ВВЕДЕНИЕ

Цель работы: Изучение вида работ по определению необходимого уровня защищенности персональных данных в конкретной организации.

Задача: Изучить виды работ по определению необходимого уровня защищенности персональных данных в организации ПАО «ТГК-1».

Предприятие: Филиал «Карельский» ПАО «ТГК-1» (ПАО Территориальная Генерирующая Компания 1).

1. ОБЩИЕ ПОЛОЖЕНИЯ

Данный документ предназначен для проведения анализа уровня защищенности персональных данных в организации Филиал «Карельский» ПАО «ТГК-1». В точности будут определены угрозы безопасности информации, реализация (возникновение) которых возможна в информационных системах, автоматизированных системах управления, информационнотелекоммуникационных сетях, информационно-телекоммуникационных инфраструктурах центров обработки данных и облачных инфраструктурах (далее – системы и сети), а также по разработке моделей угроз безопасности информации систем и сетей.

Модель угроз разработана в соответствии со следующими нормативными и методологическими документами: ФЗ № 149 «Об информации, информационных технологиях и о защите информации»; ФЗ № 152 «О персональных данных»; Методический документ «Методика оценки угроз безопасности информации» утверждённый ФСТЭК России 5 февраля 2021 г.

Подразделение, отвечающие за информационную безопасность на предприятии: отдел информационной безопасности.

2. ОПИСАНИЕ СИСТЕМ И СЕТЕЙ И ИХ ХАРАКТЕРИСТИКА КАК ОБЪЕКТОВ ЗАЩИТЫ

Информационная инфраструктура предприятия представляет собой сложную систему, выполняющую функции обслуживания, контроля, учета, анализа, документирования процессов, происходящих в производственно хозяйственной деятельности предприятия.

Модель угроз безопасности информации разработана для CRM-Системы (Система управления взаимоотношениями с клиентами) филиала «Карельский» ПАО «Тгк-1».

В CRM-Системе обрабатываются персональные данные пользователей: сотрудников и не являющихся сотрудниками организации, актуальны угрозы 1 типа (наличие недекларированных возможностей в системном ПО) – уровень защищённости ИСПДн — УЗ-2.

Нормативные правовые акты РФ, в соответствии с которыми функционируют указанные система и сеть: ФЗ №152 «О персональных данных», ФЗ №273 «Об образовании в Российской Федерации», Указ Президента РФ №188 «Об утверждении Перечня сведений конфиденциального

характера», ФЗ №78 «О библиотечном деле», ФЗ №5351- 1 «Об авторском праве и смежных правах».

Назначение CRM-Системы и локальной сети предприятия: помощь в работе с клиентской базой, отслеживание действий клиентов и сотрудников, автоматизация рутинных операций.

Основные задачи (функции) CRM-Системы и локальной сети предприятия:

•управление клиентской базой;

•управление продажами, финансами, договорами;

•информирование о необходимых платежах;

•оценка различных характеристик клиента на основании имеющихся в системе данных;

•обновление информации; Состав обрабатываемой информации:

•личные данные клиентов предприятия, учетные данные пользователей сайта организации: ФИО, дата рождения, адрес эл. почты, номер мобильного телефона, место работы, должность, постоянное место проживания.

Доступ к системе имеют только работники организации.

•Пользователи (работники службы сбыта);

•Администраторы (сотрудники отдела информационных технологий);

•Администраторы (сотрудники отдела ИБ).

Обращение к системе осуществляется с компьютеров, находящихся в офисе.

В состав CRM-Системы входят следующие компоненты: 1 АРМ администратора системы, 40 АРМ пользователей, СУБД, 3 сервера БД, файловый сервер.

АРМ в локальной сети связаны линейно с использованием оптоволоконных линий связи, взаимодействуют при помощи коммутаторов, в серверной находится маршрутизатор. При обмене данными с внешней средой используется межсетевой экран. Схема расположения и связи компонентов показана на рисунке 1.

Рисунок 1 – Схема расположения и связи компонентов

Количество рабочих мест около 50. 30 % работников используют Linux RED OS, остальные Windows 10. Провайдер: Ситилинк.

3. ВОЗМОЖНЫЕ НЕГАТИВНЫЕ ПОСЛЕДСТВИЯ ОТ РЕАЛИЗАЦИИ (ВОЗНИКНОВЕНИЯ) УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ

Основным ресурсом CRM-Системы организации являются персональные данные, подлежащие защите в соответствии с ФЗ «О персональных данных», и информация, защищаемая законом «Об авторском праве и смежных правах», хранящася в базах данных.

Негативные последствия от реализации угроз безопасности информации связаны с нарушением конфиденциальности этой информации, в результате которого нарушаются права субъектов персональных данных и соответствующие законы. Негативные последствия, актуальные для CRMСистемы приведены в таблице 1.

3.Нарушение штатного режима функционирования автоматизированной системы.

4.Невозможность решения задач или снижение эффективности решения задач.

5.Публикация недостоверной информации на веб-ресурсах организации.

Таблица 1 – Негативные последствия от реализации угроз безопасности информации

4. ВОЗМОЖНЫЕ ОБЪЕКТЫ ВОЗДЕЙСТВИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ

Компоненты, указанные на схеме локальной сети (рисунок 1) участвуют в обработке и хранении защищаемой информации. Основными информационными ресурсами и компонентами системы являютя:

•СУБД;

•Файловый сервер;

•Сервера БД;

•ПО администрирования;

•АРМ;

•Маршрутизаторы;

•Веб-сервер.

Виды воздействия для определенных выше информационных ресурсов и компонентов системы, которые могут привести к негативным последствиям, представлены в таблице 2.

5. ИСТОЧНИКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ

Актуальными нарушителями (антропогенными источниками угроз) безопасности информации для CRM-Системы и локальной сети являются:

•Хакеры

•Конкурирующие организации

•Администраторы CRM-Системы

•Пользователи CRM-Системы

Для перечисленных нарушителей определены категории (по признаку принадлежности к системе) и возможные цели реализации ими угроз безопасности информации, которые приведены в таблице 3.

Таблица 3 – Возможные цели реализации угроз безопасности информации для нарушителей

В качестве внешнего нарушителя информационной безопасности, рассматривается нарушитель, который не имеет непосредственного доступа к техническим средствам и ресурсам системы.

Внутренние нарушители имеют разный уровень прав доступа к информационным ресурсам и компонентам системы:

1)Администраторы имеют привилегированные права доступа (изменения, удаления, создание).

2)Пользователи имеют ограниченные права доступа (просмотр).

Результат определения актуальных нарушителей при реализации угроз безопасности информации представлен в таблице 4.

Предполагается, что нарушитель уровня Н1 имеет доступные в свободной продаже технические средства и программное обеспечение.

Предполагается, что нарушитель уровня Н2 имеет: доступные в свободной продаже технические средства и программное обеспечение, специально разработанные технические средства и программное обеспечение.

Актуальные способы реализации угроз безопасности информации и соответствующие им виды нарушителей (и их возможности) представлены в таблице 5.