Частная модель угроз персональных данных информационной системы филиала АО "Газпром газораспределение"

АИС-автоматизированная информационная система

ИБП - источник бесперебойного питания.

ИТ - информационные технологии.

КЗ - контролируемая зона.

КТС - комплекс технических средств

ЛВС - локальная вычислительная

МНИ - машинный носитель информации

МЭ - межсетевой экран

НЖМД - накопитель на жестких магнитных дисках

НМД - нормативно-методический документ

НСД - несанкционированный доступ

ОТСС - основные технические средства и системы

ОС - операционная система

ОИ - объект информатизации

ПИБ - подсистема информационной безопасности

РД - руководящий документ

СЗИ - система защиты информации

СВТ - средство вычислительной техники

СЗИНСД - система защиты информации от несанкционированного

СПО - специализированное программное обеспечение

ТЗКИ - техническая защита конфиденциальной информации

ПДн - персональные данные

ЗПДн - защита персональных данных

ИС - информационная система

ИСПДн - информационная система персональных данных

ОРД - организационно - распорядительная документация

УБПДн - угроза безопасности персональных данных

ВВЕДЕНИЕ

защита персональные данные

За последнее столетие информационные системы заняли ведущие позиции и стали неотъемлемой частью всех сфер жизнедеятельности человека. Такое стремительное развитие систем сбора и манипуляций с информацией определило угрозы безопасности информации как совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения конфиденциальности, доступности и целостности информации. К угрозам информационно-технического характера, можно отнести такие элементы как кража информации, вредоносное программное обеспечение, хакерские атаки, СПАМ, халатность сотрудников, аппаратные и программные сбои, финансовое мошенничество, кража оборудования. По результатам исследований, проведенных в России компанией InfoWatch наиболее распространенными являются кража информации и вредоносное программное обеспечение.

Ситуация с оборотом информационных ресурсов потребовала контроля и юридического регулирования на государственном уровне.

В нашей стране сравнительно недавно, в начале 2007 года, в силу вступил Федеральный закон № 152-ФЗ «О персональных данных», законодательно определив необходимость защиты персональных данных субъектов. Помимо самого Закона «О персональных данных» существует множество уточняющих и детализирующих его требований подзаконных нормативных актов, различных отраслевых рекомендаций, и все эти документы постоянно меняются и дорабатываются.

На сегодняшний день сохраняется тенденция к увеличению доли атак, направленных на хищение данных. Многие компании уделяют недостаточное внимание защите обрабатываемой информации (особенно персональных и медицинских данных), что делает ее легкой добычей даже для низко-квалифицированных хакеров (которых с каждым днем становится все больше) и недобросовестных сотрудников организаций (инсайдеров), нарушающих свои обязательства и права авторизованных пользователей. Угрозы давно стали очень серьезными, а ущерб от их действий исчисляется десятками миллиардов долларов.

Сегодня практически каждое юридическое лицо является оператором персональных данных. 21 сентября 2018 года аналитический центр компании InfoWatch представил результаты глобального исследования утечек конфиденциальной информации в первом полугодии 2018 года. Всего за исследуемый период было зарегистрировано 1039 случаев утечки конфиденциальной информации, что на 12% больше, чем годом ранее. В частности, объем информации, скомпрометированной по вине хакерских и иных атак под воздействием внешнего нарушителя, уменьшился в десять раз, составив только около 0, 5 млрд записей. При этом в результате нарушений внутри организаций пострадали более 1, 5 млрд записей данных, включая персональные и платежные. В целом ряде отраслей, таких как банковский сектор и промышленность, 60% и более утечек персональных данных носили умышленный характер. За исследуемый период зафиксировано 15 утечек информации, объемом более миллиона записей, и еще 21 мега-утечка, объемом более 10 млн записей [1].

Исходя из сложившейся ситуации направление создания систем защиты персональных данных становится все актуальнее. Интерес российских предприятий в организации защиты персональных данных растет с каждым годом, поскольку внедрение системы значительно снижает риски в случае проведения проверок со стороны Роскомнадзора, ФСТЭК и ФСБ, а также снижает вероятность финансового и морального ущерба в следствии утечки ценной информации.

В настоящей дипломной работе рассмотрена разработка частной модели угроз персональных данных информационной системы филиала АО «Газпром газораспределение».

Организация АО «Газпром газораспределение» выбрана из следующих соображений: во-первых, имеется большая сеть филиалов по всей стране; во-вторых, в организации трудится многочисленный штат сотрудников, а, следовательно, имеются обширные базы их персональных данных; в-третьих, в сети интернет, имеется огромное количество открытой информации об организации, что позволяет использовать структуру организации основываясь на данных официальных сайтов.

Целью настоящей работы является разработка модели угроз на примере предприятия АО «Газпром газораспределение».

В ходе выполнения работы решаются следующие задачи: изучение требований законодательства Российской Федерации в области защиты ПДн; обследование и анализ ИСПДн (на основе открытых источников) в организации и определение типов обрабатываемых ПДн; определение исходной защищенности ИСПДн, определение источников УБПДн; определение УБПДн; определение требований к СЗПДн; разработка рекомендаций по противодействию УБПДн.

1. АНАЛИТИЧЕСКИЙ ОБЗОР

Типы актуальных угроз и УЗ ПДн в информационных системах подробно описываются в постановлении Правительства РФ от 1 ноября 2012 г. № 1119 [5]. Описание типов актуальных угроз и УЗ ПДн приведено в приложении 2 (справочное).

1. 5 Патентный поиск в области защиты персональных данных

В результате проведенного поиска изобретений в области защиты информации и в частности персональных данных, выяснилось, что разработки в этой области актуальны и ведутся постоянно. Далее будут приведены примеры таких разработок.

В 2008 году опубликован патент № 2325695 «Система защиты информации»[6].

Изобретение относится к области защиты информации и может быть использовано как на программном, так и на аппаратном уровне реализации в вычислительных и информационных системах для криптографической защиты информации в цифровой форме. Техническим результатом является повышение надежности защиты информации. В качестве ключей использованы последовательности простых чисел (ПЧ) подряд, порядковые номера (индексы) которых являются векторами инициализации пользователей. Для идентификации используется индивидуальный номер пользователей. Пользователь с одним персональным номером может входить в разные системы, где ему соответствует текущее значение ПЧ из лицензированного для этой системы диапазона простых чисел. Размер указанной последовательности замыкается в кольцо, то есть после последнего ПЧ следует первое ПЧ. Смена ключей производится сдвигом регистра по сигналам точного времени.

В 2009 году опубликован патент № 2346397 - «Способ защиты персональных данных биометрической идентификации и аутентификации» [6].

Изобретение относится к технике защиты данных при реализации механизмов биометрической идентификации и аутентификации, оно может быть использовано при заключении электронных сделок, при электронной торговле, в Интернетбанкинге. Техническим результатом является повышение стойкости нейросетевого контейнера к атакам подбора из-за появления эффекта «размножения ошибок» «Чужого». При нейросетевом хранении биометрических параметров пользователя и его личного ключа шифруют таблицы описания нейросети на фрагментах ключа, размещенного в самой нейронной сети. Система защиты информации от несанкционированного доступа к конфиденциальной информации и информации, содержащей персональные данные.

Компания ООО «Стратегия безопасности» получила патент № 103414 на уникальную методику обезличивания данных [7]. Согласно определения, данного в ФЗ «О персональных данных» № 152, обезличивание - это способ обработки ПДн, в результате которого в обработанных ПДн нельзя идентифицировать физическое лицо, которому эти данные принадлежат. Но есть еще одно важное требование, не упомянутое в законе, - такая обработка ПДн должна быть обратимой, иначе это будет просто потеря информации.

ПДн необходимо обезличивать чтобы сэкономить деньги на их защите - ведь согласно классификации обезличенные ПДн - это 4-й класс защищенности, не требующий защиты конфиденциальности.

В 2012 году опубликован патент № 2444057 - «Система защиты информации от несанкционированного доступа к конфиденциальной информации и информации, содержащей персональные данные» [6].

Изобретение относится к вычислительной технике. Технический результат заключается в повышении защищенности информации за счет обеспечения замкнутой программной среды. Система защиты информации от несанкционированного доступа к конфиденциальной информации и информации, содержащей персональные данные, содержащая множество систем защиты информации пользователя от несанкционированного доступа, каждая из которых подключена к шине управления и обмена данными одного из множества автоматизированных рабочих мест пользователей или функциональных серверов в компьютерной сети, которые соединены друг с другом и с сервером-контроллером домена по сетевой магистрали, причем в систему введены сервер безопасности и база данных безопасности, которые подключены к шине управления и обмена данными сервера-контроллера домена, а также по крайней мере одно автоматизированное рабочее место администратора безопасности информации и подключенную к его шине управления и обмена данными систему защиты информации администратора от несанкционированного доступа.

Компанией НПО «Эшелон» получен патент № 166348 на устройство корреляции событий информационной безопасности, реализованное в «КОМРАД 2. 0» [8].

«КОМРАД 2. 0» - система централизованного управления событиями информационной безопасности, совместимая с отечественными средствами защиты информации.

Его применение позволяет осуществлять мониторинг событий ИБ, оперативно реагировать на возникающие угрозы, выявлять инциденты ИБ.

В 2015 году опубликован патент № 2538913 - «Способ деперсонализации персональных данных» [6].

Изобретение относится к области защиты информации, хранимой в информационных системах персональных данных (ИСПДн), от несанкционированного доступа (НСД) и может быть использовано на стадиях разработки и оптимизации ИСПДн в защищенном исполнении. Техническим результатом является повышение уровня безопасности ИСПДн. Способ деперсонализации персональных данных обеспечивает защиту ИСПДн от НСД на стадиях разработки и оптимизации, оперирует персональными данными субъектов, хранящимися и обрабатываемыми в ИСПДН, и осуществляет двухэтапное перемешивание данных, относящихся к разным субъектам, используя перестановки первого и второго уровней, при этом на первом этапе исходное множество данных D (d1, d2, dN), где N - число атрибутов, разбивается на непересекающиеся подмножества данных Ai, относящихся к одному атрибуту di, а на втором этапе происходит непосредственно перестановка данных сначала внутри подмножеств Ai и затем элементами перестановки являются сами подмножества. При росте количества субъектов ПДн уменьшается вероятность подбора параметров деперсонализации, соответственно повышается защищенность ИСПДн. Разбиение исходного множества данных на подмножества позволяет сократить размерность задачи и упростить ее практическую реализацию.

1. 6 Обзор организации

Информационная система обработки персональных данных рассмотрена на примере филиала АО «Газпром газораспределение» Брянской области [9]. Задачи, выполняемые филиалом, реализованы через подразделения, расположенные в населенных пунктах Брянской области: филиал Центральный - г. Брянск, филиал Северный - г. Дятьково, филиал г. Клинцы, филиал г. Новозыбков, филиал Западный - г. Стародуб, филиал Восточный - г. Трубчевск.

Численность сотрудников работающих в обществе составляет около 2 тысяч человек.

Филиал Центральный расположен в четырехэтажном обособленном здании на окраине города Брянск, филиал Северный расположен в отдельном трехэтажном здании ближе к центру города Дятьково, филиал г. Клинцы расположен в отдельном трехэтажном здании в южной части города Клинцы, филиал г. Новозыбков расположен в отдельном трехэтажном здании в южной части города Новозыбков, филиал Западный расположен в трехэтажном отдельном здании в восточной части города Стародуб, филиал Западный расположен в отдельном двухэтажном здании в северо-восточной части города Трубчевск. Контролируемые зоны всех филиалов ограничиваются стенами зданий.

Расположение подразделений филиала АО «Газпром газораспределение» представлено на карте Брянской области на рисунке 1. 1.

Рисунок 1. 1 - Расположение филиалов АО «Газпром газораспределение»

Организационная структура центрального филиала представлена на рисунке 1. 2, подчиненных филиалов представлена на рисунке 1. 3.

Рисунок 1. 2 - Организационная структура центрального филиала

Рисунок 1. 3 - Организационная структура подчиненных филиалов филиала

1. 7 Выводы

2. 1 Характеристики объекта информатизации по результатам обследования

Общество, являясь оператором ПДн, осуществляет обработку ПДн сотрудников и иных субъектов ПДн, не состоящих с Обществом в трудовых отношениях (уволенные сотрудники, акционеры, партнеры, клиенты).

Данные в филиалах обрабатываются в целях:

- соблюдения требований законодательства РФ и устава организации;

- регулирования трудовых взаимоотношений с сотрудниками;

- предоставления сотрудникам гарантий и компенсаций;

- защиты интересов субъектов персональных данных;

- договорных отношений с партнерами;

- обеспечения пропускного режима;

- в других законных целях.

Обработка специальных категорий персональных данных, касающихся личной жизни, в организации не производится.

Информационные системы персональных данных функционируют на информационно-вычислительной сети Общества, объединяющей компьютеры, установленные на рабочих местах сотрудников и структурных подразделений расположенных: г. Брянск, г. Дятьково, г. Клинцы, г. Новозыбковье, г. Стародуб, г. Трубчевск.

Для осуществления технологического процесса обработки информации в информационной системе (ИС) используется программное обеспечение (ПО), приведенное в таблице 2. 1.

Таблица 2. 1 - Используемое программное обеспечение

В ИС используются технические устройства, приведенные в таблице 2. 2.

Таблица 2. 2 - Состав технических устройств

Филиалы Общества осуществляют передачу данных посредством подключения ЛВС к глобальной сети «интернет», пропускная способность каналов связи приведена в таблице 2. 3.

Персональные данные поступают от субъекта при заключении с ним договора или от третьей стороны в рамках исполнения норм действующего законодательства Российской Федерации.

Таблица 2. 3 - Пропускная способность

Общество осуществляет операции по сбору, записи, систематизации, накоплению, хранению, уточнению (обновлению, изменению), извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению и уничтожению данных. Перечень обрабатываемых ПДн в Обществе и описание технологических процессов обработки представлены приложениях 3, 4 (обязательные).

Обработка данных осуществляется следующими способами:

- неавтоматизированная обработка;

- автоматизированная обработка с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;

- смешанная обработка.

Обработку ПДн субъектов осуществляют: работники отдела по работе с персоналом, работники бухгалтерии, работники управления информационных технологий. Пользователям предоставляется доступ к ресурсам сети общего доступа «интернет».

Режим обработки информации в ИСПДн - многопользовательский. В системе присутствуют только постоянные пользователи. АРМ ИСПДн имеют доступ к персональным данным на специально выделенном сервере приложений. Настройку системы защиты и контроль ее работы осуществляют сотрудники управления информационных технологий.

Доступ в ИСПДн осуществляется по персональному имени и паролю конкретного пользователя. При этом пользователь получает установленные Администратором права доступа.

Функции, права, обязанности и порядок работы сотрудников в ИСПДн регламентируется внутренними документами.

2. 2 Характеристики ИСПДн по результатам предварительного обследования

В результате проведенного предварительного обследования оценены показатели, влияющие на безопасность ПДн и степень вероятности инцидентов безопасности в ИСПДн Общества. Показатели приведены в таблице 2. 4.

Таблица 2. 4 - Показатели, влияющие на безопасность ПДн и степень вероятности инцидентов безопасности

По полученным данным видно, что в большинстве подразделений вероятность инцидентов безопасности информации ниже среднего.

2. 3 Анализ организационно-распорядительной документации предприятия

В процессе проведения обследования, был проведен анализ имеющихся организационно распорядительных документов в области обработки персональных данных. Результаты анализа и рекомендации к дополнению документации приведены в приложении 5 (обязательное).

Анализ ОРД показал, что хотя на предприятии в основном разработан комплект документов, но частично документация требует доработки.

Перечень отсутствующих документов приведен в таблице 2. 5.

Таблица 2. 5 - Перечень отсутствующих документов

2. 4 Построение модели нарушителя

Необходимо построить Модель нарушителя для дальнейшего отбора источников угроз для рассматриваемой ИСПДн. Модель абстрактно описывает нарушителей как источники угроз предполагая при этом их возможности при атаках. В Модели будут описаны типы возможных нарушителей, а с помощью результата моделирования будет определяться требуемый уровень защищенности.

По наличию права доступа в контролируемую зону ИСПДн нарушители в рассматриваемой организации подразделяются на следующие типы согласно приложения 6 (обязательное).

Исходя из проведенной выборки возможных нарушителей актуальными являются: внутренний нарушитель с низким и средним потенциалом, внешний нарушитель с низким и средним потенциалом и комбинации внешнего и внутреннего нарушителей.

2. 5 Определение исходного уровня защищенности

Параметры ИСПДн представлены в таблице 2. 6.

Таблица 2. 6 - Параметры ИСПДн

Под уровнем исходной защищенности понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн. Показатели исходной защищенности ИСПДн приведены в таблице 2. 7.

Таблица 2. 7 - Показатели исходной защищенности ИСПДн

По результатам оценки показателей ИСПДн определено, что уровень исходной защищенности низкий.

2. 6 Определение актуальных угроз

Модель угроз информационной безопасности разработана основываясь на анализе данных полученных при проведении обследования ИСПДн в соответствии с действующими требованиями законодательства Российской Федерации.

В соответствии с банком данных угроз безопасности информации [10] приведены возможные уязвимости для существующей ИСПДн для используемого ПО и возможные угрозы для нарушителей с предполагаемым потенциалом «средним» и «низким». Данные по возможным уязвимостям и возможным угрозам представлены в приложениях 7, 8 (обязательные).

Уровень исходной защищенности и частота (вероятность) реализации рассматриваемой угрозы - эти два показателя применяют для оценки возможностей реализации угрозы.

При составлении перечня актуальных угроз безопасности ПДн использую методику ФСТЭК России 14. 02. 2008 г. [11].

В соответствии с правилами предложенными методикой осуществлю отбор из возможных угроз актуальных. Результаты расчетов и выбора актуальных угроз представлены в приложении 9 (обязательное).

Отобранные актуальные угрозы представлены в приложении 10 (обязательное).

Для ИС актуальны угрозы 2 типа.

2. 7 Меры по обеспечению безопасности ПДн

В данной ИСПДн необходимо обеспечить 3 уровень защищенности персональных данных, на основании требований постановления Правительства Р. Ф № 1119 [5].

Для обеспечения требуемого уровня защищенности необходимо выполнить следующие условия:

а) организовать режим обеспечения безопасности помещений, в которых размещена ИС, исключающий возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц, в этих целях необходимо:

- организовать пропускной режим;

- разработать ОРД (план контролируемой зоны, приказ и акт проверок) ;

б) обеспечить сохранность носителей ПДн, в этих целях необходимо:

- разработать ОРД (приказ о назначении ответственных лиц за ПДн и список ответственных лиц, приказ о местах хранения) ;

в) утвердить документ, определяющий перечень лиц, доступ которых к ПДн, обрабатываемых в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей:

- разработать ОРД (приказ о назначении ответственных лиц за ПДн и список ответственных лиц, приказ и перечень общедоступных сведений, приказ о назначении ответственных за безопасность ПДн, приказ о назначении ответственных лиц за обработку персональных данных) ;

г) внедрить средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации:

- антивирусная защита (ESET NOD32 Secure Enterprise - комплексное кроссплатформенное решение, которое включает все типы антивирусного программного обеспечения для оптимизированной работы и эффективной защиты каждого узла сети, вне зависимости от операционной системы: централизованное управление, расширенная защита рабочих станций, защита мобильных устройств, защита файловых серверов, защита почтовых серверов, защита интернет-шлюзов, сертификат соответствия ФСТЭК России № 3243 от 13 октября 2014 года сроком да 13 октября 2020 года) ;

- средства защиты от НСД (Secret Net7 - сертифицированное средство защиты информации от НСД, позволяет привести АС в соответствие требованиям регулирующих документов. Возможности - аутентификация пользователей, разграничение доступа, доверенная информационная среда, контроль утечек и каналов распространения конфиденциальной информации, централизованное управление СЗ, масштабируемая СЗ (применение в организациях с большим числом филиалов), затирание остаточной информации при освобождении и удалении областей памяти, сертификат ФСТЭК России № 2707 RU. 88338853. 501410. 015 до 07. 09. 2021 г.) ;

- защита сети VPN (ViPNet CSP 4. 2 - российский криптопровайдер, сертифицированный ФСБ России как средство криптографической защиты информации (СКЗИ) и электронной подписи.

ViPNet CSP 4. 2 позволяет:

- создание ключей ЭП, формирование и проверка ЭП по ГОСТ Р 34. 10-2001, ГОСТ Р 34. 10-2012;

- хэширование данных по ГОСТ Р 34. 11-94 и ГОСТ Р 34. 11-2012;

- шифрование и имитозащита данных по ГОСТ 28147-89;

Базовый вариант ViPNet CSP 4. 2 обеспечивает класс защищенности КС1.

ViPNet CSP 4. 2 соответствует требованиям ФСБ России к шифровальным (криптографическим) средствам и требованиям к средствам ЭП, утвержденным приказом ФСБ России от 27 декабря 2011 г. № 796, установленным для классов КС1, КС2, КС3.)

Защищенность будет анализироваться с помощью средств аудита сети (программное обеспечение Positive Technologies XSpider является средством сетевого аудита, предназначенным для поиска уязвимостей в различных сетевых операционных системах и аппаратных устройствах.)

д) необходимо назначить должностное лицо (работника), ответственного за обеспечение безопасности персональных данных в информационной системе:

- разработка ОРД (приказ о назначении ответственных за безопасность ПДн, приказ о назначении ответственных лиц за обеспечение защиты персональных данных).

2. 8 Принципиальная схема размещения средств защиты информации

Принципиальная схема вариантов размещения программных и аппаратных компонентов системы защиты информации в зависимости от структуры защищаемого объекта, приведены на рисунке 2. 1.

Рисунок 2. 1 - Схема размещения программных и аппаратных компонентов

ЗАКЛЮЧЕНИЕ

Модель угроз представляет собой документ, в котором, отражены угрозы безопасности ПДн для конкретной информационной системы, возможные методы и способы защиты ПДн, а также необходимые мероприятия по обеспечению безопасности данной информационной системы.

Модель угроз используется для: анализа защищенности ИСПДн на предмет угроз безопасности ПДн как в период организации так и при выполнения работ обеспечения безопасности ПДн; разработки системы защиты ПДн, которая должна обеспечить нейтрализацию угроз с использованием методов и способов защиты ПДн; назначения мероприятий, предотвращающих несанкционированный доступ к ПДн и (или) передачу их посторонним лицам; недопущения воздействия на технические средства ИСПДн; создания системы контроля обеспечения требуемого уровня защищенности.

Модель угроз для ИСПДн разрабатывается в соответствии со следующими нормативными и методологическими документами:

- ФЗ «Об информации, информационных технологиях и о защите информации» от 27. 07. 2006 N 149-ФЗ.

- ФЗ «О персональных данных» от 27 июля 2006 N 152-ФЗ.

- постановление Правительства РФ от 15 сентября 2008 г. N 687 г. Москва «Об утверждении Положения об особенностях обработки персональных данных…»

- постановление Правительства РФ от 01 ноября 2012 N 1119 «Об утверждении требований к защите персональных данных …».

Настоящая дипломная работа посвящена разработке модели угроз на примере предприятия ООО «Газпром газораспределение» г. Брянск. В ходе выполнения работы решаются следующие задачи: изучение требований законодательства Российской Федерации в области защиты ПДн; обследование и анализ ИСПДн (на основе открытых источников) в организации и определение типов обрабатываемых ПДн; определение исходной защищенности ИСПДн; определение источников УБПДн; определение УБПДн; определение требований к СЗПДн; разработка рекомендаций по противодействию УБПДн.

В ходе работы получены следующие результаты:

- проведен патентный поиск в области защиты ПДн;

- получены навыки в выявлении УБПДн;

- рассмотрены меры по предотвращению УБПДн;

- рассмотрено и изучено законодательство в области защиты ПДн;

-обследована и проанализирована ИСПДн, определены типы обрабатываемых ПДн;

- определена исходная защищенность;

- определены источники УБПДн;

- определены угрозы безопасности ПДн;

- определены требования к СЗПДн;

- назначены меры по противодействию УБПДн.

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ

1. Утечки данных, статья [Электронный ресурс] // TAdviser - российский интернет-портал и аналитическое агентство: [сайт]. URL: www. tadviser. ru.

2. Федеральный закон «О персональных данных» от 27 июля 2006 г. № 152-ФЗ [Электронный ресурс] // Федеральная служба по техническому и экспортному контролю: [сайт]. URL: https//fstec. ru.

3. Отмена классификации ИСПДн, статья [Электронный ресурс] // центр безопасности данных: [сайт]. URL: https: //data-sec. ru.

4. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Выписка) [Электронный ресурс] // Федеральная служба по техническому и экспортному контролю: [сайт]. URL: https//fstec. ru.

5. Постановление Правительства РФ от 1 ноября 2012 г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» [Электронный ресурс] // Федеральная служба по техническому и экспортному контролю: [сайт]. URL: https//fstec. ru.

6. Патентный поиск в РФ (новые патенты, заявки на патент, библиотека патентов на изобретение) [Электронный ресурс] // [сайт]. URL: http: //www. freepatent. ru.

7. ISO27000. ru Искусство управления информационной безопасностью [Электронный ресурс] // [сайт]. URL: http: //www. iso27000. ru

8. «Эшелон» комплексная безопасность [Электронный ресурс] // [сайт]. URL: https: //npo-echelon. ru

9. Газпром газораспределение Брянск [Электронный ресурс] // [сайт]. URL: https//gro32. ru.

10. Банк данных угроз безопасности информации [Электронный ресурс] // Федеральная служба по техническому и экспортному контролю: [сайт]. URL: https//fstec. ru.

11. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 год [Электронный ресурс] // Федеральная служба по техническому и экспортному контролю: [сайт]. URL: https//fstec. ru.

ПРИЛОЖЕНИЕ 1

Классификация УБПДн и их источников

В целях формирования систематизированного перечня УБПДн при их обработке в ИСПДн угрозы классифицируются в соответствии со следующими признаками:

- по виду защищаемой от УБПДн информации, содержащей ПДн;

- по видам возможных источников УБПДн;

- по типу ИСПДн;

- по способу реализации УБПДн;

- по виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн) ;

- по используемой уязвимости;

- по объекту воздействия.

По видам возможных источников УБПДн выделяются следующие классы угроз:

- угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющих доступ к ИСПДн, включая пользователей ИСПДн, реализующих угрозы непосредственно в ИСПДн (внутренний нарушитель) ;

- угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующих угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (внешний нарушитель).

По типу ИСПДн выделяются следующие классы угроз:

- угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе автономного автоматизированного рабочего места (АРМ) ;

- угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе АРМ, подключенного к сети общего пользования (к сети международного информационного обмена) ;

- угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе локальных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена) ;

- угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе локальных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена) ;

- угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена) ;

- угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена).

По способам реализации УБПДн выделяются следующие классы угроз:

- угрозы, связанные с НСД к ПДн (в том числе угрозы внедрения вредоносных программ) ;

- угрозы утечки ПДн по техническим каналам утечки информации;

- угрозы специальных воздействий на ИСПДн.

По виду несанкционированных действий, осуществляемых с ПДн, выделяются следующие классы угроз:

- угрозы, приводящие к нарушению конфиденциальности ПДн (копированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации;

- угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение ПДн или их уничтожение;

- угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы ИСПДн, в результате которого осуществляется блокирование ПДн.

По используемой уязвимости выделяются следующие классы угроз:

- угрозы, реализуемые с использованием уязвимости системного ПО;

- угрозы, реализуемые с использованием уязвимости прикладного ПО;

- угрозы, возникающие в результате использования уязвимости, вызванной наличием в АС аппаратной закладки;

- угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных;

- угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации ТЗИ от НСД;

- угрозы, реализуемые с использованием уязвимостей, обусловливающих наличие технических каналов утечки информации;

- угрозы, реализуемые с использованием уязвимостей СЗИ.

По объекту воздействия выделяются следующие классы угроз:

- угрозы безопасности ПДн, обрабатываемых на АРМ;

- угрозы безопасности ПДн, обрабатываемых в выделенных средствах обработки (принтерах, плоттерах, графопостроителях, вынесенных мониторах, видеопроекторах, средствах звуковоспроизведения и т. п.) ;

- угрозы безопасности ПДн, передаваемых по сетям связи;

- угрозы прикладным программам, с помощью которых обрабатываются ПДн;

- угрозы системному ПО, обеспечивающему функционирование ИСПДн.

Реализация одной из УБПДн перечисленных классов или их совокупности может привести к следующим типам последствий для субъектов ПДн:

- значительным негативным последствиям для субъектов ПДн;

- негативным последствиям для субъектов ПДн;

- незначительным негативным последствиям для субъектов ПДн»[4].

Источниками угроз НСД в ИСПДн могут быть:

- нарушитель;

- носитель вредоносной программы;

- аппаратная закладка.

Угрозы безопасности ПДн, связанные с внедрением аппаратных закладок, определяются в соответствии с нормативным документами Федеральной службы безопасности Российской Федерации в установленном ею порядке.

По наличию права постоянного или разового доступа в контролируемую зону (КЗ) ИСПДн нарушители подразделяются на два типа:

- нарушители, не имеющие доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, - внешние нарушители;

- нарушители, имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн, - внутренние нарушители.

Внешними нарушителями могут быть:

- разведывательные службы государств;

- криминальные структуры;

- конкуренты (конкурирующие организации) ;

- недобросовестные партнеры;

- внешние субъекты (физические лица).

Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.

К первой категории относятся лица, имеющие санкционированный доступ к ИСПДн, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИСПДн.

Ко второй категории относятся зарегистрированные пользователи ИСПДн, осуществляющие ограниченный доступ к ресурсам ИСПДн с рабочего места.

К третьей категории относятся зарегистрированные пользователи ИСПДн, осуществляющие удаленный доступ к ПДн по локальным и (или) распределенным информационным системам.

К четвертой категории относятся зарегистрированные пользователи ИСПДн с полномочиями администратора безопасности сегмента (фрагмента) ИСПДн.

К пятой категории относятся зарегистрированные пользователи с полномочиями системного администратора ИСПДн.

К шестой категории относятся зарегистрированные пользователи с полномочиями администратора безопасности ИСПДн.

К седьмой категории относятся программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте.

К восьмой категории относятся разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств на ИСПДн» [4].

ПРИЛОЖЕНИЕ 2