ОПРЕДЕЛЕНИЕ НЕГАТИВНЫХ ПОСЛЕДСТВИЙ ОТ РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
Описание видов рисков (ущербов), актуальных для АО МИКРОН, которые могут наступить от нарушения или прекращения основных процессов. Описание негативных последствий, наступление которых в результате реализации (возникновения) урроз безопасности информации может привести к возникновению рисков (ущерба).
Виды рисков (ущерба) и типовые негативные последствия от реализации угроз безопасности информации
№ |
|
Виды |
|
|
Негативные |
последствия |
|||
|
|
риска (ущерба) |
|
|
|
|
|
|
|
У1 |
Ущерб физическому лицу |
|
|
Нарушение неприкосновенности частной жизни. |
|||||
|
|
|
|
|
Нарушение личной, семейной тайны, утрата чести |
||||
|
|
|
|
|
и доброго имени. Нарушение тайны переписки, |
||||
|
|
|
|
|
телефонных |
переговоров, |
иных |
сообщений. |
|
|
|
|
|
|
Нарушение иных прав и свобод гражданина, |
||||
|
|
|
|
|
закрепленных |
в |
Конституции |
Российской |
|
|
|
|
|
|
Федерации и федеральных законах. Финансовый, |
||||
|
|
|
|
|
иной материальный ущерб физическому лицу. |
||||
|
|
|
|
|
Нарушение |
конфиденциальности |
(утечка) |
||
|
|
|
|
|
персональных данных. «Травля» гражданина в сети |
||||
|
|
|
|
|
«Интернет». Разглашение |
персональных данных |
|||
|
|
|
|
|
граждан |
|
|
|
|
У2 |
Риски |
юридическому |
лицу, |
Нарушение законодательства Российской |
|||||
|
индивидуальному |
|
|
Федерации. |
|
|
|
|
|
|
предпринимателю, связанные |
с |
|
|
|
|
|
||
|
Недополучение ожидаемой (прогнозируемой) |
||||||||
|
хозяйственной деятельностью |
|
|
||||||
|
|
|
|
|
прибыли. |
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
Необходимость дополнительных |
|
|||
|
|
|
|
|
(незапланированных) затрат на выплаты штрафов |
||||
|
|
|
|
|
(неустоек) или компенсаций. |
|
|
||
|
|
|
|
|
Необходимость дополнительных |
|
|||
|
|
|
|
|
(незапланированных) затрат на закупку товаров, |
||||
|
|
|
|
|
работ или услуг (в том числе закупка программного |
||||
|
|
|
|
|
обеспечения, технических средств, вышедших из |
||||
|
|
|
|
|
строя, замена, настройка, ремонт указанных средств). |
||||
Определения объектов воздействия и видов воздействия на них
Негативные |
|
Объекты воздействия |
Виды воздействия |
последствия |
|
|
|
|
|
База данных |
Утечка идентификационной информации |
|
|
информационной |
граждан из базы данных |
|
|
системы, содержащая |
|
|
|
идентификационную |
|
|
|
информацию граждан |
|
Разглашение |
|
Удаленное |
Утечка идентификационной информации |
|
автоматизированное |
граждан с АРМ пользователя |
|
персональных |
|
||
|
рабочее место (АРМ) |
|
|
данных граждан |
|
|
|
(У1) |
|
пользователя |
|
|
Веб-приложение |
Несанкционированный доступ к |
|
|
|
||
|
|
информационной |
идентификационной информации граждан, |
|
|
системы, |
содержащейся в веб-приложении |
|
|
обрабатывающей |
информационной системы |
|
|
идентификационную |
|
|
|
|
|
|
|
информацию граждан |
|
Недополучение |
|
Сайт, веб-сервер, БД, |
DDoS-атаки на сервер, временная |
ожидаемой |
|
рабочие места |
неработоспособность сервера, утеря данных о |
(прогнозируемой) |
|
сотрудников. |
проектах, ошибки сотрудников. |
прибыли (У2) |
|
|
|
Необходимость |
|
|
|
дополнительных |
|
|
|
(незапланированны х) затрат на выплаты штрафов (неустоек) или компенсаций (У2).
Проникновение в Сотрудники, электронная Фишиговые ссылки, подброшенные носители с
корпоративную сетьпочта. |
вредоносным ПО. |
неавторизованного |
|
пользователя. (У3) |
|
ОПРЕДЕЛЕНИЕ УСЛОВИЙ РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
Цели реализации угроз безопасности информации нарушителями
№ |
Виды |
|
Категории |
Возможные цели реализации угроз |
||||
вида |
нарушителя |
|
нарушителя |
безопасности информации |
|
|||
1 |
Отдельные физические |
Внешний |
Получение |
финансовой |
или |
иной |
||
|
лица (хакеры) |
|
|
материальной выгоды. |
|
|
||
|
|
|
|
Любопытство |
|
или |
желание |
|
|
|
|
|
самореализации (подтверждение статуса) |
||||
2 |
Разработчики |
|
Внутренний |
Внедрение |
|
дополнительных |
||
|
программных, |
|
|
функциональных |
возможностей |
в |
||
|
программно- |
|
|
программные |
или |
программно- |
||
|
аппаратных средств |
|
|
аппаратные средства на этапе разработки. |
||||
|
|
|
|
Получение конкурентных преимуществ. |
||||
|
|
|
|
Получение |
финансовой |
или |
иной |
|
|
|
|
|
материальной выгоды. |
|
|
||
|
|
|
|
Непреднамеренные, |
неосторожные |
или |
||
|
|
|
|
неквалифицированные действия |
|
|||
3 |
Системные |
|
Внутренний |
Получение |
финансовой |
или |
иной |
|
|
администраторы |
и |
|
материальной выгоды. |
|
|
||
|
администраторы |
|
|
Любопытство |
|
или |
желание |
|
|
безопасности |
|
|
самореализации (подтверждение статуса). |
||||
|
|
|
|
Месть за ранее совершенные действия. |
||||
|
|
|
|
Непреднамеренные, неосторожные или |
||||
|
|
|
|
неквалифицированные действия |
|
|||
|
|
|
|
|
|
|||
4 |
Поставщики |
|
Внутренний |
Получение финансовой или иной |
|
|||
|
вычислительных услуг, |
|
материальной выгоды. |
|
|
|
||
|
услуг связи |
|
|
Непреднамеренные, неосторожные или |
||||
|
|
|
|
|||||
|
|
|
|
неквалифицированные действия. |
|
|||
|
|
|
|
Получение конкурентных преимуществ |
||||
|
|
5 Лица, привлекаемые для |
Внутренний Получение финансовой или иной |
установки, настройки, |
материальной выгоды. Непреднамеренные, |
испытаний, |
неосторожные или неквалифицированные |
пусконаладочных и |
действия. |
иных видов работ |
Получение конкурентных преимуществ |
Оценка целей реализации нарушителями угроз безопасности информации в зависимости от возможных негативных последствий и видов ущерба от их реализации
(для государственной информационной системы)
|
|
|
Виды |
Возможные цели реализации угроз |
Соответствие целей видам риска (ущерба) и |
нарушителей |
безопасности информации |
возможным негативным последствиям |
|
Нанесение ущерба физическому лицу |
|
|
|
|
Отдельные физические |
+ |
У1 |
лица (хакеры) |
(получение финансовой выгоды за счет шантажа клиентов) |
(утечка и разглашение персональных данных |
|
|
пользователей) |
|
|
|
Разработчики |
+ |
|
У1 |
программных, |
(передача информации о пользователях лице третьим |
лицам) |
(нарушение конфиденциальности персональных |
программно- |
|
|
данных граждан) |
аппаратных средств |
|
|
У2 |
|
|
|
(утечка и разглашение персональных данных |
|
|
|
пользователей) |
|
|
|
|
|
|
|
|
Системные |
+ |
|
У1 |
администраторы и |
(передача информации о пользователях лице третьим |
лицам) |
(нарушение конфиденциальности персональных |
администраторы |
|
|
данных граждан) |
безопасности |
|
|
У2 |
|
|
|
(утечка и разглашение персональных данных |
|
|
|
пользователей) |
|
|
|
|