ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 05.12.2023
Просмотров: 55
Скачиваний: 2
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
Сопоставление категорий и типов нарушителей данной Модели угроз методическому документу ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» приведено в приложении А.
-
Доверенные лица
С целью обеспечения доверия к физическим лицам и внешним организациям, на которых возложена ответственность за сопровождение технических или программных средств, либо ответственность за обеспечение информационной или физической безопасности, проводятся дополнительные мероприятия:
-
проверка благонадежности и наличия необходимой квалификации; -
непрерывный контроль деятельности; -
программы повышения лояльности; -
ознакомление с документами, регламентирующими порядок обеспечения информационной безопасности и объектового режима; -
информирование об ответственности за нарушения в области информационной безопасности; -
подписание соглашений о неразглашении информации ограниченного распространения.
Выполнение указанного комплекса мероприятий позволяет отнести к доверенным следующие категории физических лиц:
-
АдминистраторыИСПДн (Н.1.1.1); -
Администраторы информационной безопасности ИСПДн (Н.1.1.3); -
Сотрудники охраны (Н.1.2.2); -
Сотрудники организаций, осуществляющих техническое сопровождение и гарантийный ремонт технических средств ИСПДн (Н.1.2.4, Н.1.2.5).
-
Оценка актуальности нарушителей
Исходя из перечня доверенных лиц, технических особенностей ИСПДн, организационно-штатной структуры Организации и характера взаимоотношений с внешними структурами проведена оценка актуальности категорий потенциальных нарушителей. Результаты оценки приведены в таблице 3.
Таблица 3 — Оценка актуальностикатегорий нарушителей
| Индекс | Категория нарушителя | Оценка актуальности категории нарушителя |
| Н.1 | Лица, имеющие санкционированный физический доступ к техническим средствам ИСПДн | |
| Н.1.1 | Лица, имеющие санкционированный логический доступ к ИСПДн | |
| Н.1.1.1 | Администраторы ИСПДн | Данная категория не является актуальной. Администратор ИСПДн относится к доверенным лицам |
| Н.1.1.2 | Администраторы подсистем (сегментов)ИСПДн (ЛВС, СУБД и др.) | Данная категория не является актуальной. Администраторы сегментов или подсистем в ИСПДн отсутствуют |
| Н.1.1.3 | Администраторы информационной безопасности ИСПДн | Данная категория не является актуальной. Администратор информационной безопасности ИСПДн относится к доверенным лицам |
| Н.1.1.4 | Администраторы информационной безопасности сегментов ИСПДн | Данная категория не является актуальной. Администраторы безопасности сегментов или подсистем в ИСПДн отсутствуют |
| Н.1.1.5 | Представители организаций, осуществляющих техническую поддержку ИСПДн на основании договора, прибывшие на объект с целью исполнения договорных обязательств | Данная категория является актуальной. Внешними организациями осуществляется поддержка локальной МИС учреждения |
| Н.1.1.6 | Сотрудники, допущенные к обработке ПДн в ИСПДн (внутренние пользователи ИСПДн) | Данная категория является актуальной. В ИСПДн имеются внутренние пользователи |
| Н.1.1.7 | Представители внешних организаций, которым предоставлен доступ к ИСПДн на основании договора или партнёрского соглашения, прибывшие на объект в деловых целях | Данная категория не является актуальной. Сотрудникам внешних организаций не представляется доступ к ИСПДн |
| Н.1.2 | Лица, не имеющие санкционированного логического доступа к ИСПДн | |
| Н.1.2.1 | Сотрудникиучреждения, не допущенные к обработке персональных данных, технический и обслуживающий персонал, в том числе работники хозяйственных служб, сотрудники, обслуживающие системы вентиляции, электроснабжения, пожаротушения и др. | Данная категория является актуальной. |
| Н.1.2.2 | Сотрудники внешних охранных предприятий, действующих на основании договора | Данная категория не является актуальной. Сотрудники внешних охранных предприятий, оказывающих услуги на основании договора, являются доверенными лицами |
| Н.1.2.3 | Посетители, в том числе пациенты, представители внешних организаций, частные лица, устраивающиеся на работу и др. | Данная категория является актуальной. |
| Н.1.2.4 | Представители внешних организаций, действующих на основании договора, прибывшие на объект для проведения регламентного обслуживания и гарантийного ремонта технических средств ИСПДн | Данная категория не является актуальной. Сотрудники внешних организаций, осуществляющих обслуживание и ремонт технических средств ИСПДн на основании договора, являются доверенными лицами |
| Н.1.2.5 | Сотрудники организаций, осуществляющих техническое сопровождение и гарантийный ремонт технических средств ИСПДн за пределами объекта информатизации | Данная категория не является актуальной. Сотрудники организаций, осуществляющих техническое сопровождение и гарантийный ремонт технических средств ИСПДн, являются доверенными лицами |
| Н.1.2.6 | Производители технических средств ИСПДн, имеющие полный физический доступ к разрабатываемым компонентам до момента поставки оборудования в ИСПДн | Данная категория не является актуальной. Защищаемая информация не представляет интереса для лиц, имеющих возможность внедрения аппаратных закладок на этапе поставки (производства) оборудования |
| Н.2 | Лица, не имеющие санкционированного физического доступа к техническим средствам ИСПДн | |
| Н.2.1 | Лица, имеющие санкционированный логический доступ к ИСПДн | |
| Н.2.1.1 | Представители организаций, выполняющих работы по технической поддержке ИСПДн на основании договора, осуществляющие удалённый доступ к ИСПДн с помощью технических средств, не входящих в состав ИСПДн | Данная категория является актуальной. Внешними организациями осуществляется поддержка локальной МИС учреждения |
| Н.2.1.2 | Зарегистрированные пользователи ИСПДн, осуществляющие удалённый доступ к ИСПДн с помощью технических средств, не входящих в состав АС | Данная категория не является актуальной. Удаленный доступ к ИСПДн не предоставляется |
| Н.2.1.3 | Незарегистрированные (анонимные) пользователи ИСПДн, осуществляющие удалённый доступ к не требующим аутентификации областям ИСПДн с помощью технических средств, не входящих в состав ИСПДн | Данная категория не является актуальной. Удаленный доступ к ИСПДн не предоставляется |
| Н.2.2 | Лица, не имеющие санкционированного логического доступа к ИСПДн | |
| Н.2.2.1 | Представители организаций, предоставляющих услуги связи, имеющие доступ к используемым ИСПДн каналам передачи данных | Данная категория не является актуальной. Работники ОАО «Ростелеком», имеющие доступ к используемым в ИСПДн каналам передачи данных, являются доверенными лицами |
| Н.2.2.2 | Посторонние лица, имеющие доступ к сетям связи общего пользования и каналам передачи данных за пределами контролируемой зоны | Данная категория является актуальной. |
| Н.2.2.3 | Посторонние лица, имеющие возможность удалённого съёма информации с технических средств ИСПДн из-за пределов контролируемой зоны | Данная категория не является актуальной. Ценность защищаемой информации ниже стоимости мероприятий по удаленному съему |
| Н.2.2.4 | Разработчики программного обеспечения ИСПДн, имеющие полный логический доступ к разрабатываемым программным компонентам до момента поставки ПО в ИСПДн и в процессе его обновления | Данная категория является актуальной. Внешними организациями осуществляется разработка локальной МИС учреждения |
-
Возможности актуальных категорий нарушителей
При оценке возможностей нарушителя определяется уровень информированности нарушителя, имеющиеся в его распоряжении средства атаки и доступные нарушителю каналы атаки исходя из приведенного ниже перечня.
-
Нарушитель может обладать следующей информацией:
-
информацией о технических средствах ИСПДн; -
информацией о каналах связи; -
информацией о системном и прикладном программном обеспечении ИСПДн; -
информацией об алгоритмах обработки информации в ИСПДн; -
информацией о применяемых средствах защиты информации; -
ключевой, аутентифицирующей и парольной информацией; -
защищаемыми персональными данными, к обработке которых он допущен; -
информацией об имеющихся недокументированных (недекларированных) возможностях системного и/или прикладного ПО; -
документацией на криптосредство и на технические и программные компоненты среды функционирования криптосредства; -
долговременными ключами криптосредства.
-
Нарушитель может воспользоваться следующими средствами и каналами атаки:
-
программным обеспечением (свободно распространяемым, доступным в свободной продаже или специально разработанным); -
оборудованием, в том числе аппаратными компонентамикриптосредства, (доступными в свободной продаже или специально разработаннми); -
средствами съема информации по техническим каналам утечки; -
возможностью доступа и/или изменения конфигурации технических средств ИСПДн; -
возможностью доступа и/или изменения конфигурации системного и прикладного программного обеспечения ИСПДн; -
возможностью доступа и/или изменения конфигурации средств защиты; -
возможностью доступа и/или изменения обрабатываемой в ИСПДн информацию ограниченного распространения; -
возможностью доступа к информации, передаваемой в открытом виде по каналам связи в пределах и/или за пределами контролируемой зоны; -
возможностью внесения аппаратных закладок; -
возможностью внесения недекларированных (недокументированных) возможностей; -
возможностью внесения вредоносных программ.
Таблица 4 — Описание возможностей актуальных категорий нарушителей
| Индекс | Актуальная категория нарушителей | Предположение о возможностях нарушителя | Тип1 |
| Н.1.1.5 | Представители организаций, осуществляющих техническую поддержку ИСПДн на основании договора, прибывшие на объект с целью исполнения договорных обязательств | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н3 |
| Н.1.1.6 | Сотрудники учреждения, допущенные к обработке ПДн в ИСПДн (внутренние пользователи ИСПДн) | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н3 |
| Н.1.2.1 | Сотрудникиучреждения, не допущенные к обработке персональных данных, технический и обслуживающий персонал, в том числе работники хозяйственных служб, сотрудники, обслуживающие системы вентиляции, электроснабжения, пожаротушения и др. | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н2 |
| Н.1.2.3 | Посетители, в том числе пациенты, представители внешних организаций, частные лица, устраивающиеся на работу и др. | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н2 |
| Н.2.1.1 | Представители организаций, выполняющих работы по технической поддержке ИСПДн на основании договора, осуществляющие удалённый доступ к ИСПДн с помощью технических средств, не входящих в состав ИСПДн | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н3 |
| Н.2.2.2 | Посторонние лица, имеющие доступ к сетям связи общего пользования и каналам передачи данных за пределами контролируемой зоны | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н1 |
| Н.2.2.4 | Разработчики программного обеспечения ИСПДн, имеющие полный логический доступ к разрабатываемым программным компонентам до момента поставки ПО в ИСПДн и в процессе его обновления | Обладают следующей информацией:
Обладает средствами и каналами атаки:
| Н1 |
-
Угрозы безопасности персонАльных данных-
Классификация угроз
-
В данной Модели угроз используется классификация угроз безопасности по следующим категориям:
-
угрозы несанкционированного доступа к информации, обусловленные наличием физического доступа к техническим средствам ИСПДн (У.1); -
угрозы несанкционированного доступа (несанкционированных действий) к информации, обусловленные наличием логического доступа к ИСПДн (У.2); -
угрозы, несанкционированного доступа к информации, реализуемые с использованием сетевых протоколов (У.3); -
угрозы, обусловленные наличием недекларированных возможностей в прикладном или системном ПО (У.4); -
угрозы утечки информации по техническим каналам (У.4); -
угрозы неантропогенного характера (У.6).
-
Переченьи описание угроз
Перечень рассматриваемых угроз безопасности персональных данных и их описание приведены в таблице 5.
Сопоставление категорий и типов угроз данной Модели угроз методическому документу ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» приведено в приложении Б.
Таблица 5 — Переченьугроз безопасности персональных данных
| Индекс угрозы | Наименование угрозы | Описание угрозы |
| У.1 | Угрозы несанкционированного доступа к информации, обусловленные наличием физического доступа к техническим средствам ИСПДн | |
| У.1.1 | Угрозы кражи носителей информации | Реализация угрозы обусловлена халатностью персонала, недостаточностью принятых мер физической охраны помещений ИСПДн, а также нарушениями требований организационно-распорядительной документации. Реализация угрозы может привести к нарушению конфиденциальности, целостности и доступности информации. |
| У.1.2 | Угрозы утери носителей информации | Реализация угрозы обусловлена халатностью персонала и нарушениями требований организационно-распорядительной документации. Реализация угрозы может привести к нарушению конфиденциальности, целостности и доступности информации. |
| У.1.3 | Угроза утери персональных идентификаторов | Реализация угрозы обусловлена халатностью персонала и нарушениями требований организационно-распорядительной документации. Реализация угрозы может привести к нарушению конфиденциальности, целостности и доступности информации. |
| У.1.4 | Угрозы, обусловленные загрузкой АРМ/сервера с нештатного носителя | Реализация угрозы обусловлена халатностью персонала, несоблюдением требований организационно-распорядительной документации, неконтролируемым пребыванием посторонних лиц в помещения, где размещены технические средства ИСПДн. Реализация угрозы может привести к нарушению конфиденциальности, целостности и доступности информации. |
| У.1.5 | Угроза получения логического доступа к ИСПДн ввиду оставленных без присмотра терминалов | Реализация угрозы обусловлена халатностью персонала и нарушениями требований организационно-распорядительной документации. Реализация угрозы может привести к нарушению конфиденциальности, целостности и доступности информации. |
| У.1.6 | Угроза внедрения аппаратных закладок | Реализация угрозы обусловлена несоблюдением требований организационно-распорядительной документации, недостаточностью принятых мер по физической охране, халатностью персонала. Реализация угрозы может привести к нарушению конфиденциальности, целостности и доступности информации. |
| У.1.7 | Угроза преднамеренного уничтожения (повреждения) технических средств и/или каналов связи ИСПДн | Реализация угрозы обусловлена недостаточностью принятых мер физической охраны помещений: неконтролируемым пребыванием посторонних лиц в помещения, где размещены технические средства ИСПДн. Реализация угрозы может привести к нарушению целостности и доступности информации. |
| У.1.8 | Угроза непреднамеренного уничтожения (повреждения) технических средств и/или каналов связи ИСПДн | Реализация угрозы обусловлена несоблюдением требований организационно-распорядительной документации и халатностью персонала. Реализация угрозы может привести к нарушению целостности и доступности информации. |
| У.2 | Угрозы несанкционированного доступа (несанкционированных действий) к информации, обусловленные наличием логического доступа к ИСПДн | |
| У.2.1 | Угрозы НСД к информации, ввиду отсутствия или недостаточности механизмов идентификации и аутентификации | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.2.2 | Угрозы подбора пароля привилегированного пользователя | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.2.3 | Угрозы получения доступа к данным вследствие некорректного разграничения доступа | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.2.4 | Угрозы несанкционированного изменения конфигурации программного обеспечения | Угрозы, обусловленные несанкционированным изменением настроек ОС и системных файлов. Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.2.5 | Угрозы несанкционированного отключения или изменения настроек средств защиты информации | Реализация угрозы создает предпосылки к реализации других угроз |
| У.2.6 | Угрозы внедрения вредоносных программ | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.2.7 | Угрозы непреднамеренного разглашения, уничтожения (модификации) информации | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.2.8 | Угрозы преднамеренного разглашения, уничтожения (модификации) информации | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.3 | Угрозы, несанкционированного доступа к информации, реализуемые с использованием сетевых протоколов | |
| У.3.1 | Угрозыперехвата сетевого трафика | Перехват и анализ информации, передаваемой или принимаемой по сетям. Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.3.2 | Угрозы сканирования | Выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и активных служб, открытых соединений Реализация угрозы создает предпосылки для реализации других угроз |
| У.3.3 | Угрозы внедрения ложного объекта | Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.3.4 | Угрозы подмены доверенного объекта | Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.3.5 | Угрозы навязывания ложного маршрута | Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.3.6 | Угрозы выявления паролей | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.3.7 | Угрозы типа «Отказ в обслуживании» | Реализация угрозы может привести к нарушению доступности информации. |
| У.3.8 | Угрозы удаленного запуска приложений | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.3.9 | Угрозы внедрения по сети вредоносных программ | Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.4 | Угрозы, обусловленные наличием недекларированных возможностей в прикладном или системном ПО | |
| У.4.1 | Угрозы, связанные с наличием недекларированных возможностей в системном ПО | Эксплуатация недекларированных возможностей системного программного обеспечения. Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.4.2 | Угрозы, связанные с наличием недекларированных возможностей в прикладном ПО | Эксплуатация недекларированных возможностей прикладного программного обеспечения. Реализация угрозы может привести к нарушению конфиденциальности, целостности или доступности информации. |
| У.5 | Угрозы утечки информации по техническим каналам | |
| У.5.1 | Угрозы утечки акустической (речевой) информации | Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи пользователя ИСПДн, возможно при наличии функций голосового ввода ПДн в ИСПДн или функций воспроизведения ПДн акустическими средствами ИСПДн. Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.5.2 | Угрозы утечки видовой информации | Реализация угрозы утечки видовой информации возможна за счет просмотра информации с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и других средств отображения информации, входящих в состав ИСПДн Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.5.3 | Угрозы утечки информации по каналу ПЭМИН | Угрозы утечки информации по каналу ПЭМИН возможны из-за наличия электромагнитных излучений, в основном, монитора и системного блока компьютера. Основную опасность представляют угрозы утечки из-за наличия электромагнитных излучений монитора Реализация угрозы может привести к нарушению конфиденциальности информации. |
| У.6 | Угрозы неантропогенного характера | |
| У.6.1 | Природные угрозы | Данные угрозы обусловлены стихийными бедствиями (пожары, землетрясения, ураганы, наводнения, удары молнии и пр.). Возникновение подобных событий трудно спрогнозировать и им тяжело противодействовать. Реализация угрозы может привести к нарушению целостности и доступности информации (за счет нарушения штатного функционирование технических средств ИСПДн, в том числе средств защиты информации). |
| У.6.2 | Техногенные угрозы | Угрозы выхода из строя технических средств ИСПДн в результате аварий, неприемлемых параметров питающей энергосети, взрывов и т.п. Реализация угрозы может привести к нарушению целостности и доступности информации. |
-
Определение актуальных угроз безопасности персональных данных-
Оценка вероятности реализации угрозы
-
Под вероятностью реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:
-
Маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся); -
Низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации); -
Средняя вероятность– объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны; -
Высокая вероятность– объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.
Таблица 6 — Оценка вероятности реализации угроз
| Индекс | Наименование угрозы | Оценка вероятности реализации | Актуальные нарушители |
| У.1 | Угрозы несанкционированного доступа к информации, обусловленные наличием физического доступа к техническим средствам ИСПДн | ||
| У.1.1 | Угрозы кражи носителей информации | Пользователи в ИСПДн не используют съемные носители информации. Технологический процесс не предполагает хранения персональных данных на жестких дисках рабочих станций пользователей. Сервера локальной МИС располагаются в помещениях, доступ в которые ограничен и предоставляется только в сопровождении доверенных лиц. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.1.2 | Угрозы утери носителей информации | Пользователи в ИСПДн не используют съемные носители информации. Технологический процесс не предполагает хранения персональных данных на жестких дисках рабочих станций пользователей. Сервера локальной МИС располагаются в помещениях, доступ в которые ограничен и предоставляется только в сопровождении доверенных лиц. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.1.3 | Угроза утери персональных идентификаторов | В организации введена политика парольной защиты. Пользователям выданы персональные идентификаторы eToken как средство двухфакторной аутентификации. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.6 |
| У.1.4 | Угрозы, обусловленные загрузкой АРМ/сервера с нештатного носителя | Сервера ИСПДн размещены в выделенных помещениях, доступ к которым имеют только доверенные лица. Хранение ПДн на АРМ пользователей не осуществляется, загрузка АРМ с нештатного носителя не повлечет за собой нарушения характеристик безопасности информации. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.1.5 | Угроза получения логического доступа к ИСПДн ввиду оставленных без присмотра терминалов | В организации введена политика блокировки экранов, неконтролируемое пребывание посторонних лиц на территории не допускается. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.2.1 Н.1.2.3 |
| У.1.6 | Угроза внедрения аппаратных закладок | Предполагается, что объем обрабатываемой и хранимой в ИСПДн информации является недостаточным для возможной мотивации нарушителя к внедрению аппаратных закладок в технические средства ИСПДн. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.1.7 | Угроза преднамеренного уничтожения (повреждения) технических средств и/или каналов связи ИСПДн | Сервера ИСПДн размещены в выделенных помещениях, доступ к которым имеют только доверенные лица. В организации введен внутриобъектовый и пропускной режим, неконтролируемое пребывание посторонних лиц не допускается. Повреждение технических средств ИСПДн, физически доступных пользователям не повлечет за собой существенного нарушения характеристик безопасности информации. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.5 Н.1.1.6 Н.1.2.1 Н.1.2.3 Н.2.1.1 |
| У.1.8 | Угроза непреднамеренного уничтожения (повреждения) технических средств и/или каналов связи ИСПДн | Сервера ИСПДн размещены в выделенных помещениях, доступ к которым имеют только доверенные лица. Повреждение технических средств ИСПДн, физически доступных пользователям не повлечет за собой существенного нарушения характеристик безопасности информации. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.5 Н.1.1.6 Н.1.2.1 Н.1.2.3 Н.2.1.1 |
| У.2 | Угрозы несанкционированного доступа (несанкционированных действий) к информации, обусловленные наличием логического доступа к ИСПДн | ||
| У.2.1 | Угрозы НСД к информации, ввиду отсутствия или недостаточности механизмов идентификации, аутентификации и управления доступом | В учреждении механизмы идентификации и аутентификации пользователей реализованы средствами встроенных в терминальные станции модулей доверенной загрузки и встроенными средствами ОС. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.2.1 Н.1.2.3 |
| У.2.2 | Угрозы подбора пароля привилегированного пользователя | В учрежденииреализована введена политика парольной защиты. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.6 |
| У.2.3 | Угрозы получения доступа к данным вследствие некорректного разграничения доступа | В учреждении реализована подсистема управления доступом, административный персонал обладает надлежащей квалификацией. Вероятность реализации угроз определена как низкая в связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.6 |
| У.2.4 | Угрозы несанкционированного изменения конфигурации программного обеспечения | В организации контроль целостности системного ПО реализован встроенными средствами ОС. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.6 |
| У.2.5 | Угрозы несанкционированного отключения или изменения настроек средств защиты информации | Применяющиеся сертифицированные средства защиты не позволяют изменять настройки или отключать средство непривилегированным пользователям. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.6 |
| У.2.6 | Угрозы внедрения вредоносных программ | В учреждении внедренаполитика антивирусной защиты. Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.1.1.6 |
| У.2.7 | Угрозы непреднамеренного разглашения, уничтожения (модификации) информации | В Учреждении применяются процедуры резервного копирования. Пользователи и обслуживающий персонал осведомлены об ответственности за разглашение конфиденциальной информации. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.5 Н.1.1.6 Н.2.1.1 |
| У.2.8 | Угрозы преднамеренного разглашения, уничтожения (модификации) информации | В Учреждении применяются процедуры резервного копирования. Пользователи и обслуживающий персонал осведомлены об ответственности за разглашение конфиденциальной информации. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.5 Н.1.1.6 Н.2.1.1 |
| У.3 | Угрозы, несанкционированного доступа к информации, реализуемые с использованием сетевых протоколов | ||
| У.3.1 | Угрозыперехвата сетевого трафика | За пределами контролируемой зоны персональные данные передаются по защищенным каналам связи. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.3.2 | Угрозы сканирования | Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.2.2.2 |
| У.3.3 | Угрозы внедрения ложного объекта | За пределами контролируемой зоны персональные данные передаются по защищенным каналам связи. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.3.4 | Угрозы подмены доверенного объекта | За пределами контролируемой зоны персональные данные передаются по защищенным каналам связи. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.3.5 | Угрозы навязывания ложного маршрута | За пределами контролируемой зоны персональные данные передаются по защищенным каналам связи. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.3.6 | Угрозы выявления паролей по сети | Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.2.2.2 |
| У.3.7 | Угрозы типа «Отказ в обслуживании» | Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.2.2.2 |
| У.3.8 | Угрозы удаленного запуска приложений | Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.2.2.2 |
| У.3.9 | Угрозы внедрения по сети вредоносных программ | В Учреждении принята политика антивирусной защиты. Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.2.2.2 |
| У.4 | Угрозы, обусловленные наличием недекларированных возможностей в прикладном или системном ПО | ||
| У.4.1 | Угрозы, связанные с наличием недекларированных возможностей в системном ПО | Разработчик системного ПО не рассматривается как возможный нарушитель. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы. | – |
| У.4.2 | Угрозы, связанные с наличием недекларированных возможностей в прикладном ПО | Вероятность реализации угроз определена как средняяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры обеспечения безопасности ПДн недостаточны. | Н.2.2.4 |
| У.5 | Угрозы утечки информации по техническим каналам | ||
| У.5.1 | Угрозы утечки акустической (речевой) информации | Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы (средства голосового ввода информации) | – |
| У.5.2 | Угрозы утечки видовой информации | В учреждении введена политика блокировки экранов. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | Н.1.1.5 Н.1.2.1 Н.1.2.3 |
| У.5.3 | Угрозы утечки информации по каналу ПЭМИН | Предполагается, что объем и категории обрабатываемых в ИСПДн персональных данных является недостаточным для возможной мотивации нарушителей к осуществлению действий, направленных на съем информации по каналам ПЭМИН. Вероятность реализации угроз определена как маловероятная в связи с тем, что отсутствуют объективные предпосылки для осуществления угрозы (отсутствуют нарушители, обладающие возможностью съема информации по каналу ПЭМИН). | – |
| У.6 | Угрозы неантропогенного характера | ||
| У.6.1 | Природные угрозы | Исходя из территориального размещения ИСПДн, основной природной угрозой является угроза возникновения пожара. В помещениях, в которых располагаются технические средства ИСПДн, установлена пожарная сигнализация, пользователи проинструктированы о действиях в случае возникновения внештатных ситуаций. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | – |
| У.6.2 | Техногенные угрозы | Для нейтрализации угроз данного типа реализованы мероприятия по обеспечению отказоустойчивости серверного сегмента ЕГИС. Вероятность реализации угроз определена как низкаяв связи с тем, что существуют объективные предпосылки для реализации угрозы, но принятые меры существенно затрудняют их реализацию. | – |