Файл: Виды и состав угроз информационной безопасности ( Понятие и виды информационных угроз. Система обеспечения информационной безопасности ).pdf

В результате проникновения может произойти изменение, уничтожение, распространение или копирование личных данных гражданских лиц, что влечет возникновение непредсказуемых последствий.

Также законодательство в отдельном порядке определяет сущность актуальных угроз безопасности персональных данных. Под ними подразумевается реализация различными способами полученных из конкретной Информационной системы сведений о человеке (людях) и распространение ее на российской территории. Запрет на хранение данных за пределами Федерации установлен соответствующим законом № 152 от двадцать седьмого июля 2006 года в восемнадцатой статье.

Положения соответствующих норм об определении актуальных угроз безопасности персональных данных и 19 статья закона № 152 провозглашают необходимость защиты личных сведений от случайного или намеренного неправомерного доступа. Кроме того, указанные положения определяют важность защиты информации от изменения, уничтожения, копирования, блокирования или распространения, а также от других действий неправомерного характера.

Различные типы угроз безопасности персональных данных при их обработке в определенной информационной системе в некоторых случаях являются не только предметом посягательства извне, но и результатом непреднамеренных действий сотрудников соответствующей компании или потребителей, которые пользуются услугами, которые эта организация предоставляет.

В одних случаях граждане используют полученные сведения по прямому назначению, не преследуя цели нарушить принцип неприкосновенности частной жизни какого-либо человека. В других случаях речь идет о получении данных с помощью неправомерных действий, осуществляемых отдельными гражданами и организациями, криминальными сообществами, иностранными государствами или источниками иных типов^[8].

Различные типы актуальных угроз безопасности персональных данных способны возникать из-за утечки личной информации по каналам технического направления. Такие каналы могут специально создаваться для сбора конфиденциальных сведений, которые обрабатываются в специально приспособленной для этого системе. Также они могут являться средством перехвата передаваемой по связанным каналам информации. Кроме того, некоторые субъекты создают для неправомерного использования чужих сведений специальные каналы речевой (акустической) информации.

Помимо технических каналов в качестве средства кражи чужой информации может применяться несанкционированный доступ с использованием необходимого программного обеспечения.

Чтобы представить детально все угрозы, которые связаны с утечкой личной информации по каналам технического направления, рассматриваемая Методика устанавливает базовую модель угроз безопасности персональных данных. Этот подраздел рассматривает не только виды внешних вторжений, но и их подробную характеристику.

На основании рассмотрения типа актуальных угроз безопасности персональных данных выявляются каналы утечки личных сведений, разрабатываются методические документы и нормативы специальным органом – Федеральной службой по техническому и экспертному контролю в Российской Федерации.

Источниками различных угроз, осуществляемых путем несанкционированного получения доступа к перечню сведений личного характера с использование штатной или специально созданной программы, являются конкретные субъекты. К ним относятся лица, нарушающие своими действиями регламентируемые в системе обработки и защиты персональных сведений правила по разграничению доступа к конфиденциальной информации.

Согласно методике определения актуальных угроз безопасности персональных данных, субъектами, неправомерно получающими доступ к личным сведениям, являются:

•нарушители;

•носители вредоносных программ;

•аппаратные закладки.

Нарушители – физические лица, преднамеренно или случайно совершающие действия, из-за которых нарушается безопасность персональных данных при обработке этих сведений с помощью технических средств в информационной системе.

Нарушители, применяющие различные модели угроз безопасности персональных данных, разграничиваются по наличию права на легальный доступ в помещение, в котором размещено соответствующее аппаратное средство (которое обеспечивает доступ к ресурсу с личной информацией). По этому критерию выделяют два вида субъектов:

1.Нарушители внешнего типа - лица, у которых нет доступа к конфиденциальным сведениям. Угрозы осуществляются ими из внешних источников связи, применяемых для общего пользования сетей, используемых для информационного международного обмена.

2.Нарушители внутреннего типа - лица, у которых имеется доступ к конфиденциальным сведениям. Также в эту группу входят пользователи систем обработки личных данных, которые совершают неправомерные действия с информацией, находясь в этой системе.

Если речь идет о хранении персональных сведений в системе, которая осуществляет работу в удаленном режиме, нарушителями внешнего типа будут лица, у которых имеется возможность произвести неправомерный доступ к конфиденциальным сведениям при помощи специального программного воздействия с использование межсетевых протоколов взаимодействия.

Оно заключается в создании и использовании программной или алгоритмической закладки через автоматизированное рабочее место или терминальное устройство системы обработки данных, если эти устройства подключены к общим сетям доступа.

Если имеет место использование личной информации внутренним нарушителем, решающую роль играет установленный порядок допуска сотрудников к ресурсам информационной системы обработки личных данных и типы мер, применяемых в организации для контроля за порядком проведения соответствующих работ.

Каждая из рассмотренных субъектов угроз и возможные действия с их стороны раскрываются по соответствующей методике определения актуальных угроз безопасности персональных данных^[9].

Обнаружение угроз осуществления несанкционированного доступа к личной информации, которое реализуется с помощью средств программного и программно-аппаратного типов, проводится на основе экспертных методов. К ним относятся опросы специалистов и персонала, осуществляющих работу в системе обработки персональных данных, а также соответствующих должностных лиц.

Проведение проверок может сопровождаться использованием специальных инструментальных средств (например, сетевого сканера), позволяющих подтвердить наличие и местонахождение уязвимых областей в программном и аппаратном обеспечении системы работы с конфиденциальными сведениями. По итогу проверок составляются опросные листы специального типа.

Наличие любой из рассмотренных в Методике потенциальных угроз, а также обнаружение уязвимой точки, которую можно использовать для осуществления несанкционированного вторжения, подтверждает факт наличия угрозы. На основе составленного письменного опроса с указанием перечня источников возможных угроз персональным данным и месторасположения проблемных звеньев, определяются основные условия для существования угроз в анализируемой системе, а затем составляется полный перечень актуальных угроз безопасности данных персонального типа.

Согласно документам, раскрывающим основные положения об определении угроз безопасности персональных данных актуального и потенциального типов, опасности, грозящие личной информации извне, могут классифицироваться по следующим основаниям:

•по местам возникновения: внутренние и внешние;

•по мотивам осуществления: злонамеренные и случайные;

•по степени законченности: незавершенные и реализованные;

•по объектам воздействия: направленные на часть системы использования персональных сведений и на те, которые намереваются воздействовать на весь комплекс.

Каждая из рассмотренных групп может включать в себя актуальные и потенциальные угрозы. Если оператором системы установлено, что имеет место даже возможная угроза, он обязан предпринять все необходимые для защиты информации действия.

Угрозы безопасности конфиденциальных данных выявляются с помощью разработанных специалистами компьютерной сферы алгоритмов. Учету и проверке подлежат два фактора:

•степень защищенности проверяемой системы;

•частоты использования указанного фактора (вероятность угрозы).

В первую очередь проводится проверка имеющейся степени защищенности конкретной информационной компьютерной сети. По итогам проверки оформляется отчет с использованием обобщенных показателей.

Степень защищенности системы и применяемые критерии оценки зависят от конкретных эксплуатационных и технических характеристик. Проверка проводится по трем критериям:

•по территории размещения;

•по наличию выхода в сеть Интернет (соединения с общими сетями доступа);

•по легальным (встроенным в программу) операциям.

Уровни защищенности по территории размещения

Согласно рассматриваемой Методике, выделяется три уровня защищенности системы обработки конфиденциальной информации:

1.Низкий.

2.Средний.

3.Высокий.

Низкая степень защиты присваивается системам обработки персональных сведений, которые охватываются сразу несколько округов, областей, краев и иных единиц административного типа или все государство. Сюда же входят сети, которые объединяют несколько систем в пределах одного из населенных пунктов.

Средняя степень защиты присваивается корпоративным системам обработки персональных сведений, которые охватывают разные организации, собственником которых является одно юридическое лицо, и размещенные рядом здания (локальные строения).

Высокая степень защиты присваивается системам обработки персональных сведений, которые размещены только в одном здании. Такая ситуация имеет место, если в собственности владельца находится только одна организация, или у нескольких организаций разные защитные системы^[10].

Наличие соединения с общими сетями доступа (выход в сеть Интернет)

Согласно рассматриваемой Методике, по этому параметру угрозы также рассматриваются по трем уровням защищенности системы обработки конфиденциальной информации:

•низкий;

•средний;

•высокий.

Низкая степень защиты присваивается системам обработки персональных сведений, которые используются с многоточечным выходом в общедоступные сети с одного устройства.

Средняя степень защиты присваивается системам обработки персональных сведений, использующих выход в сеть одноточечного типа.

Высокая степень защиты присваивается системам обработки персональных сведений, которые отделены от общих сетей доступа.

Наличие легальных (встроенных в программу) операций

Согласно рассматриваемой Методике, данный критерий подразумевает выделение аналогичных трех уровня защищенности системы обработки конфиденциальной информации:

1.Низкого.

2.Среднего.

3.Высокого.

Низкая степень защиты присваивается системам обработки персональных сведений, в которых присутствуют такие операции как легальная передача (распространение) и изменение (модификация) данных.

Средняя степень защиты присваивается системам обработки персональных сведений, которые имеют три основных функции: запись, сортировка и удаление.

Высокая степень защиты присваивается системам обработки персональных сведений, в которых предусмотрены исключительно поиск и чтение.

Частота использования указанного фактора (вероятность угрозы)

Согласно Постановлению Правительства № 1119 от 1. 11. 2002 года, закрепляющему требования к защите личных данных при работе с ними в соответствующих информационных системах, актуальные угрозы подразделяются на три вида:

•угрозы, которые связаны с наличием не зафиксированных в письменном виде возможностей, осуществляемых при работе с программным обеспечением системы информации;

•угрозы, которые связаны с наличием не зафиксированных в письменном виде возможностей при работе с прикладным программным обеспечением системы информации;

•угрозы, которые не связаны с присутствием не зафиксированных в письменном виде возможностей в одном из указанных типов программного обеспечения системы информации.

Тип актуальной угрозы определяется путем сопоставления степени защищенности проверяемой системы и вероятности угрозы. Расчет производится по формуле: Y = (Y1 + Y2) /20.

Итоговое значение варьируется от 0 до 0,8 (от низшей степени риска до высшей). После проведения подсчетов оценивается реальной опасность угрозы с помощь опроса сотрудников информационной сферы.

Базовая модель угроз информационной безопасности персональных данных – это автоматизированный список рисков с приложенным к нему анализом базовых характеристик системы, указанием путей осуществления рисков и выделения типов их актуальности.

Указанный документ создается для реализации таких целей: