17
Продолжение таблицы 1.2.
Вид деятельности
Наименование
актива
Форма
представления
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количественная
оценка (руб./год)
Качественная
Активы программного обеспечения
Работа
с программным
обеспечением;
Готовые
программы
(хранящиеся у
начальников
отделов)
Готовые
программы и БД,
хранящиеся на
съемных
носителях
НККДЦ Расходы на
создание
≈100 000 Очень высокая
Физические активы
Работа с
клиентами,
База данных
Сотрудники
Сотрудники
фирмы
НККДЦ Средняя з.п.
специалиста
≈32 000
Средняя
Рабочие
компьютеры
Компьютеры
сотрудников
НККДЦ Исходная
стоимость
товара
Стоимость
обновлений
≈280 000 Высокая
Телефония и
периферия
Телефоны
сотрудников
НККДЦ Исходная
стоимость
товара
≈50 000 Средняя
Серверы рабочей
информации
Компьютеры -
серверы
НККДЦ Исходная
стоимость
товара
Стоимость
обновлений
≈300 000
Высокая
18
Работа с
клиентами,
База данных
Съемные
носители
информации
CD и DVD
диски, USB
флеш-
накопители и т.п.
Сотрудники,
использующие
съемные носители
Исходная
стоимость
товара
≈40 000 Средняя
Компьютерная
периферия
принтеры,
факсы, ИПБ и
т.п.
НККДЦ Исходная
стоимость
товара
≈120 000 Высокая
Необходимые
запасные детали
компьютеров
видео карты,
сетевые платы,
манипуляторы
Системные
администраторы
Исходная
стоимость
товара
≈100 000 Высокая
Сети интернет и
внутренние сети
фирмы
Ресурсы
всемирной сети и
ресурсы сети
фирмы
НККДЦ Расходы на
оплату
провайдеру
24 000 Средняя
Услуги
Готовая база
данных
Готовая к работе
БД
Файлы БД и
программа для
их чтения
НККДЦ
Стоимость
создания
Стоимость
технической БД
≈152 000руб
Высокая
прибыль
19
Перечень ПДн, ограничение доступа, к которым регламентируется
действующим законодательством РФ, сведен в таблицу 1.3.
Таблица 1.3
Перечень активов НККДЦ вовлечённых в обработку ПДн
№
п/п
Наименование
сведений
Гриф
конфиденциальности
Нормативный документ,
реквизиты, №№ статей
1. База данных
содержащих
информацию субъектов
ПДн
строго
конфиденциально
Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
2 Серверы с рабочей
информацией,
содержащих данные
субъектов ПДн
конфиденциально Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
3 Рабочие компьютеры конфиденциально Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
4 Персональные данные
сотрудников
ПДн Федеральный закон 152-ФЗ «О
персональных данных» [10]
5 Документы и отчеты коммерческая тайна Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
6 Больничные листы,
карточки клиентов,
выписки из
медицинских карт
строго
конфиденциально
Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
7 Сотрудники,
работающие с ПДн
ПД Федеральный закон 152-ФЗ «О
персональных данных» [10]
8
Съемные носители
информации
Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
9
Компьютерная
периферия
коммерческая тайна Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
10
Необходимые
расходные материалы
конфиденциально Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
20
№
п/п
Наименование
сведений
Гриф
конфиденциальности
Нормативный документ,
реквизиты, №№ статей
и о защите информации» от 27
июля 2006г. [11]
11 Сети интернет и ЛВС
мед.центра
конфиденциально Федеральный закон №149-ФЗ
«Об информации,
информационных технологиях
и о защите информации» от 27
июля 2006г. [11]
Рассмотренные выше активы целесообразно проранжировать. Результаты
представлены в таблице (табл.1.4).
Таблица 1.4
Результаты определения ценности активов по рангу
Наименование актива Ценность актива (ранг)
База данных содержащих информацию субъектов
ПДн
5
Сети интернет и внутренние сети фирмы 5
Персональные данные клиентов и сотрудников 5
Серверы с рабочей информацией, содержащих
данные субъектов ПДн
4
Компьютеры сотрудников, работающих с ПДн 4
Больничные листы, карточки клиентов, выписки из
медицинских карт
3
Сотрудники, работающие с ПДн 3
Съемные носители информации
2
Компьютерная периферия
2
Необходимые расходные материалы
1
Финансовые показатели 1
Информационные активы, имеющие наибольшую ценность:
1. База данных содержащих информацию субъектов ПДн
2. Сети интернет и внутренние сети
3. Персональные данные
4.
Серверы с рабочей информацией, содержащих данные субъектов ПДн
5.
Компьютеры сотрудников, работающих с ПДн.
21
1.2.2. Оценка уязвимостей активов
Определение «уязвимость» относят к свойствам или атрибутам актива,
которые могут использоваться других образом или для других целей, чем те, для
которых инициировался «жизненный цикл» данного актива.
В процессе оценки уязвимостей происходит определение
информационных активов, в которых могут быть реализованы возможные
угрозы, а также оценка вероятного уровня опасности дискредитации, т.е.
доступность таких активов с целью неправомерного их использования.
Важно оценить, насколько доступны те или иные информационные
активы. Степень доступности следует оценивать по отношению к каждому
информационному активу, которая может использовать эту уязвимость в
конкретной ситуации.
Составим перечень уязвимостей для медицинского центра:
природные бедствия;
аварии электроснабжения;
отказ аппаратного обеспечения;
сбой сети передачи данных;
отказ программного обеспечения;
сбой приложения;
атака хакеров;
вирусная атака;
внутренняя угроза информации;
кража;
случайная порча собственности фирмы;
умышленная порча собственности фирмы;
перепад температур (как уличной температуры, так и температуры в
помещении);
скачки напряжения электроснабжения.
Укажем степень оценки вероятности возможной реализации отмеченных
уязвимостей (таблица 1.5).
22
Таблица 1.5
Результаты оценки доступности активов, которые могут содержать ПДн НККДЦ
Группа уязвимостей
Содержание уязвимости
Базы данных Серверы
Персональные
данные
Компьютеры
Сети интернет и
внутренние сети
фирмы
1. Среда и инфраструктура
Природные бедствия высокая высокая высокая высокая высокая
2. Аппаратное обеспечение
Аварии электроснабжения средняя высокая низкая высокая низкая
Отказ аппаратного
обеспечения
высокая высокая низкая высокая низкая
Сбой сети передачи данных средняя низкая низкая низкая низкая
3. Программное обеспечение
Отказ программного
обеспечения
средняя высокая низкая низкая низкая
Сбой приложения средняя высокая низкая низкая низкая
Атака хакеров высокая низкая средняя низкая низкая
Вирусная атака высокая средняя высокая высокая низкая
Внутренняя угроза
информации
высокая средняя высокая средняя высокая
4. Коммуникации
Аварии электроснабжения высокая высокая низкая высокая низкая
5.Персонал
Кража высокая низкая высокая низкая высокая
Случайная порча высокая высокая низкая высокая высокая
Умышленная порча высокая высокая высокая высокая высокая
23
Продолжение таблицы 1.5
Оценки доступности активов, которые могут содержать ПДн НККДЦ
Группа угроз
Содержание угроз
Базы данных Серверы
Персональные
данные
Компьютеры
Сети интернет и
внутренние сети
фирмы
6. Общие уязвимые места
Перепад температур низкая высокая низкая высокая низкая
Скачки напряжения сети
электроснабжения
средняя высокая низкая высокая низкая
24
1.2.3. Оценка угроз активам
Угроза (возможность несанкционированного воздействия) может нанести
ущерб информационной системе медицинского центра и его активам. Если эта
угроза реализована, она может взаимодействовать с системой и вызвать
несанкционированные действия, оказывающие несанкционированное
воздействие, как на саму систему, так и на отдельный актив НККДЦ. В основе
угроз может лежать как техногенный
или природный, так и человеческий
фактор; они могут реализовываться, как непреднамеренно или форс-мажорно,
так и злонамеренно. Источники как первых, так и вторых (злонамеренных) типов
угроз должны быть установлены и проанализированы, для того, чтобы свести к
минимуму их появление в будущем. Важно не упустить из виду любую из угроз,
так
как в результате возможен вывод из строя всей информационной системы
либо возникновение «дыр» в системе организации.
25
Таблица 1.6
Результаты оценки уязвимостей активов
Группа угроз
Содержание уязвимостей
Базы данных Серверы
Персональные
данные
Компьютеры
Сети интернет и
внутренние сети
фирмы
1. Угрозы, обусловленные преднамеренными действиями
Мошенничество и кража
высокая
средняя высокая низкая высокая
Случаи вредительства со
стороны персонала
высокая
высокая
высокая
Промышленный шпионаж высокая высокая высокая
Имитация действий
законного пользователя
высокая высокая
2. Угрозы, обусловленные случайными действиями
Ошибки и упущения высокая низкая низкая низкая
Программное обеспечение,
нарушающее нормальную
работу системы
высокая высокая высокая
3. Угрозы, обусловленные естественными причинами
Ухудшение состояния
материальной части и
инфраструктуры
высокая
Форс-мажор (пожар,
наводнение и т.д.)
высокая
26
1.2.4. Оценка существующих и планируемых средств защиты
Основная вычислительная нагрузка лежит на регистратуре, в которой
располагается сервер базы данных. Автоматизированные рабочие места (АРМ) в
сети объединены маршрутизатором, с доступом в Интернет. Доступ к серверу
имеют все компьютеры, входящие в сеть предприятия. Структурная схема сети
медицинского центра показана на рис.1.2.
Рис
.1.2. Структурная схема ЛВС медицинского центра
Каждое отделение медицинского центра имеет в распоряжении
собственную локальную вычислительную сеть (ЛВС). ЛВС является типовой
для каждого отделения. Типовая схема ЛВС отделения представлена на рис.1.3.
Рис.1.3. Структурная схема ЛВС