Пояснительная записка (Разработка профиля защиты персональных данных в информационной системе лечебного учреждения), страница 4

Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определялась для каждого вида ущерба в зависимости от целей и задач, решаемых информационной системой. В качестве единой шкалы измерения степени негативных последствий были приняты значения «незначительные», «умеренные» и «существенные» негативные последствия, в свою очередь степень ущерба определялась как «низкая», «средняя» и «высокая» в зависимости от показателей степени негативных последствий.

Пример определения степени возможного ущерба от реализации угроз безопасности информации в информационной системы Лечебного учреждения представлены в таблице 1.7.

Таблица 1.7 – Пример определения степени возможного ущерба от реализации угроз безопасности информации в информационной системе Лечебного учреждения

Название угрозы	ПДн (Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность)	Сведения, связанные с профессиональной деятельностью (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и т.д)	Итоговая степень ущерба
УБИ.006 Угроза внедрения кода или данных	Высокая	Высокая	Высокая
УБИ.012 Угроза деструктивного изменения конфигурации/среды окружения программ	Высокая	Высокая	Высокая
УБИ.014 Угроза длительного удержания вычислительных ресурсов пользователями	Высокая	Высокая	Высокая

Актуальные угрозы определялись в соответствии с возможностью их реализации и степенью возможного ущерба от их реализации.

Пример определения актуальности угроз безопасности информации для информационной системы Лечебного учреждения представлен в таблице 1.8.

Таблица 1.8 – Пример определения актуальности угроз безопасности информации для информационной системы Лечебного учреждения

Идентификатор/ Название угрозы	Актуальность
УБИ.006 Угроза внедрения кода или данных	Актуальная
УБИ.012 Угроза деструктивного изменения конфигурации/среды окружения программ	Актуальная
УБИ.014 Угроза длительного удержания вычислительных ресурсов пользователями	Актуальная

Определение актуальных угроз утечки информации по техническим каналам для информационной системы Лечебного учреждения.

Определение показателя уровня проектной защищенности для уточнения возможности реализации угроз утечки информации по техническим каналам и их актуальности относительно информационной системы основывается на результатах инструментальных проверок на выполнение требований по защите информации от утечки по техническим каналам и выполнении организационных мер по защите информации от утечки.

Далее были определены возможные каналы утечки информации и соответствующие им угрозы для информационной системы Лечебного учреждения. Исходный перечень угроз и потенциальные каналы утечки информации приведен в таблице 1.9.

Таблица 1.9 – Исходный перечень угроз и потенциальные каналы утечки информации

Название угрозы	Канал утечки, за счёт которого реализуется угроза	Вид канала утечки
ТА.001 Угроза утечки информации за счет распространения информативного акустического сигнала в воздушной среде.	Каналы утечки акустической (речевой) информации	Воздушные
Окончание таблицы 1.9
Название угрозы	Канал утечки, за счёт которого реализуется угроза	Вид канала утечки
ТА.002 Угроза утечки информации по виброакустическому каналу за счет распространения информативного сигнала в инженерных коммуникациях (трубы водоснабжения, отопления, вентиляции и т.д) и ограждающих строительных конструкциях (стены, потолки, полы).	Каналы утечки акустической (речевой) информации	Вибрационные
ТА.003 Угроза утечки информации по виброакустическому каналу за счет перехвата информативного сигнала с использованием закладных устройств.	Каналы утечки акустической (речевой) информации	Вибрационные

Далее производилось определение потенциала нарушителя, необходимого для реализации угроз утечки информации по ТКУИ в информационной системе Лечебного учреждения.

На основании значений определенных потенциалов принимается решение о дальнейшем рассмотрении/нерассмотрении угроз утечки информации по техническим каналам относительно информационной системы Лечебного учреждения (таблица 1.10), исходя из результатов сравнения двух потенциалов по следующим правилам:

• если значение потенциала нарушителя, определенного для реализации угрозы утечки информации по ТКУИ выше значения потенциала, определенного в информационной системе, угроза не рассматривается относительно ИС;

• если значение потенциала нарушителя, определенного для реализации угрозы утечки информации по ТКУИ ниже, либо равно значению потенциала, определенного в информационной системе, угроза рассматривается относительно ИС.

Таблица 1.10 – Принятие решения о рассмотрении угроз утечки информации по ТКУИ относительно ИС

Название угрозы	Потенциал нарушителя, необходимый для реализации угрозы	Потенциал нарушителя, определенного экспертами для ИС	Решение о рассмотрении угрозы
ТА.001 Угроза утечки информации за счет распространения информативного акустического сигнала в воздушной среде.	Потенциал недостаточен для реализации угрозы безопасности	Внешний; Базовый (низкий) Внутренний; Базовый (низкий)	Не рассматривается
ТА.002 Угроза утечки информации по виброакустическому каналу за счет распространения информа-тивного сигнала в инженерных коммуникациях (трубы водоснабжения, отопления, вентиляции и т.д) и ограждающих строительных конструкциях (стены, потолки, полы).	Потенциал недостаточен для реализации угрозы безопасности	Внешний; Базовый (низкий) Внутренний; Базовый (низкий)	Не рассматривается
ТА.003 Угроза утечки информации по виброакустическому каналу за счет перехвата информативного сигнала с использованием закладных устройств.	Высокий	Внешний; Базовый (низкий) Внутренний; Базовый (низкий)	Не рассматривается

Далее производилось определение уровня проектной защищенности информационной системы Лечебного учреждения относительно угроз утечки информации по ТКУИ

По результатам обследования информационной системы Лечебного учреждения было определено следующее:

• в информационной системе Лечебного учреждения установлена охранная сигнализация, двери закрываются на замок;

• АРМ пользователей расположены так, что исключен визуальный доступ к мониторам, а на окнах установлены жалюзи;

• в информационной системе функции голосового ввода информации или функции воспроизведения информации акустическими средствами отсутствуют;

• в информационной системе Лечебного учреждения применяется межсетевое экранирование, отсутствует система обнаружения вторжений, не производится анализ защищенности;

• в информационной системе Лечебного учреждения используется только лицензионное программное обеспечение, производится регулярное обновление общесистемного программного обеспечения и приложений;

• антивирусные программы, применяемые в информационной системе Лечебного учреждения, рекомендованы ФСТЭК России, обновление производится регулярно.

С учетом реализованных организационных и технических мер защиты информации было установлено, что информационная система имеет - Низкий уровень проектной защищенности.

Далее производилось определение возможности реализации угроз утечки информации по ТКУИ относительно информационной системы Лечебного учреждения. Результаты определения возможности реализации угроз утечки информации по ТКУИ относительно информационной системы Лечебного учреждения были приведены в таблице 1.11.

Таблица 1.11 – Результаты определения возможности реализации угроз утечки информации по ТКУИ в информационной системе Лечебного учреждения

Название угрозы	Потенциал нарушителя, необходимый для реализации угрозы	Уровень проектной защищенности информационной системы	Возможность реализации угрозы
ТА.006 Угроза утечки акустической ин-формации по оптико-электронному каналу за счет об-лучения лазерным лучом отражающих поверхностей (оконные стекла, зеркала и т.д), вибрирующих под действием информативного акустического сигнала.	Базовый (низкий)	Низкий	Высокая
ТВ.001 Угроза утечки видовой информации путем наблюдения за объектами с использованием специальных технических средств ( оптические приборы, телевизионные камеры, приборы ночного видения, тепловизоры и т.д)	Базовый (низкий)	Низкий	Высокая
ТВ.002 Угроза утечки видовой информации путем съемки объектов с использованием телевизионных и фотографических средств.	Базовый (низкий)	Низкий	Высокая

Далее производилось определение степени возможного ущерба от реализации угроз утечки информации по ТКУИ Лечебного учреждения

Результаты оценки степени ущерба от реализации угроз утечки информации по техническим каналам относительно информационной системы Лечебного учреждения представлены в таблице 1.12.

Таблица 1.12 – Результаты оценки степени ущерба от реализации угроз утечки информации по техническим каналам относительно информационной системы Лечебного учреждения

Название угрозы	ПДн (Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность)	Сведения, связанные с профессиональной деятельностью (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и т.д)	Итоговая степень ущерба
ТА.006 Угроза утечки акустической ин-формации по оптико-электронному каналу за счет об-лучения лазерным лучом отражающих поверхностей (оконные стекла, зеркала и т.д), вибрирующих под действием информативного акустического сигнала.	Высокая	Высокая	Высокая
ТВ.001 Угроза утечки видовой информации путем наблюдения за объектами с использованием специальных технических средств ( оптические приборы, телевизионные камеры, приборы ночного видения и т.д)	Высокая	Высокая	Высокая
ТВ.002 Угроза утечки видовой информации путем съемки объектов с использованием телевизионных и фотографических средств.	Высокая	Высокая	Высокая

Далее были определены принятые к рассмотрению на предмет актуальности угрозы утечки информации по техническим каналам относительно информационной системы Лечебного учреждения. Результаты рассмотрения приведены в таблице 1.13.

Таблица 1.13 – Результаты рассмотрения на предмет актуальности угроз утечки информации по техническим каналам для информационной системы Лечебного учреждения

Идентификатор угрозы		Название угрозы
ТА.006	Угроза утечки акустической информации по оптико- электронному каналу за счет об-лучения лазерным лучом отражающих поверхностей (оконные стекла, зеркала и т.д), вибрирующих под действием информативного акустического сигнала.
ТВ.001	Угроза утечки видовой информации путем наблюдения за объектами с использованием специальных технических средств ( оптические приборы, телевизионные камеры, приборы ночного видения, тепловизоры и т.д)
ТВ.002	Угроза утечки видовой информации путем съемки объектов с использованием телевизионных и фотографических средств.

Принятыми организационными мерами по защите информации, от видового и акустического каналах утечки информации, исключен съем информации по выше перечисленным каналам, таким образом, угрозы:

• ТА.006 Угроза утечки акустической ин-формации по оптико-электронному каналу за счет об-лучения лазерным лучом отражающих поверхностей (оконные стекла, зеркала и т.д), вибрирующих под действием информативного акустического сигнала;

• ТВ.001 Угроза утечки видовой информации путем наблюдения за объектами с использованием специальных технических средств ( оптические приборы, телевизионные камеры, приборы ночного видения, тепловизоры и т.д);

• ТВ.002 Угроза утечки видовой информации путем съемки объектов с использованием телевизионных и фотографических средств;

• ТВ.003 Угроза утечки видовой информации путем съемки документов с использованием портативных фотоаппаратов.

к рассмотрению на предмет актуальности исключается.