Практические задания к разделу II. Правовое регулирование проблем информационного права

Тема 11. Правовое регулирование информационных отношений в области персональных данных№17 (Сделано)

1. Используя «Базовую модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденную заместителем директора ФСТЭК России 15 февраля 2008 г., проведите классификацию угроз безопасности персональных данных.

Угрозы классифицируются в соответствии со следующими признаками:

• по виду защищаемой от УБПДн информации, содержащей ПДн;

• по видам возможных источников УБПДн;

• по типу ИСПДн, на которые направлена реализация УБПДн;

• по способу реализации УБПДн;

• по виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн);

• по используемой уязвимости;

• по объекту воздействия.

По видам возможных источников УБПДн выделяются следующие классы угроз:

• угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющих доступ к ИСПДн, включая пользователей ИСПДн, реализующих угрозы непосредственно в ИСПДн (внутренний нарушитель);

• угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующих угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (внешний нарушитель).

По типу ИСПДн, на которые направлена реализация УБПДн, выделяются следующие классы угроз:

• угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе автономного автоматизированного рабочего места (АРМ);

• угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе АРМ, подключенного к сети общего пользования (к сети международного информационного обмена);

• угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе локальных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена);

• угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе локальных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена);

• угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем без подключения к сети общего пользования (к сети международного информационного обмена);

• угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем с подключением к сети общего пользования (к сети международного информационного обмена).

По способам реализации УБПДн выделяются следующие классы угроз:

угрозы, связанные с НСД к ПДн (в том числе угрозы внедрения вредоносных программ);

угрозы утечки ПДн по техническим каналам утечки информации;

угрозы специальных воздействий на ИСПДн.

По виду несанкционированных действий, осуществляемых с ПДн, выделяются следующие классы угроз:

угрозы, приводящие к нарушению конфиденциальности ПДн (копированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации;

угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение ПДн или их уничтожение;

угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы ИСПДн, в результате которого осуществляется блокирование ПДн.

По используемой уязвимости выделяются следующие классы угроз:

• угрозы, реализуемые с использованием уязвимости системного ПО;

• угрозы, реализуемые с использованием уязвимости прикладного ПО;

• угрозы, возникающие в результате использования уязвимости, вызванной наличием вАС аппаратной закладки;

• угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных;

• угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации ТЗИ от НСД;

• угрозы, реализуемые с использованием уязвимостей, обусловливающих наличие технических каналов утечки информации;

• угрозы, реализуемые с использованием уязвимостей СЗИ.

По объекту воздействия выделяются следующие классы угроз:

• угрозы безопасности ПДн, обрабатываемых на АРМ;

• угрозы безопасности ПДн, обрабатываемых в выделенных средствах обработки (принтерах, плоттерах, графопостроителях, вынесенных мониторах, видеопроекторах, средствах звуковоспроизведения и т.п.);

• угрозы безопасности ПДн, передаваемых по сетям связи;

• угрозы прикладным программам, с помощью которых обрабатываются ПДн;

• угрозы системному ПО, обеспечивающему функционирование ИСПДн.

Реализация одной из УБПДн перечисленных классов или их совокупности может привести к следующим типам последствий для

субъектов ПДн:

• значительным негативным последствиям для субъектов ПДн;

• негативным последствиям для субъектов ПДн;

• незначительным негативным последствиям для субъектов ПДн.

2. С помощью справочных правовых систем проанализируйте содержание понятия персональных данных в Федеральном законе «О персональных данных», Основных положениях Организации по экономическому сотрудничеству и развитию (ОЭСР) о защите неприкосновенности частной жизни и международных обменов персональных данных, Конвенции Совета Европы о защите физических лиц в отношении автоматизированной обработки данных личного характера (ETS № 108), Директиве 95/46/ЕС Европейского парламента и Совета Европейского союза о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных.

• персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). - Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 21.07.2014) "О персональных данных";

• «персональные данные» означают любую информацию, относящуюся к индивидууму («субъекту данных»), чья личность либо известна, либо может быть установлена. - Основные положения Организации по экономическому сотрудничеству и развитию (ОЭСР) о защите неприкосновенности частной жизни и международных обменов персональными данными;

• "персональные данные" означают любую информацию об определенном или поддающемся определению физическом лице ("субъект данных"). - "Конвенция о защите физических лиц при автоматизированной обработке персональных данных" (Заключена в г. Страсбурге 28.01.1981);

• “персональные данные” означают любую информацию, связанную с идентифицированным или идентифицируемым физическим лицом (“субъектом данных”); идентифицируемым лицом является лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификационный номер или на один или несколько факторов, специфичных для его физической, психологической, ментальной, экономической, культурной или социальной идентичности. - Директива 95/46/ЕС Европейского парламента и Совета Европейского Союзаот 24 октября 1995 года о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных;

Нормативные акты и судебная практика

1. Конвенция Совета Европы о защите физических лиц в отношении автоматизированной обработки данных личного характера (ETS № 108).

2. Директива 95/46/ЕС Европейского парламента и Совета Европейского союза о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных.

3. О персональных данных: Федеральный закон от 27 июля 2006 г. № 152-ФЗ // Российская газета от 29 июля 2006 г. № 165.

2. Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 г. № 195-ФЗ // СЗ РФ. – 2002. – № 1 (ч. 1). – Ст. 1.

3. Уголовный кодекс РФ от 13 июня 1996 г. // СЗ РФ. – 1996. – № 25. – Ст. 2954.

4. Федеральный закон «Об обеспечении доступа к информации о деятельности судов в Российской Федерации».

5. Федеральный закон от 10 января 2003 г. «О Государственной автоматизированной системе “Выборы”».

6. Приказ Федеральной службы по техническому и экспортному контролю от 5 февраля 2010 г. № 58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных».