Файл: 4. 1 Разработка модели угроз безопасности информации.docx

Скачать файл
Заказать решение

ВУЗ: Не указан

Категория: Отчет по практике

Дисциплина: Не указана

Добавлен: 12.01.2024

Просмотров: 87

Скачиваний: 9

ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.

2.3 Перечень программных средств, используемых для обработки персональных данных в ИСПДн «Кадры» ЗАО «Солнышко»
Обработка персональных данных в ИСПДн «Кадры» ЗАО «Солнышко» ведётся в специализированном программном обеспечении:


(описание состава специализированного ПО)

Состав ПО для обработки ПД:

1. Клиентская часть ПО «1С:Зарплата и кадры государственного учреждения 8» хранит информацию о сотрудниках, кандидатах и соискателях (в версии КОРП) в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (https://v8.1c.ru/statehrm/dlya-kadrovoy-sluzhby/). 

2. Диспетчер печати.

Состав ПО для обработки ПД:

1. Серверная часть ПО «1С:Зарплата и кадры государственного учреждения 8» хранит информацию о сотрудниках, кандидатах и соискателях (в версии КОРП) в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (https://v8.1c.ru/statehrm/dlya-kadrovoy-sluzhby/). 

2. Диспетчер печати.





Перечень имеющихся программных средств, используемых для обработки персональных данных приведены в таблице 1.
Таблица 1 – Перечень имеющихся программных средств (ПС), используемых для обработки персональных данных ИСПДн «Кадры» ЗАО «Солнышко».

№ п/п
Наименование ПС

(ее составной части)
Расположение объекта
Технология обработки

(АРМ, ЛВС, Распр)
Субъекты ПДн
Объем обрабатываемых Пдн (количество записей субъектов Пдн в базе данных ИСПДн)
Описание режима работы с базой данных

1
2
3
4
9
10
11

1
«1С:Зарплата и кадры государственного учреждения 8»
Клиентская часть
АРМ



777
Одновременно




«1С:Зарплата и кадры государственного учреждения 8»
Серверная часть
АРМ



777
Одновременно


2.4 Перечень структурных подразделений работающих с БД ИСПДн «Кадры» ЗАО «Солнышко»

Перечень структурных подразделений работающих с БД ИСПДн «Кадры» ЗАО «Солнышко» отображен в таблице 2.
Таблица 2 - Перечень структурных подразделений работающих с БД ПДн «Кадры» ЗАО «Солнышко»

№ п/п
Наименование БД

(ее составной части)
Расположение объекта
Структурное подразделение

1
2
3
4

1
«Личные дела»
Сервер
Отдел кадров

2
«Личные дела»
диске №2 своего АРМ
Отдел кадров














2.5 Анализ организационных мер защиты ИСПДн
В ходе проведения проверки наличия и полноты методической и организационно-распорядительной документации прямо или косвенно относящейся к защите персональных данных было установлено, что документы по данной тематике не разрабатывались.

В зданиях, где находятся помещения ИСПДн «Кадры» ЗАО «Солнышко», все двери помещений оборудованы врезными замками. Доступ в помещения, где расположены рабочие станции, ограничен, войти могут только сотрудники.

Пожарная и охранная сигнализация установлена во всех помещениях, где обрабатываются персональные данные. Охрана объекта осуществляется частным охранным предприятием на договорной основе.
2.6 Анализ технологического процесса обработки информации, реализованного в информационной системе
Согласно представленному «Технологическому процессу обработки информации…» ИСПДн предназначена для обработки информации ограниченного доступа, формирования электронных документов (ЭД) и вывода их на печать. При этом информация в ИСПДн может поступать из других подразделений и организаций на учтенных бумажных или электронных носителях информации.

Для осуществления технологического процесса обработки информации в ИСПДн используется программное обеспечение (ПО), перечисленное в таблице №2.

ИСПДн «Кадры» ЗАО «Солнышко» предназначена для работы в _одновременном__ режиме, доступ исполнителей к работе осуществляется по утвержденному списку, пользователи имеют
_ораничение_ права доступа к информации, ИСПДн __не имеет___(имеет, не имеет) подключения к сетям связи общего пользования и сетям международного информационного обмена.

Настройку систем защиты для конкретных пользователей и контроль ее работы осуществляет администратор безопасности информации. Функции, права, обязанности и порядок работы в ИСПДн администратора безопасности информации и пользователей регламентируются специально разработанными инструкциями администратору безопасности информации и пользователям.

Уровень подготовки администратора безопасности и пользователей позволяет выполнять возложенные на них обязанности.

2.7. Результаты классификации ИСПДн «Кадры» ЗАО «Солнышко»
В соответствии с требованиями Постановления Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», выявлено, что тип актуальных угроз безопасности персональных данным ЗАО «Солнышко» относится к угрозам _3_ типа1 – угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

В соответствии с требованиями Приказа ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» проведена классификация по уровням защищенности персональных данных при их обработке в ИСПДн «Кадры» ЗАО «Солнышко», таблица 3.
Таблица 3

№
Характеристика
Значение

1
Категория персональных данных2
3

2
Субъекты ПДн3
работники

3
Объем обрабатываемых ПДн4
Менее 100 тыс.

4
Количество рабочих станций, входящих в состав ИСПДн
3

5
Структура ИСПДн5
АРМ

6
Количество пользователей, допущенных к работе в ИСПДн
3

7
Режим обработки ПДн в ИСПДн6

  1. многопользовательская ИСПДн с разными правами доступа

8
Разграничению прав доступа пользователей7
С разграничением

9
Подключение ИСПДн к локальным (распределенным) сетям общего пользования8

  1. Имеется

10
Тип ИСПДн9
Типовая

11
Местонахождение технических средств ИСПДн
Внутри КЗ

12
Тип актуальных угроз10 (на основании разработанной модели угроз и анализа актуальных угроз в ИСПДн)
3

По результатам анализа исходных данных информационной системы персональных данных, анализа актуальности угроз безопасности в разработанной модели угроз ИСПДн «Кадры» ЗАО «Солнышко» присвоен ____3 уровень защищенности11.
3. Возможные негативные последствия от реализации (возникновения) угроз безопасности информации
К основным негативным последствиям от реализации угроз12 безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» определены ____________________ (таблица 4).

Другие виды последствий также могут быть, но как правило они несут на несколько порядков меньший ущерб.

Таблица 4

№
Виды

риска (ущерба)
Актуальность
Возможные типовые негативные

последствия

У1
Ущерб физическому лицу




Угроза жизни или здоровью.

Унижение достоинства личности.

Нарушение свободы, личной неприкосновенности.

Нарушение неприкосновенности частной жизни.

Нарушение личной, семейной тайны, утрата чести и доброго имени.

Нарушение тайны переписки, телефонных переговоров, иных сообщений.

Нарушение иных прав и свобод гражданина, закрепленных в Конституции Российской Федерации и федеральных законах.

Финансовый, иной материальный ущерб физическому лицу.

Нарушение конфиденциальности (утечка) персональных данных.

"Травля" гражданина в сети "Интернет".

Разглашение персональных данных граждан

У2
Риски юридическому лицу, индивидуальному предпринимателю, связанные с хозяйственной деятельностью




Нарушение законодательства Российской Федерации.

Потеря (хищение) денежных средств.

Недополучение ожидаемой (прогнозируемой) прибыли.

Необходимость дополнительных (незапланированных) затрат на выплаты штрафов (неустоек) или компенсаций.

Необходимость дополнительных (незапланированных) затрат на закупку товаров, работ или услуг (в том числе закупка программного обеспечения, технических средств, вышедших из строя, замена, настройка, ремонт указанных средств).

Нарушение штатного режима функционирования автоматизированной системы управления и управляемого объекта и/или процесса.

Срыв запланированной сделки с партнером.

Необходимость дополнительных (незапланированных) затрат на восстановление деятельности.


4. Возможные объекты воздействия угроз безопасности информации

Негативные последствия, объекты воздействия, виды воздействия на них в ИСПДн «Кадры» ЗАО «Солнышко» изображены в таблице 513.
Таблица 5

Негативные последствия
Объекты воздействия
Виды воздействия

Разглашение персональных данных граждан (У1)

База данных информационной системы, содержащая идентификационную информацию граждан

Утечка идентификационной информации граждан из базы данных




Удаленное автоматизированное рабочее место (АРМ) пользователя

Утечка идентификационной информации граждан с АРМ пользователя




Линия связи между сервером основного центра обработки данных и сервером резервного центра обработки данных

Перехват информации, содержащей идентификационную информацию граждан, передаваемой по линиям связи




Веб-приложение информационной системы, обрабатывающей идентификационную информацию граждан

Несанкционированный доступ к идентификационной информации граждан, содержащейся в веб-приложении информационной системы



5. Источники угроз безопасности информации
Возможные цели реализации угроз безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» нарушителями14 представлены в таблице 6.

Таблица 6

№

вида
Виды

нарушителя
Категории

нарушителя
Возможные цели реализации угроз безопасности информации

1
Преступные группы (криминальные структуры)
Внешний
Получение финансовой или иной материальной выгоды.

Желание самореализации (подтверждение статуса)

2
Авторизованные пользователи систем и сетей

Внутренний

Получение финансовой или иной материальной выгоды.

Любопытство или желание самореализации (подтверждение статуса).

Месть за ранее совершенные действия.

Непреднамеренные, неосторожные или неквалифицированные действия

Смотрите также файлы