Файл: 4 3 Разработка модели угроз безопасности информации.docx

Содержание

1. Общие положения

2. Описание систем и сетей и их характеристика как объектов защиты

2.1 Архитектура и схема подключений информационной системы.

2.2 Описание процессов передачи информации.

2.3 Перечень программных средств, используемых для обработки персональных данных в ИСПДн «Кадры» ЗАО «Солнышко»

Тема:	4.1.3 Разработка модели угроз безопасности информации
Вид занятия:		Практическое занятие
Срок предоставления отчёта:		Выложить в СДО

Задание
1. Изучить презентацию к практическому заданию 4.1.3
2. Оформить отчет по ПЗ 4.1.3.
3. Выложить отчет в СДО

Описание информационной системы персональных данных организации ИСПДн «Кадры»
Организация: ЗАО «Солнышко».

Директор: Иванов Иван Иванович.

Заместитель директора: Петрова Тамара Васильевна.

Начальник отдела ИБ: Семенов Семен Семенович.

Начальник отдела кадров: Южина Мария Ивановна.

Сотрудники отдела кадров: Сидорова Александра Павловна,

Копылова Юлия Фёдоровна.
Описание ИСПДн:
Состав:

Персональные данные сотрудников организации:

фамилия, имя, отчество
дата и место рождения
пол
расовая и национальная принадлежность
религиозные убеждения
сведения об образовании
сведения о предыдущем месте работы
семейное положение (ФИО жены/мужа, ФИО и даты рождения детей)
адреса регистрации и фактического проживания
номера контактных телефонов
индивидуальный номер налогоплательщика
номер страхового свидетельства пенсионного страхования
номер полиса обязательного медицинского страхования
данные водительского удостоверения

В информационной системе одновременно обрабатываются данные 863 субъектов персональных данных (сотрудников) в пределах Организации.

Три автоматизированных рабочих места (АРМ) пользователей, сетевой принтер, сервер, коммутационное оборудование.

Топология: АРМ и сервер составляют сегмент корпоративной вычислительной сети (см. схему).

Схема ИСПД «Кадры» ЗАО «Солнышко»
Корпоративная сеть Организации не имеет подключения к сетям связи общего пользования и сетям международного информационного обмена.

В состав каждого АРМ входят два жёстких диска, на первом установлена операционная система, прикладное программное обеспечение и общедоступная справочная информация, на втором - информация, составляющая персональные данные сотрудников Организации.

1. Комплект АРМ №1-3 (см. схему): Системный блок № XXXXXXX01-03, Монитор Samsung N710 – серийный номер YYYYYYY01-03, клавиатура Genius серийный номер ZZZZZZZZ01-03, графический манипулятор (мышь) Genius серийный номер WWWW01-03.

Состав ПО для обработки ПД:

1. Клиентская часть ПО «1С:Зарплата и кадры государственного учреждения 8» хранит информацию о сотрудниках, кандидатах и соискателях (в версии КОРП) в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (https://v8.1c.ru/statehrm/dlya-kadrovoy-sluzhby/).

2. Диспетчер печати.
2. В состав сервера входят три жестких диска, на первом установлена операционная система, прикладное программное обеспечение, второй и третий объединены в RAID массив, в котором хранится информация, составляющая персональные данные сотрудников Организации.

Комплект сервера: Системный блок № XXXXXXX04, Монитор Samsung N710 – серийный номер YYYYYYY04, клавиатура Genius серийный номер ZZZZZZZZ04, графический манипулятор Genius серийный номер WWWW04.

Состав ПО для обработки ПД:

1. Серверная часть ПО «1С:Зарплата и кадры государственного учреждения 8» хранит информацию о сотрудниках, кандидатах и соискателях (в версии КОРП) в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (https://v8.1c.ru/statehrm/dlya-kadrovoy-sluzhby/).

2. Диспетчер печати.
Сервер и коммуникационное оборудование установлены в типовой стойке.

Сетевой принтер HP LaserJet P2015 серийный номер SSSSSSSSS.

Коммутатор: Коммутатор Cisco WS-C2960CX-8TC-L.

Маршрутизатор: Маршрутизатор Cisco Small Business RV340-K8-RU.

Технология обработки персональных данных:

Обработка персональных данных сотрудников включает весь перечень действий.

К работе на АРМ допущены сотрудники отдела кадров и заместитель директора.

Полный доступ ко всей информации на АРМ и сервере имеют заместитель директора и начальник отдела кадров.

Сотрудники отдела кадров имеют полный доступ только к каталогу «Личные дела», размещённой на диске №2 своего АРМ, и только на чтение информации из каталога «Личные дела» на сервере.

Системный администратор сегмента сети не имеет доступа к информации, составляющей персональные данные. Имеет права на инсталляцию, настройку программного обеспечения, программных (программно-аппаратных) средств защиты сервера и АРМ № 1-3.

Режим работы - одновременный.
Расположение: Отдельный кабинет по адресу: РФ, г. Глухов, ул. Кривая, дом 6, офис 25. Помещение офиса оборудовано охранной сигнализацией и в нерабочее время сдается под охрану. Доступ в помещение ограничен распорядительными актами Организации и автоматизированной системой контроля и управления доступа.

УТВЕРЖДАЮ

______________________________________

(должность руководителя организации)

______________________________________

(подпись)

«_____» __________ 202 ____г.

Модель угроз безопасности информации

ИСПДн

__________________________________________________________________

(наименование ИСПДн)

СОГЛАСОВАНО
______________________________

«____» _______________ 202___ г.

202_ г.

Модель угроз безопасности информации для ИСПДн ЗАО «Солнышко»» разработана на основании следующих документов:

ГОСТ Р 51275-2006 Защита информации. Объект информатизации. Факторы, воздействующие на информацию;

«Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденная Заместителем директора ФСТЭК России 15 февраля 2008 г;

«Методика оценки угроз безопасности информации», утвержденная Заместителем директора ФСТЭК России 5 февраля 2021 г.

Для разработки модели угроз безопасности информации на договорной основе была привлечена организация - ФГУП «НПП «Бэтта», аккредитованная ФСТЭК России в качестве органа по аттестации объектов информатизации (Аттестат аккредитации органа по аттестации №СЗИ RU.082/2.В29.274, Лицензия по ТЗКИ - регистрационный №0019 от 31 октября 2002г), совместно с начальником отдела по информационной безопасности (ИБ) ЗАО «Солнышко».

Угрозы для ИСПДн «Кадры» ЗАО «Солнышко» обусловлены преднамеренными или непреднамеренными действиями физических лиц, или организаций (в том числе террористических), а также криминальных группировок, создающими условия (предпосылки) для нарушения безопасности персональных данных (ПДн), которые ведут к ущербу жизненно важным интересам личности, общества и государства.

ИСПДн «Кадры» ЗАО «Солнышко» представлена в виде:
 фамилия, имя, отчество

 дата и место рождения

 пол

 расовая и национальная принадлежность

 религиозные убеждения

 сведения об образовании

 сведения о предыдущем месте работы

 семейное положение (ФИО жены/мужа, ФИО и даты рождения де-тей)

 адреса регистрации и фактического проживания

 номера контактных телефонов

 индивидуальный номер налогоплательщика

 номер страхового свидетельства пенсионного страхования

 номер полиса обязательного медицинского страхования

 данные водительского удостоверения
В информационной системе одновременно обрабатываются данные 863 субъектов персональных данных (сотрудников) в пределах Организации.

^{(описание состава ИСПДн)}

ИСПДн «Кадры» ЗАО «Солнышко» представлена в виде

Три автоматизированных рабочих места (АРМ) пользователей, сетевой принтер, сервер, коммутационное оборудование.
Топология: АРМ и сервер составляют сегмент корпоративной вычислительной сети.

Для передачи информации в ИСПДн «Кадры» ЗАО «Солнышко» используется ЛВС, расположенная по адресу:

РФ, г. Глухов, ул. Кривая, дом 6, офис 25

В процессе обработки персональных данных участвуют

^{(описание состава оборудования, технологии обработки ПД сотрудников на АРМ пользователей сегмента корпоративной сети)}

Схема ИСПДн «Кадры» ЗАО «Солнышко» представлена на рисунке 1.

Рисунок 1 – Схема ИСПД «Кадры» ЗАО «Солнышко»

Обработка персональных данных в ИСПДн «Кадры» ЗАО «Солнышко» ведётся:

Наименование ПС

(ее составной части)

Расположение объекта

Технология обработки

(АРМ, ЛВС, Распр)

Субъекты ПДн

Объем обрабатываемых Пдн (количество записей субъектов Пдн в базе данных ИСПДн)

Описание режима работы с базой данных

Обработка персональных данных в ИСПДн «Кадры» ЗАО «Солнышко» ведётся в специализированном программном обеспечении:

^{(описание состава специализированного ПО)}

Перечень имеющихся программных средств, используемых для обработки персональных данных приведены в таблице 1.
Таблица 1 – Перечень имеющихся программных средств (ПС), используемых для обработки персональных данных ИСПДн «Кадры» ЗАО «Солнышко».