Расширенная модель нарушителя и подход к оценке угроз безопасности информационной системы персональных данных
Перечень обозначений и сокращений
АРМ - Автоматизированное рабочее место.
ИР - Информационный ресурс.
ИСПДн - Информационная система персональных данных. Комплекс, включающий базы ПДн, программно-аппаратные средства для их обработки, средства защиты информации и каналы связи.
КЗ - Контролируемая зона.
НДВ - Недокументированные возможности (программного или аппаратного обеспечения).
НСД - Несанкционированный доступ.
ПДн - Персональные данные.
ПО - Программное обеспечение.
ПЭМИН - Побочные электромагнитные излучения и наводки.
СЗИ - Средства защиты информации.
СКЗИ - Средства криптографической защиты информации.
УБПДн - Угрозы безопасности персональных данных.
УЗ - Уровень защищённости ИСПДн (с 1 по 4).
ФСБ России - Федеральная служба безопасности Российской Федерации.
ФСТЭК России - Федеральная служба по техническому и экспортному контролю.
Введение и методологические основы
Разработка модели нарушителя является неотъемлемым и регламентированным этапом построения системы защиты информации. Согласно части 2 статьи 19 Федерального закона №152-ФЗ «О персональных данных» и сопутствующим подзаконным актам, оператор обязан определить угрозы безопасности информации и разработать на их основе модель угроз. Моделирование имеет практическую цель: оно позволяет обосновать выбор конкретных организационных и технических мер защиты, оптимизировать бюджет на информационную безопасность и сформировать требования к системе защиты ПДн. Методологической основой для данной работы служат «Методика оценки угроз безопасности информации» (ФСТЭК России, 2021 г.) и «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных...» (ФСБ России, 2015 г.)
Моделирование угроз безопасности информации (УБИ) является основным этапом создания систем (подсистем) защиты информации (СЗИ) ИС. Результаты моделирования дают четкий ответ на вопрос: «От чего и от кого нужно защищать ИС?».
1. Исходные допущения и контекст моделирования
Моделирование нарушителя базируется на ряде ключевых допущений, учитывающих нормативный и технический контекст:
1. Нормативное соответствие. Защита персональных данных в ИСПДн обеспечивается комплексом организационных и технических мер, соответствующих требованиям законодательства РФ (152-ФЗ, приказы ФСТЭК России), и направлена на нейтрализацию актуальных угроз.
2. Системная целостность. Эффективность штатной работы СЗИ, таких как межсетевые экраны, системы обнаружения вторжений (IDS/IPS) и средства контроля доступа, напрямую зависит от корректного функционирования и конфигурации всех компонентов ИСПДн. Сбой или некорректная настройка любого элемента инфраструктуры могут снизить общий уровень безопасности.
3. Ограниченность технических мер. СЗИ не в состоянии предотвратить утечку ПДн в результате легитимных, но злоумышленных действий инсайдера, имеющего санкционированный доступ. Данная угроза нивелируется преимущественно организационными и кадровыми мерами (регламенты, обучение, контроль).
4. Контекст актуальных угроз. Модель строится с учетом типа актуальных угроз для конкретной ИСПДн, определяемого в соответствии с методикой ФСТЭК:
Тип 1: Угрозы, связанные с наличием недокументированных возможностей (НДВ) в системном программном обеспечении.
Тип 2: Угрозы, связанные с НДВ в прикладном программном обеспечении.
Тип 3: Угрозы, не связанные с НДВ в ПО (например, организационные недостатки, физический доступ).
5. Уровень защищённости (УЗ). Требования к защите и, соответственно, потенциальные возможности нарушителя оцениваются в привязке к требуемому уровню защищённости ИСПДн (УЗ-1 – УЗ-4), который определяется исходя из категории обрабатываемых ПДн, их объема и типа актуальных угроз.
2. Классификация нарушителей
Классификация проводится по нескольким независимым критериям для создания многомерного профиля угрозы.
2.1. По уровню санкционированного доступа в контролируемую зону (КЗ):
Категория I: Лица, не имеющие права постоянного или разового доступа в КЗ.
Категория II: Лица (сотрудники, персонал подрядчиков), имеющие право доступа в КЗ на постоянной или временной основе.
2.2. По локализации относительно защищаемого периметра:
Внешний нарушитель: Осуществляет атаку извне контролируемой зоны и корпоративной сети. В эту группу входят: киберпреступные группировки, хакеры-одиночки, представители конкурирующих организаций, бывшие сотрудники, не имеющие более легального доступа.
Внутренний нарушитель (Инсайдер): Осуществляет атаку, находясь внутри КЗ, используя предоставленные ему легальные права доступа или физическое присутствие. Представляет наибольшую опасность ввиду преодоления периметровой защиты.
2.3. Детализированная типология внутренних нарушителей (по уровню привилегий и мотивации):
Группа нарушителя |
Уровень доступа/Привилегии |
Мотивация и характерные возможности |
1. Персонал без доступа к ИСПДн (уборщики, охрана, тех. персонал) |
Физический доступ в КЗ. Нет учетных записей в ИСПДн. |
Непреднамеренный ущерб (повреждение оборудования), преднамеренный сбор данных (визуальный, установка аппаратных закладок, «сбор мусора»). |
2. Пользователи с базовыми правами (рядовые сотрудники) |
Стандартная учетная запись для доступа к профильным АРМ и сетевым ресурсам в рамках должностных обязанностей. |
Кража данных для личной выгоды или конкурентам, неосторожные действия, ведущие к утечке (социальная инженерия, фишинг). Могут применять штатное ПО для несанкционированного копирования. |
3. Пользователи с расширенными/удаленными правами (удаленные сотрудники, специалисты) |
Права на доступ к сегментам сети и данным, часто через VPN или выделенные каналы. Понимание сетевой топологии. |
Перехват данных в канале связи, использование уязвимостей в ПО для удаленного доступа, несанкционированный доступ к смежным системам. |
4. Привилегированные пользователи (системные администраторы, администраторы БД) |
Высокий уровень прав (root, Administrator) на управление серверами, базами данных, системами резервного копирования. |
Сокрытие следов деятельности, создание скрытых учетных записей, прямое извлечение и модификация данных, отключение СЗИ и систем аудита. |
5. Администраторы безопасности |
Права на настройку СЗИ (межсетевых экранов, систем DLP, SIEM), управление политиками доступа и аудитом. |
Целенаправленное ослабление защиты, сокрытие инцидентов, несанкционированный доступ под видом расследования. |
6. Разработчики и сопровождающие ПО (внутренние и внешние) |
Исходный код, права на обновление и установку ПО в промышленную среду. |
Внедрение закладок и недокументированных функций (backdoor) на этапах разработки, тестирования или техподдержки. |
7. Технический обслуживающий персонал (сотрудники сторонних организаций) |
Физический доступ к серверному и сетевоу оборудованию для ремонта и обслуживания. |
Установка аппаратных закладок, кража или подмена аппаратных компонентов с данными, подключение к неконтролируемым линиям связи. |
2.4. По типу используемой модели для СКЗИ (в соответствии с требованиями ФСБ России):
При использовании средств криптографической защиты информации (СКЗИ) гипотетический нарушитель классифицируется по типам (А, Б, В и т.д.), описанным в профильных методических документах ФСБ России. Эта классификация определяет требуемый класс стойкости СКЗИ.