1. Пояснительная записка (1209954), страница 10
Текст из файла (страница 10)
Заключение по результатам аудита сегмента информационной
системы АПК «Безопасный город»
(выписка)
В государственной информационной системе «Система-112» обрабатываются персональные данные различных категорий нескольких видов субъектов ПДн, а именно иные и специальные категории персональных данных. Персональные данные обрабатываются на 19 АРМ и двух серверах.
Персональные данные хранятся распределено на серверах БД. На АРМ пользователей информация не сохраняется, так как они работают с данными по принципу «тонкий клиент», т.е. обработке информации происходит на сервере.
Параметры информационной системы «Система-112» представлены в таблице А.1.
Таблица А.1 – Параметры информационной системы «Система-112»
| Наименование параметра | Значение |
| Структура информационной системы | Распределенная |
| Взаимодействие с иными информационными системами | Имеется |
| Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена | Имеется |
| Размещение технических средств | ТС расположены в пределах нескольких контролируемых зон |
| Режим обработки персональных данных | Многопользовательский |
| Режим разграничения прав доступа пользователей | Система с разграничением прав доступа |
| Разделение функций по управлению информационной системой | Без разделения |
| Окончание таблицы А.1 | |
| Наименование параметра | Значение |
| Местонахождение технических средств информационной системы | Все технические средства находятся в пределах Российской Федерации |
| Объем обрабатываемых персональных данных | Более 100 тысяч субъектов персональных данных, не являющихся сотрудниками оператора |
| Категории обрабатываемых персональных данных | Иные и специальные (информация о состоянии здоровья) категории ПДн |
Приложение Б
Модель вероятного нарушителя и угроз безопасности персональных данных, обрабатываемых в сегменте информационной системы
АПК «Безопасный город»
(выписка)
Наиболее вероятными нарушителями являются:
Внешние нарушители:
– лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.)
– уволенные сотрудники или уволенные сотрудники организаций, обеспечивающих техническое обслуживание и эксплуатацию ГИС «Система-112».
Внутренние нарушители:
-
пользователи ГИС «Система-112»
С учетом указанных видов нарушителей был определен потенциал нарушителя – базовый (низкий).
Наиболее вероятными целями (мотивацией) реализации угроз для указанных видов нарушителей являются:
-
причинение имущественного ущерба путем мошенничества или иным преступным путем;
-
любопытство или желание самореализации.
С целью создания определенного запаса прочности предполагается, что нарушитель владеет всей необходимой информацией, достаточными навыками и знаниями для реализации угроз, а также обладает всеми средствами реализации угроз, соответствующими потенциалу нарушителя.
Актуальными угрозами для «Системы-112» представлены в таблице Б.1.
Таблица Б.1 – Актуальные угрозы для «Системы-112»
| Название угрозы | Актуальность |
| Угроза внедрения кода или данных | Актуальна |
| Угроза воздействия на программы с высокими привилегиями | Актуальна |
| Угроза деструктивного изменения конфигурации/среды окружения программ | Актуальна |
| Угроза доступа/перехвата/изменения HTTP cookies | Актуальна |
| Угроза заражения DNS-кеша | Актуальна |
| Угроза изменения компонентов системы | Актуальна |
| Угроза искажения вводимой и выводимой на периферийные устройства информации | Актуальна |
| Угроза использования альтернативных путей доступа к ресурсам | Актуальна |
| Угроза использования информации идентификации/аутентификации, заданной по умолчанию | Актуальна |
| Угроза использования механизмов авторизации для повышения привилегий | Актуальна |
| Угроза использования слабостей протоколов сетевого/локального обмена данными | Актуальна |
| Угроза межсайтового скриптинга | Актуальна |
| Угроза нарушения целостности данных кеша | Актуальна |
| Угроза невозможности управления правами пользователей BIOS | Актуальна |
| Угроза некорректного задания структуры данных транзакции | Актуальна |
| Угроза неправомерного ознакомления с защищаемой информацией | Актуальна |
| Угроза неправомерных действий в каналах связи | Актуальна |
| Угроза несанкционированного восстановления удалённой защищаемой информации | Актуальна |
| Угроза несанкционированного доступа к аутентификационной информации | Актуальна |
| Угроза несанкционированного копирования защищаемой информации | Актуальна |
| Угроза несанкционированного создания учётной записи пользователя | Актуальна |
| Угроза несанкционированного управления буфером | Актуальна |
| Угроза несанкционированного управления синхронизацией и состоянием | Актуальна |
| Угроза определения типов объектов защиты | Актуальна |
| Угроза определения топологии вычислительной сети | Актуальна |
| Окончание таблицы Б.1 | |
| Название угрозы | Актуальность |
| Угроза передачи данных по скрытым каналам | Актуальна |
| Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники | Актуальна |
| Угроза перехвата данных, передаваемых по вычислительной сети | Актуальна |
| Угроза повышения привилегий | Актуальна |
| Угроза подмены содержимого сетевых ресурсов | Актуальна |
| Угроза приведения системы в состояние «отказ в обслуживании» | Актуальна |
| Угроза программного выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации | Актуальна |
| Угроза пропуска проверки целостности программного обеспечения | Актуальна |
| Угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов | Актуальна |
| Угроза утраты вычислительных ресурсов | Актуальна |
| Угроза включения в проект не достоверно испытанных компонентов | Актуальна |
| Угроза внедрения системной избыточности | Актуальна |
| Угроза заражения компьютера при посещении неблагонадёжных сайтов | Актуальна |
| Угроза «кражи» учётной записи доступа к сетевым сервисам | Актуальна |
| Угроза скрытного включения вычислительного устройства в состав бот-сети | Актуальна |
| Угроза распространения «почтовых червей» | Актуальна |
Приложение В
Аналитическое обоснование необходимости создания системы защиты персональных данных, обрабатываемых в сегменте информационной системы АПК «Безопасный город»
(выписка)
Затраты на технические и программные средства защиты
Ориентировочная стоимость предлагаемых к использованию сертифицированных средств защиты информации представлена в таблице В.1
Таблица В.1 – Ориентировочная стоимость предлагаемых технических средств
| Продукт | Примерная стоимость, руб. |
| Средства защиты информации от несанкционированного доступа на 19 рабочих мест и 2 сервера | 437 000,00 |
| Средство анализа защищенности | 42 000,00 |
| Антивирусное программное обеспечение | 35 000,00 |
| Система обнаружения вторжений | 257 000,00 |
| Средства защиты канала связи | 455 000,00 |
| ИТОГО, руб. | 1 226 000,00 |
Затраты на установку и настройку средств защиты информации специалистами
К установке и настройке средств защиты информации могут привлекаться специалисты по защиты информации оператора, разработчики информационной системы и специалисты сторонних организаций, специализирующихся на защиты информации. Расчет стоимости работ по установке СЗИ приведен в таблице В.2
Таблица В.2 – Затраты работа на установку и настройки СрЗИ
| Продукт | Примерная стоимость, руб. |
| Установка и настройка средств защиты от несанкционированного доступа на 19 рабочих машин и 2 сервера | 50000,00 |
| Установка и настройка средства анализа защищенности | 5000,00 |
| Установка и настройка антивирусного программного обеспечения на 19 рабочих машин и 2 сервера | 20000,00 |
| Установка и настройка средства защиты канала связи | 90000,00 |
| ИТОГО, руб. | 165 000,00 |
Проведение испытаний системы защиты ГИС сопровождается выдачей документа, подтверждающего соответствие принятых мер защиты в соответствии с классом ГИС.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
