636331914074638560 (Разработка профиля защиты персональных данных в информационной системе лечебного учреждения), страница 6

3.2 настоящего документа, угроза не рассматриваетсяотносительно ИС;если значение потенциала нарушителя, определенного для реализацииугрозы утечки информации по ТКУИ ниже, либо равно значению потенциала,определенного экспертами в п. 3.2 настоящего документа, угрозарассматривается относительно ИС.Таблица 1.10 – Принятие решения о рассмотрении угроз утечкиинформации по ТКУИ относительно ИСНазвание угрозыПотенциалнарушителя,необходимыйдляреализацииугрозыПотенциалнарушителя,определенногоэкспертамидля ИСРешение орассмотренииугрозыТА.001 Угрозаутечки информации засчет распространенияинформативногоакустического сигналав воздушной среде.ПотенциалнедостаточендляреализацииугрозыбезопасностиВнешний;Базовый(низкий)Внутренний;Базовый(низкий)НерассматриваетсяТА.002 Угрозаутечки информации повиброакустическомуканалу за счетраспространенияинформа-тивногосигнала в инженерныхкоммуникациях (трубыводоснабжения,отопления, вентиляциии т.д) и ограждающихстроительныхконструкциях (стены,потолки, полы).ПотенциалнедостаточендляреализацииугрозыбезопасностиВнешний;Базовый(низкий)Внутренний;Базовый(низкий)НерассматриваетсяТА.003 Угрозаутечки информации повиброакустическомуканалу за счетперехватаинформативногосигнала сиспользованиемзакладных устройств.ВысокийВнешний;Базовый(низкий)Внутренний;Базовый(низкий)НерассматриваетсяДалее производилось определение уровня проектной защищенностиинформационной системы Лечебного учреждения относительно угроз утечкиинформации по ТКУИПо результатам обследования информационной системы Лечебногоучреждения было определено следующее:– в информационной системе Лечебного учреждения установленаохранная сигнализация, двери закрываются на замок;– 2 АРМ пользователей расположены так, что 2 исключен визуальный доступк мониторам, а 2 на окнах установлены жалюзи;– в информационной системе функции 2 голосового ввода 2 информации илифункции воспроизведения 2 информации акустическими средствамиотсутствуют;– в 2 информационной системе Лечебного учреждения применяетсямежсетевое экранирование, отсутствует система обнаружения вторжений, не 1производится анализ защищенности;– в информационной системе 1 Лечебного учреждения используется тольколицензионное программное обеспечение, производится регулярноеобновление общесистемного программного обеспечения и приложений;– антивирусные программы, применяемые в информационной системеЛечебного учреждения, рекомендованы ФСТЭК России, обновлениепроизводится регулярно.С учетом реализованных организационных и технических мер защитыинформации было установлено, что информационная система имеет - Низкийуровень проектной защищенности.Далее производилось определение возможности реализации угроз утечкиинформации по ТКУИ относительно информационной системы Лечебногоучреждения.

Результаты определения возможности реализации угроз утечкиинформации по ТКУИ относительно информационной системы Лечебногоучреждения были приведены в таблице 1.11.Таблица 1.11 – 18 Результаты определения возможности реализации угроз 18утечки информации по ТКУИ в информационной системе ЛечебногоучрежденияНазвание угрозыПотенциалнарушителя,необходимыйдляреализацииугрозыУровеньпроектнойзащищенностиинформационнойсистемыВозможностьреализацииугрозыТА.006 Угроза утечкиакустической ин-формации пооптико-электронному каналу засчет об-лучения лазернымлучом отражающихповерхностей (оконные стекла,зеркала и т.д), вибрирующихпод действием информативногоакустического сигнала.Базовый(низкий)Низкий ВысокаяТВ.001 Угроза утечки видовойинформации путем наблюденияза объектами с использованиемспециальных техническихсредств ( оптические приборы,телевизионные камеры,приборы ночного видения,тепловизоры и т.д)Базовый(низкий)Низкий ВысокаяТВ.002 Угроза утечки видовойинформации путем съемкиобъектов с использованиемтелевизионных ифотографических средств.Базовый(низкий)Низкий ВысокаяДалее производилось определение степени возможного ущерба отреализации угроз утечки информации по ТКУИ Лечебного учрежденияРезультаты оценки степени ущерба от реализации угроз утечкиинформации по техническим каналам относительно информационнойсистемы Лечебного учреждения представлены в таблице 1.12.Таблица 1.12 – Результаты оценки степени ущерба от реализации угрозутечки информации по техническим каналам относительноинформационной системы Лечебного учрежденияНазвание угрозыПДн ( Сведения офактах, событиях иобстоятельствахчастной жизнигражданина,позволяющиеидентифицироватьего личность) 71Сведения, связанныес профессиональнойдеятельностью( 68 врачебная,нотариальная,адвокатская тайна,тайна переписки, телефонныхпереговоров,почтовыхотправлений,телеграфных илииных сообщений ит.д 71 ) 44ИтоговаястепеньущербаТА.006 Угроза утечкиакустической ин-формации пооптико-электронному каналу засчет об-лучения лазерным лучомотражающих поверхностей(оконные стекла, зеркала и т.д),вибрирующих под действиеминформативного акустическогосигнала.Высокая Высокая ВысокаяТВ.001 Угроза утечки видовойинформации путем наблюденияза объектами с использованиемспециальных техническихсредств ( оптические приборы,телевизионные камеры, приборыночного видения, тепловизоры ит.д)Высокая Высокая ВысокаяТВ.002 Угроза утечки видовойинформации путем съемкиобъектов с использованиемтелевизионных ифотографических средств.Высокая Высокая ВысокаяДалее были определены принятые к рассмотрению на предметактуальности угрозы утечки информации по техническим каналамотносительно информационной системы Лечебного учреждения.

Результатырассмотрения приведены в таблице 1.13.Таблица 1.13 – Результаты рассмотрения на предмет актуальности угрозутечки информации по техническим каналам для информационнойсистемы Лечебного учрежденияИдентификаторугрозыНазвание угрозыТА.006Угроза утечки акустической ин-формации по оптикоэлектронному каналу за счет об-лучения лазерным лучомотражающих поверхностей (оконные стекла, зеркала и т.д),вибрирующих под действием информативного акустическогосигнала.ТВ.001 Угроза утечки видовой информации путемнаблюдения за объектами с использованием специальныхтехнических средств ( оптические приборы, телевизионныекамеры, приборы ночного видения, тепловизоры и т.д)ТВ.002Угроза утечки видовой информации путем съемкиобъектов с использованием телевизионных ифотографических средств.Принятыми организационными мерами по защите информации,изложенными в пунктах 5.3 настоящего документа, от видового иакустического каналах утечки информации, исключен съем информации повыше перечисленным каналам, таким образом, угрозы:ТА.006 Угроза утечки акустической ин-формации по оптикоэлектронному каналу за счет об-лучения лазерным лучом отражающихповерхностей (оконные стекла, зеркала и т.д), вибрирующих поддействием информативного акустического сигнала;ТВ.001 Угроза утечки видовой информации путем наблюдения заобъектами с использованием специальных технических средств (оптические приборы, телевизионные камеры, приборы ночноговидения, тепловизоры и т.д);ТВ.002 Угроза утечки видовой информации путем съемки объектов сиспользованием телевизионных и фотографических средств;ТВ.003 Угроза утечки видовой информации путем съемки документовс использованием портативных фотоаппаратов.к рассмотрению на предмет актуальности исключается.Определение актуальных техногенных угроз безопасности информацииотносительно информационной системы Лечебного учреждения.В качестве показателя актуальности техногенных угроз безопасностиинформации (УБИjА) принимается двухкомпонентный вектор, первыйкомпонент которого характеризует вероятность реализации угрозы (Рj), авторой – степень возможного ущерба в случае ее реализации 23 (Хj)УБИjА = [вероятность реализации угрозы 23 (Рj); степень ущерба (Хj)]Определение вероятности реализации техногенных угроз безопасностиинформации в информационной системе Лечебного учрежденияВероятность реализации каждой j – ой техногенной угрозы безопасностиинформации относительно информационной системы определяется наосновании количественных показателей, получаемых по результатамотношения количества мер, реализованных в информационной системе длянейтрализации j – ой угрозы к количеству мер, необходимых для еёнейтрализации.Вероятность реализации угрозы Pj рассчитывается на основании формултеории вероятности, – как отношение числа благоприятствующих событию(реализации угрозы) исходов m к общему числу исходов n:(1.1)Под числом исходов m, благоприятствующих событию реализации j – ойтехногенной угрозы понимается количество мер, не реализованных винформационной системе для предотвращения данной угрозы,соответственно общее число исходов n – это общее количество мер,необходимых для реализации в информационной системе в целяхпредотвращения или нейтрализации j – ой угрозы.По результатам обследования информационной системы былоустановлено, что в ней реализуются следующие меры по защите оттехногенных угроз безопасности информации:применение лицензионного программного обеспечения;применение систем резервного питания обеспечивающих работу прикраткосрочном пропадании электроэнергии (ИБП) и обеспечениевозможности корректного завершения работы при долговременномпропадании электроэнергии (электрогенераторы, дублирование линийпитания);применение сетевых фильтров электропитания, предотвращающих сбоии отказы технических средств от скачка электропитания.На основании реализованных мер по защите информации и формулы 1.1были определены значения вероятностей реализации техногенных угрозотносительно информационной системы Лечебного учреждения (таблица1.15).Таблица 1.15 – Вероятность реализации техногенных угроз безопасностиинформации относительно информационной системы ЛечебногоучрежденияНазвание угрозыЧисло исходов,благоприятствующих реализацииугрозыОбщеечислоисходовЗначениеPjВероятностьреализацииугрозыУгроза отказа инеисправности техническихсредств, обрабатывающихинформацию3 5 1 0,6 (Высокая)Угроза отказа инеисправности техническихсредств, обеспечивающихработоспособность средствобработки информации(вспомогательныхтехнических средств)3 5 1 0,6 (Высокая)Окончание таблицы 1.15Название угрозыЧисло исходов,благоприятствующих реализацииугрозыОбщеечислоисходовЗначениеPjВероятностьреализацииугрозыУгроза отказа инеисправности техническихсредств, обеспечивающихохрану и контроль доступа1 3 1 0,33 (Низкая)Далее были определен ы степени возможного ущерба от реализаци 20 итехногенны х угроз безопасности информации в информационной систем 18 еЛечебного учреждения.