2. Модель угроз (1209907), страница 6
Текст из файла (страница 6)
4 Оценка уровня проектной защищенности информационной системы
Под уровнем проектной защищенности (Y1П) понимается исходная защищенность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. Уровень проектной защищенности (Y1П) ГИС «МИРС 49» определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 4.1.
Таблица 4.1 – Показатели проектной защищенности ГИС «МИРС 49»
| Структурно-функциональные характеристики ИС, условия ее эксплуатации | Уровень проектной защищенности ИС (Y1П) | ||
| Высокий | Средний | Низкий | |
| По структуре ИС: | |||
| - | ||
| - | ||
| + | ||
| По используемым информационным технологиям: | |||
| - | ||
| - | ||
| - | ||
| - | ||
| - | ||
| - | ||
| По архитектуре информационной системы: | |||
| + | ||
| - | ||
| + | ||
| - | ||
| - | ||
| - | ||
| - | ||
| + | ||
| По наличию (отсутствию) взаимосвязей с иными информационными системами: | |||
| + | ||
| - | ||
| По наличию (отсутствию) взаимосвязей (подключений) к сетям связи общего пользования: | |||
| - | ||
| + | ||
| - | ||
| По размещению технических средств: | |||
| - | ||
| + | ||
| - | ||
| По режимам обработки информации в ИС: | |||
| + | ||
| - | ||
| По режимам разграничения прав доступа: | |||
| - | ||
| + | ||
| По режимам разделения функций по управлению информационной системой: | |||
| - | ||
| + | ||
| + | ||
| - | ||
| По подходам к сегментированию ИС: | |||
| - | ||
| + | ||
| Общее количество решений | 5 | 14 | 16 |
| Сумма положительных решений | 1 | 6 | 5 |
| Величина в % одного положительного решения | 20% | 7,14% | 6,25% |
| Процент характеристик, соответствующих уровню «высокий» | 20% | ||
| Процент характеристик, соответствующих уровню «средний» | 42,9% | ||
| Процент характеристик, соответствующих уровню «низкий» | 31,25% | ||
По результатам анализа структурно-функциональных характеристик ГИС «МИРС 49» был присвоен «низкий » уровень проектной защищённости.
Теперь, с учётом выбранных показателей, определяющих структурно-функциональные характеристики и условия эксплуатации информационной системы, из перечня угроз, выбранных в соответствии со значением потенциала нарушителя,возможными способами реализации, а также уязвимостями, выбираются только те угрозы, которые реализуются с помощью применяемых в рассматриваемой информацион-ной системе технологий, на основании чего специалистом по ИБ заполняется таблица 4.2. Перечень угроз, попавших в данную таблицу, выбран в соответствии с учётом потенциала и возможных способов реализации и информационных технологий применяемых в ИС нарушителя и классов уязвимостей информационной системы
Таблица 4.2 – Перечень угроз, отобранных в соответствии с технологиями и структурно-функциональными характеристиками ГИС «МИРС 49»
| № п/п | Название угрозы | Структурно -функциональные характеристики ИС и технологии, в которых угроза может быть реализована | Решение о рассмотрении угрозы на предмет актуальности |
| | УБИ.004 Угроза аппаратного сброса пароля BIOS | автоматизированное рабочее место; локальная ИС; системы на основе одноранговой сети | рассматривается |
| | УБИ.006 Угроза внедрения кода или данных | автоматизированное рабочее место; распределенная ИС; системы на основе тонкого клиента; | рассматривается |
| | УБИ.009. Угроза восстановления предыдущей уязвимой версии BIOS | автоматизированное рабочее место; локальная ИС; распределенная ИС; системы на основе тонкого клиента; системы на основе одноранговой сети; подключение к сетям связи общего пользования; | рассматривается |
| | УБИ.011. Угроза деавторизации санкционированного клиента беспроводной сети | системы, реализующие облачные вычисления; системы с мобильными устройствами; системы с технологиями беспроводного доступа; | не рассматривается |
| | УБИ.013. Угроза деструктивного использования декларированного функционала BIOS | автоматизированное рабочее место; центры обработки данных; локальная ИС; | рассматривается |
| | УБИ.018 Угроза загрузки нештатной операционной системы | автоматизированное рабочее место; локальная ИС; | рассматривается |
| | УБИ.019 Угроза заражения DNS-кеша | грид-системы; распределенная ИС; системы на основе тонкого клиента; файл-серверные системы; использование выделенных каналов связи; взаимодействие с иными ИС; подключение к сетям связи общего пользования; подключение через выделенную инфраструктуру (gov.ru); | рассматривается |
| | УБИ.021 Угроза злоупотребления доверием потребителей облачных услуг | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.023 Угроза изменения компонентов системы | автоматизированное рабочее место; локальная ИС; распределенная ИС; взаимодействие с иными ИС; | рассматривается |
| | УБИ.027. Угроза искажения вводимой и выводимой на периферийные устройства информации | автоматизированное рабочее место; распределенная ИС; файл-серверные системы; взаимодействие с иными ИС; подключение к сетям связи общего пользования(не рассматривается в связи с тем, что реализована антивирусная защита) | не рассматривается |
| | УБИ.028 Угроза использования альтернативных путей доступа к ресурсам | автоматизированное рабочее место; | рассматривается |
| | УБИ.029. Угроза использования вычислительных ресурсов суперкомпьютера «паразитными» процессами | суперкомпьютерные системы | не рассматривается |
| | УБИ.031 Угроза использования механизмов авторизации для повышения привилегий | автоматизированное рабочее место; подключение к сетям связи общего пользования; | рассматривается |
| | УБИ.034. Угроза использования слабостей протоколов сетевого/локального обмена данными | файл-серверные системы; взаимодействие с иными ИС; подключение к сетям связи общего пользования; подключение через выделенную инфраструктуру (gov.ru) | рассматривается |
| | УБИ.045 Угроза нарушения изоляции среды исполнения BIOS | автоматизированное рабочее место; распределенная ИС; системы на основе тонкого клиента; файл-серверные системы; взаимодействие с иными ИС; | рассматривается |
| | УБИ.053 Угроза невозможности управления правами пользователей BIOS | автоматизированное рабочее место; распреде ленная ИС; | рассматривается |
| | УБИ.054 Угроза недобросовестного исполнения обязательств поставщиками облачных услуг | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.055. Угроза незащищённого администрирования облачных услуг | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.056 Угроза некачественного переноса инфраструктуры в облако | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.058 Угроза неконтролируемого роста числа виртуальных машин | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.064 Угроза некорректной реализации политики лицензирования в облаке | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.065 Угроза неопределённости в распределении ответственности между ролями в облаке | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.066 Угроза неопределённости ответственности за обеспечение безопасности облака | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.067 Угроза неправомерного ознакомления с защищаемой информацией | автоматизированное рабочее место; распределенная ИС; использование выделенных каналов связи; | рассматривается |
| | УБИ.071. Угроза несанкционированного восстановления удалённой защищаемой информации | автоматизированное рабочее место; распределенная ИС; | рассматривается |
| | УБИ.074 Угроза несанкционированного доступа к аутентификационной информации | автоматизированное рабочее место; распределенная ИС; системы на основе тонкого клиента; файл-серверные системы; | рассматривается |
| | УБИ.075 Угроза несанкционированного доступа к виртуальным каналам передачи | распределенная ИС; системы на основе тонкого клиента; файл-серверные системы; взаимодействие с иными ИС; подключение к сетям связи общего пользования; подключение через выделенную инфраструктуру (gov.ru) | рассматривается |
| | УБИ.078. Угроза несанкционированного доступа к защищаемым виртуальным машинам из виртуальной и (или) физической сети | системы на основе виртуализации; системы, реализующие облачные вычисления; системы на основе одноранговой сети | не рассматривается |
| | УБИ.079 Угроза несанкционированного доступа к защищаемым виртуальным машинам со стороны других виртуальных машин | системы на основе виртуализации; системы, реализующие облачные вы-числения; системы на основе одно-ранговой сети | не рассматривается |
| | УБИ.083 Угроза несанкционированного доступа к системе по беспроводным каналам | системы с технологиями беспроводного доступа; | не рассматривается |
| | УБИ.084. Угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети | центры обработки данных; системы на основе виртуализации; системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.088 Угроза несанкционированного копирования защищаемой информации | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС | рассматривается |
| | УБИ.091 Угроза несанкционированного удаления защищаемой информации | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС | рассматривается |
| | УБИ.093 Угроза несанкционированного управления буфером | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС | рассматривается |
| | УБИ.096 Угроза несогласованности политик безопасности элементов облачной инфраструктуры | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.104. Угроза определения топологии вычислительной сети | подключение к сетям связи общего пользования | рассматривается |
| | УБИ.107 Угроза отключения контрольных датчиков | автоматизированное рабочее место; распределенная ИС; системы на основе тонкого клиента; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.110 Угроза перегрузки грид-системы вычислительными заданиями | грид-системы | не рассматривается |
| | УБИ.113 Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники | автоматизированное рабочее место; распределенная ИС; | рассматривается |
| | УБИ.115 Угроза перехвата вводимой и выводимой на периферийные устройства информации | автоматизированное рабочее место; | рассматривается |
| | УБИ.116. Угроза перехвата данных, передаваемых по вычислительной сети | распределенная ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.123 Угроза подбора пароля BIOS | автоматизированное рабочее место | рассматривается |
| | УБИ.130 Угроза подмены содержимого сетевых ресурсов | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.135 Угроза потери и утечки данных, обрабатываемых в облаке | системы, реализующие облачные вычисления | не рассматривается |
| | УБИ.145. Угроза пропуска проверки целостности программного обеспечения | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС | рассматривается |
| | УБИ.153. Угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов | автоматизированное рабочее место; распределенная ИС; системы на основе тонкого клиента; взаимодействие с иными ИС | рассматривается |
| | УБИ.155 Угроза утраты вычислительных ресурсов | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС | рассматривается |
| | УБИ.156 Угроза утраты носителей информации | автоматизированное рабочее место; | рассматривается |
| | УБИ.157 Угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации | автоматизированное рабочее место; | рассматривается |
| | УБИ.158. Угроза форматирования носителей информации | автоматизированное рабочее место; | рассматривается |
| | УБИ.160 Угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи информации | автоматизированное рабочее место; | рассматривается |
| | УБИ.167. Угроза заражения компьютера при посещении неблагонадёжных сайтов | автоматизированное рабочее место; распределенная ИС; системы на основе тонкого клиента; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.168. Угроза «кражи» учётной записи доступа к сетевым сервисам | системы на основе тонкого клиента; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.170. Угроза неправомерного шифрования информации | автоматизированное рабочее место; распределенная ИС; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.171. Угроза скрытного включения вычислительного устройства в состав бот-сети | автоматизированное рабочее место; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.172. Угроза распространения «почтовых червей» | автоматизированное рабочее место; файл-серверные системы; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.175 Угроза «фишинга» | распределенная ИС; взаимодействие с иными ИС; подключение к сетям связи общего пользования | рассматривается |
| | УБИ.179 Угроза несанкционированной модификации защищаемой информации | автоматизированное рабочее место; | рассматривается |
| | УБИ. 185 Угроза несанкционированного изменения параметров настройки средств защиты информации | автоматизированное рабочее место; | рассматривается |
Для ГИС «МИРС 49»» не характерны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении ввиду того, что в ГИС используется лицензионное общесистемное и прикладное программное обеспечение, рекомендованное ФСТЭК, а также исключена возможность доработки прикладного ПО. Таким образом, в соответствии с «Требованиями к защите персональных данных при их обработке в информационных системах персональных данных», утвержденными постановлением Правительства Российской Федерации № 1119 от 01.11.2012 г, актуальные угрозы безопасности персональных данных являются угрозами 3-го типа.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
