Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Модель угроз безопасности персональных данных образец 2021». Также Вы можете бесплатно проконсультироваться у юристов онлайн прямо на сайте.
(Выписка)
Примечание: при рассмотрении угроз утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН) необходимо применять полную версию данного документа.
АРМ — автоматизированное рабочее место
ВИ — видовая информация
ВТСС — вспомогательные технические средства и системы
ИСПДн — информационная система персональных данных
КЗ — контролируемая зона
МЭ — межсетевой экран
НДВ — недекларированные возможности
НСД — несанкционированный доступ
ОБПДн — обеспечение безопасности персональных данных
ОС — операционная система
ПДн — персональные данные
ПМВ — программно-математическое воздействие
ПО — программное обеспечение
ПЭМИН — побочные электромагнитные излучения и наводки
РИ — речевая информация
СВТ — средство вычислительной техники
СЗИ — средство защиты информации
СПИ — стеганографическое преобразование информации
СЭУПИ — специальные электронные устройства перехвата информации
ТКУИ — технический канал утечки информации
ТСОИ — технические средства обработки информации
УБПДн — угрозы безопасности персональных данных
Основными элементами описания угроз утечки информации по техническим каналам (ТКУИ) являются: источник угрозы, среда (путь) распространения информативного сигнала и носитель защищаемой информации.
Источниками угроз утечки информации по техническим каналам являются физические лица, не имеющие доступа к ИСПДн, а также зарубежные спецслужбы или организации (в том числе конкурирующие или террористические), криминальные группировки, осуществляющие перехват (съем) информации с использованием технических средств ее регистрации, приема или фотографирования.
Среда распространения информативного сигнала — это физическая среда, по которой информативный сигнал может распространяться и приниматься (регистрироваться) приемником. Среда распространения может быть как однородной (например, только воздушной), так и неоднородной за счет перехода сигнала из одной среды в другую (например, в результате акустоэлектрических или виброакустических преобразований).
Носителем ПДн является пользователь ИСПДн, осуществляющий голосовой ввод ПДн в ИСПДн, акустическая система ИСПДн, воспроизводящая ПДн, а также технические средства ИСПДн и ВТСС, создающие физические поля, в которых информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.
При обработке ПДн в ИСПДн за счет реализации технических каналов утечки информации возможно возникновение следующих УБПДн:
угроз утечки акустической (речевой) информации;
угроз утечки видовой информации;
угроз утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН).
Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи пользователя ИСПДн, при обработке ПДн в ИСПДн, обусловлено наличием функций голосового ввода ПДн в ИСПДн или функций воспроизведения ПДн акустическими средствами ИСПДн.
Перехват акустической (речевой) информации в данных случаях возможен с использованием аппаратуры, регистрирующей акустические (в воздухе) и виброакустические (в упругих средах) волны, а также электромагнитные (в том числе оптические) излучения и электрические сигналы, модулированные информативным акустическим сигналом, возникающие за счет преобразований в технических средствах обработки ПДн, ВТСС и строительных конструкциях и инженерно-технических коммуникациях под воздействием акустических волн.
Кроме этого, перехват акустической (речевой) информации возможен с использованием специальных электронных устройств съема речевой информации, внедренных в технические средства обработки ПДн, ВТСС и помещения или подключенных к каналам связи.
Угрозы безопасности ПДн, связанные с перехватом акустической информации с использованием специальных электронных устройств съема речевой информации («закладочных устройств»), определяются в соответствии с нормативными документами Федеральной службы безопасности Российской Федерации в установленном ею порядке.
Перехват акустической (речевой) информации может вестись:
стационарной аппаратурой, размещаемой в близлежащих строениях (зданиях) с неконтролируемым пребыванием посторонних лиц;
портативной возимой аппаратурой, размещаемой в транспортных средствах, осуществляющих движение вблизи служебных помещений или при их парковке рядом с этими помещениями;
портативной носимой аппаратурой — физическими лицами при их неконтролируемом пребывании в служебных помещениях или в непосредственной близости от них;
автономной автоматической аппаратурой, скрытно устанавливаемой физическими лицами непосредственно в служебных помещениях или в непосредственной близости от них.
Возникновение угрозы ПДн по каналам ПЭМИН возможно за счет перехвата техническими средствами побочных (не связанных с прямым функциональным значением элементов ИСПДн) информативных электромагнитных полей и электрических сигналов, возникающих при обработке ПД техническими средствами ИСПДн.
Генерация информации, содержащей ПДн и циркулирующей в технических средствах ИСПДн в виде электрических информативных сигналов, обработка и передача указанных сигналов в электрических цепях технических средств ИСПДн сопровождается побочными электромагнитными излучениями, которые могут распространяться за пределы служебных помещений в зависимости от мощности излучений и размеров ИСПДн.
Регистрация ПЭМИН осуществляется с целью перехвата информации, циркулирующей в технических средствах, обрабатывающих ПДн (в средствах вычислительной техники, информационно-вычислительных комплексах и сетях, средствах и системах передачи, приема и обработки ПДн, в том числе в средствах и системах звукозаписи, звукоусиления, звуковоспроизведения, переговорных и телевизионных устройствах, средствах изготовления, тиражирования документов и других технических средствах обработки речевой, графической, видео- и буквенно-цифровой информации).
Для регистрации ПЭМИН используется аппаратура в составе радиоприемных устройств и оконечных устройств восстановления информации.
Кроме этого, перехват ПЭМИН возможен с использованием электронных устройств перехвата информации, подключенных к каналам связи или техническим средствам обработки ПДн.
Регистрация ПЭМИН может вестись с использованием аппаратуры следующих видов:
стационарной аппаратурой, размещаемой в близлежащих строениях (зданиях) с неконтролируемым пребыванием посторонних лиц;
портативной возимой аппаратуры, размещаемой в транспортных средствах, осуществляющих движение вблизи служебных помещений или при их парковке рядом с этими помещениями;
портативной носимой аппаратурой — физическими лицами в непосредственной близости от ИСПДн;
автономной автоматической аппаратурой, скрытно устанавливаемой физическими лицами в непосредственной близости от ИСПДн.
Каналы утечки информации, обусловленные наводками, образуются за счет соединительных линий технических средств ИСПДн и ВТСС и посторонних проводников (в том числе цепей электропитания и заземления).
Наводки электромагнитных излучений технических средств ИСПДн возникают при излучении элементами технических средств ИСПДн информативных сигналов при наличии емкостной, индуктивной или гальванической связей соединительных линий технических средств ИСПДн, линий ВТСС и посторонних проводников. В результате на случайных антеннах (цепях ВТСС или посторонних проводниках) наводится информативный сигнал.
Прохождение информативных сигналов в цепи электропитания возможно при наличии емкостной, индуктивной или гальванической связи источника информативных сигналов в составе технических средств ИСПДн и цепей питания.
Прохождение информативных сигналов в цепи заземления обусловлено наличием емкостной, индуктивной или гальванической связи источника информативных сигналов в составе аппаратуры ТСПИ и цепей заземления.
Для съема информации с проводных линий могут использоваться:
средства съема сигналов, содержащих защищаемую информацию, с цепей технических средств ИСПДн и ВТСС, линий связи и передачи данных, выходящих за пределы служебных помещений (эквиваленты сети, токовые трансформаторы, пробники);
средства съема наведенных информативных сигналов с цепей электропитания;
средства съема наведенных информативных сигналов с шин заземления;
средства съема наведенных информативных сигналов с проводящих инженерных коммуникаций.
Для волоконно-оптической системы передачи данных угрозой утечки информации является утечка оптического излучения, содержащего защищаемую информацию, с боковой поверхности оптического волокна.
Появление новых каналов связи — сотовой связи, пейджинговых сообщений, спутниковых и беспроводных сетей передачи данных — привело к развитию специализированных систем и средств контроля и перехвата информации, ориентированных на используемые в них информационные технологии, в том числе средств:
перехвата пейджинговых сообщений и сотовой связи;
перехвата информации в каналах передачи данных вычислительных сетей.
Модель угроз безопасности персональных данных
Источниками угроз НСД в ИСПДн могут быть:
нарушитель;
носитель вредоносной программы;
аппаратная закладка.
Угрозы безопасности ПДн, связанные с внедрением аппаратных закладок, определяются в соответствии с нормативными документами Федеральной службы безопасности Российской Федерации в установленном ею порядке.
По наличию права постоянного или разового доступа в контролируемую зону (КЗ) ИСПДн нарушители подразделяются на два типа:
нарушители, не имеющие доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, — внешние нарушители;
нарушители, имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн, — внутренние нарушители.
Внешними нарушителями могут быть:
разведывательные службы государств;
криминальные структуры;
конкуренты (конкурирующие организации);
недобросовестные партнеры;
внешние субъекты (физические лица).
Внешний нарушитель имеет следующие возможности:
осуществлять несанкционированный доступ к каналам связи, выходящим за пределы служебных помещений;
осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и (или) сетям международного информационного обмена;
осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;
осуществлять несанкционированный доступ через элементы информационной инфраструктуры ИСПДн, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны;
осуществлять несанкционированный доступ через информационные системы взаимодействующих ведомств, организаций и учреждений при их подключении к ИСПДн.
Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны режимных и организационно-технических мер защиты, в том числе по допуску физических лиц к ПДн и контролю порядка проведения работ.
Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.
К первой категории относятся лица, имеющие санкционированный доступ к ИСПДн, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИСПДн.
Лицо этой категории может:
иметь доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИСПДн;
располагать фрагментами информации о топологии ИСПДн (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;
располагать именами и вести выявление паролей зарегистрированных пользователей;
изменять конфигурацию технических средств ИСПДн, вносить в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИСПДн.
Ко второй категории относятся зарегистрированные пользователи ИСПДн, осуществляющие ограниченный доступ к ресурсам ИСПДн с рабочего места.
Лицо этой категории:
обладает всеми возможностями лиц первой категории;
знает, по меньшей мере, одно легальное имя доступа;
обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;
располагает конфиденциальными данными, к которым имеет доступ.
Его доступ, аутентификация и права по доступу к некоторому подмножеству ПДн должны регламентироваться соответствующими правилами разграничения доступа.
К третьей категории относятся зарегистрированные пользователи ИСПДн, осуществляющие удаленный доступ к ПДн по локальным и (или) распределенным информационным системам.
Лицо этой категории:
обладает всеми возможностями лиц первой и второй категорий;
располагает информацией о топологии ИСПДн на базе локальной и (или) распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств ИСПДн;
имеет возможность прямого (физического) доступа к фрагментам технических средств ИСПДн.
К четвертой категории относятся зарегистрированные пользователи ИСПДн с полномочиями администратора безопасности сегмента (фрагмента) ИСПДн.
Уязвимость информационной системы персональных данных — недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении автоматизированной информационной системы, которые могут быть использованы для реализации угрозы безопасности персональных данным.
Причинами возникновения уязвимостей являются:
ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения;
преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения;
неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ;
несанкционированное внедрение и использование неучтенных программ с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);
внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении;
несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей;
сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).
Классификация основных уязвимостей ИСПДн приведена на рисунке 4.
Архитектура систем и сетей: совокупность основных структурно-функциональных характеристик, свойств, компонентов систем и сетей, воплощенных в информационных ресурсах и компонентах, правилах их взаимодействия, режимах обработки информации.
Взаимодействующая (смежная) система: система или сеть, которая в рамках установленных функций имеет взаимодействие посредством сетевых интерфейсов с системой и сетью оператора и не включена им в границу процесса оценки угроз безопасности информации.
Возможности нарушителя: мера усилий нарушителя для реализации угрозы безопасности информации, выраженная в показателях компетентности, оснащенности ресурсами и мотивации нарушителя.
Граница оценки угроз безопасности информации: совокупность информационных ресурсов и компонентов систем и сетей, в пределах которой обеспечивается защита информации (безопасность) в соответствии с едиными правилами и процедурами, а также контроль за реализованными мерами защиты информации (обеспечения безопасности).
Информационные ресурсы: информация, данные, представленные в форме, предназначенной для хранения и обработки в системах и сетях.
Компонент (системы, сети): программное, программно-аппаратное или техническое средство, входящее в состав систем и сетей.
Обеспечивающие системы: инженерные системы, включающие системы электроснабжения, вентиляции, охлаждения, кондиционирования, охраны и другие инженерные системы, а также средства, каналы и системы, предназначенные для оказания услуг связи, других услуг и сервисов, предоставляемых сторонними организациями, от которых зависит функционирование систем и сетей.
Обладатель информации: лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам.
Оператор: лицо, осуществляющее деятельность по эксплуатации систем и сетей, в том числе по обработке содержащейся в них информации.
Основные (критические) процессы (бизнес-процессы): управленческие, организационные, технологические, производственные, финансово-экономические и иные основные процессы (бизнес-процессы), выполняемые обладателем информации, оператором в рамках реализации функций (полномочий) или осуществления основных видов деятельности, нарушение и (или) прекращение которых может привести к возникновению рисков (ущербу).
Пользователь: лицо, которому разрешено выполнять некоторые действия (операции) по обработке информации в системе или сети и использующее результаты ее функционирования.
Поставщик услуг: лицо, предоставляющее оператору и (или) обладателю на основании договора или ином законном основании услуги по использованию своих вычислительных ресурсов, программного обеспечения, средств хранения или передачи информации.
Программно-аппаратное средство: устройство, состоящее из аппаратного обеспечения и функционирующего на нем программного обеспечения, участвующее в формировании, обработке, передаче или приеме информации.
Угроза безопасности информации: совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.
Уязвимость: недостаток (слабость) программного (программно-технического) средства или системы и сети в целом, который(ая) может быть использован(а) для реализации угроз безопасности информации.
Качественное формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов и предположений при оценке угроз может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате их реализации. Завышение экспертами прогнозов и предположений при моделировании угроз безопасности информации может повлечь за собой неоправданные расходы на нейтрализацию (блокирование) угроз, являющихся неактуальными.
Независимо от результата формирования экспертной группы при оценке угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений. Это также может приводить как к занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов и предположений при оценке угроз безопасности информации, что в свою очередь может привести к пропуску отдельных угроз безопасности информации или к неоправданным затратам на нейтрализацию неактуальных угроз.
Любое решение, принимаемое экспертами при оценке угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принципа «гарантированности»).
а) формирование экспертной группы
В состав экспертной группы для оценки угроз безопасности информации рекомендуется включать экспертов (независимо от того, реализуются ли функции обладателя информации, заказчика и оператора в рамках одной или нескольких организаций) от:
подразделения по защите информации (обеспечения информационной безопасности);
подразделения, ответственного за цифровую трансформацию (ИТ-специалистов);
подразделения, ответственного за эксплуатацию сетей связи;
подразделения, ответственного за эксплуатацию автоматизированных систем управления;
подразделений обладателя информации или оператора, ответственного за выполнение основных (критических) процессов (бизнес-процессов).
Состав экспертов по решению обладателя информации или оператора может быть дополнен или уточнен с учетом особенностей области деятельности, в которой функционируют системы и сети. В частности, для оценки угроз безопасности информации, реализация которых может привести к финансовым рискам, рекомендуется привлекать дополнительно специалистов экономических (финансовых) подразделений обладателя информации или оператора.
Для организации работы экспертной группы рекомендуется определять специалиста по защите информации (обеспечению информационной безопасности), имеющего стаж работ не менее трех лет и практический опыт оценки информационных рисков. В экспертную группу для оценки угроз безопасности информации рекомендуется включать специалистов, имеющих опыт работы не менее одного года по соответствующему направлению деятельности, в котором проводится оценка угроз безопасности информации.
Эксперты должны обладать независимостью, основанной на отсутствии коммерческого и финансового интереса или другого давления, которое может оказать влияние на принимаемые решения. Не рекомендуется формировать экспертную группу из участников, находящихся в прямом подчинении, так как это может негативным образом повлиять на результат определения угроз безопасности информации.
В состав экспертной группы должны входить не менее трех экспертов.
б) проведение экспертной оценки
При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.
Экспертную оценку рекомендуется проводить в отношении следующих параметров:
а) негативного последствия от реализации угроз безопасности информации;
б) целей нарушителей по реализации угроз безопасности информации;
в) сценария действий нарушителей при реализации угроз безопасности информации.
Оценку параметров рекомендуется проводить опросным методом с составлением анкеты, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений («низкий», «средний», «высокий» или «да», «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно трактуемыми, предполагать однозначные ответы.
Опрос экспертов включает следующие этапы:
каждый эксперт проводит оценку оцениваемого параметра (рекомендуется не менее двух раундов оценки), результаты которой заносятся в таблицу;
после оценки каждым из экспертов отбрасываются минимальные и максимальные значения;
определяется среднее значение оцениваемого параметра в каждом раунде;
определяется итоговое среднее значение оцениваемого параметра.
Приложение 3. Рекомендуемая структура модели угроз безопасности информации
УТВЕРЖДАЮ
Руководитель органа
государственной власти
(организации) или иное
уполномоченное лицо
______________________
«___» ________ 20__ г.
Раздел «Общие положения» содержит:
назначение и область действия документа;
нормативные правовые акты, методические документы, национальные стандарты, используемые для оценки угроз безопасности информации и разработки модели угроз;
наименование обладателя информации, заказчика, оператора систем и сетей;
подразделения, должностные лица, ответственные за обеспечение защиты информации (безопасности) систем и сетей;
наименование организации, привлекаемой для разработки модели угроз безопасности информации (при наличии).
Раздел «Описание систем и сетей и их характеристика как объектов защиты» содержит:
наименование систем и сетей, для которых разработана модель угроз безопасности информации;
класс защищенности, категория значимости систем и сетей, уровень защищенности персональных данных;
нормативные правовые акты Российской Федерации, в соответствии с которыми создаются и (или) функционируют системы и сети;
назначение, задачи (функции) систем и сетей, состав обрабатываемой информации и ее правовой режим;
основные процессы (бизнес-процессы) обладателя информации, оператора, для обеспечения которых создаются (функционируют) системы и сети;
состав и архитектуру систем и сетей, в том числе интерфейсы и взаимосвязи компонентов систем и сетей;
описание групп внешних и внутренних пользователей систем и сетей, уровней их полномочий и типов доступа (в состав групп пользователей включаются все пользователи, для которых требуется авторизация при доступе к информационным ресурсам, и пользователи, для которых не требуется авторизация (например, предоставлен доступ к сайту без прохождения авторизации);
описание внешних интерфейсов и взаимодействий систем и сетей с пользователями (в том числе посредством машинных носителей информации, средств ввода-вывода, веб-приложений), иными системами и сетями, обеспечивающими системами, в том числе с сетью «Интернет»;
информацию о функционировании систем и сетей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры, о модели предоставления вычислительных услуг, о распределении ответственности за защиту информации между обладателем информации, оператором и поставщиком вычислительных услуг, об условиях использования информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры поставщика услуг (при наличии).
К модели угроз безопасности информации могут прилагаться схемы и рисунки, иллюстрирующие состав и архитектуру систем и сетей, интерфейсы взаимодействия компонентов системы и сети, группы пользователей, а также другие поясняющие материалы.
Раздел «Возможные негативные последствия от реализации (возникновения) угроз безопасности информации» содержит:
описание видов рисков (ущербов), актуальных для обладателя информации, оператора, которые могут наступить от нарушения или прекращения основных процессов;
описание негативных последствий, наступление которых в результате реализации (возникновения) угроз безопасности информации может привести к возникновению рисков (ущерба).
Базовая модель угроз безопасности информации в ИСУ
Любые персональные данные должны обрабатываться на условиях обеспечения информационной безопасности и исключения утечек. Сейчас в этой сфере работает Постановление Правительства РФ от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Оно широко применяется на разных уровнях.
В рамках постановления госоргану поручается разработка и утверждение документов, которыми регламентируется обеспечение защиты этой сферы правоотношений. Помимо ФСТЭК РФ нормативную документацию, имеющую регламентирующее значение, утверждает Роскомнадзор РФ. Так, им принят приказ от 05.09.2013 г. № 996 о порядке обезличивания информации при ее обработке. В свою очередь, служба по техническому контролю разработала нормативную документацию, позволяющую определить степень угроз, которым подвергаются защищаемые массивы информации. Основным документом, опосредующим отношения в этой сфере, стал документ, названный «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах». Он был утвержден в 2008 году.
Любой субъект рынка, попавший в реестр, должен не только в любой момент быть готовым пройти проверку Роскомнадзора, но и решать задачи, не предусмотренные действующей на текущий момент нормативной документацией, становящиеся новыми вызовами. К таким задачам относятся:
- разработка собственных моделей угроз, актуальных для каждого конкретного лица, осуществляющего обработку персональных данных. Совершенно разные цели могут быть у лиц, посягающих на информацию, связанную с личностями государственных служащих, и тех преступников, которые интересуются медицинскими картами пенсионеров;
- анализ и мониторинг текущей ситуации с защитой баз персональных данных от внешнего проникновения;
- разработка собственной системы защиты баз данных и нейтрализации потенциальных угроз, основанной на предлагаемых для каждой отдельной системы методах и рекомендациях;
- систематическое проведение мероприятий, которые должны исключить несанкционированное проникновение к базам данных нарушителей – третьих лиц, которым не оформлен допуск к изучению и обработке этой информации;
- организация технической системы защиты средств обработки данных, которая должна исключить любое воздействие на них, могущее повлечь их повреждение или разрушение;
- постоянный контроль качества защиты.
Модель предлагает изучить основные уязвимые точки систем защиты, актуальные виды угроз, доступные способы обеспечения информационной безопасности. Федеральная служба проводит постоянный мониторинг вновь появляющихся видов угроз, внося изменения в свои рекомендации.
Практика показывает, что большая часть охраняемой информации утекает по техническим каналам передачи данных. Сигнал распространяется в определенной физической среде, он может быть акустическим или электромагнитным, его перехват осуществляется при помощи закладных устройств и другими путями. Устройства могут перехватывать данные электромагнитного излучения, акустическую и визуальную информацию. Защита от этого способа перехвата осуществляется путем ограничения доступа на охраняемый объект.
Редкая организация может полностью защитить персональные данные от действий собственных сотрудников. Для причинения ущерба данным могут использоваться:
- штатное программное обеспечение, позволяющее попасть в операционную среду;
- создание нештатных условий работы, позволяющее использовать получаемые искажения для модификации данных;
- вредоносные программы;
- угрозы, связанные с удаленным доступом;
- комбинированные угрозы.
Для борьбы с ними необходимы установка защитного ПО, регулярный мониторинг функционирования рабочих станций. Кроме того, Роскомнадзор проводит проверки соответствия готовности технических систем операторов и выдает предписания, позволяющие увеличить степень защищенности. Не всегда для этого требуются серьезные финансовые средства. Стандартные меры безопасности и соблюдение инструкций помогают обеспечить до 90 % сохранности данных.
Любая из перечисленных угроз может нести за собой различные по уровню негативные последствия – от незначительных до чрезвычайных. В обязанности оператора персональных данных входит обеспечение таких условий их обработки, при которых причинение ущерба интересам конкретных лиц или всего общества было бы невозможным.
Здесь указываются общие сведения об информационной системе – где находится, как называется, какие данные и какого класса (уровня защищенности, категории) обрабатываются. Здесь конечно многих интересует – насколько подробно нужно описывать информационную систему.
В процессе многократных согласований моделей угроз для государственных информационных систем нами выработано решение относительно этого – должна быть золотая середина. Это не должна быть копипаста из технического паспорта с указанием серийных номеров технических средств. Но с другой стороны, человек не знакомый с системой, почитавший ее описание в модели угроз должен примерно понять, как эта самая система работает.
Пример:
Серверная часть информационной системы «Нипель» представляет собой кластер физических серверов, на которых развернут гипервизор ESXi 6.x. Работа серверной части основных сервисов информационной системы обеспечивается виртуальными серверами (имена серверов) под управлением операционных систем (список ОС). Основным программным обеспечением, реализующим технологические процессы обработки является (название ПО). Прикладное программное обеспечение является клиент-серверным приложением. Клиентская часть работает как толстый клиент на рабочих станциях пользователей под управлением операционных систем (список ОС). Пользователи получают доступ к информационной системе, как из локальной сети, так и через сеть интернет с использованием защищенных каналов связи. В целом информационная система функционирует как показано на схеме.
Прикладывается функциональная (не топологическая!) схема информационной системы.
Здесь можно разделить эту часть на классическую и новую. Классическая это та самая, где описаны потенциальные нарушители 1, 2 и далее категорий. На самом деле эта часть модели нарушителя оставлена в шаблоне только потому, что регуляторам нравится, когда она есть. Практическую же ценность представляет раздел «Нарушители согласно банку данных угроз ФСТЭК России».
Практическую ценность этот раздел представляет потому, что сами угрозы из банка данных угроз ФСТЭК (далее – БДУ) привязаны к нарушителям с низким, средним и высоким потенциалом. Сам раздел представляет из себя копипасту описаний характеристик нарушителей с низким, средним и высоким потенциалами. Далее делается вывод нашим любимым «экспертным» путем — какой нарушитель для нас актуален. То есть, по сути, составитель выбирает нарушителя «на глаз», потому что каких-либо методик выбора нарушителя просто нет.
Не будем здесь приводить эти описания полностью, постараемся коротко сформулировать, чем отличаются потенциалы нарушителей. Кроме разграничения по потенциалу нарушители еще бывают внешние и внутренние.
Самый талантливый хакер в мире, который в совершенстве пользуется уже имеющимися инструментами и может создавать свои инструменты это внезапно нарушитель с низким потенциалом. Нарушитель с теми же возможностями, но имеющий некую инсайдерскую информацию о системе это уже средний потенциал. Основная фраза, отличающая средний потенциал от низкого: «Имеют доступ к сведениям о структурно-функциональных характеристиках и особенностях функционирования информационной системы». Вот здесь нужно хорошо подумать, насколько вероятна утечка такой информации. Нарушители с высоким потенциалом, если коротко, то это в основном спецслужбы. Тут у нас и возможность привлекать специализированные научные организации и съем информации с физических полей и вот это все.
В реалистичных ситуациях потенциал нарушителя либо низкий, либо средний.
Как мы помним, в модели угроз должны быть указаны возможные уязвимости. В скачиваемом шаблоне модели угроз этого раздела пока что нет, поэтому коротко опишем, как стоит с этим поступать.
У составителя модели угроз сразу должен появиться вопрос: а что нужно прям список выявленных сканером уязвимостей к документу прикладывать? Вопрос хороший и ответ не однозначный. Знаем мы коллег, которые делают именно так, но мы считаем такой подход неправильным и вот почему.
Во-первых, модель угроз безопасности информации документ, хоть и подлежащий изменениям, но все-таки более-менее статичный. Разработали один раз и забыли до существенных инфраструктурных изменений в системе.
Список уязвимостей, который формируется сканерами – информация очень динамичная. Сегодня мы выявили уязвимости, завтра их устранили и просканировали заново – получили новый отчет. Послезавтра появились новые сигнатуры, сканер обновился и нашел новые уязвимости и так по кругу. Какой смысл прикладывать отчет сканера уязвимостей, сделанный на момент разработки модели угроз? Никакого.
Во-вторых, модель угроз может создаваться для еще физически не существующей (спроектированной, но не построенной) информационной системы. В таком случае мы даже просканировать ничего не можем.
Выход из этой ситуации простой. Указывать в модели угроз не конкретные уязвимости с указанием идентификатора CVE и рейтинга CVSS, а перечислить возможные классы уязвимостей для конкретной информационной системы. А чтобы придать этому списку солидности, возьмем этот список не из головы, а из ГОСТ Р 56546-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем». Перечень под спойлером. Берем его и убираем лишние, не совместимые со структурно-функциональными характеристиками нашей системы. Раздел готов!
Классы уязвимостей по ГОСТУязвимости по области происхождения:
- уязвимости кода;
- уязвимости конфигурации;
- организационные уязвимости;
- многофакторные уязвимости.
Уязвимости по типу недостатков информационной системы:
- уязвимости, связанные с неправильной настройкой параметров ПО;
- уязвимости, связанные с неполнотой проверки входных данных;
- уязвимости, связанные с возможностью перехода по ссылкам;
- уязвимости, связанные с возможностью внедрения команд ОС;
- уязвимости, связанные с межсайтовым скриптингом (выполнением сценариев);
- уязвимости, связанные с внедрением произвольного кода;
- уязвимости, связанные с переполнением буфера памяти;
- уязвимости, связанные с недостатками, приводящими к утечке/раскрытию информации ограниченного доступа;
- уязвимости, связанные с управлением полномочиями (учетными данными);
- уязвимости, связанные с управлением разрешениями, привилегиями и доступом;
- уязвимости, связанные с аутентификацией;
- уязвимости, связанные с криптографическими преобразованиями;
- уязвимости, связанные с подменой межсайтовых запросов;
- уязвимости, связанные с управлением ресурсами.
Уязвимости по месту возникновения (проявления):
- уязвимости в общесистемном (общем) программном обеспечении;
- уязвимости в прикладном программном обеспечении;
- уязвимости в специальном программном обеспечении;
- уязвимости в технических средствах;
- уязвимости в портативных технических средствах;
- уязвимости в сетевом (коммуникационном, телекоммуникационном) оборудовании;
- уязвимости в средствах защиты информации.
Первое, что нужно определить это глобальный параметр – уровень исходной защищенности. Глобальный он потому, что определяется один раз и не меняется от угрозы к угрозе.
Чтобы определить уровень исходной защищенности (он же коэффициент исходной защищенности Y1) нужно для семи показателей выбрать одно из значений, которое больше всего подходит для вашей системы.
Список характеристик под спойлером.
Список характеристик и их значений
| технические и эксплуатационные характеристики испдн | уровень защищенности | ||
| высокий | средний | низкий | |
| 1. по территориальному размещению: | |||
| распределенная испдн, которая охватывает несколько областей, краев, округов или государство в целом | — | — | + |
| городская испдн, охватывающая не более одного населенного пункта (города, поселка) | — | — | + |
| корпоративная распределенная испдн, охватывающая многие подразделения одной организации | — | + | — |
| локальная (кампусная) испдн, развернутая в пределах одного здания | — | + | — |
| локальная испдн, развернутая в пределах одного здания | + | — | — |
| 2. по наличию соединения с сетями связи общего пользования: | |||
| испдн, имеющая многоточечный выход в сеть связи общего пользования | — | — | + |
| испдн, имеющая одноточечный выход в сеть связи общего пользования | — | + | — |
| испдн, физически отделенная от сети общего пользования | + | — | — |
| 3. по встроенным (легальным) операциям с записями баз персональных данных: | |||
| чтение, поиск | + | — | — |
| запись, удаление, сортировка | — | + | — |
| модификация, передача | — | — | + |
| 4. по разграничению доступа к персональным данным: | |||
| испдн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем испдн, либо субъект пдн | — | + | — |
| испдн, к которой имеют доступ все сотрудники организации, являющейся владельцем испдн | — | — | + |
| испдн с открытым доступом | — | — | + |
| 5. по наличию соединений с другими базами пдн иных испдн: | |||
| интегрированная испдн (организация) использует несколько баз пдн испдн, при этом организация не является владельцем всех используемых баз пдн) | — | — | + |
| испдн, в которой используется одна баз пдн, принадлежащая организации — владельцу данной испдн | + | — | — |
| 6. по уровню обобщения (обезличивания) пдн: | |||
| испдн, в которой предоставляемые пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т. д.) | + | — | — |
| испдн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации | — | + | — |
| испдн, в которой предоставляемые пользователю данные не являются обезличенными (т. е. присутствует информация, позволяющая идентифицировать субъекта пдн) | — | — | + |
| 7. по объему пдн, которые предоставляются сторонним пользователям испдн без предварительной обработки | |||
| испдн, предоставляющая всю базу данных с пдн | — | — | + |
| испдн, предоставляющая часть пдн | — | + | — |
| испдн, не предоставляющая никакой информации | + | — | — |
Методика определения актуальных угроз безопасности персональных данных
Далее, чтобы сразу отсечь лишние угрозы делаем табличку со списком исключаемых угроз и обоснование – почему мы их выкидываем.
В шаблоне в качестве примера представлены:
- исключение угроз, связанных с грид-системами, суперкомпьютерами и большими данными;
- исключение угроз, связанных с виртуализацией;
- исключение угроз, связанных с использованием беспроводных сетей связи;
- исключение угроз, связанных с использованием облачных сервисов;
- исключение угроз для АСУ ТП;
- исключение угроз, связанных с использованием мобильных устройств;
- исключение угроз, реализация которых возможна только нарушителем с высоким потенциалом.
По последнему пункту нужно уточнить пару моментов:
- если вы определили нарушителя с низким потенциалом, то здесь исключаются угроз, которые может осуществить нарушители со средним и высоким потенциалом;
- исключаются только оставшиеся угрозы, которые не были исключены в предыдущих пунктах;
- обращайте внимание на то, что в БДУ для некоторых угроз для внутренних и внешних нарушителей может быть определен разный потенциал.
- Курсы повышения квалификации
- Семинары
- Выездное обучение
- Условия обучения
- Материалы для обучения
- Расписание
Модель угроз информационной безопасности как услуга представляет собой исследование объекта защиты и составление документа, в котором отражаются:
- Описание информационной системы (ИС), её структуры, функций и характеристик
- Описание потенциальных неправомерных и деструктивных действий со стороны внешних и внутренних нарушителей (Модель нарушителя)
- Описание возможных способов реализации угроз информационной безопасности
- Описание последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности)
Как правило, подготовка «Модель угроз безопасности персональных данных» является следующим после ИБ-аудита пунктом реализации проектов обеспечения информационной безопасности.
Моделирование угроз безопасности информации выполняется с целью анализа текущей защищённости ИС и определения требований к системе защиты. Документ «Модель угроз безопасности персональных данных» может использоваться для решения следующих задач:
- Оценка защищённости ИС при проведении работ по обеспечению безопасности персональных данных
- Проектирование и построение адекватной системы защиты информации, обеспечивающей безопасность персональных и других конфиденциальных данных
- Проведение организационных и технических мероприятий, призванных предотвратить несанкционированный доступ к данным и их незаконную передачу сторонним лицам
- Предотвращение деструктивного воздействия на технические средства информационных систем
- Контроль обеспечения должного уровня защищённости персональных данных и прочей конфиденциальной информации
Если бы каждый оператор осуществлял анализ УБ не в соответствии с установленными правилами и методиками, а руководствуясь личными представлениями о том, на что обращать внимание, то в сфере ИБ царила бы неразбериха и безответственность. В свою очередь гражданам приходилось бы полагаться исключительно на добросовестность компаний и ИП, которым они доверяют личные сведения. Утвержденная 14.02.2008 методика определения актуальных угроз безопасности персональных данных помогла решить сразу несколько проблем:
- предоставить фирмам, предпринимателям и госорганам четкий механизм действий по установлению рисков в процессе их деятельности;
- наладить систему отслеживания и регулирования работы операторов в области обеспечения защиты ПДн;
- дифференцировать требования к разным типам ИСПДн;
- создать базу для интеграции эффективных мер предупреждения и реагирования на внутренние и внешние угрозы.
Документ, разработанный ФСТЭК, учитывает положения других действующих в стране нормативно-правовых актов, касающихся сферы ПДн, где подробно описано, что делать тем, кто намерен анализировать УБ и принимать решения по внедрению СЗ:
- штатным сотрудникам, которые занимаются вопросами информационной безопасности;
- индивидуальным предпринимателям, не имеющим персонала (включая тех, кто ведет бизнес в Интернете);
- специалистам, работающим в аутсорсинговом формате;
- директорам предприятий.
МЕТОДИКА ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ — 2021
Перед тем как приступать непосредственно к расчетам, важно ознакомиться с общими положениями методики, поскольку в них содержится главное, что нужно знать об угрозах безопасности ПДн:
- К УБ относятся различные факторы, а также условия, способные привести к неправомерному использованию конфиденциальных сведений о гражданах.
- Задачей оператора является защита не только от преднамеренных, но и от случайных незаконных действий в отношении ПДн.
- Существует два основных способа реализации УБ — с помощью специализированного софта либо через технические каналы. Отдельной категорией являются угрозы, которые связаны с утечками через межсетевые протоколы.
- В качестве источников опасности могут выступать аппаратные закладки, нарушители (штатные и внештатные сотрудники, хакеры, посетители и т.д.), а также носители вредоносного ПО.
- При установлении факторов риска, предполагающих использование утилит либо устройств, необходима экспертная оценка, в том числе с применением сетевых сканеров.
- О наличии той или иной угрозы можно говорить в том случае, если выявлено уязвимое звено и источник, необходимые для реализации данной УБ.
АВС – антивирусные средства
АРМ – автоматизированное рабочее место
ВТСС – вспомогательные технические средства и системы
ИСПДн – информационная система персональных данных
КЗ – контролируемая зона
ЛВС – локальная вычислительная сеть
МЭ – межсетевой экран
НСД – несанкционированный доступ
ОС – операционная система
ПДн – персональные данные
ПИ – программное изделие
ПМВ – программно-математическое воздействие
ПО – программное обеспечение
ПЭМИН – побочные электромагнитные излучения и наводки
САЗ – система анализа защищенности
СЗИ – средства защиты информации
СЗПДн – система (подсистема) защиты персональных данных
СОВ – система обнаружения вторжений
ТКУИ – технические каналы утечки информации
УБПДн – угрозы безопасности персональных данных
Модель угроз безопасности персональных данных (далее – Модель) при их обработке в информационной системе персональных данных (далее – ИСПДн) «___________________________________________________________________________(далее — АИС _________________)»__________________________________________________________________________________________» (далее- _________________) строится на основании отчёта о результатах проведения обследования _________________ в соответствии со следующими руководящими документами ФСБ и ФСТЭК России:
— «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждённым 15 февраля 2008 года;
— «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждённым 14 февраля 2008 года;
— «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утвержденные ФСБ России 21 февраля 2008 г. N 149/54-144.
В Модели представлены описание ИСПДн и ее структурно-функциональных характеристик, состава и режима обработки ПДн, классификация потенциальных нарушителей, оценка исходного уровня защищённости, анализ угроз безопасности персональных данных (далее – ПДн).
Анализ угроз безопасности ПДн (далее – УБПДн) включает:
— описание угроз;
— оценку вероятности возникновения угроз;
— оценку реализуемости угроз;
— оценку опасности угроз;
— определение актуальности угроз.
Плановый пересмотр проводится в порядке проведения контроля состояния защиты информации (не реже одного раза в год).
Внеплановый пересмотр должен осуществляться в случаях:
— изменения требований законодательства Российской Федерации в области защиты информации, нормативно-правовых актов и методических документов, регулирующих защиту информации;
— изменения конфигурации и условий размещения АИС _________________;
— изменения в составе основных элементов АИС _________________, которые могут повлиять на состав угроз безопасности информации.
В данном разделе представлены материалы обследования условий обработки ПДн в ИСПДн, а также результатов анализа действующих процедур обработки ПДн:
— описание ИСПДн;
— структурно-функциональные характеристики ИСПДн;
— технические сведения об ИСПДн;
— состав и структура ПДн, подлежащий защите;
— информация об имеющихся организационно-распорядительных документах, определяющих порядок функционирования ИСПДн и обеспечения безопасности ПДн.
Информационная архитектура ИСПДн организована в соответствии с архитектурой «____________________».
ОПИСАНИЕ СТРУКТУРЫ___________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
БД представляет собой _____________________________.
Средства информационного и программного обеспечения ИСПДн реализованы на следующих программных платформах:
— _____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
Модель угроз безопасности персональных данных при их обработке
Доступ к ИСПДн предоставляется следующим образом: _______________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
Для функционирования ИСПДн _____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________
Доступ к сетям общего пользования и сетям международного информационного обмена (Интернет) _____________________________________________________________________________________________________________________________________________________________________________________________________________.
ПО ИСПДн __________________________________________________________________________________________________________________________________. Клиенты ИСПДн – _____________________________________________________________________________________________________________________________________________________________.
Границами КЗ, в которой функционирует ИСПДн, является ________________________________________________________________________________________________________________________________________________________________________________________________________.
В соответствии с п.3 «Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утверждённой заместителем директора ФСТЭК России 15 февраля 2008 г., ниже представлены основные техническими средства (основные элементы ИСПДн), позволяющие осуществлять обработку ПДн в ИСПДн.
Основные элементы ИСПДн:
— носители ПДн в ИСПДн, содержащие «информацию, обрабатываемую в ИСПДн, представленную в виде бит, байт, файлов и других логических структур», построенных на основе _________________;
— серверы, на которых установлены серверные компонента ПО ИСПДн;
— программные средства ИСПДн (_______________________________________________________________________________________);
— распределенная ЛВС ИСПДн (_______________________________________________________________________________________________________________________________________________________________________________________________________);
— пользователи, администраторы, обслуживающие технические средства, входящие в состав ИСПДн, администраторы безопасности, администраторы, обслуживающие и разрабатывающие ПО ИСПДн, обслуживающий персонал.
— помещения, в которых расположены основные технические средства ИСПДн.
— службы охраны _________________ :
— вспомогательные технические средства и системы, расположенные в одном помещении с основными техническими средствами ИСПДн.
На стадии моделирования проводится изучение и анализ существующей обстановки и выявляются актуальные угрозы безопасности ПДн в составе ИСПДн. Для каждой выявленной ИСПДн составляется своя модель угроз.
Модель угроз безопасности информационной системы строится в соответствии с требованиями Федерального Закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». Кроме того, могут использоваться методические документы ФСТЭК России: «Базовая модель угроз безопасности ПДн при их обработке в ИСПДн», «Методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн».
Исходными данными для проведения оценки и анализа обычно служат материалы «Акта проверки», результаты анкетирования сотрудников различных подразделений и служб, методические документы ФСТЭК и т.д.
Частная модель угроз безопасности информационной системы должна быть утверждена руководителем организации или комиссией на основании отчета о результатах проведения внутренней проверки.
Модель угроз может разрабатываться ответственными за защиту персональных данных в организации или сторонними экспертами. Разработчики модели угроз должны владеть полной информацией об информационной системе персональных данных, знать нормативную базу по защите информации.
Модель угроз информационной безопасности ИСПДн
Здесь хотелось бы вспомнить, о том, что модель угроз может разрабатываться для очень разных систем – от ИСПДн до КИИ. Поэтому и список нормативной документации может отличаться. Например, если мы разрабатываем модель угроз для АСУ ТП, то из шаблона нужно убрать 21 и 17 приказы ФСТЭК и добавить 31-й.
Документы, помеченные аббревиатурой «СКЗИ» это нормативные документы ФСБ, регламентирующие обращение с шифровальными средствами. Если криптосредства в информационной системе не используется (сейчас это редкость, но все же), то эти нормативные документы из списка необходимо удалить.
Частой ошибкой здесь бывает добавление различных ГОСТ и прочих нормативных документов (очень любят сюда вписывать СТР-К), никак не связанных с моделированием угроз. Либо отмененных документов. Например, часто в моделях угроз можно встретить в списке нормативных документов ФСБшные так называемые «Методические рекомендации…» и «Типовые требования…», которые давно не актуальны.
Здесь в шаблоне представлена стандартная вода – зачем нужна модель угроз и т. д. То, на чем нужно здесь заострить внимание это комментарий по поводу вида рассматриваемой информации. По умолчанию в шаблоне представлен наиболее часто встречаемый вариант – персональные данные (ПДн). Но в системе может не быть персональных данных, но может быть другая конфиденциальная информация (КИ), а еще информация может быть не конфиденциальной, но защищаемой (ЗИ) по другим характеристикам – целостность и доступность.
Здесь указываются общие сведения об информационной системе – где находится, как называется, какие данные и какого класса (уровня защищенности, категории) обрабатываются. Здесь конечно многих интересует – насколько подробно нужно описывать информационную систему.
В процессе многократных согласований моделей угроз для государственных информационных систем нами выработано решение относительно этого – должна быть золотая середина. Это не должна быть копипаста из технического паспорта с указанием серийных номеров технических средств. Но с другой стороны, человек не знакомый с системой, почитавший ее описание в модели угроз должен примерно понять, как эта самая система работает.
Пример:
Серверная часть информационной системы «Нипель» представляет собой кластер физических серверов, на которых развернут гипервизор ESXi 6.x. Работа серверной части основных сервисов информационной системы обеспечивается виртуальными серверами (имена серверов) под управлением операционных систем (список ОС). Основным программным обеспечением, реализующим технологические процессы обработки является (название ПО). Прикладное программное обеспечение является клиент-серверным приложением. Клиентская часть работает как толстый клиент на рабочих станциях пользователей под управлением операционных систем (список ОС). Пользователи получают доступ к информационной системе, как из локальной сети, так и через сеть интернет с использованием защищенных каналов связи. В целом информационная система функционирует как показано на схеме.
Прикладывается функциональная (не топологическая!) схема информационной системы.
Здесь можно разделить эту часть на классическую и новую. Классическая это та самая, где описаны потенциальные нарушители 1, 2 и далее категорий. На самом деле эта часть модели нарушителя оставлена в шаблоне только потому, что регуляторам нравится, когда она есть. Практическую же ценность представляет раздел «Нарушители согласно банку данных угроз ФСТЭК России».
Практическую ценность этот раздел представляет потому, что сами угрозы из банка данных угроз ФСТЭК (далее – БДУ) привязаны к нарушителям с низким, средним и высоким потенциалом. Сам раздел представляет из себя копипасту описаний характеристик нарушителей с низким, средним и высоким потенциалами. Далее делается вывод нашим любимым «экспертным» путем — какой нарушитель для нас актуален. То есть, по сути, составитель выбирает нарушителя «на глаз», потому что каких-либо методик выбора нарушителя просто нет.
Не будем здесь приводить эти описания полностью, постараемся коротко сформулировать, чем отличаются потенциалы нарушителей. Кроме разграничения по потенциалу нарушители еще бывают внешние и внутренние.
Самый талантливый хакер в мире, который в совершенстве пользуется уже имеющимися инструментами и может создавать свои инструменты это внезапно нарушитель с низким потенциалом. Нарушитель с теми же возможностями, но имеющий некую инсайдерскую информацию о системе это уже средний потенциал. Основная фраза, отличающая средний потенциал от низкого: «Имеют доступ к сведениям о структурно-функциональных характеристиках и особенностях функционирования информационной системы». Вот здесь нужно хорошо подумать, насколько вероятна утечка такой информации. Нарушители с высоким потенциалом, если коротко, то это в основном спецслужбы. Тут у нас и возможность привлекать специализированные научные организации и съем информации с физических полей и вот это все.
В реалистичных ситуациях потенциал нарушителя либо низкий, либо средний.
Как мы помним, в модели угроз должны быть указаны возможные уязвимости. В скачиваемом шаблоне модели угроз этого раздела пока что нет, поэтому коротко опишем, как стоит с этим поступать.
У составителя модели угроз сразу должен появиться вопрос: а что нужно прям список выявленных сканером уязвимостей к документу прикладывать? Вопрос хороший и ответ не однозначный. Знаем мы коллег, которые делают именно так, но мы считаем такой подход неправильным и вот почему.
Во-первых, модель угроз безопасности информации документ, хоть и подлежащий изменениям, но все-таки более-менее статичный. Разработали один раз и забыли до существенных инфраструктурных изменений в системе.
Список уязвимостей, который формируется сканерами – информация очень динамичная. Сегодня мы выявили уязвимости, завтра их устранили и просканировали заново – получили новый отчет. Послезавтра появились новые сигнатуры, сканер обновился и нашел новые уязвимости и так по кругу. Какой смысл прикладывать отчет сканера уязвимостей, сделанный на момент разработки модели угроз? Никакого.
Во-вторых, модель угроз может создаваться для еще физически не существующей (спроектированной, но не построенной) информационной системы. В таком случае мы даже просканировать ничего не можем.
Выход из этой ситуации простой. Указывать в модели угроз не конкретные уязвимости с указанием идентификатора CVE и рейтинга CVSS, а перечислить возможные классы уязвимостей для конкретной информационной системы. А чтобы придать этому списку солидности, возьмем этот список не из головы, а из ГОСТ Р 56546-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем». Перечень под спойлером. Берем его и убираем лишние, не совместимые со структурно-функциональными характеристиками нашей системы. Раздел готов!
Классы уязвимостей по ГОСТУязвимости по области происхождения:
- уязвимости кода;
- уязвимости конфигурации;
- организационные уязвимости;
- многофакторные уязвимости.
Уязвимости по типу недостатков информационной системы:
- уязвимости, связанные с неправильной настройкой параметров ПО;
- уязвимости, связанные с неполнотой проверки входных данных;
- уязвимости, связанные с возможностью перехода по ссылкам;
- уязвимости, связанные с возможностью внедрения команд ОС;
- уязвимости, связанные с межсайтовым скриптингом (выполнением сценариев);
- уязвимости, связанные с внедрением произвольного кода;
- уязвимости, связанные с переполнением буфера памяти;
- уязвимости, связанные с недостатками, приводящими к утечке/раскрытию информации ограниченного доступа;
- уязвимости, связанные с управлением полномочиями (учетными данными);
- уязвимости, связанные с управлением разрешениями, привилегиями и доступом;
- уязвимости, связанные с аутентификацией;
- уязвимости, связанные с криптографическими преобразованиями;
- уязвимости, связанные с подменой межсайтовых запросов;
- уязвимости, связанные с управлением ресурсами.
Уязвимости по месту возникновения (проявления):
- уязвимости в общесистемном (общем) программном обеспечении;
- уязвимости в прикладном программном обеспечении;
- уязвимости в специальном программном обеспечении;
- уязвимости в технических средствах;
- уязвимости в портативных технических средствах;
- уязвимости в сетевом (коммуникационном, телекоммуникационном) оборудовании;
- уязвимости в средствах защиты информации.
Модель угроз ПД. Организационно-распорядительная документация по защите ПД
И вот только здесь мы приступаем непосредственно к определению актуальных угроз.
Методика определения актуальных угроз от ФСТЭК 2008 года слегка попахивает и о ней мы уже писали здесь. Но здесь ничего не поделаешь, как в той же статье отмечено – что есть, с тем и работаем. Давайте же посмотрим, что конкретно нам нужно сделать, чтобы получить список актуальных угроз.
Свежие документы от ФСТЭК предписывают в качестве исходных данных для угроз безопасности информации использовать БДУ. Сейчас там 213 угроз и список может пополняться.
Здесь сразу же хотелось бы рассказать о плюсах и минусах БДУ. Несомненный плюс – это то, что теперь нет необходимости придумывать и формулировать угрозы самостоятельно, хотя дополнить модель угроз своими угрозами тоже ничего не запрещает. Еще один плюс это прописанный потенциал нарушителя и определенные нарушаемые характеристики безопасности информации для каждой угрозы – не нужно ничего выдумывать.
Минусы. Первый минус это до ужаса скудные возможности по сортировке угроз. Когда вы первый раз начинаете делать модель угроз по БДУ, то естественное желание это отсеять угрозы, которые не могут быть актуальны в вашей системе по структурно-функциональным характеристикам. Например, убрать угрозы для виртуальных контейнеров и гипервизоров, потому что в системе не применяется виртуализация или отобрать угрозы для BIOS/UEFI нужно по какой-то причине, а такой возможности нет. Не говоря уже о том, что в БДУ целый ряд достаточно экзотических угроз, связанных, например, с суперкомпьютерами или грид-системами.
Поскольку мы, как организация-лицензиат, разрабатываем много моделей угроз для разных систем, нам пришлось вручную разбить на группы 213 угроз, иначе работа очень затрудняется, особенно учитывая то, что угрозы даже по порядку никак не сгруппированы.
Второй минус – описание самих угроз. Нет, где-то все четко и понятно. Но бывает угроза так сформулирована, что нужно голову поломать, чтобы разобраться о чем вообще речь.
Вернемся определению списка актуальных угроз.
Первое, что нужно определить это глобальный параметр – уровень исходной защищенности. Глобальный он потому, что определяется один раз и не меняется от угрозы к угрозе.
Чтобы определить уровень исходной защищенности (он же коэффициент исходной защищенности Y1) нужно для семи показателей выбрать одно из значений, которое больше всего подходит для вашей системы.
Список характеристик под спойлером.
Список характеристик и их значений
| технические и эксплуатационные характеристики испдн | уровень защищенности | ||
| высокий | средний | низкий | |
| 1. по территориальному размещению: | |||
| распределенная испдн, которая охватывает несколько областей, краев, округов или государство в целом | — | — | + |
| городская испдн, охватывающая не более одного населенного пункта (города, поселка) | — | — | + |
| корпоративная распределенная испдн, охватывающая многие подразделения одной организации | — | + | — |
| локальная (кампусная) испдн, развернутая в пределах одного здания | — | + | — |
| локальная испдн, развернутая в пределах одного здания | + | — | — |
| 2. по наличию соединения с сетями связи общего пользования: | |||
| испдн, имеющая многоточечный выход в сеть связи общего пользования | — | — | + |
| испдн, имеющая одноточечный выход в сеть связи общего пользования | — | + | — |
| испдн, физически отделенная от сети общего пользования | + | — | — |
| 3. по встроенным (легальным) операциям с записями баз персональных данных: | |||
| чтение, поиск | + | — | — |
| запись, удаление, сортировка | — | + | — |
| модификация, передача | — | — | + |
| 4. по разграничению доступа к персональным данным: | |||
| испдн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем испдн, либо субъект пдн | — | + | — |
| испдн, к которой имеют доступ все сотрудники организации, являющейся владельцем испдн | — | — | + |
| испдн с открытым доступом | — | — | + |
| 5. по наличию соединений с другими базами пдн иных испдн: | |||
| интегрированная испдн (организация) использует несколько баз пдн испдн, при этом организация не является владельцем всех используемых баз пдн) | — | — | + |
| испдн, в которой используется одна баз пдн, принадлежащая организации — владельцу данной испдн | + | — | — |
| 6. по уровню обобщения (обезличивания) пдн: | |||
| испдн, в которой предоставляемые пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т. д.) | + | — | — |
| испдн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации | — | + | — |
| испдн, в которой предоставляемые пользователю данные не являются обезличенными (т. е. присутствует информация, позволяющая идентифицировать субъекта пдн) | — | — | + |
| 7. по объему пдн, которые предоставляются сторонним пользователям испдн без предварительной обработки | |||
| испдн, предоставляющая всю базу данных с пдн | — | — | + |
| испдн, предоставляющая часть пдн | — | + | — |
| испдн, не предоставляющая никакой информации | + | — | — |
- Опыт внедрения информационной системы E-Decanat 2. 0 для автоматизации управления учебным процессом в ТГПУ 2013 / Мытник Антон Александрович, Клишин Андрей Петрович
- Типовая модель нарушителя безопасности персональных данных в коммерческой организации 2016 / Третьякова Т.И.
- Основные направления информатизации деятельности томского государственного педагогического университета 2015 / Клишин Андрей Петрович, Стась Андрей Николаевич, Газизов Тимур Тальгатович, Горюнов Валерий Анатольевич, Кияницын Алексей Викторович, Бутаков Алексей Николаевич, Мытник Антон Александрович
- Обеспечение информационной безопасности в медицинских организациях 2016 / Гулиев Я.И., Цветков А.А.
- Подходы к автоматизации документооборота в вузе 2017 / Клишин Андрей Петрович, Волкова Надия Рафаильевна, Еремина Наталия Леонидовна, Мытник Антон Александрович, Клыжко Евгений Николаевич
А дальше разрабатываем частную Модель угроз, рассматривая угрозы утечки информации по техническим каналам и угрозы несанкционированного доступа к персональным данным. Задача — обнаружить актуальные угрозы безопасности. Для этого с помощью заполнения приведенной ниже таблицы определяется исходный уровень защищенности — коэффициент исходной защищенности Y1.
В результате реализации угроз «Отказа в обслуживании» происходит переполнение буферов и блокирование процедур обработки, «зацикливание» процедур обработки и «зависание» компьютера, отбрасывание пакетов сообщений и др.
В документе содержится классификация нарушителей, анализ вероятности угроз и некоторые другие параметры, применяемые для определения списка актуальных угроз, сам перечень вписывается в итоговых положениях бумаги. Тип определяется в зависимости от комбинаций актуальности рисков в ИСПД. Самый высокий тип угроз – первый, самый низкий, соответственно, третий.
Данный документ устанавливает ряд обязанностей для работника оператора, имеющего доступ к персональным данным, в частности, обязанность по соблюдению режима конфиденциальности персональных данных.
Сегодня поговорим о разработке модели угроз. Если цель прочтения этой статьи в получении практических навыков, то лучше сразу скачать наши шаблоны документов, в котором есть и шаблон модели угроз.
На стадии моделирования проводится изучение и анализ существующей обстановки и выявляются актуальные угрозы безопасности ПДн в составе ИСПДн. Для каждой выявленной ИСПДн составляется своя модель угроз.
Контролируемая зона — пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание е сторонних лиц, а также транспортных, технических и иных материальных средств.
Модель угроз безопасности информационной системы строится в соответствии с требованиями Федерального Закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». Кроме того, могут использоваться методические документы ФСТЭК России: «Базовая модель угроз безопасности ПДн при их обработке в ИСПДн», «Методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн».
Конфиденциальность персональных данных — обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.
Администратор безопасности отвечает за соблюдение правил разграничения доступа, за генерацию ключевых элементов, смену паролей.