Глава 2. Разработка частной модели угроз
2.1. Частная модель угроз
Для определения возможных каналов утечки информации, обнаруженных на этапе обследования, необходимо разработать частную модель угроз безопасности персональных данных при их обработке в информационной системе. Этот документ содержит перечень угроз безопасности ИСПДн предприятия, расчет актуальности которых рассчитывался исходя из уровня исходной защищенности, уязвимости, позволяющие осуществить их практическую реализацию, а также методы и способы защиты информации, позволяющие снизить актуальность угроз до приемлемого уровня.
При составлении частной модели угроз используются следующие нормативно-методические документы:
«Базовая модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 15 февраля 2008 г. заместителем директора ФСТЭК России; [4]
«Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России; [5]
«Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утвержденных руководством 8 Центра ФСБ России 21 февраля 2008 года № 149/54-144; [9]
«Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России; [6]
ГОСТ Р 51275-2006 «Защита информации. Факторы, воздействующие на информацию. Общие положения». [19]
Выписка из составленной Частной модели угроз представлена в Приложении 1.
Угрозы безопасности ПДн, обрабатываемых в ИСПДн, содержащиеся в модели угроз, могут уточняться и дополняться по мере выявления новых источников угроз УБПДн в ИСПДн.
2.2. Описание ИСПДн
2.2.1. Перечень ПДн циркулирующих в системе
С целью оказания государственных услуг разного рода, в управлении производится обработка ПДн в следующем составе [1-3, 22-37]:
Тип услуги
|
Состав ПДн
|
Государственная услуга по выдаче, замене паспорта гражданина РФ, удостоверяющих личность гражданина РФ на территории РФ. [24]
1) Замена паспорта гражданина РФ в случае достижения возраста 20 или 45 лет;
2) Замена паспорта гражданина РФ в случае непригодности для дальнейшего использования;
3) Замена паспорта гражданина РФ в случае изменения фамилии, имени, отчества, сведений о дате и месте рождения;
4) Выдача паспорта гражданина РФ в случае утраты (хищения) паспорта;
5) Замена паспорта гражданина РФ в случае обнаружения неточности или ошибочности произведенных записей;
6) Замена паспорта гражданина РФ в случае изменения внешности
Замена паспорта гражданина РФ в случае изменения пола;
7) Получение паспорта гражданина РФ в случае достижения 14-летнего возраста;
8) Получение паспорта гражданина РФ в случае приобретения гражданства РФ. [24]
|
Причина выдачи/замены паспорта; ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, дата выдачи); адрес регистрации по месту жительства (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); адрес регистрации по месту пребывания (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); сведения о прежнем гражданстве; ФИО отца и матери; семейное положение; сведения о детях; сведения о выданном паспорте; сведения о ранее выданных внутренних и заграничных паспортах; сведения о платёжном документе (№ платёжного документа, тип платёжного документа, КБК, наименование платежа, сумма платежа; тариф платежа; дата платежа; код ОКАТО; название банка; ИНН плательщика; № л\с плательщика; номер счёта получателя, код ОКАТО, КПП, БИК, корр. счёт, КБК, наименование платежа).
|
Государственная услуга по оформлению и выдаче паспортов гражданина РФ, удостоверяющих личность гражданина РФ за пределами территории РФ. [27]
1) Получение заграничного паспорта гражданином РФ, достигшим возраста 18 лет;
2) Получение заграничного паспорта гражданином РФ, гражданину в возрасте до 14 лет;
3) Получение заграничного паспорта гражданином РФ, в возрасте от 14 до 18 лет. [27]
|
Сведения заявителя: ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, дата выдачи); ФИО (если была смена), дата изменения ФИО; место изменения ФИО; адрес регистрации по месту жительства (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); адрес регистрации по месту пребывания (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); цель получения; сведения о действующем заграничном паспорте; сведения о платёжном документе (№ платёжного документа, тип платёжного документа, КБК, наименование платежа, сумма платежа; тариф платежа; дата платежа; код ОКАТО; название банка; ИНН плательщика; № л\с плательщика; номер счёта получателя, код ОКАТО, КПП, БИК, корр. счёт, КБК, наименование платежа); информация об оформлении формы допуска к сведениям, составляющих гос. тайну; информация о воинском учете; информация о судимости; информация о трудовой деятельности; сведения выданного заграничного паспорта; сведения о детях: ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт)
Для несовершеннолетних лиц: сведения о законном представители (ФИО, пол, дата рождения, место рождения, документ, удостоверяющий личность, ФИО (если была смена), дата изменения ФИО; место изменения ФИО; адрес регистрации по месту жительства (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира)).
|
Государственная услуга по регистрационному учету граждан РФ по месту пребывания и по месту жительства в пределах РФ. [22]
1) Регистрация гражданина по месту жительства;
2) Регистрация гражданина по месту пребывания;
3) Снятие гражданина с регистрационного учета по месту жительства;
4) Снятие гражданина с регистрационного учета по месту пребывания. [22]
|
ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан; дата выдачи); адрес регистрации по месту жительства (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); даты проживания по последнему месту жительства (с/по); адрес нового места жительства; адрес регистрации по месту пребывания (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); сведения о предоставителе жилого помещения (физическое лицо либо организация); даты регистрации по месту пребывания (с/по); дата подачи заявления; основание для решения; принятое решение; дата принятия решения; ФИО и должность лица, принявшего решение; ФИО и должность лица, принявшего заявление; сведения о воинском учёте.
Для организаций предоставляющих жилое помещение: основание для предоставления (вид документа, номер, дата); наименование организации.
Для несовершеннолетних (недееспособных): сведения о законном представители – степень родства; ФИО; документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан).
|
Предоставление физическим и юридическим лицам персональных данных граждан РФ, включающих в себя паспортные данные и сведения о регистрации и снятии граждан РФ с регистрационного учета по месту пребывания или месту жительства в пределах РФ. [22]
1) Получение адресно-справочной информации;
2) Предоставление адресно-справочной информации органам государственной власти, юридическим лицам и общественным объединениям. [22]
|
Сведения об инициаторе запроса: ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, дата выдачи); почтовый адрес; причина обращения в ОАСР.
Сведения о запрашиваемом лице: ФИО; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, дата выдачи); адрес регистрации по месту жительства (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира); адрес регистрации по месту пребывания (период регистрации; страна, регион, город, населённый пункт, улица, дом, корпус, квартира).
дата подачи заявления; дата регистрации заявления.
Для юридических лиц: полное наименование; ИНН организации; адрес юридический; адрес фактический.
|
Исполнение государственной функции по осуществлению полномочий в сфере реализации законодательства о гражданстве РФ.[24, 27]
1) Восстановление в гражданстве РФ;
2) Выход из гражданства РФ в общем порядке;
3) Выход ребенка из гражданства РФ;
4) Определение наличия гражданства РФ;
5) Оформление наличия у ребенка гражданства РФ;
6) Оформление приобретения гражданства РФ по рождению;
7) Предоставление информации об изменении гражданства с использованием общего учета лиц, изменивших гражданство РФ;
8) Прием в гражданство РФ в общем порядке;
9) Прием в гражданство РФ в упрощенном порядке;
10) Прием в гражданство РФ в упрощенном порядке на основании международных соглашений;
11) Удостоверение наличия у ребенка гражданства РФ. [24, 27]
|
Дата; порядок получения; основание для приёма гражданство; проверки: дата создания запроса, дата отправки запроса, ответ, дата ответа, дата обработки ответа; решение: принятое решение (отказать, удовлетворить просьбу), основание, номер решения, дата решения; серия, номер, кем и когда выдан паспорт гражданина РФ; архивный номер дела.
Сведения о заявителе: ФИО, (ФИО латиницей); пол; дата рождения; место рождения; гражданство; документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан; дата выдачи); сведения об изменении личных данных; адрес регистрации; документ, подтверждающий право нахождения на территории РФ (серия, номер, срок действия, кем выдан); страна прибытия; образование; сведения о занятости; отношение к воинской обязанности; сведения о судимости; сведения о близких родственниках (степень родства, ФИО, пол; дата рождения; гражданство; документ, адрес); сведения о трудовой деятельности; источник средств; доходы за предыдущий год (вид, сумма); сведения о предыдущих местах жительства на территории РФ; сведения о выездах за пределы РФ; сведения о детях, одновременно приобретающих гражданство.
ФИО и должность инспектора, принявшего заявление.
Сведения о ребёнке, приобретающем гражданство: другие документы ребёнка; адрес регистрации; сведения о заявителе; сведения о другом родителе.
Для проверок из других органов: орган, зарегистрированный № письма/рапорта, дата.
|
Государственная услуга по осуществлению миграционного учета в РФ. [23]
1) Снятие с учета по месту пребывания;
2) Постановка иностранных граждан на учет по месту пребывания;
3) Постановка на миграционный учет иностранных граждан-участников государственной программы;
4) Постановка на учет по месту пребывания иностранных граждан, ходатайствующих о признании беженцами, признанных беженцами, обратившихся с заявлением о предоставлении временного убежища или получивших временное убежище;
5) Регистрация иностранных граждан по месту жительства;
6) Снятие временно проживающего иностранного гражданина или лица без гражданства с регистрации по месту жительства;
7) Снятие постоянно проживающего иностранного гражданина с регистрации по месту жительства. [23]
|
Сведения о иностранном гражданине: дата приёма уведомления; период пребывания (дата въезда/ выезда); ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, срок действия); гражданство; сведения о документе, подтверждающем право пребывания на территории РФ (виза-серия и номер, дата выдачи, срок действия, вид (категория), цель поездки, кратность; разрешение на временное проживание- серия и номер, дата выдачи, срок действия, кем выдано, номер и дата решения; вид на жительство- серия и номер, дата выдачи, срок действия, кем выдано, номер и дата решения); категория заявителя; цель въезда; сведения о месте пребывания/жительства (страна, регион, район, город, населённый пункт, улица, дом, квартира); налоговый орган; сведения о миграционной карте (серия, номер, КПП въезда).
Сведения о принимающей стороне: ФИО; пол; дата рождения; документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, дата выдачи); адрес (страна, регион, город, населённый пункт, улица, дом, корпус, квартира).
Для несовершеннолетних: сведения о законном представители (ФИО; пол; дата рождения; документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, срок действия).
Для организаций: ИНН; наименование; адрес фактический (страна, регион, город, населённый пункт, улица, помещение); сведения об ответственном лице организации (ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан; дата выдачи); адрес места жительства).
|
Обязательная государственная дактилоскопическая регистрация иностранных граждан.
|
ФИО; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, дата выдачи); гражданство, адрес регистрации по месту пребывания (страна, регион, город, населённый пункт, улица, дом, корпус, квартира)
|
Государственная услуга по выдаче разрешительных документов на осуществление трудовой деятельности для иностранных граждан, а также их привлечения. [25, 30]
1) Выдача разрешения на привлечение иностранной рабочей силы;
2) Выдача разрешения на работу для иностранного гражданина, прибывшего из стран ближнего зарубежья;
3) Выдача разрешения на работу для иностранного гражданина, прибывшего из стран дальнего зарубежья;
4) Выдача разрешения на работу для иностранного гражданина, являющегося высококвалифицированным специалистом;
5) Выдача патентов на осуществление трудовой деятельности; [25, 30]
|
Сведения о иностранном гражданине: дата приёма уведомления; период пребывания (дата въезда/ выезда); ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан, срок действия); гражданство; сведения о документе, подтверждающем право пребывания на территории РФ (виза-серия и номер, дата выдачи, срок действия, вид (категория), цель поездки, кратность; разрешение на временное проживание- серия и номер, дата выдачи, срок действия, кем выдано, номер и дата решения; вид на жительство- серия и номер, дата выдачи, срок действия, кем выдано, номер и дата решения); категория заявителя; цель въезда; сведения о месте пребывания/жительства (страна, регион, район, город, населённый пункт, улица, дом, квартира); налоговый орган; сведения о миграционной карте (серия, номер, КПП въезда).
Для организаций: ИНН; наименование; адрес фактический (страна, регион, город, населённый пункт, улица, помещение); сведения об ответственном лице организации (ФИО; пол; дата рождения; место рождения (страна, регион, район, город, населённый пункт); документ, удостоверяющий личность (тип документа, серия, номер, где и кем выдан; дата выдачи); адрес места жительства).
|
2.2.2. Состав объектов безопасности, требующих защиты
ПДн на средствах отображения графической, видео- и буквенно-цифровой информации.
В ИСПДн применяются СВТ обрабатывающие видовую информацию: мониторы АРМ и серверов. Под угрозами утечки видовой информации понимается съем информации с помощью просмотра данных с помощью специальных средств и устройств, способных на расстоянии (и не только) считывать информацию с дисплеев и других средств вывода информации вычислительной техники входящей в состав ИСПДн.
ПДн в виде побочных информативных электромагнитных полей и электрических сигналов. В ИСПДн применяются СВТ, обладающие свойствами излучения ПЭМИ: (системные блоки, мониторы и т.п.);
АРМ пользователя ИСПДн;
Серверы ИСПДн;
Базовая система ввода-вывода АРМ пользователя или сервера;
Атрибуты безопасности (логины, пароли), данные, содержащие аутентификационную информацию;
Общесистемное или прикладное ПО;
Технические средства ИСПДн;
Состав, маршрутно-адресная информация, сетевые службы и некоторые иные характеристики сети и ее узлов;
Носители информации с ПДн;
Списываемые технические средства ИСПДн, носители информации;
Персонал.
|
