36
Продолжение таблицы 3
Вид
деятельности
Наименование актива
Форма представления
Владелец актива
Критерии определения
стоимости
Качественная
оценка
важных клиентов;
Работа с
юридическими
лицами
База данных юридических лиц
(рассматривается как SQL-
программа);
Информация представлена
в форме электронного
запроса.
ПАО «Промсвязьбанк»
Требование законодательства РФ
2
.
Хранящаяся информация носит
конфиденциальный характер.
«очень высокая»
Работа с
физическими
лицами
База данных физических лиц
(рассматривается как SQL-
программа);
Информация представлена
в форме электронного
запроса.
ПАО «Промсвязьбанк»
Требование законодательства РФ.
Хранящаяся информация носит
конфиденциальный характер.
«высокая»
Работа с
физическими
лицами
Программа создания запроса
на внесение и изменение
информации в базе данных
физических лиц;
Информация представлена
в форме электронного
запроса.
ПАО «Промсвязьбанк»
Требование законодательства РФ.
Хранящаяся информация носит
конфиденциальный характер.
«средняя»
Работа с
юридическими
лицами
Программа создания запроса
на внесение и изменение
информации в базе данных
юридических лиц;
Информация представлена
в форме электронного
запроса.
ПАО «Промсвязьбанк»
Требование законодательства РФ.
Хранящаяся информация носит
конфиденциальный характер.
«средняя»
Программное
обеспечение
деятельности
банка
Программное обеспечение,
установленное на серверном
оборудовании, компьютерах
пользователей сети,
периферийных устройствах;
Информация представлена
в электронной форме.
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации и политики
информационной безопасности.
«высокая»
Программное
обеспечение
деятельности
банка
Программы настройки
маршрутизации сети и передачи
данных, IP-телефонии, доступа
в Интернет;
Информация представлена
в электронной форме.
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации и политики
информационной безопасности.
«высокая»
Программное
обеспечение
деятельности
банка
Специальное программное
обеспечение по защите
информации (антивирусы,
брандмауэры и т.д.)
Информация представлена
в электронной форме.
ПАО «Промсвязьбанк»
Является собственностью банка
«средняя»
Программное
обеспечение
деятельности
банка
Прикладные программы
(Word, Excel, powerpoint и т.д.)
Информация представлена
в электронной форме.
ПАО «Промсвязьбанк»
Является собственностью банка
«очень малая»
Физические активы
37
Продолжение таблицы 3
Вид
деятельности
Наименование актива
Форма представления
Владелец актива
Критерии определения стоимости
Качественная
оценка
Техническое
обеспечение
деятельности
банка
Серверное оборудование,
коммутационные устройства,
терминальное оборудование;
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
Является собственностью банка
«очень высокая»
Техническое
обеспечение
деятельности
банка
Оконечные устройства
обработки информации
пользователей локальной
вычислительной сети (основано
на технологии тонкий клиент);
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
Является собственностью банка
«очень высокая»
Техническое
обеспечение
деятельности
банка
Оконечные абонентские
устройства IP-телефонии.
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
Является собственностью банка
«высокая»
Техническое
обеспечение
деятельности
банка
Периферийное оборудование
(принтеры, плоттеры, сканеры).
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
Является собственностью банка
«средняя»
Техническое
обеспечение
деятельности
банка
Технические
информационные накопители
(флеш-накопители, жесткие
диски, CD/DVD-диски)
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
Является собственностью банка
«средняя»
Техническое
обеспечение
деятельности
банка
Линия передачи данных
(оптическое волокно)
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
Актив другой организации,
переданный во временное
пользование
«малая»
Техническое
обеспечение
деятельности
банка
Линия телефонной связи
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
ПАО «Ростелеком»
Актив другой организации,
переданный во временное
пользование
«малая»
Техническое
обеспечение
деятельности
банка
Линия электропроводки;
Физический актив в виде
аппаратуры в техническом
исполнении
ПАО «Промсвязьбанк»
АО «Мосэнергосбыт»
Актив другой организации,
переданный во временное
пользование
«малая»
38
Таблица 4
Перечень
информационных активов, к которым ограничен доступ на основании действующего
законодательства РФ
№
п/п
Наименование сведений
Гриф
конфиденциальности
Нормативный документ
1.
Информация о компаниях
занимающихся госзакупками и
специальных счетах, хранящаяся на
материальных носителях информации,
а также в базе данных
Для служебного
пользования,
Коммерческая тайна
ФЗ от 29.12.2012 № 275-ФЗ «О
государственном оборонном заказе»
2.
Информация о важных клиентах,
хранящаяся на материальных носителях
информации, а также в базе данных
важных клиентов, представителей
государственных компаний, крупных
инвесторов и предпринимателей.
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
3.
Информация в базе данных
юридических лиц о состоянии лицевых
счетов и предоставляемых услугах, а
также информация, составляющая
корпоративную тайну компаний и
организаций.
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
4.
Информация о юридическом лице,
документация компаний и организаций
вносимая в базу данных юридических
лиц, при создании типового запроса на
предоставление услуг, проведение
операций по счетам, изменение
основной информации
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
5.
Информация в базе данных
физических лиц о состоянии лицевых
счетов клиентов и предоставляемых им
услуг;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
6.
Бумажные накопители информации
(документы, сшитые дела, накопители).
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
7.
Копии документов юридических
лиц, компаний и организаций в
бумажном виде, а также договоров на
оказание им услуг;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
8.
Копии документов и договоров на
оказание услуг физических лиц в
бумажном виде;
Персональные данные
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
9.
Информация, вносимая в базу
данных физических лиц, при создании
типового запроса на предоставление
услуг, проведение операций по счетам,
изменение основной информации;
Персональные данные
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных» ФЗ от
27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
10.
Информация, записываемая в
рабочих тетрадях и блокнотах;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
11.
Информация, циркулирующая
между сотрудниками и клиентами банка
в сетях телефонной связи, сетях
передачи данных, а также в
акустической форме;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
39
Продолжение таблицы 4
№
п/п
Наименование сведений
Гриф
конфиденциальности
Нормативный документ
12.
База данных компаний
занимающихся госзакупками
(рассматривается как SQL-программа)
Для служебного
пользования,
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
13.
Программа создания запроса на
внесение и изменение информации в
базе данных компаний занимающихся
госзакупками;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
14.
База данных важных клиентов
(рассматривается как SQL-программа);
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
15.
Программа создания запроса на
внесение и изменение информации в
базе данных важных клиентов;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
16.
База данных юридических лиц
(рассматривается как SQL-программа);
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
17.
База данных физических лиц
(рассматривается как SQL-программа);
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
18.
Программа создания запроса на
внесение и изменение информации в
базе данных физических лиц;
Персональные данные
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных»
ФЗ от 27.07.2006 № 149-ФЗ «Об
информации, информационных
технологиях и о защите информации»
19.
Программа создания запроса на
внесение и изменение информации в
базе данных юридических лиц;
Коммерческая тайна
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных» ФЗ от
27.07.2006 № 149-ФЗ «Об информации,
информационных технологиях и о
защите информации»
20.
Программное обеспечение,
установленное на серверном
оборудовании, компьютерах
пользователей сети, периферийных
устройствах;
Конфиденциальная
информация в рамках
мер по защите
информации в
организации
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных» ФЗ от
27.07.2006 № 149-ФЗ «Об информации,
информационных технологиях и о
защите информации»
21.
Программы настройки
маршрутизации сети и передачи
данных, IP-телефонии, доступа в
Интернет;
Конфиденциальная
информация в рамках
мер по защите
информации в
организации
ФЗ от 27.07.2006 № 152-ФЗ «О
персональных данных» ФЗ от
27.07.2006 № 149-ФЗ «Об информации,
информационных технологиях и о
защите информации»
На основании требований целостности и конфиденциальности, применяемых к
информации на предприятии, можно провести определение и ранжирование по
степени важности основных информационных активов дополнительного офиса
«Проспект мира» Публичного акционерного общества «Промсвязьбанк». Результат
40
ранжирования представляет собой интегрированную оценку степени важности
актива для предприятия, оценка выставляется по пятибалльной шкале.
В целях оптимизации затраченного времени и сил при дальнейшей разработке
методов защиты информации и обеспечения информационной безопасности,
аналогичные по своей характеристике, способу хранения и уровню важности активы
можно условно объединить в обобщенные пункты. Выстроенная в соответствии с
рангом система информационных активов дополнительного офиса «проспект мира»
Публичного акционерного общества «Промсвязьбанк» указана в таблице 5.
Таблица 5
Результаты ранжирования активов
Наименование актива
Ценность
актива (ранг)
База данных компаний занимающихся госзакупками, их документация и
данные специальных счетов (рассматривается с точки зрения информации
и технической составляющей)
1
Документация в отношении компаний занимающихся госзакупками на
бумажных носителях информации
1
Базы данных (физических, юридических лиц и важных клиентов)
организации в виде представленной в них информации (рассматривается с
точки зрения информации и технической составляющей)
1
Документация в отношении физических, юридических лиц и важных
клиентов на бумажных носителях информации
2
Серверное оборудование, коммутационные устройства, терминальное
оборудование;
2
Оконечные устройства обработки информации пользователей локальной
вычислительной сети (основано на технологии тонкий клиент);
2
Оконечные абонентские устройства IP-телефонии.
3
Программное обеспечение, установленное на серверном оборудовании,
компьютерах пользователей сети, периферийных устройствах;
3
Информация о юридических и физических лицах, документация компаний
и организаций, вносимая в базу данных, при создании типового запроса на
предоставление услуг, проведение операций по счетам, изменение
основной информации, а также программа создания запроса.
3
Информация, записываемая в рабочих тетрадях и блокнотах;
3
Специальное программное обеспечение по защите информации
(антивирусы, брандмауэры и т.д.)
3
Информация, циркулирующая между сотрудниками и клиентами банка в
сетях телефонной связи, сетях передачи данных, а также в акустической
форме;
3
Программы настройки маршрутизации сети и передачи данных, IP-
телефонии, доступа в Интернет;
3
Маркетинговая информация, план привлечения новых клиентов,
маркетинговая база.
4
Периферийное оборудование (принтеры, плоттеры, сканеры).
4
41
Продолжение таблицы 5
Наименование актива
Ценность
актива (ранг)
Технические информационные накопители (флеш-накопители, жесткие
диски, CD/DVD-диски)
4
Прикладные программы (Word, Excel, powerpoint и т.д.)
5
Линия передачи данных (оптическое волокно)
5
Линия телефонной связи
5
Линия электропроводки;
5
Из приведенной таблицы можно выбрать основные активы, имеющие
наибольшую ценность для дополнительного офиса «Проспект мира» Публичного
акционерного общества «Промсвязьбанк». Указанные активы, будут
рассматриваться в дальнейшей работе в качестве основного объекта защиты:
1. База данных с информацией о компаниях, занимающихся госзакупками, их
документация и данные специальных счетов (рассматривается с точки зрения
информации и технической составляющей);
2. Документация в отношении компаний, занимающихся госзакупками на
бумажных носителях информации;
3. Базы данных физических, юридических лиц и важных клиентов их
документация и данные счетов и услуг (рассматривается с точки зрения информации
и технической составляющей);
4. Документация в отношении физических, юридических лиц и важных
клиентов на бумажных носителях информации;
5. Серверное оборудование, коммутационные устройства, терминальное
оборудование;
6. Оконечные устройства обработки информации пользователей локальной
вычислительной сети (основано на технологии тонкий клиент);
7. Информация, записываемая в рабочих тетрадях и блокнотах;
8. Информация, циркулирующая между сотрудниками и клиентами банка в
сетях телефонной связи, сетях передачи данных, а также в акустической форме.
42
1.2.2. Оценка уязвимостей активов.
В соответствии с ГОСТ Р ИСО/МЭК ТО 13335-3-2007
9
в дополнительном офисе
«Проспект мира» Публичного акционерного общества «Промсвязьбанк» проводится
идентификация уязвимостей окружающей среды, организации, процедур,
персонала, менеджмента, администрации, аппаратных средств, программного
обеспечения или аппаратуры связи, которые могут быть использованы источником
угроз для нанесения ущерба информационным активам.
Оценка уязвимостей активов проводится ежегодно в соответствии с планом
мероприятий по защите информации и обеспечения безопасности информации, а
также по команде при возникновении непредвиденных обстоятельств различного
характера. Указание на проведение оценки уязвимости активов дает начальник
службы безопасности банка. Результат оценки уязвимостей активов утверждается в
качестве составляющей «Методических рекомендаций по защите информации в
Публичном акционерном обществе «Промсвязьбанк».
Исходные данные для оценки уязвимости активов должны быть получены от
владельцев или пользователей активов, а также от службы безопасности банка. В
процессе оценки уязвимости изучаются свойства активов, которые могут быть
использованы для реализации угрозы.
По итогам оценки уязвимостей составляется перечень уязвимостей и проводится
оценка степени вероятности их возможной реализации.
Результаты оценки уязвимости активов дополнительного офиса «Проспект
мира» Публичного акционерного общества «Промсвязьбанк» указаны в таблице 6.
43
Таблица 6
Результаты оценки уязвимости активов дополнительного офиса «Проспект мира»
Публичного акционерного общества «Промсвязьбанк»
Содержание
уязвимости
База данных с
информацией
о компаниях
занимающихся
госзакупками,
их
документация
и данные
специальных
счетов
Документация
в отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
устройства
коммутации,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети (основано
на технологии
тонкий клиент)
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующа
я между
сотрудниками
и клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а
также в
акустической
форме.
1. Среда и инфраструктура
Недостаточность
физической защиты
здания
низкая
низкая
низкая
средняя
низкая
низкая
средняя
средняя
Неправильное
использование системы
контроля управления
доступом
низкая
средняя
низкая
средняя
низкая
средняя
средняя
средняя
Нестабильная работа
электросети
низкая
низкая
низкая
низкая
низкая
низкая
низкая
низкая
2. Аппаратное обеспечение
Использование
устаревшей аппаратуры
средняя
низкая
средняя
низкая
высокая
высокая
низкая
средняя
Подверженность
колебаниям напряжения
низкая
низкая
низкая
низкая
высокая
высокая
низкая
средняя
Подверженность
температурным
колебаниям
низкая
низкая
низкая
низкая
высокая
высокая
низкая
средняя
44
Продолжение таблицы 6
Содержание
уязвимости
База данных с
информацией
о компаниях
занимающихся
госзакупками,
их
документация
и данные
специальных
счетов
Документация
в отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационны
е устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети (основано
на технологии
тонкий клиент)
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующа
я между
сотрудниками
и клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а
также в
акустической
форме.
Подверженность
воздействию влаги,
пыли, загрязнения
низкая
высокая
низкая
высокая
высокая
высокая
высокая
средняя
Чувствительность к
электромагнитному
излучению
низкая
низкая
низкая
низкая
высокая
высокая
низкая
средняя
Неправильное
обслуживание
низкая
низкая
низкая
низкая
высокая
высокая
низкая
средняя
Неверное изменение
конфигураций
средняя
низкая
средняя
низкая
высокая
высокая
средняя
средняя
3. Программное обеспечение
Неполные требования к
используемым
средствам программного
обеспечения
высокая
низкая
высокая
низкая
средняя
средняя
низкая
средняя
Отсутствие контроля за
средствами
программного
обеспечения
высокая
низкая
высокая
низкая
средняя
средняя
низкая
средняя
Сложный
пользовательский
интерфейс
высокая
низкая
высокая
низкая
низкая
низкая
низкая
низкая
Отсутствие механизмов
аутентификации и
идентификации
пользователей
высокая
низкая
высокая
низкая
низкая
низкая
низкая
высокая
45
Продолжение таблицы 6
Содержание
уязвимости
База данных с
информацией
о компаниях
занимающихся
госзакупками,
их
документация
и данные
специальных
счетов
Документация
в отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационны
е устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети (основано
на технологии
тонкий клиент)
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующа
я между
сотрудниками
и клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а
также в
акустической
форме.
Отсутствие аудиторской
проверки
высокая
низкая
высокая
низкая
низкая
низкая
низкая
низкая
Наличие дефектов
программного
обеспечения
высокая
низкая
высокая
низкая
низкая
низкая
низкая
низкая
Незащищенные таблицы
паролей
высокая
низкая
высокая
низкая
низкая
низкая
низкая
низкая
Плохое управление
паролями
высокая
низкая
высокая
низкая
низкая
низкая
низкая
низкая
Неправильное
разграничение прав
доступа
высокая
низкая
высокая
низкая
высокая
низкая
низкая
низкая
Неконтролируемая
загрузка и
использование
программного
обеспечения
высокая
низкая
высокая
низкая
высокая
низкая
низкая
низкая
Отсутствие регистрации
конца сеанса при выходе
с рабочей станции
высокая
низкая
высокая
низкая
высокая
низкая
низкая
низкая
Отсутствие контроля
внесения изменений
высокая
низкая
высокая
низкая
высокая
низкая
низкая
низкая
Отсутствие резервных
копий
высокая
низкая
высокая
низкая
высокая
низкая
низкая
низкая
4. Коммуникации