Организация защиты персональных данных. Лабораторный практикум

2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий)

2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и систем защиты ПДн в ее составе из-за сбоев в программном обеспечении, а также от сбоев аппаратуры, из-за ненадежности элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и т. п.) характера

2.4.Угрозы преднамеренных действий внутренних нарушителей

2.4.1.Доступ к информации, копирование, модифи-

41

4. Оборудование и материалы

Компьютерная лаборатория, оснащенная персональными компьютерами Pentium в количестве 15 шт., объединенными в локальную сеть и имеющими выход в Интернет. Программное обес-

печение: Microsoft Office System 2007, 2010.

5. Указания по технике безопасности 5.1. Общие требования безопасности

К работе на персональном компьютере допускаются лица, прошедшие обучение безопасным методам труда, вводный инструктаж, первичный инструктаж на рабочем месте.

При эксплуатации персонального компьютера на работника могут оказывать действие следующие опасные и вредные производственные факторы:

повышенный уровень электромагнитных излучений;

повышенный уровень статического электричества;

пониженная ионизация воздуха;

статические физические перегрузки;

перенапряжение зрительных анализаторов. Работник обязан:

Выполнять только ту работу, которая определена его долж-

ностной инструкцией.

Содержать в чистоте рабочее место.

Женщины со времени установления беременности и в период кормления грудью к выполнению всех видов работ, связанных с использованием компьютеров, не допускаются.

За невыполнение данной Инструкции виновные привлекаются к ответственности согласно правилам внутреннего трудового распорядка или взысканиям, определенным Кодексом законов о труде Российской Федерации.

42

5.2. Требования безопасности перед началом работы

Подготовить рабочее место.

Проверить правильность подключения оборудования к электросети.

Проверить исправность проводов питания и отсутствие оголенных участков проводов.

Убедиться в наличии заземления системного блока, монитора и защитного экрана.

Протереть антистатической салфеткой поверхность экрана монитора и защитного экрана.

Проверить правильность установки стола, стула, угла наклона экрана, положение клавиатуры, положение "мыши", при необходимости произвести регулировку рабочего стола и кресла, а также расположение элементов компьютера в соответствии с требованиями эргономики и в целях исключения неудобных поз и длительных напряжений тела.

5.3. Требования безопасности во время работы

Работнику при работе на ПК запрещается:

прикасаться к задней панели системного блока (процессора) при включенном питании;

переключать разъемы интерфейсных кабелей периферийных устройств при включенном питании;

допускать попадание влаги на поверхность системного блока (процессора), монитора, рабочую поверхность клавиатуры, дисководов, принтеров и других устройств;

производить самостоятельное вскрытие и ремонт оборудо-

вания;

работать на компьютере при снятых кожухах;

отключать оборудование от электросети и выдергивать электровилку, держась за шнур.

Продолжительность непрерывной работы с компьютером без регламентированного перерыва не должна превышать 2-х часов.

Во время регламентированных перерывов с целью снижения нервно - эмоционального напряжения, утомления зрительного анализатора, устранения влияния гиподинамии и гипокинезии, предотвращения развития познотонического утомления выполнять комплексы упражнений.

43

5.4. Требования безопасности в аварийных ситуациях.

Во всех случаях обрыва проводов питания, неисправности заземления и других повреждений, появления гари, немедленно отключить питание и сообщить об аварийной ситуации руководителю.

Не приступать к работе до устранения неисправностей.

При получении травм или внезапном заболевании немедленно известить своего руководителя, организовать первую доврачебную помощь или вызвать скорую медицинскую помощь.

5.5. Требования безопасности по окончании работы.

Отключить питание компьютера. Привести в порядок рабочее место.

Выполнить упражнения для глаз и пальцев рук на расслабление.

6. Задания (указания по порядку выполнения работы)

Определить коэффициент реализуемости угрозы (Y) и возможности реализации

7.Содержание отчёта и его форма

Отчёт выполняется каждым студентом индивидуально. Со-

держание и формы отчёта приведены в Приложении 3.

8. Контрольные вопросы и тестовые задания

1)Как определяется коэффициент реализуемости угрозы Y?

2)Перечислите вербальные показатели опасности для рассматриваемой ИСПДн.

3)Какое значение имеет вербальный показатель, если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных?

Выберите правильный ответ

Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц – это…

а) распространение персональных данных; б) предоставление персональных данных; в) блокирование персональных данных; г) искажение персональных данных.

44

Выберите правильный ответ

Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных) – это…

а) распространение персональных данных; б) предоставление персональных данных; в) блокирование персональных данных; г) искажение персональных данных.

45

Лабораторная работа 5

ОПРЕДЕЛЕНИЯ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Цель работы

Целью работы является теоретическая и практическая подготовка студентов в области изучения проблем определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, научиться работать с нормативными документами по защите персональных данных.

2. Формируемые компетенции или их части

ОК-7 - способностью осознавать социальную значимость своей будущей профессии, обладать высокой мотивацией к выполнению профессиональной деятельности в области обеспечения информационной безопасности, готовностью и способностью к активной состязательной деятельности в условиях информационного противоборства;

ОК-8 - способностью к обобщению, анализу, восприятию информации, постановке цели и выбору путей её достижения, владеть культурой мышления;

ОК-9 - способностью логически верно, аргументировано и ясно строить устную и письменную речь, публично представлять собственные и известные научные результаты, вести дискуссии;

ОК-10 - способностью к чтению и переводу текстов по профессиональной тематике на одном из иностранных языков, владеть им на уровне не ниже разговорного;

ОК-11 - способностью к саморазвитию, самореализации, приобретению новых знаний, повышению своей квалификации и мастерства;

ОК-12 - способностью критически оценивать свои достоинства и недостатки, определять пути и выбрать средства развития достоинств и устранения недостатков;

ПК-1 - способностью использовать основные естественнонаучные законы, применять математический аппарат в професси-

46

ональной деятельности, выявлять сущность проблем, возникающих в ходе профессиональной деятельности ;

ПК-2 - способностью понимать сущность и значение информации в развитии современного общества, применять достижения информатики и вычислительной техники, перерабатывать большие объемы информации проводить целенаправленный поиск в различных источниках информации по профилю деятельности, в том числе

вглобальных компьютерных системах;

ПК-3 - способностью использовать нормативные правовые документы в своей профессиональной деятельности;

ПК-27 - способностью принимать участие в организации контрольных проверок работоспособности и эффективности применяемых программно-аппаратных, криптографических и технических средств защиты информации.

3. Теоретическая часть

Данное задание предполагает использование документа «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» разработана ФСТЭК России.

Оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:

низкая опасность – если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

средняя опасность – если реализация угрозы может привести

кнегативным последствиям для субъектов персональных данных;

высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

Осуществляется выбор из общего (предварительного) перечня угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами, приведенными в таблице 7.

47

Таблица 7 Правила отнесения угрозы безопасности ПДнк актуальной.

Пример обобщенного списка актуальных угроз в ИСПДн представлен в таблице 8.

Таблица 8 Обобщенный список актуальных угроз в ИСПДн

2.Угрозы несанкционированного доступа к информации

2.1.Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей ин-

формации путем физического доступа к элементам ИСПДн

2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением про- граммно-аппаратных и программных средств (в том числе программноматематических воздействий)

2.2.2. Недекларированные возможности системного ПО и ПО для неактуальная обработки персональных данных

48

2.2.3. Установка ПО, не связанного с исполнением служебных обя- неактуальная занностей

2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и систем защиты ПДн в ее составе из-за сбоев в программном обеспечении, а также от сбоев аппаратуры, из-за ненадежности элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и т. п.) характера

49

Вывод: актуальными угрозами безопасности ПДн в ИСПДн являются:

угрозы от действий вредоносных программ (вирусов);

угрозы утраты ключей и атрибутов доступа;

доступ к информации, копирование, модификация, уничтожение лицами, не допущенными к ее обработке

разглашение информации, копирование, модификация, уничтожение сотрудниками, допущенными к ее обработке

угрозы выявления паролей по сети;

угрозы внедрения по сети вредоносных программ.

4. Оборудование и материалы

Компьютерная лаборатория, оснащенная персональными компьютерами Pentium в количестве 15 шт., объединенными в локальную сеть и имеющими выход в Интернет. Программное обес-

печение: Microsoft Office System 2007, 2010.

5. Указания по технике безопасности 5.1. Общие требования безопасности

К работе на персональном компьютере допускаются лица, прошедшие обучение безопасным методам труда, вводный инструктаж, первичный инструктаж на рабочем месте.

При эксплуатации персонального компьютера на работника могут оказывать действие следующие опасные и вредные производственные факторы:

повышенный уровень электромагнитных излучений;

повышенный уровень статического электричества;

пониженная ионизация воздуха;

статические физические перегрузки;

перенапряжение зрительных анализаторов. Работник обязан:

Выполнять только ту работу, которая определена его долж-

ностной инструкцией.

Содержать в чистоте рабочее место.

Женщины со времени установления беременности и в период кормления грудью к выполнению всех видов работ, связанных с использованием компьютеров, не допускаются.

50