4 Инвентаризация систем и сетей и определение возможных объектов воздействия угроз безопасности информации

Негативные последствия

Объекты воздействия

Виды воздействия

Нарушение конфиденциальности (утечка) ПДн (У1)

Сервер 1С (БД)

Несанкционированный доступ к таблицам с ПДн сотрудников, их копирование.

АРМ бухгалтеров

Перехват данных в момент работы с БД, копирование на съёмные носители.

Каналы связи (при передаче отчётности)

Перехват трафика при нарушении целостности каналов связи с операторами ЭДО/банками.

Финансовый ущерб физическому лицу / организации (У1, У2)

АРМ №2 (Клиент-Банк)

Кража учётных данных для доступа к системе «Клиент-Банк» и хищение денежных средств.

Сервер 1С

Кража ПДн для использования в мошеннических целях (оформление кредитов).

Нарушение законодательства РФ и выплаты штрафов (У2)

СЗИ (Secret Net, VipNet)

Отключение или модификация функций защиты, ведущая к несоответствию 152-ФЗ.

Журналы событий (логи)

Модификация или удаление записей о доступе к ПДн для сокрытия инцидентов.

Простой информационной системы (У2)

Сервер 1С

Внедрение вредоносного ПО (шифровальщики), блокирующего работу сервера и БД.

Сетевое оборудование

DoS-атака на коммутатор или каналы связи, приводящая к потере связи с Интернет.

Нарушение деловой репутации и утрата доверия (У2)

Все компоненты

Утечка данных о зарплатах сотрудников или клиентов, публичное разглашение информации об инциденте.

Утечка конфиденциальной информации (У2)

Файловая система сервера, АРМ

Копирование файлов с коммерческой тайной, договорами, финансовой отчётностью.

Потеря материальных ценностей (У2)

Сервер, АРМ

Хищение или физическое повреждение оборудования.

№

Вид нарушителя

Категория нарушителя

Возможная цель

1

Отдельные физические лица (хакеры)

Внешний

Получение финансовой выгоды (продажа данных, кража денег), дестабилизация работы.

2

Лица, обеспечивающие поставку/настройку ПО (1С-франчайзи)

Внешний

Получение материальной выгоды, создание закладок для доступа.

3

Лица, привлекаемые для ремонта/обслуживания

Внешний

Несанкционированный доступ к данным в ходе работ.

4

Лица, обеспечивающие функционирование (охрана, уборщики)

Внутренний

Непреднамеренные действия, любопытство, получение выгоды.

5

Авторизованные пользователи (бухгалтеры)

Внутренний

Получение выгоды, месть, любопытство, превышение полномочий.

6

Системный администратор

Внутренний

Полный контроль над данными, месть, преднамеренный простой, кража данных.

7

Специалист по ИБ

Внутренний

Злоупотребление полномочиями, сокрытие следов инцидентов.

8

Бывшие (уволенные) работники

Внешний

Месть, разглашение конфиденциальных данных, использование знаний о системе.

9

Преступные группы (криминальные структуры)

Внешний

Хищение денежных средств, вымогательство, шантаж.