Файл: Федеральная служба по техническому и экспортному контролю.pdf

11 б) изменений архитектуры и условий функционирования систем и сетей, режима обработки информации, правового режима информации, влияющих на угрозы безопасности информации; в) выявления, в том числе по результатам контроля уровня защищенности систем и сетей и содержащейся в них информации (анализа уязвимостей, тестирований на проникновение, аудита), новых угроз безопасности информации или новых сценариев реализации существующих угроз; г) включения в банк данных угроз безопасности информации
ФСТЭК России (bdu.fstec.ru) сведений о новых угрозах безопасности информации, сценариях (тактиках, техниках) их реализации.
2.15. Оценка угроз безопасности информации включает следующие этапы:
1) определение негативных последствий, которые могут наступить от реализации (возникновения) угроз безопасности информации;
2) определение возможных объектов воздействия угроз безопасности информации;
3) оценку возможности реализации (возникновения) угроз безопасности информации и определение их актуальности.
Общая схема проведения оценки угроз безопасности информации приведена на рисунке 2.

12
Документация на системы и сети
Описание критических процессов
Системы и сети

13
3. Определение негативных последствий от реализации
(возникновения) угроз безопасности информации
3.1. В ходе оценки угроз безопасности информации должны быть определены негативные последствия, которые могут наступить от реализации
(возникновения) угроз безопасности информации.
3.2. Исходными данными для определения негативных последствий от реализации угроз безопасности информации являются: а) общий перечень угроз безопасности информации, содержащийся в банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), модели угроз безопасности информации, разрабатываемые ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента
Российской Федерации от 16 августа 2004 г. № 1085, а также отраслевые
(ведомственные, корпоративные) модели угроз безопасности информации; б) нормативные правовые акты Российской Федерации, в соответствии с которыми создаются и функционируют системы и сети, содержащие в том числе описание назначения, задач (функций) систем и сетей, состав обрабатываемой информации и ее правовой режим; в) документация на сети и системы (в части сведений о назначении и функциях систем и сетей, о составе и архитектуре систем и сетей); г) технологические, производственные карты или иные документы, содержащие описание основных (критических) процессов (бизнес-процессов) обладателя информации, оператора; д) результаты оценки рисков (ущерба), проведенной обладателем информации или оператором.
Указанные исходные данные могут быть дополнены иными документами и сведениями с учетом особенностей области деятельности, в которой функционируют системы и сети.
3.3. На основе анализа исходных данных определяются событие или группа событий, наступление которых в результате реализации
(возникновения) угроз безопасности информации может привести к: а) нарушению прав граждан; б) возникновению ущерба в области обеспечения обороны страны, безопасности государства и правопорядка, а также в социальной, экономической, политической, экологической сферах деятельности государства; в) возникновению финансовых, производственных, репутационных или иных рисков (видов ущерба) для обладателя информации, оператора.
Событие или группа событий определяются применительно к нарушению основных (критических) процессов (бизнес-процессов), выполнение которых обеспечивают системы и сети, и применительно к нарушению безопасности информации, содержащейся в системах и сетях.

14 3.4. В случае отсутствия у обладателя информации или оператора результатов оценки рисков (ущерба), возможные негативные последствия от реализации угроз безопасности информации могут определяться как на основе экспертной оценки специалистов, проводящих оценку угроз безопасности информации, так и на основе информации, представляемой профильными подразделениями или специалистами обладателя информации или оператора.
3.5. Определяемые в ходе оценки угроз безопасности информации негативные последствия должны быть конкретизированы применительно к областям и особенностям деятельности обладателя информации или оператора.
Для систем и сетей обладателя информации или оператора может быть определено одно или несколько негативных последствий.
Виды рисков (ущербов) и типовые негативные последствия, которые могут наступить от реализации (возникновения) угроз безопасности информации, приведены в приложении 4 к настоящей Методике.
Пример 1: 1) если оператор обрабатывает персональные данные граждан,
которые в соответствии с Федеральным законом «О персональных данных»
подлежат обязательной защите, одним из возможных негативных
последствий от реализации угроз безопасности информации является
нарушение конфиденциальности персональных данных, в результате
которого будут нарушены права субъектов персональных данных и
соответствующие законодательные акты; 2) если оператор обеспечивает
транспортировку нефти, одним из возможных негативных последствий от
реализации угроз безопасности информации является разлив нефти из
нефтепровода, повлекший наступление экологического ущерба; 3) если
оператор предоставляет услуги связи, одним из возможных негативных
последствий от реализации угроз безопасности информации является
непредоставление услуг связи абонентам, повлекшее наступление ущерба в
социальной сфере; 4) для оператора по переводу денежных средств одним из
возможных негативных последствий от реализации угроз безопасности
информации является хищение денежных средств, в результате которого
возможны финансовые и репутационные риски.

15
4. Определение возможных объектов воздействия угроз
безопасности информации
4.1. В ходе оценки угроз безопасности информации должны быть определены информационные ресурсы и компоненты систем и сетей, несанкционированный доступ к которым или воздействие на которые в ходе реализации (возникновения) угроз безопасности информации может привести к негативным последствиям – объекты воздействия.
Совокупность объектов воздействия и их интерфейсов определяет границы процесса оценки угроз безопасности информации и разработки модели угроз безопасности информации (рисунок 1, 3).
4.2. Исходными данными для определения возможных объектов воздействия являются: а) общий перечень угроз безопасности информации, содержащейся в банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), модели угроз безопасности информации, разрабатываемые ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента
Российской Федерации от 16 августа 2004 г. № 1085, а также отраслевые
(ведомственные, корпоративные) модели угроз безопасности информации; б) описания векторов компьютерных атак, содержащиеся в базах данных и иных источниках, опубликованных в сети «Интернет» (CAPEC, ATT&CK,
OWASP, STIX, WASC и др.); в) документация на сети и системы (в части сведений о составе и архитектуре, о группах пользователей и уровне их полномочий и типах доступа, внешних и внутренних интерфейсах); г) договоры, соглашения или иные документы, содержащие условия использования информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры поставщика услуг
(в случае функционирования систем и сетей на базе информационно- телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры); д) негативные последствия от реализации (возникновения) угроз безопасности информации, определенные в соответствии с настоящей
Методикой.
Указанные исходные данные могут быть дополнены иными документами и сведениями с учетом особенностей области деятельности, в которой функционируют системы и сети.
4.3. На основе анализа исходных данных и результатов инвентаризации систем и сетей определяются следующие группы информационных ресурсов и компонентов систем и сетей, которые могут являться объектами воздействия: а) информация (данные), содержащаяся в системах и сетях (в том числе защищаемая информация, персональные данные, информация о конфигурации систем и сетей, данные телеметрии, сведения о событиях безопасности и др.);

16 б) программно-аппаратные средства обработки и хранения информации
(в том числе автоматизированные рабочие места, серверы, включая промышленные, средства отображения информации, программируемые логические контроллеры, производственное, технологическое оборудование
(исполнительные устройства)); в) программные средства (в том числе системное и прикладное программное обеспечение, включая серверы приложений, веб-приложений, системы управления базами данных, системы виртуализации); г) машинные носители информации, содержащие как защищаемую информацию, так и аутентификационную информацию; д) телекоммуникационное оборудование (в том числе программное обеспечение для управления телекоммуникационным оборудованием); е) средства защиты информации (в том числе программное обеспечение для централизованного администрирования средств защиты информации); ж) привилегированные и непривилегированные пользователи систем и сетей, а также интерфейсы взаимодействия с ними; з) обеспечивающие системы.
4.4. На этапе создания систем и сетей объекты воздействия определяются на основе предполагаемых архитектуры и условий функционирования систем и сетей, определенных на основе изучения и анализа исходных данных. В ходе эксплуатации систем и сетей, в том числе при развитии (модернизации) систем и сетей, объекты воздействия определяются для реальных архитектуры и условий функционирования систем и сетей, полученных по результатам анализа исходных данных и инвентаризации систем и сетей.
Инвентаризация систем и сетей проводится с использованием автоматизированных средств, которые позволяют определить компоненты систем и сетей, а также внешние и внутренние интерфейсы.
4.5. Для определенных информационных ресурсов и компонентов систем и сетей должны быть определены виды воздействия на них, которые могут привести к негативным последствиям. Основными видами таких воздействий являются: а) утечка (перехват) конфиденциальной информации или отдельных данных (нарушение конфиденциальности);
Пример 2: к основным информационным ресурсам и компонентам систем
и сетей могут относиться системы хранения данных (базы данных),
системы управления базами данных, веб-сайт, почтовый сервер, почтовый
клиент, автоматизированное рабочее место пользователя, система
управления и администрирования, контроллер домена, сетевые службы,
проводные и беспроводные каналы передачи данных, телекоммуникационное
оборудование и т.д.

17 б) несанкционированный доступ к компонентам, защищаемой информации, системным, конфигурационным, иным служебным данным; в) отказ в обслуживании компонентов (нарушение доступности); г) несанкционированная модификация, подмена, искажение защищаемой информации, системных, конфигурационных, иных служебных данных
(нарушение целостности); д) несанкционированное использование вычислительных ресурсов систем и сетей в интересах решения несвойственных им задач; е) нарушение функционирования (работоспособности) программно- аппаратных средств обработки, передачи и хранения информации.
4.6. Объекты воздействия определяются на аппаратном, системном и прикладном уровнях, на уровне сетевой модели взаимодействия, а также на уровне пользователей (рисунок 3).
Рисунок 3. Уровни архитектуры систем и сетей, на которых определяются объекты воздействия
4.7. В процессе эксплуатации систем и сетей объекты воздействия и виды воздействия на них могут дополняться и изменяться относительно их состава и видов воздействия, определенных на этапе создания данных систем и сетей.
В этом случае учет изменений должен проводиться в рамках реализации мероприятий по управлению конфигурацией систем и сетей и анализу угроз безопасности информации в ходе их эксплуатации.
4.8. При оценке угроз безопасности информации в системах и сетях, функционирующих на базе информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры, объекты воздействия определяются с учетом состава и содержания услуг, предоставляемых поставщиком услуг (например, инфраструктура как услуга, платформа как сервис, программное обеспечение как сервис).
Граница оценки угроз безопасности информации

18
Арендуемые или используемые на ином законном основании программно-аппаратные средства и их интерфейсы, каналы связи, программное обеспечение (в том числе программное обеспечение виртуализации и построенных на его базе виртуальных машин, виртуальных серверов, систем управления виртуализацией, виртуальных каналов связи и т.д.) относятся к объектам воздействия, находящимся в границе оценки угроз безопасности информации оператора.
В отношении остальной информационно- телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры угрозы безопасности информации оцениваются поставщиком услуг.
Пример распределения границ при оценке угроз безопасности информации между оператором и поставщиком услуг представлен на рисунке 4.
Оператор
Поставщик услуг
Приложения
Данные
Среда выполнения
Связующее программное обеспечение
Операционная система
Платформа виртуализации
Аппаратная платформа
Система хранения данных
Инфраструктура оператора
Инфраструктура как услуга
Платформа как услуга
Программное обеспечение как услуга
Сетевая инфраструктура
Приложения
Данные
Среда выполнения
Операционная система
Платформа виртуализации
Аппаратная платформа
Система хранения данных
Сетевая инфраструктура
Приложения
Данные
Среда выполнения
Связующее программное обеспечение
Операционная система
Платформа виртуализации
Аппаратная платформа
Система хранения данных
Сетевая инфраструктура
Приложения
Данные
Среда выполнения
Связующее программное обеспечение
Операционная система
Платформа виртуализации
Аппаратная платформа
Система хранения данных
Сетевая инфраструктура
Связующее программное обеспечение
Рисунок 4. Пример распределения границ при оценке угроз безопасности информации в информационной инфраструктуре поставщика услуг
4.9. Объекты воздействия и виды воздействия на них должны быть конкретизированы применительно к архитектуре и условиям функционирования систем и сетей, а также областям и особенностям деятельности обладателя информации и оператора.