Приказ

Скачать 1.41 Mb.

Название	Приказ
страница	6/10
Тип	Документы

rykovodstvo.ru > Руководство эксплуатация > Документы

1 2 3 4 5 6 7 8 9 10

I. Перечень обозначений и сокращений

^{1. АРМ - а}втоматизированное рабочее место;

^{2. ИР -} информационный ресурс;

^{3. И}^С^П^Д^{н -} информационная система персональных данных;

^{4. К}^{З - к}онтролируемая зона;

^{5. П}^Д^{н -} персональные данные;

^{6. ПО -} программное обеспечение;

^{7. П}^Т^{С -} программно-технические средства;

^{8. П}^ЭМ^{ИН -} побочные электромагнитные излучения и наводки;

^{9. С}^{ЗИ -} средства защиты информации;

^{10. СК}^{ЗИ -} средства криптографической защиты информации;

^{11. Ф}^С^{Б -} Федеральная служба безопасности;

^{12. Ф}^С^{О -} Федеральная служба охраны;

^{13. Ф}^СТЭ^{К -} Федеральная служба по техническому и экспертному контролю.

II. Общие положения

1. Настоящая модель угроз безопасности персональных данных (далее – Модель) содержит систематизированный перечень угроз безопасности персональных данных при их обработке МОУ СОШ №50 города Комсомольска-на-Амуре (далее – «Учреждение»).

Указанные угрозы могут исходить от источников, имеющих антропогенный, техногенный и стихийный характер и воздействующих на уязвимости ИСПДн, характерные для данной ИСПДн, реализуя тем самым угрозы информационной безопасности.

2. В Модели дается обобщенное описание ИСПДн, состав, категории и предполагаемый объем обрабатываемых ПДн с последующей классификацией ИСПДн.

3. Модель описывает потенциального нарушителя безопасности ПДн и подходы по определению актуальности угроз с учетом возможностей нарушителя и особенностей конкретной ИСПДн.

4. Настоящая Модель разработана в соответствии с требованиями Федерального законодательства и федеральных органов по защите персональных данных.

III. Характеристика объекта информатизации

В «Учреждении» существуют следующие типы ИСПДн:

1. ИСПДн ведения бухгалтерского учета, расчета заработной платы.

2. ИСПДн передачи информации, в том числе ПДн, в целях исполнения Федеральных законов.

3. Состав ИСПДн и обрабатываемых в них персональных данных приведен в Приложении №1 к настоящему документу.

4. В качестве объекта информатизации «Учреждения» выступают:

1. Автономные автоматизированные рабочие места (АРМ).

2. Локальные вычислительные сети.

5. В зависимости от характеристик и особенностей отдельных объектов часть вычислительных средств данных предприятий подключена к сетям связи общего пользования и (или) сетям международного информационного обмена.

6. Ввод персональных данных осуществляется как с бумажных носителей (например, документов, удостоверяющих личность субъекта ПДн), так и с электронных носителей информации.

7. ИСПДн предполагают распределенную (на АРМ) обработку и хранение ПДн.

8. Персональные данные субъектов ПДн могут выводиться из ИСПДн с целью передачи персональных данных субъектов «Учреждения», как в электронном, так и в бумажном виде.

9. Контролируемой зоной (КЗ) ИСПДн являются здание и отдельные помещения. В пределах контролируемой зоны находятся рабочие места пользователей и места хранения архивных копий данных, сетевое и телекоммуникационное оборудование ИСПДн. Вне контролируемой зоны находятся линии передачи данных и телекоммуникационное оборудование, используемое для информационного обмена по сетям связи общего пользования и (или) сетям международного информационного обмена.

IV. Состав, категории и объем персональных данных, определение уровня защищенности персональных данных

1. На основе характеристик и особенностей используемых ИСПДн и обрабатываемых в них персональных данных, можно констатировать, что персональные данные субъектов ПДн, обрабатываются в «Учреждении» информационной системой, обрабатывающей общедоступные персональные данные, а также системой, обрабатывающей иные категории персональных данных. Специальные категории персональных данных и биометрические персональные данные в ИСПДн «Учреждения» не обрабатываются.

2. Для ИСПДн «Учреждения» актуальны угрозы 2 типа - угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе. Согласно подпункту «б» пункта 11 «Требований к защите персональных данных при их обработке в информационных системах персональных данных» для ИСПДн «Учреждения» требуется обеспечить 3-ий уровень защищенности персональных данных при их обработке в информационной системе.

V. Способы нарушения характеристик безопасности персональных данных

1. Исходя из перечня персональных данных, обрабатываемых в ИСПДн, существуют следующие способы нарушения характеристик безопасности ПДн:

- хищение персональных данных сотрудниками «Учреждения» для использования в корыстных целях;

- передача финансовой, адресной, юридической и прочей информации о субъекте ПДн третьим лицам;

- несанкционированное публичное разглашение персональных данных, ставших известными сотрудникам «Учреждения»;

- несанкционированное получение персональных данных третьими лицами;

- уничтожение финансовой, адресной и прочей информации о субъекте ПДн;

- модификация финансовой, адресной и прочей информации о субъекте ПДн;

- блокирование финансовой, адресной и прочей информации о субъекте ПДн;

- ввод некорректной финансовой, адресной и прочей информации о субъекте ПДн;

- передача некорректной финансовой, адресной и прочей информации о субъекте ПДн;

- искажение архивной информации по субъекту ПДн.

- уничтожение архивной информации по субъекту ПДн.

VI. Угрозы безопасности персональных данных, при их обработке в информационных системах персональных данных

Под угрозами безопасности персональных данных при их обработке в ИСПДн понимается совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и (или) несанкционированными и (или) непреднамеренными воздействиями на нее. Таким образом, угрозы безопасности ПДн при их обработке в ИСПДн могут быть связаны как с непреднамеренными действиями персонала ИСПДн, так и со специально осуществляемыми неправомерными действиями отдельных организаций и граждан, а также иными источниками угроз. Неправомерные действия могут исходить также и от сотрудников «Учреждения» в случае, когда они рассматриваются в качестве потенциального нарушителя безопасности ПДн.

2. В целях формирования систематизированного перечня угроз безопасности ПДн при их обработке в ИСПДн и разработке на их основе частных (детализированных) моделей применительно к конкретному виду ИСПДн, угрозы безопасности персональным данным в ИСПДн можно классифицировать в соответствии со следующими признаками:

- по видам возможных источников угроз;

- по типу ИСПДн, на которые направлена реализация угроз;

- по виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн);

- по способам реализации угроз;

- по используемой уязвимости;

- по объекту воздействия.

3. Для ИСПДн существуют следующие классы угроз безопасности ПДн:

- По видам возможных источников угроз безопасности персональных данных

– угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющими доступ к ИР ИСПДн, включая пользователей, реализующие угрозы непосредственно в ИСПДн;

– угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена;

– угрозы, возникновение которых напрямую зависит от свойств техники, используемой в ИСПДн;

– угрозы, связанные со стихийными природными явлениями.

Кроме этого, угрозы могут возникать в результате внедрения аппаратных закладок и вредоносных программ.

- По типу ИСПДн, на которые направлена угроза:

По структуре ИСПДн, на которые направлена угроза, необходимо рассматривать следующие классы угроз:

- угрозы безопасности данных, обрабатываемых в ИСПДН на базе автоматизированных рабочих мест;

- угрозы безопасности данных, обрабатываемых в ИСПДН на базе локальных информационных систем.

- По способам реализации угроз

_{По способам реализации угроз выделяют следующие классы угроз:}

- угрозы, связанные с несанкционированным доступом к ПДн (в том числе угрозы внедрения вредоносных программ);

- угрозы утечки ПДн по техническим каналам утечки информации (ТКУИ);

- угрозы специальных воздействий на ИСПДн.

- По виду нарушаемого свойства информации (несанкционированных действий, осуществляемых с персональными данными)

По виду несанкционированных действий, осуществляемых с персональными данными, можно выделить следующий класс угроз:

- угрозы, приводящие к нарушению конфиденциальности ПДн (копированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации;

- угрозы, приводящие к несанкционированному воздействию на содержание информации, в результате которого происходит изменение данных или их уничтожение;

- угрозы, приводящие к несанкционированному воздействию на программные или программно-аппаратные элементы ИСПДн, в результате которого осуществляется блокирование данных.

- По используемой уязвимости выделяются следующие классы угроз:

- угрозы, реализуемые с использованием уязвимости системного программного обеспечения (ПО);

- угрозы, реализуемые с использованием уязвимости прикладного ПО; - угрозы, возникающие в результате использования уязвимости, вызванной наличием в ИСПДн аппаратной закладки;

- угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных;

- угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации технической защиты информации от несанкционированного доступа;

- угрозы, реализуемые с использованием уязвимостей, обусловливающих наличие технических каналов утечки информации;

- угрозы, реализуемые с использованием уязвимостей средств защиты информации.

- По объекту воздействия выделяются следующие классы угроз:

- угрозы безопасности ПДн, обрабатываемых на АРМ;

- угрозы безопасности ПДн, передаваемых по сетям связи;

- угрозы прикладным программам, с помощью которых обрабатываются ПДн;

- угрозы системному ПО, обеспечивающему функционирование ИСПДн.

VII. Характеристика источников угроз безопасности персональных данных в ИСПДн

1. В отношении ИСПДн могут существовать три типа источников угроз безопасности ПДн:

1. Антропогенные источники угроз безопасности ПДн.

2. Техногенные источники угроз безопасности ПДн.

3. Стихийные источники угроз безопасности ПДн.

- Антропогенные источники угроз безопасности ПДн

В качестве антропогенного источника угроз для ИСПДн необходимо рассматривать субъекта (личность), имеющего санкционированный или несанкционированный доступ к работе со штатными средствами ИСПДн, действия которого могут привести к нарушению безопасности персональных данных. Антропогенные источники угроз по отношению к ИСПДн могут быть как внешними, так и внутренними

Среди внешних антропогенных источников можно выделить случайные и преднамеренные источники.

Случайные (непреднамеренные) источники могут использовать такие уязвимости, как ошибки, совершенные при проектировании ИСПДн и ее элементов, ошибки в программном обеспечении; различного рода сбои и отказы, повреждения, проявляемые в ИСПДн. К таким источникам можно отнести персонал поставщиков различного рода услуг, персонал надзорных организаций и аварийных служб и т.п. Действия (угрозы), исходящие от данных источников, совершаются по незнанию, невнимательности или халатности, из любопытства, но без злого умысла.

Преднамеренные источники проявляются в корыстных устремлениях нарушителей. Основная цель таких источников – умышленная дезорганизация работы, вывод систем Организации из строя, искажение информации за счет проникновения в ИСПДн путем несанкционированного доступа.

Внутренними источниками, как правило, являются специалисты в области программного обеспечения и технических средств, в том числе средств защиты информации, имеющие возможность использования штатного оборудования и программно-технических средств ИСПДн. К таким источникам можно отнести основной персонал, представителей служб безопасности, вспомогательный и технический персонал.

Для внутренних источников угроз особое место занимают угрозы в виде ошибочных действия и (или) нарушений требований эксплуатационной и иной документации сотрудниками Учреждения, имеющих доступ к ИР ИСПДн. К подобным угрозам, в частности, относятся:

– непредумышленное искажение или удаление программных компонентов;

– внедрение и использование неучтенных программ;

– игнорирование организационных ограничений (установленных правил) при работе с ресурсами ИСПДн, включая средства защиты информации. В частности:

- нарушение правил хранения информации ограниченного доступа, используемой при эксплуатации средств защиты информации (ключевой, парольной и аутентифицирующей информации);

- предоставление посторонним лицам возможности доступа к средствам защиты информации, а также к техническим и программным средствам, способным повлиять на выполнение предъявляемых к средствам защиты информации требований;

- настройка и конфигурирование средств защиты информации, а также технических и программных средств, способных повлиять на выполнение предъявляемых к средствам защиты информации требований, в нарушение нормативных и технических документов;

- несообщение о фактах утраты, компрометации ключевой, парольной и аутентифицирующей информации, а также любой другой информации ограниченного доступа.

Наибольшую опасность представляют преднамеренные угрозы, исходящие как от внешних, так и от внутренних антропогенных источников.

Необходимо рассматривать следующие классы таких угроз:

- угрозы, связанные с преднамеренными действиями лиц, имеющими доступ к ИСПДн, включая пользователей ИСПДн и иных сотрудников «Учреждения», реализующими угрозы непосредственно в ИСПДн (внутренний нарушитель);

- угрозы, связанные с преднамеренными действиями лиц, не имеющими доступа к ИСПДн и реализующими угрозы из внешних сетей связи общего пользования или сетей международного информационного обмена (внешний нарушитель);

- угрозы, связанные с преднамеренными действиями лиц, не имеющими доступа к ИСПДн и реализующими угрозы по ТКУИ.

- Техногенные источники угроз безопасности ПДн

Техногенные источники угроз напрямую зависят от свойств техники. Данные источники также могут быть как внешними, так и внутренними.

К внешним источникам относятся инфраструктурные элементы ИСПДн: средства связи (телефонные линии, линии передачи данных и т.п.), сети инженерных коммуникаций (водоснабжение, канализация, отопление и пр.).

К внутренним источникам относятся некачественные технические и программные средства обработки информации, вспомогательные средства (охраны, сигнализации, телефонии), другие технические средства, применяемые в ИСПДн, а также вредоносное программное обеспечение и аппаратные закладки.

Аппаратная закладка

Аппаратные закладки могут быть конструктивно встроенными и автономными. Аппаратные закладки могут реализовать угрозы:

- сбора и накопления ПДн, обрабатываемых и хранимых в ИСПДн;

- формирования ТКУИ.

В силу отмеченных свойств аппаратных закладок эффективная защита от них может быть обеспечена только за счет тщательного учета их специфики и соответствующей организации технической защиты информации на всех стадиях жизненного цикла ИСПДн.

Носитель вредоносной программы

В качестве носителя вредоносной программы в ИСПДн может выступать аппаратный элемент средств вычислительной техники из состава ИСПДн или ПО, выполняющее роль программного контейнера.

Если вредоносная программа не ассоциируется с какой-либо прикладной программой из состава системного или общего ПО ИСПДн, в качестве ее носителя выступают:

- внешний машинный (отчуждаемый) носитель, т.е. дискета, оптический диск, лазерный диск, флэш-память, внешний жесткий диск и т.п.;

- встроенные носители информации (жесткие диски, микросхемы оперативной памяти, процессор, микросхемы системной платы, микросхемы устройств, встраиваемых в системный блок устройства – видеоадаптера, сетевой платы, устройств ввода/вывода и т.д.)

- микросхемы внешних устройств (монитора, клавиатуры, принтера, плоттера, сканера и т.п.).

В том случае, если вредоносная программа может быть проассоциирована с системным или общим ПО, с файлами различной структуры или с сообщениями, передаваемыми по сети, то ее носителем являются:

- пакеты передаваемых по сети ИСПДн сообщений;

- файлы (исполняемые, текстовые, графические и т.д.).

При возникновении угроз из данной группы появляется потенциальная возможность нарушения конфиденциальности, целостности, доступности и других характеристик безопасности ПДн.

1 2 3 4 5 6 7 8 9 10

	Приказ о назначении ответственного за пожарную безопасность в организации...		Министерство российской федерации по связи и информатизации приказ Представить в установленном порядке настоящий Приказ в Минюст России на государственную регистрацию
	Приказ от 1 декабря 2008 г. N 1048 о внесении изменений в приказ... Внести изменения в Приказ мвд россии от 15 марта 1999 г. N 190 "Об организации и проведении государственного технического осмотра...		Приказ № фб 519 от 22. 04. 2015+Приказ №фб-336 от 04. 03. 2016 (о... ...
	Приказ Приложение №1 Приложение №2 Приложение №3 Приложение №4 Приложение... Министерство Здравоохранения СССР. Приказ от 3 октября 1990г. №394. "Об утверждении положения о комплексном техническом обслуживании,...		Приказ о назначении ответственного за пожарную безопасность в организации... Журнал проверки производственных и вспомогательных помещений по окончании рабочего дня
	Приказ о назначении ответственного за пожарную безопасность в организации... Журнал проверки производственных и вспомогательных помещений по окончании рабочего дня		Приказ от 6 августа 2015 г. N 124н о внесении изменений в приказ... В целях совершенствования нормативно-правового регулирования в сфере бюджетной деятельности приказываю
	Министр здравоохранения СССР приказ Утратил силу в части порядка хранения, учета, прописывания, отпуска и применения наркотических лекарственных средств (Приказ Минздрава...		Приказ №684 от 29 мая 2009 г. Об организации медицинской помощи в... О проведении Республиканской научно-практической конференции по неотложной хирургии 11
	Приказ Минфина РФ от 23. 12. 2010 №183н «Об утверждении Плана счетов... Настоящее положение разработано в соответствии и на основании следующих нормативных актов		И атомному надзору приказ Ростехнадзора от 15 декабря 2011 г. N 714 о внесении изменений в приказ Федеральной службы по экологическому, технологическому и...
	И атомному надзору приказ Ростехнадзора от 15 декабря 2011 г. N 714 о внесении изменений в приказ Федеральной службы по экологическому, технологическому и...		Приказ №60 от 19 января 1983 года «Медицинское наблюдение за развитием... Федеральный закон «О санитарно-эпидемиологическом благополучии населения» №52-фз от 30. 03. 99
	Приказ мчс россии от 26. 03. 2010 г. №135 «О внесении изменений в... Основной государственный регистрационный номер записи о государственной регистрации юридического лица 1026700978325		Приказ мвд россии от 02. 04. 2013 n 187 "о признании утратившим силу... Перечень нормативных правовых актов умвд россии по Оренбургской области, регулирующих оперативно – служебную деятельность, сведения...

Приказ

I. Перечень обозначений и сокращений

II. Общие положения

Похожие: