Главная | Обратная связь

Теоретическое обоснование

Данное практическое задание предполагает использование документа «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» разработана ФСТЭК России.

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

Таблица 5. Пример записи показателей Коэффициент вероятности реализации (Y₂) и Оценка опасности угрозы

Возможные угрозы безопасности ПДн	Коэффициент вероятности реализации нарушителем категории n	Оценка опасности угрозы**
						Внешние	Итог (Y2)*
1. Угрозы от утечки по техническим каналам
1.1. Угрозы утечки акустической информации									маловероятная
1.2. Угрозы утечки видовой информации									низкая
1.3. Угрозы утечки информации по каналам ПЭМИН									маловероятная
2. Угрозы несанкционированного доступа к информации
2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн
2.1.1. Кража ПЭВМ									Низкая
2.1.2. Кража носителей информации									Низкая
2.1.3. Кража ключей и атрибутов доступа									Низкая
2.1.4. Кражи, модификации, уничтожения информации									Низкая
2.1.5. Вывод из строя узлов ПЭВМ, каналов связи									маловероятная
2.1.6. Несанкционированный доступ к информации при техническом обслуживании (ремонте, уничтожении) узлов ПЭВМ									низкая
2.1.7. Несанкционированное отключение средств защиты									низкая
2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий)
2.2.1. Действия вредоносных программ (вирусов)									низкая
2.2.2. Недекларированные возможности системного ПО и ПО для обработки персональных данных									низкая
2.2.3. Установка ПО, не связанного с исполнением служебных обязанностей									маловероятная
2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и систем защиты ПДн в ее составе из-за сбоев в программном обеспечении, а также от сбоев аппаратуры, из-за ненадежности элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и т. п.) характера
2.3.1. Утрата ключей и атрибутов доступа									низкая
2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками									низкая
2.3.3. Непреднамеренное отключение средств защиты									маловероятная
2.3.4. Выход из строя аппаратно-программных средств									маловероятная
2.3.5. Сбой системы электроснабжения									маловероятная
2.3.6. Стихийное бедствие									маловероятная
2.4. Угрозы преднамеренных действий внутренних нарушителей
2.4.1. Доступ к информации, копирование, модификация, уничтожение, лицами, не допущенными к ее обработке									низкая
2.4.2. Разглашение информации, копирование, модификация, уничтожение сотрудниками, допущенными к ее обработке									средняя
	2.5.Угрозы несанкционированного доступа по каналам связи
2.5.1.Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации:									средняя
2.5.1.1. Перехват за переделами с контролируемой зоны									низкая
2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями									средняя
2.5.1.3.Перехват в пределах контролируемой зоны внутренними нарушителями.									маловероятная
2.5.2.Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.									низкая
2.5.3.Угрозы выявления паролей по сети									маловероятная
2.5.4.Угрозы навязывание ложного маршрута сети									маловероятная
2.5.5.Угрозы подмены доверенного объекта в сети									маловероятная
2.5.6.Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях									низкая
2.5.7.Угрозы типа «Отказ в обслуживании»									низкая
2.5.8.Угрозы удаленного запуска приложений									низкая
2.5.9.Угрозы внедрения по сети вредоносных программ									высокая

 

*При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y₂, а именно:

0 – для маловероятной угрозы (отсутствуют объективные предпосылки для осуществления угрозы);

2 – для низкой вероятности угрозы (объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию);

5 – для средней вероятности угрозы (объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны);

10 – для высокой вероятности угрозы (объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты).

**Оценка опасности угрозы определяется на основе опроса специалистов по вербальным показателям опасности с тремя значениями:

· низкая опасность – если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

· средняя опасность – если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;

· высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

 

Задания

1. Изучить документ «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», разработанный ФСТЭК России.

2. Пользуясь таблицей 5, определить частоту (вероятность) реализации (Y₂) каждой угрозы для всех категорий нарушителей. Определяющим значением в строке угрозы будет максимальное значение вероятности реализации.

3. Произвести оценку опасности угрозы с присвоением одного из 3-х значений: низкая, средняя, высокая.

4. Результаты занести в таблицу.

Содержание отчёта и его форма

Отчёт выполняется каждым студентом индивидуально. Работа должна быть оформлена в электронном виде в формате .doc и распечатана на листах формата А4.

На титульном листе указываются: наименование учебного учреждения, наименование дисциплины, название и номер работы, вариант, выполнил: фамилия, имя, отчество, студента, курс, группа, проверил: преподаватель ФИО.

5. Контрольные вопросы

1) Какие показатели применяются для оценки возможности реализации угрозы?

2) Что понимается под уровнем исходной защищенности ИСПДн?

3) Что понимается под частотой (вероятностью) реализации угрозы?