ЦЕЛЬ РАБОТЫ

Изучение вида работ по определению необходимого уровня

защищенности персональных данных в конкретной организации.

1.Общие положения

Назначение документа: документ предназначен для выявления актуальных для предприятия ООО «Тбилисский Сахарный Завод» угроз информационной безопасности и предполагается для использования всеми структурными подразделениями упомянутого предприятия.

Наименование обладателя информации: ООО «Тбилисский Сахарный Завод».

Подразделения, должностные лица, ответственные за обеспечение защиты информации (безопасности) систем и сетей: за обеспечение защиты информации отвечает администратор системы безопасности.

2. Описание систем и сетей и их характеристика как объектов

защиты

Наименование систем и сетей, для которых разработана модель угроз

безопасности информации:

1.Локальная офисная сеть для доступа в интернет в каждом отделе;

2.Система управляющая автоматизированной производственной

линией;

3.Система складского учета;

4.Система безопасности и контроля доступа;

5.Серверная.

Класс защищенности, категория значимости систем и сетей, уровень защищенности персональных данных: рассматриваемые системы имеют класс защищенности К2.

Назначение, задачи (функции) систем и сетей, состав обрабатываемой информации и ее правовой режим: Основной задачей систем является поддержание работоспособности производственного комплекса и создание необходимой документации.

Основные процессы (бизнес-процессы) обладателя информации,

оператора, для обеспечения которых создаются (функционируют) системы и сети: Производство и реализация сахара и вторичных продуктов производства.

3

Описание групп внешних и внутренних пользователей систем и сетей,

уровней их полномочий и типов доступа: среди сотрудников предприятия можно выделить такие роли, как офисный работник, администратор системы безопасности, технический специалист, IT-специалист.

Задачи офисного работника:

- Создание финансовой документации.

Задачи технического специалиста:

- Поддержание работы производственной линии.

Задачи IT-специалиста:

-Поддержание работы информационных систем на предприятии;

-Проведение ТО оборудования предприятия.

Задачи администратора системы безопасности:

- Поддержание работы системы управления доступом.

Состав и архитектура систем и сетей предприятия представлены на рисунке 1.

Рисунок 1 – Схема сети предприятия.

4

3.Возможные негативные последствия от реализации

(возникновения) угроз безопасности информации

Описание негативных последствий, наступление которых в результате реализации (возникновения) угроз безопасности информации может привести к возникновению рисков (ущерба): Потеря (хищение) денежных средств,

причинение имущественного ущерба, утечка конфиденциальной информации

(коммерческой тайны, секретов производства (ноу-хау) и др.): в результате атаки хакерами серверов предприятия и последующей компрометации данных.

Потеря (хищение) денежных средств, причинение имущественного ущерба: в

результате атаки внутренним нарушителем бухгалтерского отдела и последующей замены платежных реквизитов.

4. Возможные объекты воздействия угроз безопасности

информации

Наименования и назначение компонентов систем и сетей, которые непосредственно участвуют в обработке и хранении защищаемой информации,

или обеспечивают реализацию основных процессов обладателя информации,

оператора:

1)Система безопасности осуществляет управление правами доступа к различной информации для сотрудников предприятия.

2)Серверная хранит финансовую документацию.

3)Компьютер бухгалтера взаимодействует с серверами для получения и отправления финансовой документации.

Описание видов воздействия на компоненты систем и сетей, реализация которых нарушителем может привести к негативным последствиям: получение более высоких прав доступа при помощи уязвимостей, использование уязвимостей БД.

5.Источники угроз безопасности информации

Характеристика нарушителей, которые могут являться источниками угроз безопасности информации, и возможные цели реализации ими угроз

5

безопасности информации: мошенники, являющиеся представителями криминальных структур, могут реализовывать угрозы ИБ с целью получения финансовой выгоды, любая категория сотрудников может реализовывать угрозы ИБ как с целью получения финансовой выгоды, так и с целью удовлетворения личных мотивов.

Категории актуальных нарушителей, которые могут являться источниками угроз безопасности информации: сотрудники, отвечающие за IT

оборудование, и администратор системы безопасности, потенциальные преступники и хакеры, криминальные структуры.

Описание возможностей нарушителей по реализации ими угроз безопасности применительно к назначению, составу и архитектуре систем и сетей: наибольшими возможностями в системе обладает администратор системы безопасности, хакеры скорее всего обладают базовыми возможностями, представители криминальных структур могут (и будут)

действовать в сговоре с первыми двумя группами, так как их возможностей может оказаться недостаточно.

6. Способы реализации (возникновения) угроз безопасности

информации

Описание способов реализации (возникновения) угроз безопасности информации, которые могут быть использованы нарушителями разных видов и категорий: угроза внедрения вредоносного кода в BIOS, угроза несанкционированного удалённого внеполосного доступа к аппаратным средствам, угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением, угроза некорректного использования функционала программного и аппаратного обеспечения, угроза несанкционированного использования привилегированных функций BIOS.

Описание интерфейсов объектов воздействия, доступных для использования нарушителями способов реализации угроз безопасности информации:

1)Сайт предприятия

6

2)АРМ сотрудников и администраторов

3)Сервера

7.Актуальные угрозы безопасности информации

Перечень возможных (вероятных) угроз безопасности информации для соответствующих способов их реализации и уровней возможностей нарушителей: хищение (копирование) информации и средств ее обработки,

утрата (неумышленная потеря, утечка) информации и средств ее обработки,

модификация (искажение) информации, уничтожение информации и средств ее обработки, создание условий для реализации угрозы ИБ.

Виды рисков (ущерба) и типовые негативные последствия отреализации угроз безопасности информации

Примеры определения объектов воздействия и видоввоздействия на них

7

Возможные цели реализации угроз безопасности информации нарушителями

Пример оценки целей реализации нарушителями угроз безопасности информации в зависимости от возможныхнегативных последствий и видов ущерба от их реализации

8

Уровни возможностей нарушителей

по реализации угроз безопасности информации

Примеры определения актуальных способов реализации угроз безопасности информации и соответствующие им виды нарушителей и их

возможности

9

Перечень основных тактик и соответствующих им типовых техник, используемых для построения сценариев реализации угроз безопасности

информации