22
Ведет запись на ознакомление с материалами арбитражных дел лиц,
участвующих в их рассмотрении, выдает материалы арбитражных дел для
ознакомления,
Принимает судебные дела и служебные документы на архивное хранение с
одновременным обеспечением сохранности, учета, качества обработки и
использования документов, хранящихся в архиве, с последующей подготовкой
и передачей документов в государственный архив,
Ведет справочно-информационную работу.
1.2. Анализ рисков информационной безопасности
1.2.1. Идентификация и оценка информационных активов
В Арбитражном суде Московской области хранится и обрабатывается
информация как с открытыми сведениями, так и имеющая конфиденциальный
характер (персональные данные, служебная тайна, коммерческая тайна).
Информационные активы Арбитражного суда:
- служебные сведения (доступ ограничен в соответствии с законом Гражданским
кодексом Российской Федерации),
- сведения о частной жизни граждан, которые позволяют идентифицировать его как
личность (доступ ограничен согласно Федеральному закону от 27 июля 2016 года №
152-ФЗ «О персональных данных»),
- сведения, которые содержат коммерческую тайну (доступ ограничен собственником
информации согласно Федеральному закону от 29 июля 2004 года № 98-ФЗ «О
коммерческой тайне»),
- вся конфиденциальная информация, а также информационные ресурсы.
23
Таблица 1.2 – Оценка информационных активов Арбитражного суда Московской
области
Вид
деятельност
и
Наименов
ание
актива
Форма
представл
ения
Владелец
актива
Критерий
определен
ия
стоимости
Размерность оценки
Количеств
енная
оценка
(рубли)
Качестве
нная
оценка
Информационные активы
Обработка
документов
Документ
ы
Электронн
ый
носитель и
бумажный
документ
Финансо
во-
бухгалте
рский
отдел
Первонача
льная
стоимость
актива
3000
малая
Обработка
документов
БД
Арбитра
жного
суда
Электронн
ый
носитель
Финансо
во-
бухгалте
рский
отдел
Первонача
льная
стоимость
актива
4500
Средняя
Сведения о
способах
доступа к
информацио
нным
ресурсам
БД
Арбитра
жного
суда
Электронн
ый
носитель
Финансо
во-
бухгалте
рский
отдел
Первонача
льная
стоимость
4500
Средняя
24
Продолжение таблицы 1.2
Вид
деятельност
и
Наименов
ание
актива
Форма
представл
ения
Владелец
актива
Критерий
определен
ия
стоимости
Размерность оценки
Количеств
енная
оценка
(рубли)
Качестве
нная
оценка
Обмен
корреспонде
нцией
Справочн
ик,
приказы,
файлы
электрон
ной
почты,
стандарт
ы форм
Электронн
ый
носитель
Сотрудн
ики
Арбитра
жного
суда
Первонача
льная
стоимость
1500
Малая
Активы программного обеспечения
Обработка
документов
Офисные
программ
ы
Электрон
ный
носитель
Отдел
программ
но-
техническ
ого
обеспечен
ия
Первонача
льная
стоимость
2000
Низкая
Обеспечени
я
непрерывно
й работы
Антивиру
сное и
системно
е ПО
Электрон
ный
носитель
Отдел
программ
но-
техническ
ого
обеспечен
ия
Первонача
льная
стоимость
5000
Средняя
25
Продолжение таблицы 1.2
Вид
деятельност
и
Наименов
ание
актива
Форма
представл
ения
Владелец
актива
Критерий
определен
ия
стоимости
Размерность оценки
Количеств
енная
оценка
(рубли)
Качестве
нная
оценка
Защита
данных
Страж
NT
Электрон
ный
носитель
Отдел
программ
но-
техническ
ого
обеспечен
ия
Первонача
льная
стоимость
17000
высокая
Обработка и
хранение
документов
ПК
«САД»
Электрон
ный
носитель
Отдел
программ
но-
техническ
ого
обеспечен
ия
Первонача
льная
стоимость
29000
Средняя
Физические активы
Сведения о
способах
доступа к
информацио
нным
ресурсам БД
Аппаратн
ые
средства
Материал
ьный
объект
Сотрудни
ки
Арбитраж
ного суда
Первонача
льная
стоимость
85000
Очень
высокая
26
Продолжение таблицы 1.2
Вид
деятельност
и
Наименов
ание
актива
Форма
представл
ения
Владелец
актива
Критерий
определен
ия
стоимости
Размерность оценки
Количеств
енная
оценка
(рубли)
Качестве
нная
оценка
Хранение
данных
Сервера
Материал
ьный
объект
Отдел
программ
но-
техническ
ого
обеспечен
ия
Первонача
льная
стоимость
118000
Высокая
Таблица 1.3 – перечень сведений конфиденциального характера Арбитражного суда
Московской области
Наименование сведений
Гриф конфиденциальности
Нормативный
документ, реквизиты
№№ статей
Сведения, раскрывающие
характеристики средств
защиты информации ЛВС
Арбитражного суда
Московской области от
несанкционированного
доступа
Для служебного
пользования
Федеральный закон от
27 июля 2006 года №
149-ФЗ
27
Продолжение таблицы 1.3
Наименование сведений
Гриф конфиденциальности
Нормативный
документ, реквизиты
№№ статей
Требования по обеспечению
сохранения служебной тайны
сотрудниками Арбитражного
суда Московской области
Для служебного
пользования
Гражданский кодекс
Российской Федерации
(статья 139)
Персональные данные
сотрудников
Конфиденциально
Федеральный закон от
27 июля 2007 года №
152-ФЗ
В таблице 1.4 приведены активы в качестве защиты информации т.к.
представляют для Суда высокую ценность
Таблица 1.4 – Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Конфиденциальная информация
1
Информационная целостность
1
Программное обеспечение
2
Защита данных
2
Обслуживание
3
Аппаратные средства
3
Пользовательские компьютеры
4
Документы
4
Коммуникации
5
Активы, имеющие наибольшую ценность:
1. Конфиденциальная информация,
28
2. Информационная целостность,
3. Программное обеспечение,
4. Документы,
5. Пользовательские компьютеры,
6. Коммуникации.
1.2.2. Оценка уязвимости активов
Федеральная служба по техническому и экспортному контролю (далее -
ФСТЭК России) в своем документе от 15 февраля 2008 года «Базовая модель угроз
безопасности персональных данных при их обработке в информационных системах
персональных данных» дает определение уязвимости как некой слабости, которую
можно использовать для нарушения системы или содержащейся в ней информации.
В Арбитражном суде Московской области наиболее уязвимыми являются
программно-аппаратные средства, осуществляющие сбор, передачу, обработку,
хранение и другие операции с информацией.
Чтобы лишить злоумышленника возможности воспользоваться уязвимостью,
следует найти данную уязвимость и устранить её. Для этого, в первую очередь,
требуется создать базу данных уязвимостей с их соответствующей классификацией.
Классификация уязвимостей по степени риска:
Высокая. Злоумышленник может воспользоваться уязвимостью, защита слабая
или полностью отсутствует. Вероятность успеха при использовании данного класса
угрозы ~ 90 – 100%,
Средняя. Злоумышленник может воспользоваться уязвимостью, однако есть
определенная защита. Вероятность успеха при использовании данного класса угрозы
~50%,
Низкая. Злоумышленнику будет проблематично воспользоваться данной
уязвимостью, существует серьезная защита. Вероятность успеха при использовании
данного класса угрозы ~ 0 – 10%.
29
Результаты оценки уязвимостей приведены в таблице 1.5.
Таблица 1.5 – Результаты оценки уязвимости активов
Группа уязвимостей
Содержание уязвимости
Сервера
БД
ПО
Документы
ПК
Среда и инфраструктура
Недостаточная защищенность
дверей и окон суда
низкая
низкая
низкая
низкая
Низкая
Халатное пользование
физическими средствами
защиты в здании
низкая
низкая
низкая
средняя
Высокая
Перебойная работа
энергосетей здания
Средняя
Средняя
Средняя
Средняя
Средняя
Возможные зоны затопления
Низкая
Низкая
Низкая
Низкая
Низкая
Аппаратное обеспечение
Колебания напряжения
Низкая
Средняя
Средняя
Низкая
Низкая
Температурные колебания
Средняя
Низкая
Низкая
Низкая
Низкая
Воздействие пыли, влаги,
загрязнения
Средняя
Низкая
Низкая
Низкая
Низкая
Воздействие чувствительного
электромагнитного излучения
Низкая
Средняя
Средняя
Низкая
Низкая
Программное обеспечение
Неточная разработка средств
программного обеспечения
Низкая
Низкая
Средняя
Высокая
Низкая
Неправильное тестирование
программного обеспечения
Низкая
Средняя
Средняя
Средняя
Средняя
Неясный пользовательский
интерфейс
Низкая
Низкая
Средняя
Высокая
Низкая
30
Продолжение таблицы 1.5.
Группа уязвимостей
Содержание уязвимости
Сервера
БД
ПО
Документы
ПК
Отсутствие механизмов
идентификации и
аутентификации
пользователей
Низкая
Средняя
Низкая
Низкая
Низкая
Отсутствие аудиторской
проверки
Низкая
Низкая
Низкая
Низкая
Средняя
Дефекты программного
обеспечения
Низкая
Низкая
Низкая
Низкая
Низкая
Отсутствие защиты паролей
Низкая
Высокая
Низкая
Низкая
Высокая
Неправильное управление
паролями
Низкая
Низкая
Низкая
Низкая
Низкая
Использование
неконтролируемой загрузки
программного обеспечения
Низкая
Низкая
Низкая
Средняя
Средняя
Отсутствие эффективного
контроля внесения изменений
Низкая
Низкая
Средняя
Средняя
Низкая
Отсутствие документации
Низкая
Средняя
Средняя
Средняя
Низкая
Отсутствие резервных копий
Низкая
Низкая
Средняя
Средняя
Низкая
Списание или повторное
использование
запоминающих сред без
надлежащего стирания
записей
Низкая
Низкая
Низкая
Низкая
Низкая
Коммуникации
Незащищенные линии связи
Низкая
Низкая
Низкая
Средняя
Низкая
Неудовлетворительная
стыковка кабелей
Низкая
Низкая
Низкая
Низкая
Низкая
31
Продолжение таблицы 1.5.
Группа уязвимостей
Содержание уязвимости
Сервера
БД
ПО
Документы
ПК
Отсутствие идентификации и
аутентификации отправителя
и получателя
Низкая
Низкая
Низкая
Низкая
Низкая
Пересылка паролей открытым
текстом
Низкая
Высокая
Низкая
Низкая
Высокая
Утечка конфиденциальной
информации из сети по
каналам связи (e-mail, web,
chat и т.п.)
Низкая
Низкая
Низкая
Средняя
Средняя
Коммутируемые линии
Низкая
Низкая
Низкая
Низкая
Низкая
Утечка конфиденциальной
информации на мобильных
устройствах, носителях
информации, ноутбуках и т.п.
Низкая
Низкая
Низкая
Средняя
Низкая
Неадекватное управление
сетью
Низкая
Средняя
Средняя
Средняя
Низкая
Нецелевое использование
компьютерного оборудования
и сети интернет сотрудниками
организации
Низкая
Низкая
Низкая
Низкая
Низкая
Документы (документооборот)
Незащищенные места
хранения
Низкая
Средняя
Средняя
Низкая
Низкая
Невнимательное уничтожение
документов
Низкая
Средняя
Высокая
Средняя
Низкая
Неконтролируемое
копирование
Низкая
Высокая
Высокая
Низкая
Низкая