27
- технологическая информация, под которой подразумевается сово-
купность документов и сведений, содержащих технологическую ин-
формацию, и сведения, раскрывающие имеющуюся систему защиты
информации;
- сведения и данные, раскрывающие организацию и содержание меро-
приятий в области технической защиты информации, относящиеся к
конфиденциальной информации;
- сведения, относящиеся к интеллектуальной собственности, в том
числе исходные коды разрабатываемого программного обеспечения.
Структурированный результат оценки информационных активов ООО «Би-
леты онлайн» приведен в таблице 2.
Таблица 2
Оценка информационных активов ООО «Билеты онлайн»
Наименова-
ние актива
Форма
представ-
ления
По-
след-
ствие
угрозы
Результат оценки
Описание возможных по-
следствий угрозы и
ущерба
Вели-
чина
ущерба
Тип
ущерба
Исходные
коды про-
граммного
обеспечения
Информа-
ция на
электрон-
ном носи-
теле
К
3
У3,У5
Появление программы у
конкурентов, использова-
ние программы без ведома
правообладателя
Ц
3
У5
Невозможность развития
проекта (выпуска обновле-
ний, исправлений)
Д
3
У5
Внутренний
сайт проекта
«Билеты он-
лайн»
Информа-
ция на
электрон-
ном носи-
теле
К
-
-
Ц
2
У5
Существенный ущерб
имиджу компании, потеря
доверия со стороны учре-
ждений культуры
Д
3
У1,У5
При длительной недоступ-
ности репутации компании
может быть нанесен серь-
28
Наименова-
ние актива
Форма
представ-
ления
По-
след-
ствие
угрозы
Результат оценки
Описание возможных по-
следствий угрозы и
ущерба
Вели-
чина
ущерба
Тип
ущерба
езный ущерб, потеря дове-
рия со стороны учрежде-
ний культуры
Основной
сайт проекта
«Билеты он-
лайн»
Информа-
ция на
электрон-
ном носи-
теле
К
-
-
Ц
2
У5
Невозможность ведения
основной деятельности,
существенный ущерб ими-
джу компании, потеря до-
верия со стороны значи-
тельной части клиентов
Д
3
У1,У5
Невозможность ведения
основной деятельности.
При длительной недоступ-
ности репутации компании
может быть нанесен серь-
езный ущерб
Персональ-
ные данные
сотрудников
ООО «Би-
леты онлайн»
и других фи-
зических лиц,
предоставив-
ших сведения
о себе с усло-
вием их за-
щиты.
Информа-
ция на
электрон-
ном носи-
теле,
Бумаж-
ный доку-
мент
Ц
2
У5
Невозможность ведения
основной деятельности,
существенный ущерб ими-
джу компании, потеря до-
верия со стороны значи-
тельной части клиентов
Д
3
У1,У5
Невозможность ведения
основной деятельности.
При длительной недоступ-
ности репутации компании
может быть нанесен серь-
езный ущерб
29
Наименова-
ние актива
Форма
представ-
ления
По-
след-
ствие
угрозы
Результат оценки
Описание возможных по-
следствий угрозы и
ущерба
Вели-
чина
ущерба
Тип
ущерба
Д
3
У6
В случае недоступности
базы персональных дан-
ных более 1 дня
Условные обозначения:
У1 — ущерб коммерческим интересам партнеров и третьих лиц;
У2 — санкции со стороны правоохранительных и регулирующих органов
(штрафы, административная и уголовная ответственность);
УЗ — ущерб коммерческим интересам организации;
У4 — финансовые потери;
У5 — ущерб репутации организации;
У6 — дезорганизация деятельности, ухудшение морального климата в кол-
лективе, снижение эффективности работы.
Таблица 3
Ущерб организации
Вели-
чина
Ущерб коммерческим интересам организации
Финансовые потери
0
Представляет интерес для конкурентов.
Менее 100 000 руб.
1
Представляют интерес для конкурентов и при-
носит им коммерческую выгоду
От 100 тысяч до 1 милли-
она руб.
2
Представляет интерес для конкурентов и прино-
сит им коммерческую выгоду
От 1 миллиона до 10 мил-
лионов руб
3
Представляет интерес д ля конкурентов и при-
носит им коммерческую выгоду (упущенная вы-
года организации)
От 10 миллионов до 100
миллионов руб.
4
Коммерческие интересы или финансовое поло-
жение организации могут быть существенно по-
дорваны, потеря основной доли рынка
Более 100 миллионов
руб., банкротство и пре-
кращение бизнеса
30
Перечень информационных активов ООО «Билеты онлайн», к которым обя-
зательно ограничение доступа, что регламентируется действующим законода-
тельством Российской Федерации [6],[9], сведены в таблицу 4.
Таблица 4
Перечень сведений конфиденциального характера
№
п/п
Наименование информационного ак-
тива
Гриф кон-
фиденци-
альности
Нормативный доку-
мент
1.
Персональные данные сотрудников
ООО «Билеты онлайн» и других фи-
зических лиц, предоставивших све-
дения о себе с условием их защиты.
Персональ-
ные данные
Федеральный закон от
27.07.2006 № 152-ФЗ
«О персональных дан-
ных»
2.
Техническая документация на про-
граммные средства защиты инфор-
мации и прикладные программы об-
работки информационных ресурсов.
Конфиден-
циально
Федеральный закон от
29.07.2004 № 98-ФЗ «О
коммерческой тайне»
3.
Служебные сведения, доступ к кото-
рым ограничен органами государ-
ственной власти в соответствии с
Гражданским кодексом Российской
Федерации и федеральными зако-
нами.
Конфиден-
циально
Указ Президента РФ от
6 марта 1997 г. № 188
«Об утверждении пе-
речня сведений конфи-
денциального харак-
тера»
4.
Документы по аттестации объектов
информатизации
Конфиден-
циально
Указ Президента РФ от
6 марта 1997 г. № 188
«Об утверждении пе-
речня сведений конфи-
денциального харак-
тера»
31
№
п/п
Наименование информационного ак-
тива
Гриф кон-
фиденци-
альности
Нормативный доку-
мент
5.
Сведения об организации защиты
информационных технологий, при-
меняемых аппаратных и программ-
ных средствах защиты информации
в автоматизированных системах,
действующих паролях и кодах, о
ключевой информации, порядке её
генерации, учета, хранения, рас-
сылки и обновлении.
Конфиден-
циально
Указ Президента РФ от
6 марта 1997 г. № 188
«Об утверждении пе-
речня сведений конфи-
денциального харак-
тера»
6.
Сведения о технической защите и
системе охраны помещений.
Конфиден-
циально
Указ Президента РФ от
6 марта 1997 г. № 188
«Об утверждении пе-
речня сведений конфи-
денциального харак-
тера»
7.
Сведения, характеризующие факти-
ческое и планируемое экономиче-
ское состояние предприятия.
Коммерче-
ская тайна
Федеральный закон от
29.07.2004 № 98-ФЗ «О
коммерческой тайне»
8.
Сведения об условиях оплаты труда
специалистов ООО «Билеты он-
лайн»
Коммерче-
ская тайна
Федеральный закон от
29.07.2004 № 98-ФЗ «О
коммерческой тайне»
9.
Конфиденциальные переговоры
Конфиден-
циально
Указ Президента РФ от
6 марта 1997 г. № 188
«Об утверждении пе-
речня сведений конфи-
денциального харак-
тера»
32
Результат ранжирования активов, представляющий собой обобщенную
оценку степени важности актива для предприятия, приведенную к пятибалльной
шкале, показан в таблице 5.
Таблица 5
Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Персональные данные сотрудников
ООО «Билеты онлайн» и других физиче-
ских лиц, предоставивших сведения о себе с
условием их защиты.
1
Исходные коды разрабатываемого про-
граммного обеспечения
2
Внутренний сайт проекта «Билеты онлайн»
2
Основной сайт проекта «Билеты онлайн»
3
Активы, имеющие наибольшую ценность:
1. Персональные данные сотрудников и клиентов;
2. Исходные коды разрабатываемого программного обеспечения;
3. Внутренний сайт проекта «Билеты онлайн»;
4. Основной сайт проекта «Билеты онлайн».
В соответствии с требованиями нормативно-правовых актов Российской
Федерации, а именно, Федерального закона от 27.07.2006 № 152-ФЗ «О персо-
нальных данных», из представленного выше списка в ООО «Билеты онлайн» обя-
зательной защите подлежат только персональные данные, таким образом в каче-
стве объекта защиты будут рассматриваться только информационные системы
персональных данных, представляющие собой совокупность содержащихся в ба-
зах данных персональных данных и обеспечивающих их обработку информаци-
онных технологий и технических средств.
Основные характеристики ИСПДн, необходимые для определения угроз
безопасности информации, приведены в таблице 6.[8]
33
Таблица 6
Перечень ИСПДн и их характеристики
№
п/
п
Назва-
ние
ИСПДн
Тип информационной си-
стемы
Круг субъектов
ПДн
Объем обрабаты-
вае-мых ПДн
1
Интер-
нет-
касса
Информационная си-
стема, обрабатывающая
иные категории ПДн (в
ИСПДн обрабатываются
ПДн, не являющиеся об-
щедоступными, и не обра-
батываются специальные
категории ПДн или био-
метрические ПДн)
В ИСПДн обраба-
тываются ПДн
субъектов ПДн, не
являющихся со-
трудниками ООО
«Билеты онлайн»
Менее 100 000
2
Зар-
плата и
кадры
Информационная си-
стема, обрабатывающая
иные категории ПДн (в
ИСПДн обрабатываются
ПДн, не являющиеся об-
щедоступными, и не обра-
батываются специальные
категории ПДн или био-
метрические ПДн)
В ИСПДн обраба-
тываются ПДн
субъектов ПДн, яв-
ляющихся сотруд-
никами ООО «Би-
леты онлайн»
Менее 100 000
Режим обработки предусматривает следующие действия с персональными
данными: сбор, использование, систематизацию, накопление, хранение, уничто-
жение, уточнение (обновление, изменение), распространение (в том числе пере-
дачу) персональных данных. В ИСПДн ведется автоматизированная (обработка
персональных данных с использованием различных средств вычислительной тех-
ники) и неавтоматизированная обработка персональных данных. Информация
хранится как на электронном, так и на бумажном носителе.
34
Список владельцев активов с назначенными ролями и полномочиями до-
ступа указан в таблице 7.
Таблица 7
Владельцы активов
Роль
Уровень доступа к
ПДн
Разрешенные
действия
Сотрудники
ИСПДн «Ин-
тернет-касса»
ИСПДн
«Зарплата
и кадры»
Администр
атор АИС
Обладает полной
информацией
о системном
и прикладном ПО
ИСПДн.
Обладает полной
информацией
о технических
средствах и
конфигурации
ИСПДн.
Имеет доступ ко
всем техническим
средствам
обработки
информации и
данным ИСПДн.
Обладает правами
конфигурировани
я и
административно
й настройки
технических
средств ИСПДн.
-сбор
-систематизация
-накопление
-хранение
-уточнение
-использование
-распространение
-обезличивание
-блокирование
-уничтожение
Ведущий раз-
работчик про-
граммного
обеспечения
Начальник
информа-
ционного
отдела
Администр
атор
безопаснос
ти
Обладает правами
Администратора
ИСПДн.
Обладает полной
информацией
об ИСПДн.
Имеет доступ
к СЗИ и средствам
протоколирования
и к части
ключевых
элементов
ИСПДн.
- хранение
- использование
- уничтожение
Начальник ин-
формацион-
ного отдела
Начальник
информа-
ционного
отдела
35
Роль
Уровень доступа к
ПДн
Разрешенные
действия
Сотрудники
ИСПДн «Ин-
тернет-касса»
ИСПДн
«Зарплата
и кадры»
Не имеет прав
доступа
к конфигурирован
ию технических
средств сети
за исключением
контрольных
(инспекционных).
Оператор
Обладает всеми
необходимыми
атрибутами и
правами,
обеспечивающим
и доступ
ко всем ПДн.
- сбор
- систематизация
- накопление
- хранение
- уточнение
- использование
- уничтожение
Бухгалтеры,
программи-
сты, кассиры
Бухгал-
теры, со-
трудники
отдела кад-
ров
Администр
атор БД
(Разработчи
к ПО)
Обладает
информацией об
алгоритмах и
программах
обработки
информации
в ИСПДн.
Обладает
возможностями
внесения ошибок,
недекларированн
ых возможностей,
программных
закладок,
вредоносных
программ в ПО
ИСПДн на стадии
её разработки,
внедрения и
сопровождения.
Может
располагать
любыми
фрагментами
информации
о топологии
ИСПДн и
технических
средствах
-систематизация
-накопление
-хранение
-уточнение
-обезличивание
-блокирование
-уничтожение
Программи-
сты
Системные
админи-
страторы
36
Роль
Уровень доступа к
ПДн
Разрешенные
действия
Сотрудники
ИСПДн «Ин-
тернет-касса»
ИСПДн
«Зарплата
и кадры»
обработки и
защиты ПДн,
обрабатываемых
в ИСПДн
1.2.2. Оценка уязвимостей и угроз активам
Оценка уязвимостей и угроз персональных данных производится в соответ-
ствии с требованиями Федерального закона от 27.07.2006 №152–ФЗ «О персо-
нальных данных», Постановлением Правительства Российской Федерации от
1.11.2012 № 1119 «Об утверждении требований к защите персональных данных
при их обработке в информационных системах персональных данных», Приказом
ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания орга-
низационных и технических мер безопасности персональных данных при их об-
работке в информационных системах персональных данных», в соответствии со
следующими руководящими документами:
«Базовая модель угроз безопасности персональных данных при их обра-
ботке в информационных системах персональных данных», утверждённым 15
февраля 2008 года;
«Методика определения актуальных угроз безопасности персональных дан-
ных при их обработке в информационных системах персональных данных»,
утверждённым 14 февраля 2008 года.
В разработанной Модели угроз безопасности персональных данных при их
обработке в ИСПДн «Интернет-касса» ООО «Билеты онлайн» и Модели угроз
безопасности персональных данных при их обработке в ИСПДн «Зарплата и
кадры» ООО «Билеты онлайн» представлены описание ИСПДн и ее структурно-
функциональных характеристик, состава и режима обработки ПДн, оценка
исходного уровня защищённости, анализ угроз безопасности персональных
данных (далее – ПДн).
Анализ угроз безопасности ПДн (далее – УБПДн) включает:
- описание угроз;
- оценку вероятности возникновения угроз;