- •Методические рекомендации по составлению частной модели угроз безопасности испДн Содержание
- •Обозначения и сокращения
- •Введение
- •Определения
- •Общие положения
- •Методология формирования модели угроз
- •Описание испДн
- •Определение условий создания и использования персональных данных
- •Описание форм представления персональных данных
- •Описание структуры испДн
- •Определение характеристик безопасности
- •Пользователи испДн
- •Типы испДн
- •Характеристики испДн
- •5.220Типизация испДн
- •Уровень исходной защищенности
- •Вероятность реализации угроз безопасности
- •Классификация угроз безопасности
- •Классификация нарушителей
- •Внешний нарушитель
- •Внутренний нарушитель
- •Предположения об имеющейся у нарушителя информации об объектах реализации угроз
- •Предположения об имеющихся у нарушителя средствах реализации угроз
- •Классификация уязвимостей испДн
- •Перечень возможных убпДн
- •Определение вероятности реализации убпДн
- •Угрозы утечки информации по техническим каналам
- •Угрозы утечки акустической (речевой) информации
- •Угрозы утечки видовой информации
- •Угрозы утечки информации по каналам пэмин
- •Угрозы несанкционированного доступа к информации
- •Угрозы уничтожения, хищения аппаратных средств испДн носителей информации путем физического доступа к элементам испДн Кража пэвм.
- •Кража носителей информации
- •Кража ключей и атрибутов доступа
- •Кражи, модификации, уничтожения информации
- •Вывод из строя узлов пэвм, каналов связи
- •Несанкционированное отключение средств защиты
- •Недекларированные возможности системного по и по для обработки персональных данных.
- •Установка по не связанного с исполнением служебных обязанностей
- •Непреднамеренная модификация (уничтожение) информации сотрудниками
- •Непреднамеренное отключение средств защиты
- •Выход из строя аппаратно-программных средств
- •Сбой системы электроснабжения
- •Стихийное бедствие
- •Угрозы преднамеренных действий внутренних нарушителей Доступ к информации, модификация, уничтожение лиц, не допущенных к ее обработке
- •Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке
- •Угрозы несанкционированного доступа по каналам связи
- •Угроза «Анализ сетевого трафика»
- •Перехват за переделами с контролируемой зоны.
- •Перехват в пределах контролируемой зоны внешними нарушителями
- •Перехват в пределах контролируемой зоны внутренними нарушителями.
- •Угроза «сканирование сети»
- •Угроза выявления паролей
- •Угрозы навязывание ложного маршрута сети
- •Угрозы подмены доверенного объекта
- •Внедрение ложного объекта сети
- •Угрозы типа «Отказ в обслуживании»
- •Угрозы удаленного запуска приложений
- •Угрозы внедрения по сети вредоносных программ
- •Реализуемость угроз
- •Оценка опасности угроз
- •Определение актуальности угроз в испДн
Общие положения
Работы по созданию Частной модели угроз безопасности персональных данных, при их обработке в информационных системах персональных данных с использованием средств автоматизации (далее – информационная система) проводятся в соответствии со следующими основными документами:
Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденное постановлением Правительства Российской Федерации от 17 ноября 2007 года № 781 (далее – Положение);
Порядок проведения классификации информационных систем персональных данных, утвержденный приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 года № 55/86/20 (зарегистрирован Минюстом России 3 апреля 2008 года, регистрационный № 11462) (далее – Порядок);
Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 15 февраля 2008г.);
Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 14 февраля 2008г.).
В соответствии с п. 2 Положения безопасность персональных данных при их обработке в ИС обеспечивается с помощью системы защиты ПДн, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.
В соответствии с п. 12 Положения необходимым условием разработки системы защиты ПДн является формирование модели угроз безопасности персональных данных (далее – модель угроз).
Кроме этого, в соответствии с п. 16 Порядка модель угроз необходима для определения класса специальной информационной системы.
Модель угроз формируется и утверждается оператором в соответствии с методическими документами, разработанными в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».
Модель угроз может быть пересмотрена:
по решению оператора на основе периодически проводимых им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы;
по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.