
- •10.03.01 Информационная безопасность
- •Термины и определения
- •Сокращения
- •Общие положения
- •Описание информационной системы персональных данных
- •Описание существующей системы защиты информационной системы персональных данных
- •Перечень угроз безопасности персональных данных, обрабатываемых в информационной системе персональных данных
- •Модель нарушителя безопасности персональных данных при их обработке в информационной системе персональных данных
- •Определение актуальных угроз безопасности персональных данных при их обработке в информационной системе
- •Определение уровня исходной защищенности информационной системы персональных данных
- •Определение вероятности реализации угроз безопасности персональных данных
- •Определение возможности реализации угроз безопасности персональных данных
- •Определение опасности угроз безопасности персональных данных
- •Определение актуальных угроз безопасности персональных данных
- •Модель угроз безопасности персональных данных при их обработке в информационной системе персональных данных «Бухгалтерия»
Определение актуальных угроз безопасности персональных данных при их обработке в информационной системе
Определение уровня исходной защищенности информационной системы персональных данных
Уровень исходной защищенности ИСПДн определен экспертным методом в соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (далее – Методика). Результаты анализа исходной защищенности приведены в таблице 1.
Таблица 1. Анализ исходной защищенности
-
Технические и эксплуатационные характеристики ИСПДн
Уровень защищенности
Высокий
Средний
Низкий
1. По территориальному размещению:
корпоративная распределенная ИСПДн, охватывающая многие
подразделения одной организации;
+
2. По наличию соединения с сетями общего пользования:
ИСПДн, имеющая одноточечный выход в сеть общего пользования
+
3. По встроенным (легальным) операциям с записями баз персональных данных:
Запись, удаление, сортировка
+
4. По разграничению доступа к персональным данным:
ИСПДн, к которой имеет доступ определенный перечень сотрудников
организации, являющейся владельцем ИСПДн, либо субъект ПДн
+
5. По наличию соединений с другими базами ПДн иных ИСПДн:
ИСПДн, в которой используется одна база ПДн, принадлежащая
организации-владельцу данной ИСПДн
+
6. По уровню обобщения (обезличивания) ПДн:
ИСПДн, в которой предоставляемые пользователю данные не являются
+
обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн) |
|
|
|
7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки: |
|||
ИСПДн, не предоставляющая никакой информации |
+ |
|
|
Характеристики ИСПДн по уровням |
28,57% |
57,14% |
14,28% |
Таким образом, ИСПДн имеет средний уровень исходной защищенности (Y1 = 5), так как не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний».
Определение вероятности реализации угроз безопасности персональных данных
Вероятность реализации угроз безопасности персональных данных определена экспертным методом в соответствии с Методикой и на основании результатов обследования ИСПДн. Результаты определения вероятности реализации угроз приведены в таблице 2.
Таблица 2. Вероятность реализации угроз безопасности персональных данных
Угроза |
Вероятност ь Y2 |
Угрозы утечки информации по техническим каналам |
|
Угрозы утечки видовой информации: |
|
Просмотр информации на дисплее АРМ в составе ИСПДн работниками, не допущенными к ПДн |
0 |
Просмотр информации на дисплее АРМ в составе ИСПДн посторонними лицами, находящимися в помещении, в котором ведется обработка ПДн |
0 |
Просмотр информации на дисплее пользователей ИСПДн посторонними лицами, ведущими наблюдение (регистрацию) из-за границ контролируемой зоны |
0 |
Просмотр информации на дисплеях пользователей ИСПДн с помощью специальных устройств регистрации, внедренных в помещение, в котором ведется обработка ПДн |
0 |
Угрозы утечки информации по каналам ПЭМИН: |
|
Утечка информации по сетям электропитания ИСПДн |
0 |
Перехват техническими средствами наводок информативного сигнала, обрабатываемого техническими средствами ИСПДн, на цепи электропитания и линии связи, выходящие за пределы контролируемой зоны |
0 |
Утечка информации из ИСПДн за счет побочного излучения технических средств |
0 |
Преднамеренное электромагнитное воздействие на элементы ИСПДн |
0 |
Угрозы НСД |
|
Угрозы доступа (проникновения) в операционную среду компьютера и НСД к персональным данным (угрозы непосредственного доступа): |
|
Перехват управления загрузкой операционной системы (ОС) рабочих станций в составе ИСПДн (угрозы, направленные на перехват паролей или идентификаторов, модификацию базовой системы ввода/вывод, перехват управления загрузкой) |
5 |
Вызов штатных программ ОС рабочих станций в составе ИСПДн или запуск специально разработанных программ, реализующих НСД к ИСПДн (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.) |
5 |
Внедрение в ИСПДн вредоносных программ |
5 |
Угрозы, реализуемые с использованием протоколов межсетевого взаимодействия (угрозы удаленного доступа): |
|
Анализ сетевого трафика с перехватом передаваемой по сети информации |
5 |
Сканирования, направленные на выявление типа операционной системы АРМ, открытых портов и служб, открытых соединений и др. |
5 |
Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа |
5 |
Выявление паролей |
2 |
Сетевые атаки типа «Отказ в обслуживании» |
2 |
Удаленный запуск приложений в ИСПДн |
2 |
Внедрение по сети вредоносных программ |
0 |
Угрозы физического доступа к элементам ИСПДн: |
|
Хищение элементов АРМ в составе ИСПДн, содержащих ПДн |
0 |
Хищение отчуждаемых носителей информации, содержащих ПДн |
0 |
Вывод из строя АРМ в составе ИСПДн |
0 |
Внедрение в ИСПДн аппаратных закладок |
0 |
Угрозы непреднамеренных нарушений безопасности ПДн: |
|
Ошибочные действия пользователей, приводящие к нарушению безопасности персональных данных |
5 |
Выход из строя аппаратно-программных средств ИСПДн в результате неисправностей, сбоев, аварий |
2 |
Уничтожение данных в ИСПДн или блокирование доступа к ИСПДн, вызванное стихийными бедствиями |
2 |