Файл: Модели угроз безопасности информации и модели нарушителяв Министерстве чрезвычайных ситуаций Республики Крым и его.pdf

Отсутствуют соответствующие угрозы.
АС является АСс клиент-серверной архитектурой построения. Информационные ресурсы хранятся и обрабатываются исключительно на серверах АС с

№
п/п
Требование безопасности КИ
Действие над
требованием
Обоснование исключения или добавления
требования
доступом. Маркировка должна отражать уровень конфиденциальности объекта централизованным администрированием и ведением ресурсов. Угрозы, связанные с возможностью несанкционированного (в т.ч. ошибочного)
использования информационных ресурсов (без их дополнительного маркирования) незначительны и в существующих условиях функционирования АС
нереализуемы.
4.
Должно проводиться несколько видов учета
(дублирующих) защищаемых носителей информации исключено
Отсутствуют соответствующие угрозы.
АС является АСс клиент-серверной архитектурой построения. Информационные ресурсы хранятся и обрабатываются исключительно на серверах АС с централизованным администрированием и ведением ресурсов. Угрозы, связанные с возможностью несанкционированного использования (хищения)
однократно учтенных носителей информации со стороны предполагаемого нарушителя незначительны и в существующих условиях функционирования АС нереализуемы.
5.
Регистрация выдачи (приема) носителей информации в журнале (карточке)
исключено
Отсутствуют соответствующие угрозы.
Количество администраторов и используемых ими учитываемых носителей информации ограничено.
Пользователи АС не осуществляют выгрузку КИ
напрямую из АС на носители информации. Угрозы,
связанные с несанкционированным использованием
(хищением) учтенных носителей информации со стороны предполагаемого нарушителя незначительны и в существующих условиях

№
п/п
Требование безопасности КИ
Действие над
требованием
Обоснование исключения или добавления
требования
функционирования АС нереализуемы.
6.
Реализация в АС мер специальной защиты информации,
направленных на предотвращение утечки КИ по техническим каналам исключено
Отсутствуют соответствующие угрозы.
Ввиду наличия необходимых организационных и режимных мер защиты КИ, связанных с ограничением доступа в помещения и на объекты функционирования АС, а также физического выделения серверного сегмента АС в отдельные центры обработки данных, угрозы связанные с возможностью несанкционированного доступа к КИ
с использованием технических каналов утечки со стороны предполагаемого нарушителя незначительны и в существующих условиях функционирования АС нереализуемы.
7.
Должна осуществляться регистрация изменений полномочий субъектов доступа и статуса объектов доступа. В параметрах регистрации указываются дата и время изменения полномочий, идентификатор субъекта доступа (администратора),
осуществившего изменения добавлено
Возможна реализация существующих угроз.
Учитывая зависимость уровня защищенности АС от предоставляемого пользователям объема полномочий, необходимо предотвращать угрозы,
связанные с попытками (со стороны пользователей
АС и пользователей внешних систем) расширения предоставленного объема полномочий с использованием штатных и специализированных инструментальных средств и последующего несанкционированного доступа к КИ.
8.
Должна осуществляться сигнализация попыток нарушения защиты добавлено
Возможна реализация существующих угроз.
Учитывая наличие большого числа пользователей
АС и пользователей внешних систем,

№
п/п
Требование безопасности КИ
Действие над
требованием
Обоснование исключения или добавления
требования
функционирующих удаленно от консолидированных информационных ресурсов,
необходимо предотвращать угрозы, связанные с попытками (со стороны пользователей АС и пользователей внешних систем) осуществления несанкционированных информационных воздействий на защищаемые информационные ресурсы АС с использованием штатных и специализированных инструментальных средств.
9.
Должен быть предусмотрен администратор
(служба)
защиты информации,
ответственный за ведение, нормальное функционирование и контроль работы средств защиты информации в составе
СЗПДн добавлено
Возможна реализация существующих угроз.
Учитывая масштабность функционального наполнения
АС, характер хранимых и обрабатываемых КИ, большое количество пользователей и предоставляемых системой сервисов, необходимо наличие администратора
(службы) защиты информации, ответственного за ведение, нормальное функционирование и контроль работы средств защиты информации в составе АС

6. Выводы
Учитывая, что АС является АС с многопользовательской архитектурой и консолидированным хранением и обработкой КИ и коммерческой тайны в физически выделенных центрах обработки данных с реализацией необходимого объема организационных и режимных мер защиты, то о возможностях нарушителя можно сделать следующие выводы.
1. Атаки внешнего нарушителя, направленные на каналы связи посредством перехвата информации и последующего ее анализа,
уничтожения, модификации и блокирования информации, реализация попыток преодоления системы защиты КИ, c использованием, в том числе,
уязвимостей программной среды, а также утечка информации по техническим каналам нейтрализуются организационными и режимными мероприятиями, а также условиями функционирования АС.
2. Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны ограничительных факторов, из которых основным является реализация комплекса режимных и организационно-технических мер, в том числе по подбору, расстановке и обеспечению высокой профессиональной подготовки кадров, допуску физических лиц внутрь контролируемой зоны и контролю за порядком проведения работ, направленных на предотвращение и пресечение несанкционированных действий.
3. Ввиду исключительной роли в АС лиц категории I и II в число этих лиц должны включаться только доверенные лица, к которым применен комплекс особых организационно-режимных мер по их подбору, принятию на работу, назначению на должность и контролю выполнения функциональных обязанностей.
4. Лица категорий III-VII относятся к вероятным нарушителям. Среди лиц категорий III-VII наиболее опасными вероятными нарушителями являются лица категории III (пользователи АС) и лица категории VII
(уполномоченный персонал разработчиков АС, который на договорной основе имеет право на техническое обслуживание и модификацию компонентов АС).
Представленная модель угроз с описанием вероятного нарушителя для
АС должна использоваться при формировании обоснованных требований безопасности КИ (профиля защиты АС) и проектировании СЗКИ АС.