На основе файла: методика_частн_модел_минздрав

Методические рекомендации по составлению частной модели угроз безопасности испДн

Содержание

Обозначения и сокращения 2

Введение 3

Определения 4

1 Общие положения 8

2 Методология формирования модели угроз 10

3 Описание ИСПДн 12

3.1 Определение условий создания и использования персональных данных 12

3.2 Описание форм представления персональных данных 13

3.3 Описание структуры ИСПДн 14

3.4 Определение характеристик безопасности 16

4 Пользователи ИСПДн 17

5 Типы ИСПДн 20

5.1 Характеристики ИСПДн 20

5.2 5.221Типизация ИСПДн 21

6 Уровень исходной защищенности 24

7 Вероятность реализации угроз безопасности 28

7.1 Классификация угроз безопасности 28

7.2 Классификация нарушителей 29

7.3 Классификация уязвимостей ИСПДн 35

7.4 Перечень возможных УБПДн 36

7.5 Определение вероятности реализации УБПДн 39

8 Реализуемость угроз 63

9 Оценка опасности угроз 83

10 Определение актуальности угроз в ИСПДн 97

Обозначения и сокращения

АВС – антивирусные средства

АРМ – автоматизированное рабочее место

ВТСС – вспомогательные технические средства и системы

ИСПДн – информационная система персональных данных

КЗ – контролируемая зона

ЛВС – локальная вычислительная сеть

МЭ – межсетевой экран

НСД – несанкционированный доступ

ОС – операционная система

ПДн – персональные данные

ПМВ – программно-математическое воздействие

ПО – программное обеспечение

ПЭМИН – побочные электромагнитные излучения и наводки

САЗ – система анализа защищенности

СЗИ – средства защиты информации

СЗПДн – система (подсистема) защиты персональных данных

СОВ – система обнаружения вторжений

ТКУ И – технические каналы утечки информации

УБПДн – угрозы безопасности персональных данных

ФСТЭК России – Федеральная служба по техническому и экспортному контролю

Введение

Методические рекомендации содержат систематизированный перечень угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ИСПДн). Эти угрозы обусловлены преднамеренными или непреднамеренными действиями физических лиц, действиями зарубежных спецслужб или организаций (в том числе террористических), а также криминальных группировок, создающими условия (предпосылки) для нарушения безопасности персональных данных (ПДн), которые ведут к ущербу жизненно важным интересам личности, общества и государства.

Методические рекомендации являются методическим документом и предназначены для операторов персональных данных Учреждений, осуществляющих обработку ПДн, и используются при решении следующих задач:

• разработка частных моделей угроз безопасности ПДн в конкретных ИСПДн с учетом их назначения, условий и особенностей функционирования;

• анализ защищенности ИСПДн от угроз безопасности ПДн в ходе организации и выполнения работ по обеспечению безопасности ПДн;

• разработка системы защиты ПДн, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты ПДн, предусмотренных для соответствующего класса ИСПДн;

• проведение мероприятий, направленных на предотвращение несанкционированного доступа к ПДн и (или) передачи их лицам, не имеющим права доступа к такой информации;

• недопущение воздействия на технические средства ИСПДн, в результате которого может быть нарушено их функционирование;

• контроль за обеспечением уровня защищенности персональных данных.