Определение актуальных угроз безопасности ПДн в ИСПДн.
При определении актуальности угроз и их описании используются два методических документа, разработанных и утвержденных ФСТЭК России:
Базовая модель угроз безопасности ПДн при их обработке в ИСПДн;
Методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн.
-
Расчет исходной защищенности.
Таблица 2.5.1. Расход исходной защищенности ИСПДн предприятия.
Показатели защищенности
|
Уровень защищенности
|
Технические и эксплуатационные характеристики ИСПДн
|
Высокий
|
Средний
|
Низкий
|
По территориальному размещению:
|
|
|
|
распределенная ИСПДн, которая охватывает несколько областей, краев, округов или государство в целом;
|
–
|
–
|
+
|
городская ИСПДн, охватывающая не более одного населенного пункта (города, поселка);
|
–
|
–
|
+
|
корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации;
|
–
|
+
|
–
|
локальная (кампусная) ИСПДн, развернутая в пределах нескольких близко расположенных зданий;
|
–
|
+
|
–
|
локальная ИСПДн, развернутая в пределах одного здания
|
+
|
–
|
–
|
По наличию соединения с сетями общего пользования:
|
|
|
|
ИСПДн, имеющая многоточечный выход в сеть общего пользования;
|
–
|
–
|
+
|
ИСПДн, имеющая одноточечный выход в сеть общего пользования;
|
–
|
+
|
–
|
ИСПДн, физически отделенная от сети общего пользования
|
+
|
–
|
–
|
По встроенным (легальным) операциям с записями баз персональных данных:
|
|
|
|
чтение, поиск;
|
+
|
–
|
–
|
запись, удаление, сортировка;
|
–
|
+
|
–
|
модификация, передача
|
–
|
–
|
+
|
По разграничению доступа к персональным данным:
|
|
|
|
ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект ПДн;
|
–
|
+
|
–
|
ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн;
|
–
|
–
|
+
|
ИСПДн с открытым доступом
|
–
|
–
|
+
|
По наличию соединений с другими базами ПДн иных ИСПДн:
|
|
|
|
интегрированная ИСПДн (организация использует несколько баз ПДн ИСПДн, при этом организация не является владельцем всех используемых баз ПДн);
|
–
|
–
|
+
|
ИСПДн, в которой используется одна база ПДн, принадлежащая организации – владельцу данной ИСПДн
|
+
|
–
|
–
|
По уровню обобщения (обезличивания) ПДн:
|
|
|
|
ИСПДн, в которой предоставляемые пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т.д.);
|
+
|
–
|
–
|
ИСПДн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации;
|
–
|
+
|
–
|
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн)
|
–
|
–
|
+
|
По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:
|
|
|
|
ИСПДн, предоставляющая всю базу данных с ПДн;
|
–
|
–
|
+
|
ИСПДн, предоставляющая часть ПДн;
|
–
|
+
|
–
|
ИСПДн, не предоставляющая никакой информации.
|
+
|
–
|
–
|
Итого для ИСПДн Филиала, (%)
|
14%
|
29%
|
57%
|
ИСПДн имеет низкий уровень исходной защищенности и соответственно коэффициент  равен 10.
По итогам оценки уровня защищенности и вероятности реализации угрозы  , рассчитывается коэффициент реализуемости угрозы Y и определяется возможность реализации угрозы. Коэффициент реализуемости угрозы Y будет определяться соотношением Y = ( + )/20.
Анализ рисков производится исходя из непосредственных целей и задач по защите конкретного вида информации конфиденциального характера.
Цель анализа рисков заключается в определении характеристик рисков АС и её ресурсов. Результаты анализа рисков используются в рамках мероприятий по экспертизе средств защиты как один из критериев оценки уровня защищённости АС.
При проведении анализа рисков учитываются следующие основные факторы:
ценность программно-аппаратных и информационных ресурсов автоматизированной системы;
значимость угроз и уязвимостей;
эффективность существующих или планируемых средств обеспечения информационной безопасности.
Возможность реализации угрозы оценивается вероятностью её реализации в течение заданного отрезка времени для некоторого ресурса АС. При этом вероятность реализации угрозы определяется следующими основными показателями:
привлекательность ресурса (показатель используется при рассмотрении угрозы от умышленного воздействия со стороны человека);
возможность использования ресурса для получения дохода (также используется при рассмотрении угрозы от умышленного воздействия со стороны человека);
технические возможности реализации угрозы;
степень лёгкости реализации уязвимости.
Проведение анализа рисков позволяет:
предметно описать состав и структуру информационной системы;
расположить имеющиеся ресурсы по приоритетам, основываясь на степени их важности для полноценного функционирования АС;
оценить угрозы и идентифицировать уязвимости АС.
Таким образом, было обнаружено некоторое количество актуальных угроз, вот некоторые из нх:
Компрометация паролей BIOS или дополнительных аппаратных средств аутентификации;
Подбор пароля BIOS (или дополнительных аппаратных средств аутентификации);
Использование технологического пароля BIOS;
Загрузка сторонней операционной системы (без средств защиты и разграничения доступа к ресурсам компьютера);
Предоставление пользователям прав доступа (в том числе по видам доступа) к ПДн и другим ресурсам ИСПДн сверх необходимого для работы;
Неумышленное (случайное), преднамеренное копирование доступных ПДн на неучтённые (в том числе отчуждаемые) носители, в том числе печать неучтённых копий документов с ПДн на принтерах;
Неумышленная (случайная), преднамеренная модификация (искажение) доступных ПДн;
Неумышленное (случайное), преднамеренное добавление (фальсификация) ПДн;
Неумышленное (случайное), преднамеренное уничтожение доступных ПДн (записей, файлов, форматирование диска, уничтожение носителей);
Разглашение (например, при разговорах, записывание на бумаге и т.п.) пользовательских имён и паролей;
Использование для входа в систему чужих идентификаторов и паролей;
Оставление без присмотра незаблокированных рабочих станций;
Внедрение и запуск сторонних программ (технологических, инструментальных и т.п.);
Изменение настроек и режимов работы ПО, модификация ПО (удаление, искажение или подмена программных компонентов ИСПДн или СЗИ) (преднамеренное или случайное);
Подкючение к ИСПДн стороннего оборудования (компьютеров, дисков и иных устройств, в том числе имеющих выход в беспроводные сети связи);
Нарушение работоспособности технических средств;
Вмешательство в работу средств защиты (нарушение правил использования);
Несанкционированное изменение конфигурационных файлов ПО (настроек экрана, сети, прикладных программ и т.п.);
Установка программных "клавиатурных шпионов";
Использование нетрадиционных каналов инсайдером для передачи ПДн;
Удаление или искажение регистрационных данных СЗИ (преднамеренное или случайное);
Несанкционированный доступ к ПДн на бумажных носителях;
Проявление ошибок в программном обеспечении ИСПДн (в том числе в СЗИ);
Сбои и отказы технических средств;
Использование не учтенных съемных носителей и устройств;
Запуск сторонних программ (преднамеренный или не преднамеренный);
Программные закладки;
Использование программ-анализаторов пакетов (снифферов) для перехвата ПДн (и иной конфиденциальной информации), идентификаторов и паролей удалённого доступа;
Выявление активных сетевых служб, используемых портов, версий программ (уязвимых);
Выявление не используемых, но установленных сетевых служб (уязвимых);
Подбор идентификаторов и паролей пользователей сетевых служб (и их последующее использование).
Для уменьшения риска реализации угроз, были предложены меры противодействия, вот некоторые из них:
Разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки и защиты информации;
Контроль несанкционированного доступа и действий пользователей;
Реализация разрешительной системы допуска пользователей;
Реализация подсистемы управления доступом; Реализация подсистемы регистрации и учета; Реализация подсистемы надежной идентификации и аутентификации; Реализация подсистемы обеспечения целостности; Реализация подсистемы антивирусной защиты; Реализация подсистемы централизованного управления СЗПДн;
Учет и хранение съемных носителей, и их обращение, исключающее хищение, подмену и уничтожение;
Резервирование технических средств, дублирование массивов информации и носителей;
Ограничение доступа пользователей в помещения;
Предотвращение внедрения в ИС вредоносных программ и программных закладок;
Реализация подсистемы безопасного межсетевого взаимодействия; Реализация подсистемы анализа защищенности; Использование защищенных каналов связи; Защита информации криптографическими методами;
Размещение технических средств ИСПДн в пределах охраняемой территории.
|
