Файл: 1. термины и определения автоматизированная система (АС).pdf
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 06.12.2023
Просмотров: 627
Скачиваний: 2
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
32 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) Лица, обеспечивающие функционирование систем и сетей или обеспечивающие системы оператора Физический доступ к аппаратному обеспечению
СР.8; СР.9; СР.11 Механизм обновления BIOS/UEFI
СР.1; СР.2; СР.9 Сетевое оборудование Физический доступ к программно-аппарат- ным средствам обработки информации
СР.3; СР.4; СР.5;
СР.8; СР.9; СР.11 Средство вычислительной техники Физический доступ к программно-аппарат- ным средствам обработки информации
СР.3; СР.8; СР.9;
СР.11 Средство защиты информации Физический доступ к программно-аппарат- ным средствам защиты информации
СР.8; СР.11 Узел вычислительной сети автоматизированные рабочие места, сервера, маршрутизаторы, коммутаторы, устройства и т.п.) Физический доступ к программно-аппарат- ным средствам обработки информации
СР.8; СР.11 Защищаемая информация Физический доступ к программно-аппарат- ным средствам обработки информации
СР.7; СР.11 Машинный носитель информации в составе средств вычислительной техники Физический доступ к машинным носителям информации
СР.11 Объекты файловой системы Физический доступ к машинным носителям информации
СР.1; СР.4; СР.8;
СР.11 Система поддержания тем- пературно-влажностного режима Консоль управления системой поддержания температурно-влажностного режима
СР.1; СР.9 Физический доступ к техническим средствам системы поддержания температурно- влажностного режима
СР.1; СР.11 Удаленные каналы администрирования системы поддержания температурно-влаж- ностного режима
СР.1; СР.9 Авторизованные пользователи систем и сетей Внутренний BIOS/UEFI Физический доступ к аппаратному обеспечению
СР.8; СР.9; СР.11
33 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) Сетевое оборудование Каналы связи узлов локальной вычислительной сети
СР.1; СР.12 Сетевое программное обеспечение Каналы связи узлов локальной вычислительной сети
СР.1; СР.9; СР.12 Доступ через средства вычислительной техники
СР.1; СР.3; СР.4;
СР.5; СР.8; СР.9 База данных Прикладное приложение, использующее базу данных
СР.1 Системное программное обеспечение Каналы связи узлов локальной вычислительной сети
СР.1; СР.2 Доступ через средства вычислительной техники
СР.1; СР.2; СР.3;
СР.4; СР.8; СР.9 Виртуальная инфраструктура (воздействие на гиперви- зор, виртуальные машины, образы виртуальных машин, виртуальные устройства, виртуальные диски и виртуальные устройства хранения данных, систему управления виртуальной инфраструктурой) Каналы связи узлов локальной вычислительной сети
СР.1; СР.10 Доступ к виртуальным машинам
СР.1; СР.2 Виртуальные каналы передачи данных
СР.10 Средство вычислительной техники Каналы связи узлов локальной вычислительной сети
СР.1; СР.2 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.3; СР.8; СР.9;
СР.11 Пользовательский интерфейс работы с системным программным обеспечением
СР.1; СР.2; СР.9 Интерфейсы подключения съемных машинных носителей информации
СР.1; СР.2
34 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) Средство защиты информации Каналы связи узлов локальной вычислительной сети
СР.1; СР.9; СР.12 Доступ через средства вычислительной техники
СР.1; СР.9 Физический доступ к программно-аппарат- ным средствам защиты информации
СР.8; СР.11 Узел вычислительной сети автоматизированные рабочие места, сервера, маршрутизаторы, коммутаторы, устройства и т.п.) Каналы связи узлов локальной вычислительной сети
СР.1; СР.2; СР.12 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.8; СР.11 Графический интерфейс локального взаимодействия пользователя с узлом вычислительной сети
СР.2; СР.9 Защищаемая информация Каналы связи узлов локальной вычислительной сети
СР.10 Доступ через средства вычислительной техники
СР.1; СР.4; СР.9;
СР.11 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.7; СР.11 Машинный носитель информации в составе средств вычислительной техники Доступ через средства вычислительной техники
СР.8; СР.9 Физический доступ к машинным носителям информации
СР.11 Микропрограммное обеспечение Консоль управления микропрограммным обеспечением
СР.1; СР.3; СР.9 Учетные данные пользователя Каналы связи узлов локальной вычислительной сети
СР.10 Доступ к объектам файловой системы, содержащим учетные данные пользователя
СР.1; СР.9 Объекты файловой системы Каналы связи узлов локальной вычислительной сети
СР.1; СР.4; СР.9
35 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) Доступ через средства вычислительной техники
СР.1; СР.3; СР.4;
СР.8; СР.9 Физический доступ к машинным носителям информации
СР.1; СР.4; СР.8;
СР.11 Прикладное программное обеспечение Каналы связи узлов локальной вычислительной сети
СР.1; СР.12 Доступ через средства вычислительной техники
СР.1; СР.3; СР.4;
СР.8; СР.9 Средства криптографической защиты информации Доступ через средства вычислительной техники
СР.1; СР.9 Системные администраторы и администраторы безопасности Внутренний BIOS/UEFI Консоль управления BIOS/UEFI
СР.1; СР.3; СР.9 Физический доступ к аппаратному обеспечению
СР.8; СР.9; СР.11 Механизм обновления BIOS/UEFI
СР.1; СР.2; СР.9 Сетевое оборудование Каналы связи узлов локальной вычислительной сети
СР.1; СР.12 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.3; СР.4; СР.5;
СР.8; СР.9; СР.11 Сетевое программное обеспечение Каналы связи узлов локальной вычислительной сети
СР.1; СР.9; СР.12 Доступ через средства вычислительной техники
СР.1; СР.3; СР.4;
СР.5; СР.8; СР.9 Сетевой трафик Каналы связи узлов локальной вычислительной сети
СР.1; СР.9; СР.10;
СР.12 База данных Пользовательский интерфейс СУБД
СР.9 Служебные программы командной строки СУБД
СР.9 Системное программное обеспечение Каналы связи узлов локальной вычислительной сети
СР.1; СР.2 Доступ через средства вычислительной техники
СР.1; СР.2; СР.3;
СР.4; СР.8; СР.9
36 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) Виртуальная инфраструктура (воздействие на гиперви- зор, виртуальные машины, образы виртуальных машин, виртуальные устройства, виртуальные диски и виртуальные устройства хранения данных, систему управления виртуальной инфраструктурой) Каналы связи узлов локальной вычислительной сети
СР.1; СР.10 Доступ к системе управления виртуальной инфраструктурой
СР.1; СР.8; СР.9 Доступ к виртуальным машинам
СР.1; СР.2 Доступ к образам виртуальных машин
СР.1; СР.9 Доступ к виртуальным устройствам
СР.1; СР.2; СР.9 Доступ к виртуальным устройствам хранения данных и (или) виртуальным дискам
СР.1; СР.9 Виртуальные каналы передачи данных
СР.10 Доступ к гипервизору
СР.1; СР.2; СР.8; СР.9 Средство вычислительной техники Каналы связи узлов локальной вычислительной сети
СР.1; СР.2 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.3; СР.8; СР.9;
СР.11 Пользовательский интерфейс работы с системным программным обеспечением
СР.1; СР.2; СР.9 Интерфейсы подключения съемных машинных носителей информации
СР.1; СР.2 Средство защиты информации Каналы связи узлов локальной вычислительной сети
СР.1; СР.9; СР.12 Доступ через средства вычислительной техники
СР.1; СР.9 Физический доступ к программно-аппарат- ным средствам защиты информации
СР.8; СР.11 Узел вычислительной сети автоматизированные ра-
Каналы связи узлов локальной вычислительной сети
СР.1; СР.2; СР.12 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.8; СР.11
37 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор)
бочие места, сервера, маршрутизаторы, коммутаторы, устройства и т.п.) Графический интерфейс локального взаимодействия пользователя с узлом вычислительной сети
СР.2; СР.9 Каналы удаленного администрирования узла вычислительной сети
СР.1 Защищаемая информация Каналы связи узлов локальной вычислительной сети
СР.10 Доступ к виртуальным устройствам хранения данных и (или) виртуальным дискам
СР.9 Виртуальные каналы передачи данных
СР.10 Доступ через средства вычислительной техники
СР.1; СР.4; СР.9;
СР.11 Физический доступ к программно-аппарат- ным средствам обработки информации
СР.7; СР.11 Информационная (автоматизированная) система Процесс создания (модернизации) информационной (автоматизированной) системы
СР.4; СР.8; СР.9 Средства централизованного управления информационной (автоматизированной) системой или ее компонентами
СР.9 Машинный носитель информации в составе средств вычислительной техники Доступ через средства вычислительной техники
СР.8; СР.9 Физический доступ к машинным носителям информации
СР.11 Через функции ввода-вывода низкого уровня (прямого доступа)
СР.8 Микропрограммное обеспечение Консоль управления микропрограммным обеспечением
СР.1; СР.3; СР.9 Механизм обновления микропрограммного обеспечения
СР.2; СР.4
38 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) Учетные данные пользователя Каналы связи узлов локальной вычислительной сети
СР.10 Доступ к объектам файловой системы, содержащим учетные данные пользователя
СР.1; СР.9 Объекты файловой системы Каналы связи узлов локальной вычислительной сети
СР.1; СР.4; СР.9 Доступ через средства вычислительной техники
СР.1; СР.3; СР.4;
СР.8; СР.9 Физический доступ к машинным носителям информации
СР.1; СР.4; СР.8;
СР.11 Прикладное программное обеспечение Каналы связи узлов локальной вычислительной сети
СР.1; СР.12 Доступ через средства вычислительной техники
СР.1; СР.3; СР.4;
СР.8; СР.9 Средства криптографической защиты информации Доступ через средства вычислительной техники
СР.1; СР.9 Канал удаленного администрирования
СКЗИ
СР.1 Бывшие (уволенные) работники (пользователи) Внешний Сетевое программное обеспечение Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.9; СР.12 Сетевой трафик Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.9; СР.10;
СР.12 Системное программное обеспечение Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.2 Виртуальная инфраструктура (воздействие на гиперви- зор, виртуальные машины, образы виртуальных машин, виртуальные устройства, виртуальные диски и виртуальные устройства хранения Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.10
39 Вид нарушителя Категория нарушителя Объекты воздействия Доступные интерфейсы Способы реализации идентификатор) данных, систему управления виртуальной инфраструктурой) Средство вычислительной техники Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.2 Средство защиты информации Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.9; СР.12 Узел вычислительной сети автоматизированные рабочие места, сервера, маршрутизаторы, коммутаторы, устройства и т.п.) Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.2; СР.12 Защищаемая информация Каналы связи с внешними информационно- телекоммуникационными сетями
СР.10 Учетные данные пользователя Каналы связи с внешними информационно- телекоммуникационными сетями
СР.10 Объекты файловой системы Каналы связи с внешними информационно- телекоммуникационными сетями
СР.1; СР.4; СР.9
40
1 ... 6 7 8 9 10 11 12 13 ... 23
8. АКТУАЛЬНЫЕ УГРОЗЫ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
8.1. Входе оценки угроз безопасности информации определяются возможные угрозы безопасности информации и производится их оценка на актуальность для ИСПДна Бухгалтерский и кадровый учет – актуальные угрозы безопасности информации.
8.2. Процесс определения актуальных угроз безопасности информации включал
8.2.1. Выделение из исходного перечня угроз безопасности информации возможных угроз последующему принципу угроза безопасности информации признается возможной, если имеются нарушитель или иной источник угрозы, объект, на который осуществляется воздействие, способ реализации угрозы безопасности информации, и реализация угрозы может привести к негативным последствиям
УБИ
i
= нарушитель (источник угрозы объекты воздействия способы реализации угрозы негативные последствия В качестве исходного перечня угроз безопасности информации использовался банк данных угроз безопасности информации, сформированный
ФСТЭК России
(http://bdu.fstec.ru/). Перечень исключенных из исходного перечня угроз безопасности информации представлен в Приложении № 4.
8.2.2. Оценку возможных угроз на предмет актуальности последующему принципу угроза признается актуальной, если имеется хотя бы один сценарий реализации угрозы безопасности информации. Сценарии определяются для соответствующих способов реализации угроз безопасности информации. Определение сценариев предусматривает установление последовательности возможных тактики соответствующих им техник, применение которых возможно актуальным нарушителем с соответствующим уровнем возможностей, а также доступности интерфейсов для использования соответствующих способов реализации угроз безопасности информации. Перечень основных тактики соответствующих им типовых техник, используемых для построения сценариев реализации угроз безопасности информации представлен в Приложении № 5.
8.3. По результатам оценки возможных угроз безопасности выявлено актуальных угроз 131. Итоговый перечень актуальных угроз безопасности информации представлен в таблице 12. Таблица 12 – Актуальные угрозы безопасности информации Идентификатор угрозы Наименование угрозы
УБИ.003 Угроза использования слабостей криптографических алгоритмов и уязвимос- тей в программном обеспечении их реализации
УБИ.004 Угроза аппаратного сброса пароля BIOS
УБИ.006 Угроза внедрения кода или данных
УБИ.007 Угроза воздействия на программы с высокими привилегиями
41 Идентификатор угрозы Наименование угрозы
УБИ.008 Угроза восстановления и/или повторного использования аутентификацион- ной информации
УБИ.009 Угроза восстановления предыдущей уязвимой версии BIOS
УБИ.010 Угроза выхода процесса за пределы виртуальной машины
УБИ.012 Угроза деструктивного изменения конфигурации/среды окружения программ
УБИ.013 Угроза деструктивного использования декларированного функционала BIOS
УБИ.014 Угроза длительного удержания вычислительных ресурсов пользователями
УБИ.015 Угроза доступа к защищаемым файлам с использованием обходного пути
УБИ.018 Угроза загрузки нештатной операционной системы
УБИ.019 Угроза заражения DNS-кеша
УБИ.022 Угроза избыточного выделения оперативной памяти
УБИ.023 Угроза изменения компонентов информационной (автоматизированной) системы
УБИ.025 Угроза изменения системных и глобальных переменных
УБИ.027 Угроза искажения вводимой и выводимой на периферийные устройства информации
УБИ.028 Угроза использования альтернативных путей доступа к ресурсам
УБИ.030 Угроза использования информации идентификации/аутентификации, заданной по умолчанию
УБИ.031 Угроза использования механизмов авторизации для повышения привилегий
УБИ.033 Угроза использования слабостей кодирования входных данных
УБИ.034 Угроза использования слабостей протоколов сетевого/локального обмена данными
УБИ.036 Угроза исследования механизмов работы программы
УБИ.037 Угроза исследования приложения через отчёты об ошибках
УБИ.041 Угроза межсайтового скриптинга
УБИ.044 Угроза нарушения изоляции пользовательских данных внутри виртуальной машины
УБИ.045 Угроза нарушения изоляции среды исполнения BIOS
УБИ.046 Угроза нарушения процедуры аутентификации субъектов виртуального информационного взаимодействия
УБИ.048 Угроза нарушения технологии обработки информации путём несанкционированного внесения изменений в образы виртуальных машин
УБИ.049 Угроза нарушения целостности данных кеша
УБИ.051 Угроза невозможности восстановления сессии работы на ПЭВМ при выводе из промежуточных состояний питания
УБИ.053 Угроза невозможности управления правами пользователей BIOS
УБИ.059 Угроза неконтролируемого роста числа зарезервированных вычислительных ресурсов
УБИ.061 Угроза некорректного задания структуры данных транзакции
УБИ.062 Угроза некорректного использования прозрачного прокси-сервера за счёт плагинов браузера
УБИ.063 Угроза некорректного использования функционала программного и аппаратного обеспечения
УБИ.067 Угроза неправомерного ознакомления с защищаемой информацией
УБИ.068 Угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением
42 Идентификатор угрозы Наименование угрозы
УБИ.069 Угроза неправомерных действий в каналах связи
УБИ.071 Угроза несанкционированного восстановления удалённой защищаемой информации
УБИ.072 Угроза несанкционированного выключения или обхода механизма защиты от записи в BIOS
УБИ.073 Угроза несанкционированного доступа к активному и (или) пассивному виртуальному и (или) физическому сетевому оборудованию из физической и или) виртуальной сети
УБИ.074 Угроза несанкционированного доступа к аутентификационной информации
УБИ.075 Угроза несанкционированного доступа к виртуальным каналам передачи
УБИ.076 Угроза несанкционированного доступа к гипервизору из виртуальной машины и (или) физической сети
УБИ.077 Угроза несанкционированного доступа к данным за пределами зарезервированного адресного пространства, в том числе выделенного под виртуальное аппаратное обеспечение
УБИ.078 Угроза несанкционированного доступа к защищаемым виртуальным машинам из виртуальной и (или) физической сети
УБИ.079 Угроза несанкционированного доступа к защищаемым виртуальным машинам со стороны других виртуальных машин
УБИ.080 Угроза несанкционированного доступа к защищаемым виртуальным устройствам из виртуальной и (или) физической сети
УБИ.084 Угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети
УБИ.085 Угроза несанкционированного доступа к хранимой в виртуальном пространстве защищаемой информации
УБИ.086 Угроза несанкционированного изменения аутентификационной информации
УБИ.087 Угроза несанкционированного использования привилегированных функций
BIOS
УБИ.088 Угроза несанкционированного копирования защищаемой информации
УБИ.089 Угроза несанкционированного редактирования реестра
УБИ.090 Угроза несанкционированного создания учётной записи пользователя
УБИ.091 Угроза несанкционированного удаления защищаемой информации
УБИ.093 Угроза несанкционированного управления буфером
УБИ.094 Угроза несанкционированного управления синхронизацией и состоянием
УБИ.095 Угроза несанкционированного управления указателями
УБИ.098 Угроза обнаружения открытых портов и идентификации привязанных к ним сетевых служб
УБИ.099 Угроза обнаружения хостов
УБИ.100 Угроза обхода некорректно настроенных механизмов аутентификации
УБИ.102 Угроза опосредованного управления группой программ через совместно используемые данные
УБИ.103 Угроза определения типов объектов защиты
УБИ.104 Угроза определения топологии вычислительной сети
УБИ.108 Угроза ошибки обновления гипервизора
УБИ.109 Угроза перебора всех настроек и параметров приложения
УБИ.111 Угроза передачи данных по скрытым каналам
43 Идентификатор угрозы Наименование угрозы
УБИ.113 Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники
УБИ.114 Угроза переполнения целочисленных переменных
УБИ.115 Угроза перехвата вводимой и выводимой на периферийные устройства информации
УБИ.116 Угроза перехвата данных, передаваемых по вычислительной сети
УБИ.117 Угроза перехвата привилегированного потока
УБИ.118 Угроза перехвата привилегированного процесса
УБИ.119 Угроза перехвата управления гипервизором
УБИ.120 Угроза перехвата управления средой виртуализации
УБИ.121 Угроза повреждения системного реестра
УБИ.122 Угроза повышения привилегий
УБИ.123 Угроза подбора пароля BIOS
УБИ.124 Угроза подделки записей журнала регистрации событий
УБИ.128 Угроза подмены доверенного пользователя
УБИ.129 Угроза подмены резервной копии программного обеспечения BIOS
УБИ.130 Угроза подмены содержимого сетевых ресурсов
УБИ.140 Угроза приведения системы в состояние отказ в обслуживании
УБИ.143 Угроза программного выведения из строя средств хранения, обработки и или) ввода/вывода/передачи информации
УБИ.144 Угроза программного сброса пароля BIOS
УБИ.145 Угроза пропуска проверки целостности программного обеспечения
УБИ.149 Угроза сбоя обработки специальным образом изменённых файлов
УБИ.150 Угроза сбоя процесса обновления BIOS
УБИ.152 Угроза удаления аутентификационной информации
УБИ.153 Угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов
УБИ.154 Угроза установки уязвимых версий обновления программного обеспечения
BIOS
УБИ.155 Угроза утраты вычислительных ресурсов
УБИ.156 Угроза утраты носителей информации
УБИ.157 Угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации
УБИ.158 Угроза форматирования носителей информации
УБИ.159 Угроза форсированного веб-браузинга»
УБИ.160 Угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи информации
УБИ.162 Угроза эксплуатации цифровой подписи программного кода
УБИ.163 Угроза перехвата исключения/сигнала из привилегированного блока функций
УБИ.165 Угроза включения в проект недостоверно испытанных компонентов
УБИ.166 Угроза внедрения системной избыточности
УБИ.167 Угроза заражения компьютера при посещении неблагонадёжных сайтов
УБИ.168 Угроза кражи учётной записи доступа к сетевым сервисам
УБИ.169 Угроза наличия механизмов разработчика
УБИ.170 Угроза неправомерного шифрования информации
УБИ.171 Угроза скрытного включения вычислительного устройства в состав бот-сети
44 Идентификатор угрозы Наименование угрозы
УБИ.172 Угроза распространения почтовых червей
УБИ.174 Угроза «фарминга»
УБИ.175 Угроза «фишинга»
УБИ.176 Угроза нарушения технологического/производственного процесса из-за временных задержек, вносимых средством защиты
УБИ.177 Угроза неподтверждённого ввода данных оператором в систему, связанную с безопасностью
УБИ.178 Угроза несанкционированного использования системных и сетевых утилит
УБИ.179 Угроза несанкционированной модификации защищаемой информации
УБИ.180 Угроза отказа подсистемы обеспечения температурного режима
УБИ.182 Угроза физического устаревания аппаратных компонентов
УБИ.185 Угроза несанкционированного изменения параметров настройки средств защиты информации
УБИ.186 Угроза внедрения вредоносного кода через рекламу, сервисы и контент
УБИ.187 Угроза несанкционированного воздействия на средство защиты информации
УБИ.188 Угроза подмены программного обеспечения
УБИ.191 Угроза внедрения вредоносного кода в дистрибутив программного обеспечения
УБИ.192 Угроза использования уязвимых версий программного обеспечения
УБИ.203 Угроза утечки информации с неподключенных к сети Интернет компьютеров
УБИ.205 Угроза нарушения работы компьютера и блокирования доступа к его данным из-за некорректной работы установленных на нем средств защиты
УБИ.208 Угроза нецелевого использования вычислительных ресурсов средства вычислительной техники
УБИ.209 Угроза несанкционированного доступа к защищаемой памяти ядра процессора
УБИ.211 Угроза использования непроверенных пользовательских данных при формировании конфигурационного файла, используемого программным обеспечением администрирования информационных систем
УБИ.212 Угроза перехвата управления информационной системой
УБИ.214 Угроза несвоевременного выявления и реагирования компонентами информационной (автоматизированной) системы (в том числе средствами защиты информации) на события безопасности информации
УБИ.217 Угроза использования скомпрометированного доверенного источника обновлений программного обеспечения
45
9. ОЦЕНКА УГРОЗ В СООТВЕТСТВИИ С МЕТОДИЧЕСКИМИ ДОКУМЕНТАМИ ФСБ РОССИИ
9.1. На основании исходных данных об объектах защиты (в соответствии с разделом
5 настоящей Модели угроз) и источниках атак (в соответствии с разделом 6.1 настоящей Модели угроз) ИСПДна Бухгалтерский и кадровый учет определены обобщенные возможности источников атак (таблица 13). Таблица 13 – Обобщенные возможности источников атак
№ Обобщенные возможности источников атак Предположение о возможности источников атак
1. Возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак только за пределами контролируемой зоны Да
2. Возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак в пределах контролируемой зоны, но без физического доступа к аппаратным средствам, на которых реализованы СКЗИ и среда их функционирования Да
3. Возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак в пределах контролируемой зоны с физическим доступом к аппаратным средствам, на которых реализованы СКЗИ и среда их функционирования Да
4. Возможность привлекать специалистов, имеющих опыт разработки и анализа СКЗИ (включая специалистов в области анализа сигналов линейной передачи и сигналов побочного электромагнитного излучения и наводок СКЗИ) Нет
5. Возможность привлекать специалистов, имеющих опыт разработки и анализа СКЗИ (включая специалистов в области использования для реализации атак недокументированных возможностей прикладного программного обеспечения) Нет
6. Возможность привлекать специалистов, имеющих опыт разработки и анализа СКЗИ (включая специалистов в области использования для реализации атак недокументированных возможностей аппаратного и программного компонентов среды функционирования СКЗИ) Нет
9.2. В соответствии с нормативно-правовыми документами ФСБ России реализация угроз безопасности информации определяется возможностями источников атак.
9.3. Исходя из обобщенных возможностей источников атак определены уточненные возможности нарушителей и направления атак (соответствующие актуальные угрозы. Результаты приведены в Приложении № 7.
9.4. Используемые для защиты информации криптосредства должны обеспечить криптографическую защиту по уровню не ниже КС3.
46 Источники разработки модели угроз Система должна соответствовать требованиям следующих Федеральных законов и принятых в соответствии сними нормативно-правовых актов
– Федеральный закон от 27 июля 2006 г. № 149-ФЗ Об информации, информационных технологиях и о защите информации
– Федеральный закон от 27 июля 2006 г. № 152-ФЗ О персональных данных
– Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных
– Приказ Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. № 21 Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных
– Методический документ Методика оценки угроз безопасности информации, утвержденный Федеральной службы по техническому и экспортному контролю 5 февраля 2021 г
– Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденная заместителем директора Федеральной службы по техническому и экспортному контролю 15 февраля 2008 г
– ГОСТ 15971-90 Системы обработки информации. Термины и определения, утвержденный постановлением Государственного комитета СССР по управлению качеством продукции и стандартам от 26 октября 1990 г. № 2698;
– ГОСТ 19781-90 Обеспечение систем обработки информации программное. Термины и определения, утвержденный постановлением Государственного комитета СССР по управлению качеством продукции и стандартам от 27 августа 1990 г. № 2467;
– ГОСТ 29099-91 Сети вычислительные локальные. Термины и определения, утвержденный постановлением Комитета стандартизации и метрологии СССР от 25 сентября 1991 г. № 1491;
– ГОСТ Р 59853-2021 Информационные технологии. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения, утвержденный приказом Росстандарта от 19 ноября 2021 г. № ст
– ГОСТ 34.201-2020 Информационные технологии. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем, утвержденный приказом Росстандарта от 19 ноября 2021 г. № 1521- ст
– ГОСТ 34.601-90 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания, утвержденный постановлением Государственного комитета СССР по управлению качеством продукции и стандартам от 29 декабря 1990 г. № 3469;
– ГОСТ Р 50739-95 Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования, утвержденный постановлением Госстандарта России от 9 февраля 1995 г. № 49;
– ГОСТ Р 50922-2006 Защита информации. Основные термины и определения, утвержденный приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. № ст
47
– ГОСТ Р 51188-98 Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство, утвержденный постановлением Госстандарта России от 14 июля 1998 г. № 295;
– ГОСТ Р 51275-2006 Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения, утвержденный приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. № ст
– ГОСТ Р 2.105-2019 Единая система конструкторской документации. Общие требования к текстовым документам, утвержденный приказом Росстандарта от 29 апреля 2019 г. № ст
– ГОСТ Р 56938-2016 Защита информации. Защита информации при использовании технологий виртуализации. Общие положения, утвержденный приказом Федерального агентства по техническому регулированию и метрологии от 1 июня 2016 г. № ст
– ГОСТ Р 59795-2021 Информационные технологии. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Требования к содержанию документов, утвержденный приказом Росстандарта от 25 октября 2021 г. № ст
– Руководящий документ Защита от несанкционированного доступа к информации. Термины и определения, утвержденный Решением председателя Гостехкомиссии России от 30 марта 1992 г.
48 Соответствие возможных целей реализации угроз безопасности информации с негативными последствиями
1 ... 7 8 9 10 11 12 13 14 ... 23