МИНИСТЕРСТВО ЦИФРОВОГО РАЗВИТИЯ, СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ

ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ ОБРАЗОВАТЕЛЬНОЕ

УЧРЕЖДЕНИЕ ВЫСШЕГО ОБРАЗОВАНИЯ

«САНКТ-ПЕТЕРБУРГСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ ТЕЛЕКОММУНИКАЦИЙ ИМ. ПРОФ. М.А. БОНЧ-БРУЕВИЧА»

(СПбГУТ)

Факультет Кибербезопасности

Кафедра Защищенных систем связи

Дисциплина Организационное и правовое обеспечение информационной безопасности

РЕФЕРАТ

Источники угроз безопасности персональных данных

(тема работы)

Направление/специальность подготовки

10.05.02 «Информационная безопасность телекоммуникационных систем»

(код и наименование направления/специальности)

Студент:

_________

(Ф.И.О., № группы) (подпись)

Преподаватель:

к.ф.н., доцент, Пешков А.И.

(уч. степень, уч. звание, Ф.И.О.) (подпись)

Актуальность

Актуальность темы исследования обусловлена глубинными трансформациями в цифровой среде. Стремительная цифровизация всех сфер общественно-экономической жизни привела к беспрецедентному росту объемов собираемых и обрабатываемых персональных данных (ПДн). Параллельно наблюдается соответствующая эскалация киберугроз, которые становятся не только более многочисленными, но и качественно более изощренными и целевыми.

Реальными последствиями этой тенденции являются массированные утечки ПДн, разрушительные ransomware-атаки с требованием выкупа, а также рост мошенничества с использованием похищенной информации. Подобные инциденты наносят колоссальный репутационный и финансовый ущерб как субъектам ПДн, так и организациям-операторам, в долгосрочной перспективе подрывая базовое доверие к цифровым сервисам и экономике в целом.

В данных условиях глубокий и систематизированный анализ источников угроз, выполняемый строго в рамках требований регуляторов, становится критически важным. Он является императивом для перехода от формального соответствия к обеспечению реальной, устойчивой защищенности информационных систем. Практическую значимость этой работы дополнительно подчеркивает ужесточение правового поля: ужесточение административной (ст. 13.11 КоАП РФ) и введение уголовной ответственности (ст. 137, 272, 273 УК РФ) за нарушения в области защиты ПДн, что напрямую повышает риски для юридических лиц и индивидуальных предпринимателей, выступающих операторами.

Целью работы является проведение системного анализа и всесторонней классификации источников угроз безопасности персональных данных на основе комплексного изучения действующего законодательства и нормативно-правовых актов Российской Федерации (включая 152-ФЗ «О персональных данных», требования ФСТЭК и ФСБ России). Конечным итогом исследования должна стать методологическая база, применимая для совершенствования и оптимизации мер защиты информационных систем, обрабатывающих ПДн, что позволит организациям проактивно управлять соответствующими рисками

Введение

Базовым законодательным актом, формирующим концептуальные основы и правовые границы работы с персональными данными в России, является Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Он закрепляет ключевые понятия: персональные данные (любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу), оператор, обработка, а также безопасность ПДн и угроза безопасности.

Согласно 152-ФЗ, безопасность персональных данных определяется как состояние защищенности, достигаемое путем исключения несанкционированного доступа к ним. Под таким доступом понимаются любые действия, в том числе случайные, результатом которых могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение данных или иные неправомерные операции.

Для практической реализации этих принципов и создания целостной системы защиты сформирован комплекс подзаконных и ведомственных нормативно-правовых актов, которые детализируют требования:

• В части категоризации объектов защиты и установления базовых требований:

• Постановление Правительства РФ от 01.11.2012 № 1119 – утверждает требования к защите ПДн при их обработке в информационных системах и устанавливает четыре уровня защищенности ИСПДн в зависимости от типа данных и масштаба потенциального ущерба.

• Приказ ФСТЭК России от 25.12.2020 № 239 – определяет порядок классификации информационных систем, являющийся отправной точкой для выбора мер защиты.

• В части определения угроз и конкретных мер защиты:

• Приказ ФСТЭК России от 18.02.2013 № 21 – утверждает Состав и содержание организационных и технических мер для обеспечения безопасности ПДн, а также содержит базовую модель угроз.

• Приказ ФСТЭК России от 11.02.2013 № 17 – детализирует требования о защите информации с использованием средств защиты, не прошедших процедуру оценки соответствия.

• Приказы ФСБ России – устанавливают обязательные требования к использованию шифровальных (криптографических) средств для защиты информации, включая ПДн.

• В части защиты критически важных объектов и отраслевой специфики:

• Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры (КИИ) РФ» – распространяет дополнительные, более строгие требования на операторов ПДн, если их системы отнесены к объектам КИИ.

• Регуляторные акты Банка России (в частности, Стандарт БР ИББС-1.0-2014 и Положение № 684-П) – устанавливают повышенные отраслевые стандарты защиты информации, включая ПДн, для организаций финансового сектора.

Особую роль в правоприменительной практике играют разъяснительные документы Роскомнадзора (письма, методические рекомендации) как уполномоченного органа по защите прав субъектов ПДн, которые конкретизируют подходы к выполнению законодательных требований.

Классификация источников угроз безопасности персональных данных

Источник угрозы безопасности персональных данных, в контексте нормативного поля РФ, представляет собой субъект (физическое или юридическое лицо), материальный объект или физическое явление, являющееся непосредственной причиной возникновения угрозы нарушения конфиденциальности, целостности или доступности информации. На основе комплексного анализа законодательства и подзаконных актов, в первую очередь модели угроз ФСТЭК России, представляется целесообразным следующее структурирование источников угроз.