którym nie powinna się znajdować, a następnie przeprowadzić dokładniejszą kontrolę konkretnego obiektu.
Skuteczność zależy od sposobu użycia sprzętu i interpretacji wyniku. Samo posiadanie urządzenia nie zastępuje doświadczenia operatora.
Kontrola optyczna i poszukiwanie ukrytych kamer
Jeżeli zagrożenie może obejmować obraz, badanie rozszerza się o poszukiwanie ukrytych kamer oraz ich elementów optycznych.
Analizowane są przedmioty posiadające możliwość obserwowania stołu, ekranu, dokumentów albo osób przebywających w pomieszczeniu.
Wykorzystuje się zarówno oględziny, jak i narzędzia pomagające ujawniać obiektywy lub elementy elektroniczne.
Trzeba przy tym pamiętać, że kamera może być częścią legalnego systemu, urządzenia konferencyjnego albo wyposażenia multimedialnego. Kluczowe jest ustalenie, kto nią zarządza, gdzie trafia obraz i czy jej obecność oraz zakres działania są zgodne z przeznaczeniem pomieszczenia.
UODO przypomina, że monitoring wizyjny służy rejestracji obrazu, a nagrywanie dźwięku może stanowić nadmiarową ingerencję w prywatność i prowadzić do odpowiedzialności prawnej. Źródło: UODO
Termowizja podczas kontroli TSCM
Urządzenia elektroniczne mogą wytwarzać ciepło.
Kamera termowizyjna pomaga wykrywać nietypowe różnice temperatur w ścianach, meblach, zasilaczach, urządzeniach i elementach wyposażenia.
Termowizja nie jest jednak „wykrywaczem podsłuchów”.
Ciepły punkt może wynikać z przewodu, zasilacza, instalacji grzewczej, urządzenia sieciowego albo naturalnej pracy elektroniki.
Obraz termiczny wskazuje miejsce wymagające sprawdzenia. Dopiero połączenie go z innymi wynikami pozwala ocenić znaczenie wykrytej anomalii.
Sprawdzenie urządzeń i infrastruktury
Pomieszczenie nie kończy się na ścianach.
Źródłem zagrożenia może być wyposażenie, które zostało legalnie wniesione do firmy, ale działa w nieznany sposób. Dotyczy to między innymi zestawów konferencyjnych, inteligentnych głośników, telefonów, komputerów, ładowarek, urządzeń sieciowych i systemów automatyki.
Kontrola może wymagać ustalenia, jakie urządzenia są podłączone do sieci, kto nimi zarządza i czy ich konfiguracja odpowiada polityce bezpieczeństwa firmy.
Nie każda nieznana pozycja w sieci jest urządzeniem szpiegującym. Może być drukarką, telefonem pracownika albo elementem infrastruktury, który nie został prawidłowo zinwentaryzowany.
Właśnie dlatego bezpieczeństwo techniczne trzeba łączyć z analizą informatyczną i organizacyjną.
Co dzieje się po znalezieniu podejrzanego urządzenia
Podejrzanego przedmiotu nie należy natychmiast demontować, uruchamiać ani przekazywać pomiędzy osobami.
Najpierw dokumentuje się jego położenie, sposób podłączenia i otoczenie.
Trzeba również ustalić, czy istnieje ryzyko dalszego przesyłania informacji oraz czy urządzenie może mieć znaczenie dowodowe.
Decyzja o jego odłączeniu powinna uwzględniać bezpieczeństwo, możliwość zabezpieczenia śladów i dalszą strategię prawną. Jeżeli okoliczności wskazują na możliwość popełnienia przestępstwa, materiał powinien zostać przekazany właściwym organom.
Detektyw prowadzący czynności musi działać w zakresie niezastrzeżonym dla organów państwowych, zachować szczególną staranność i odmówić wykonania działań nielegalnych. Ustawa zobowiązuje go również do rzetelnej weryfikacji informacji oraz sporządzenia pisemnego sprawozdania z wykonanych czynności. Źródło: ustawa o usługach detektywistycznych
Co powinien zawierać raport z kontroli
Raport nie powinien kończyć się zdaniem:
„Nie znaleziono podsłuchu.”
Takie sformułowanie nie mówi, co faktycznie sprawdzono.
Profesjonalny dokument powinien opisywać obiekt, zakres, datę, zastosowane metody, wyposażenie objęte kontrolą, ujawnione sygnały, sprawdzone anomalie oraz ograniczenia badania.
Należy wyraźnie rozdzielić urządzenia rozpoznane jako legalne, elementy wymagające wyjaśnienia i przedmioty uznane za realne zagrożenie.
Raport powinien również zawierać dokumentację fotograficzną i techniczną oraz zalecenia dotyczące dalszego zabezpieczenia pomieszczeń.
Czy jedna kontrola daje pełną gwarancję bezpieczeństwa
Nie.
Rzetelny wykonawca nie powinien obiecywać stuprocentowej pewności, że w pomieszczeniu nie istnieje żadne zagrożenie.
Urządzenie może zostać wniesione po zakończeniu badania. Informacja może wyciekać przez człowieka, telefon, konto albo źle skonfigurowany system. Niektóre urządzenia mogą działać okresowo, a możliwość pełnego sprawdzenia części instalacji może być ograniczona.
Kontrola opisuje stan w konkretnym czasie i w określonym zakresie.
W firmach prowadzących poufne rozmowy najlepszym rozwiązaniem jest połączenie badań technicznych z kontrolą dostępu, bezpieczeństwem IT, zasadami korzystania z urządzeń i cyklicznym audytem.
Modelowy przykład
Zarząd spółki podejrzewał podsłuch w sali konferencyjnej, ponieważ konkurent znał dokładny poziom planowanej obniżki ceny.
Kontrola techniczna nie ujawniła nieautoryzowanego nadajnika ani rejestratora.
Analiza obiegu informacji wykazała natomiast, że dokument z kalkulacją został przesłany do zewnętrznego doradcy, który korzystał ze wspólnego folderu z szerszym zespołem niż wynikało z umowy.
Problem nie znajdował się w ścianie.
Znajdował się w sposobie udostępnienia pliku.
Uczciwy wniosek brzmiał:
Nie ujawniono urządzenia technicznego przeznaczonego do przechwytywania rozmów. Potwierdzono natomiast kanał dostępu do dokumentu, który mógł umożliwić ujawnienie informacji osobom nieuprawnionym.
To właśnie odróżnia profesjonalną kontrolę od pokazowego przejścia po biurze z detektorem.
Komentarz Dawida Kuciela
Klient zlecający wykrywanie podsłuchów oczekuje jasnej odpowiedzi.
Rozumiem to.
Nie mogę jednak wejść do pomieszczenia z założeniem, że urządzenie na pewno się w nim znajduje. Nie mogę również zakończyć pracy po kilku pomiarach i powiedzieć, że wszystko jest bezpieczne.
Najpierw chcę wiedzieć, jaka informacja wyciekła, kto ją znał i gdzie była omawiana.
Dopiero wtedy dobieramy zakres i metody.
Profesjonalna kontrola łączy sprzęt z analizą. Jeżeli urządzenie znajduje się w pomieszczeniu, musimy je znaleźć i prawidłowo udokumentować. Jeżeli zagrożenie pochodzi z innego źródła, klient również powinien otrzymać tę informację.
Nie sprzedaję poczucia bezpieczeństwa.
Sprawdzam, na czym naprawdę można je oprzeć.
Podsumowanie
Profesjonalne wykrywanie podsłuchów obejmuje znacznie więcej niż analizę sygnałów radiowych.
Zaczyna się od poznania problemu, a następnie łączy oględziny fizyczne, badanie widma, wykrywanie ukrytej elektroniki, kontrolę optyczną, termowizję oraz ocenę urządzeń i infrastruktury.
Końcowym rezultatem powinien być raport pokazujący, co sprawdzono, co ujawniono i jakie działania należy podjąć.
Najważniejsze pytanie nie brzmi wyłącznie:
„Czy w ścianie znajduje się podsłuch?”
Brzmi:
„W jaki sposób poufna informacja mogła opuścić to pomieszczenie lub organizację?”
Powiązane materiały
Jeżeli ten temat dotyczy Twojej sytuacji, zobacz również:
Artykuł porządkuje zagadnienie. Zakres działań zawsze powinien wynikać z celu, dostępnych informacji i realnej sytuacji klienta.