ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ АВТОНОМНОЕ

ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ОБРАЗОВАНИЯ

«МОСКОВСКИЙ ПОЛИТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ»

ПРАКТИЧЕСКАЯ РАБОТА ПО ТЕМЕ «Определение уровня защищенности персональных данных»

Руководители

Выполнил(а)

Задание 1. Изучите документ «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». ФСТЭК России от 15.02.2008 г.

Задание 2. Изучите категории нарушителей, описанные в документе ФСТЭК России «Базовая модель». Для конкретной информационной системы определите перечень вероятных нарушителей с учетом всех исключений. Выбранная система: ООО «Яндекс»

Возможные категории нарушителей, описанные в документе ФСТЭК России «Базовая модель»:

Категория нарушителя	Перечень лиц	Описание
Сотрудники; Внутренние нарушители	Сотрудники компании, включая административный и IT-персонал	Сотрудники могут умышленно или случайно получить несанкционированный доступ к персональным данным. Угрозы: ошибки конфигурации, злоупотребление доступом.
Бывшие сотрудники; Внутренние нарушители	Уволенные работники компании	Имеют остаточные доступы или знания о внутренней инфраструктуре. Угрозы: саботаж, продажа конфиденциальной информации конкурентам или преступным группам.
Аутсорсинговые компании; Внутренние нарушители	Подрядчики, обслуживающие IT-инфраструктуру	Доступ к системам может быть использован для атак на персональные данные. Угрозы: внедрение вредоносного ПО, утечка данных при техническом обслуживании.
Поставщики программного обеспечения; Внутренние нарушители	Разработчики и техподдержка сторонних сервисов	Угрозы связаны с возможными закладками в ПО, уязвимостями или недобросовестностью разработчиков.
Конкуренты; Внешние нарушители	Представители конкурирующих компаний	Могут прибегать к экономическому шпионажу с целью получения данных о клиентах Яндекс.
Киберпреступники; Внешние нарушители	Хакеры и преступные группы	Целевая атака с целью кражи персональных данных для их дальнейшей продажи на черном рынке или шантажа. Используются фишинговые атаки, DDoS и перехват трафика.
Иностранные спецслужбы; Внешние нарушители	Агентства иностранных государств	Интерес к стратегически важным данным (например, анализ поведения пользователей) для влияния на экономические и политические процессы.
Пользователи с несанкционированным доступом; Внутренние нарушители	Незаконные пользователи систем компании	Получают доступ через уязвимости, используя социальную инженерию или вредоносное ПО. Угрозы: компрометация учетных данных, утечка информации.

Задание 3. Изучите модели безопасности, описанные в документе ФСТЭК России «Базовая модель». Составьте перечень всех возможных угроз по документу ФСТЭК России «Базовая модель».

1. Угрозы утечки информации по техническим каналам:

• Акустическая (речевая) информация:

  • Утечка через улавливание звуковой информации в помещениях, где расположены рабочие места с доступом к ИСПДн.

• Видовая информация:

  • Утечка через визуальное наблюдение (например, с камер наблюдения или оптических приборов).

• Утечка по каналам побочных электромагнитных излучений и наводок (ПЭМИН):

  • Перехват информации, обрабатываемой устройствами компании (серверы, АРМ) через электромагнитные излучения.

2. Угрозы НСД (несанкционированного доступа) к персональным данным:

Для автономного АРМ (рабочее место без подключения к сети):

• На этапе загрузки системы:

  • Перехват паролей или идентификаторов доступа.

  • Модификация BIOS или загрузчика ОС.

• После загрузки ОС:

  • Выполнение НСД через стандартные функции ОС (удаление, копирование, форматирование данных).

  • Использование программ для просмотра и модификации данных (реестр, текстовые файлы).

  • Внедрение вредоносного ПО.

3. Угрозы для распределенных ИСПДн с подключением к внешним сетям:

• Перехват данных из внешних сетей.

• Сканирование сети: Определение топологии, ОС, адресов и открытых портов.

• Внедрение ложных объектов: Внедрение фальшивых серверов или клиентов в сеть.

• Подмена доверенных объектов: Обман систем аутентификации.

• Изменение маршрутов: Перенаправление трафика через ложные узлы.

• Атаки на пароли: Взлом паролей и учетных данных.

• Удаленный запуск программ и вредоносного ПО.

• DDoS и отказ в обслуживании.

Реализация угроз в ООО "Яндекс":

Учитывая масштаб и деятельность компании, можно выделить следующие аспекты:

1. АРМ и рабочие станции сотрудников:

   • Угрозы НСД на этапе загрузки и во время работы ОС.

   • Внедрение вредоносного ПО на устройства сотрудников.

2. Центры обработки данных (ЦОД):

   • Утечка информации по каналам ПЭМИН.

   • Физический доступ к серверам и оборудованию.

3. Сетевые угрозы:

   • Перехват данных в распределенной сети Яндекса.

   • Атаки на сетевые устройства и маршрутизаторы.

   • Внедрение ложных объектов и подмена доверенных сервисов.

4. Взаимодействие с внешними сетями:

   • Атаки на сетевой трафик и перехват данных между пользователями и сервисами Яндекса.

   • DDoS-атаки на сервисы компании (поиск, почта, облачные хранилища).

   • Внедрение вредоносных программ через сетевые соединения.