Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

В соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 г. №1119, определяется четыре уровня защищенности персональных данных от первого до четвертого. Самым высоким уровнем защищенности является первый. Уровень защищенности зависит от следующих показателей:

• тип актуальных угроз;

• категория обрабатываемых персональных данных;

• тип субъектов ПДн, чьи персональные данные обрабатываются в информационной системе;

• количество субъектов ПДн, не являющихся сотрудниками оператора.

В связи с тем, что в сегменте «Бухгалтерия и кадры» информационной системы персональных данных «52 ЦПИ» обрабатываются персональные данные определим уровень защищенности.

В ходе обследования сегмента было выявлено:

В ИСПДн «Бухгалтерия и Кадры» одновременно обрабатываются персональные данные менее 100 тысяч субъектов, являющихся сотрудниками Учреждения. В Учреждении используется только лицензионное ПО, проводится регулярное обновление общесистемного ПО и приложений. Прикладные программы, используемые для обработки ПДн лицензионные, несанкционированному изменению не подвергаются. Антивирусное ПО имеет сертификат ФСТЭК, вирусные базы регулярно обновляются. Угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении не актуальны для информационной системы Учреждения (Модель нарушителя и угроз безопасности персональных данных при их обработке в информационной системе персональных данных 52 ЦПИ  филиал АО «31ГПИСС» ИСПДн «Бухгалтерия и Кадры»).

В соответствии с тем, что на нашем предприятии мы будем использовать только лицензионное, постоянно обновляемое Программное обеспечение, актуальные угрозы безопасности персональных данных являются угрозами 3 типа.

Исходя из категорий и объема ПДн, одновременно обрабатываемых в ИСПДн и типа угроз на основании пункта 12 подпункта «б» «Требований к защите персональных данных при их обработке в информационных системах персональных данных» в Учреждении необходимо обеспечить 4-й уровень защищенности персональных данных при их обработке в ИСПДн «Бухгалтерия и Кадры».

1.6 Модель нарушителя и угроз безопасности ПДн в ИСПДн Организации

1.6.1 Порядок определения актуальных угроз

Угроза безопасности информации является актуальной если для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования существует вероятность реализации рассматриваемой угрозы, и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации.

Для оценки возможности реализации угрозы необходимо определить два показателя: уровень исходной защищенности ИСПДн и вероятность реализации рассматриваемой угрозы.

Под уровнем проектной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, приведенных в таблице 1.6.1.1.

Таблица 1.6.1.1  Показатели, характеризующие проектную защищенность информационной системы

Окончание таблицы 1.6.1.1

Исходная степень защищенности определяется следующим образом:

• ИСПДн имеет высокий уровень исходной защищенности, если не менее 70 % характеристик соответствуют уровню «высокий;

• ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70 % характеристик ИСПДн соответствуют уровню не ниже «средний»;

• ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по пунктам 1 и 2.

В таблице 1.6.1.2 представлены значения характеристик в процентном соотношении.

Таблица 1.6.1.2  Значения характеристик в процентном соотношении

Вывод: ИСПДн имеет низкую степень защищенности в связи с тем, что не выполняются условия по пунктам 1 и 2.

Уровню исходной защищенности ставится в соответствие числовой коэффициент Y₁, а именно:

• 0 – для высокой степени исходной защищенности;

• 5 – для средней степени исходной защищенности;

• 10 – для низкой степени исходной защищенности.

В соответствии с таблицей 4 и выводом, коэффициент Y₁ = 10.

Для определения актуальных угроз безопасности информации необходимо для каждой угрозы определить числовой коэффициент Y₂ , соответствующий её вероятности. Таким образом градация коэффициентов будет выглядеть так:

• 0 – для маловероятной угрозы;

• 2– для низкой вероятности угрозы;

• 5 – для средней вероятности угрозы;

• 10 – для высокой вероятности угрозы.

С учетом вышеизложенного коэффициент возможности реализации угрозы Y будет определяться соотношением Y = (Y₁ + Y₂) / 20, где Y₁ = 10 (низкий уровень защищенности).

По значению коэффициента возможности реализации угрозы формируется вербальная интерпретация реализуемости угрозы следующим образом:

• если 0 Y 0,3, то возможность реализации угрозы признается низкой;

• если 0,3 Y 0,6, то возможность реализации угрозы признается средней;

• если 0,6 Y 0,8, то возможность реализации угрозы признается высокой;

• если Y 0,8, то возможность реализации угрозы признается очень высокой.

После этого производится оценка опасности угрозы и в соответствии с таблицей определяется актуальность угрозы.

Данные представлены в таблице 1.6.1.3.

Таблица 1.6.3.1  Правила определения актуальности угрозы безопасности ПДн

1.6.2 Модель вероятного нарушителя

В соответствии с Моделью нарушителя и угроз безопасности персональных данных при их обработке в информационной системе персональных данных «52 ЦПИ» наиболее вероятными нарушителями являются:

• бывшие сотрудники Организации(внешние нарушители);

• знакомые и родственники сотрудников Организации (внешние нарушители);

• лица, несанкционированно проникшие на территорию организации (внешние нарушители);

• пользователи ИСПДн (внутренние нарушители);

• технический персонал(внутренние нарушители);

• обслуживающий персонал(внутренние нарушители).

С учетом указанных видов нарушителей был определен потенциал нарушителя – базовый (низкий).

Наиболее вероятными целями (мотивацией) реализации угроз для указанных видов нарушителей являются:

• любопытство или желание самореализации (подтверждение статуса);

• причинение имущественного ущерба путем мошенничества или иным преступным путем;

• месть за ранее совершенные действия.

Для того чтобы создать определенный запас прочности предполагается, что нарушитель владеет всей необходимой информацией, достаточными навыками и знаниями для реализации угроз, а также обладает всеми средствами реализации угроз, соответствующими потенциалу нарушителя.

1.6.3 Модель угроз

Полная оценка актуальности угроз приведена в Приложении А.

Угрозами безопасности ПДн при их обработке в информационных системах персональных данных считается ряд условий и факторов, которые создают опасность несанкционированного, а также случайного, доступа к персональным данным, в результате чего информация может быть уничтожена, изменена, заблокирована, скопирована, незаконно распространена.

Определение актуальных угроз производилось в Приложении Модель нарушителя и угроз безопасности персональных данных при их обработке в информационной системе персональных данных «52 ЦПИ» (далее – Модель угроз).

В соответствии с Моделью угроз, актуальными угрозами для информационной системы персональных данных Организации являются:

• кража, модификация и уничтожение информации;

• несанкционированное отключение средств защиты;

• модификация программного обеспечения базовой системы ввода/вывода (BIOS);

• загрузка нештатной (не доверенной) операционной системы;

• действия вредоносных программ (вирусов);

• установка ПО, не связанного с исполнением служебных обязанностей;

• утрата ключей и атрибутов доступа;

• разглашение (например, при разговорах, записывание на бумаге и т.п.) логинов и паролей;

• неумышленная (случайная) модификация (искажение) доступной информации;

• неумышленное (случайное) добавление (фальсификация) информации;

• непреднамеренное отключение средств защиты;

• доступ к информации, модификация, уничтожение сотрудниками, не допущенными к её обработке;

• перехват информации за пределами контролируемой зоны;

• угроза «сканирование сети»;

• угроза выявления паролей;

• угроза подмены доверенного объекта сети;

• внедрение ложного объекта сети;

• угрозы удаленного запуска приложений.

2 Разработка методов и способов защиты ПДн в ИСПДн

2.1 Характеристика мер защиты и уровня защищенности

Меры защиты информации делятся на технические меры и организационные меры.

Технические меры информационной безопасности могут быть реализованы посредством следующих средств защиты информации:

- средство защиты информации от несанкционированного доступа (СрЗИ НСД);

- система обнаружения вторжений (СОВ);

- антивирусное средство (АНВ);

Характеристики

Список файлов ВКР