37
- оценку реализуемости угроз;
- оценку опасности угроз;
- определение актуальности угроз.
Плановый пересмотр проводится в порядке проведения контроля состояния
защиты информации (не реже одного раза в год).
Внеплановый пересмотр должен осуществляться в следующих случаях:
- изменения требований законодательства Российской Федерации в
области защиты информации, нормативно-правовых актов и
методических документов, регулирующих защиту информации;
- изменения конфигурации и условий размещения ИСПДн;
- изменения в составе основных элементов ИСПДн, которые могут
повлиять на состав угроз безопасности информации.
1.2.2.3 Определение типов угроз
Для определения типов угроз в соответствии с «Требованиями к защите
персональных данных при их обработке в информационных системах персональ-
ных данных», утвержденных постановлением Правительства РФ от 1 ноября 2012
г. № 1119, произведем описание каждой ИСПДн. В таблице 8 указаны характери-
стики обеих ИСПДн ООО «Билеты онлайн».
Таблица 8
Основные характеристики ИСПДн
Характеристики ИСПДн
Характеристики ИСПДн «Зар-
плата и кадры»
Характеристики ИС-
ПДн «Интернет касса»
Категории ПДн
Иные
Иные
Наличие подключений
информационной си-
стемы к сетям общего
пользования и (или) се-
тям международного ин-
формационного обмена
Есть
Есть
38
(Интернет)
Режим обработки ПДн в
информационной системе
Многопользовательский
Многопользователь-
ский
Разграничение прав до-
ступа пользователей ИС-
ПДн
Имеется
Имеется
Местонахождение
технических средств
ИСПДн
В Российской Федерации
В Российской Федера-
ции
Речевая обработка сведе-
ний составляющих ПДн
Не ведется
Не ведется
Актуальность угроз
Угрозы 3-го типа
Угрозы 3-го типа
Количество субъектов,
ПДн которых обрабаты-
ваются в
ИСПДн
Около 50 субъектов ПДн, яв-
ляющихся сотрудниками опе-
ратора
Менее 100000 субъек-
тов ПДн, не являю-
щихся сотрудниками
оператора
Структура ИСПДн
локальная информационная
система, состоящая из не-
скольких АРМ и одного сер-
вера
распределенная инфор-
мационная система, со-
стоящая из одного сер-
вера и подключаемых
удаленных АРМ
Возможность возникновения угроз 1-го типа, связанных с наличием недо-
кументированных (недекларированных) возможностей в системном программном
обеспечении, используемом в информационной системе исключается, ввиду от-
сутствия мотивации осуществления деятельности, связанной с нарушением ха-
рактеристик безопасности информации у нарушителей, которые могут использо-
вать данные уязвимости (разведывательные службы, разработчики операционных
систем), а также отсутствия информации в ИСПДн, ценной для данных наруши-
телей. Остальные типы нарушителей, ввиду сложности и больших финансовых
затрат для реализации уязвимостей не рассматриваются. [13]
39
Возможность возникновения угроз 2-го типа, связанных с наличием недо-
кументированных (недекларированных) возможностей в прикладном программ-
ном обеспечении, используемом в информационной системе исключается, ввиду
использования сертифицированных средств защиты от несанкционированного
доступа на объектах обеих ИСПДн.
В соответствии с частью 6 «Требований к защите персональных данных при
их обработке в информационных системах персональных данных», утвержденных
постановлением Правительства РФ от 1 ноября 2012 г. № 1119, для ИСПДн акту-
альны угрозы 3-го типа, не связанные с наличием недокументированных (не де-
кларированных) возможностей в системном и прикладном программном обеспе-
чении, используемом в информационной системе.
На основании вышеизложенных пунктов, будет определен уровень защи-
щённости ПДн в каждой ИСПДн. Эти данные отображаются в акте определения
уровней защищённости ПДн, утверждаемом руководителем ООО «Билеты он-
лайн». Предварительно и для ИСПДН «Интернет-касса», и для ИСПДн «Зарплата
и кадры» установлен уровень защищенности – 4.
1.2.2.4 Модель угроз безопасности персональных данных при их обра-
ботке в ИСПДн
Ниже в таблице 9 представлена модель угроз с указанием мер по противо-
действию актуальным угрозам из перечня угроз безопасности ПДн, обрабатывае-
мых в ИСПДн «Зарплата и кадры» и «Интернет-касса».[17]
40
Таблица 9
Модель угроз безопасности ПДн в ИСПДн «Зарплата и кадры» и «Интернет-касса»
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
1. Угрозы от утечки по техническим каналам
1.1. Угрозы утечки
акустической инфор-
мации
маловероятно
низкая
низкая
Неактуальная
1.2. Угрозы утечки
видовой информа-
ции
маловероятно
низкая
низкая
Неактуальная
1.3. Угрозы утечки
информации по кана-
лам ПЭМИН
маловероятно
низкая
низкая
Неактуальная
2. Угрозы несанкционированного доступа к информации
2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путём физического доступа к
элементам ИСПДн
41
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
2.1.1. Кража ПЭВМ
маловероятно
низкая
низкая
Неактуальная
2.1.2. Кража носите-
лей информации
ИСПДн «Зарплата и
кадры»
Высокая веро-
ятность
Высокая ве-
роятность
низкая
Актуальная
Сертифицированные
ФСТЭК средства за-
щиты от НСД
-В ИСПДн выполня-
ется контроль до-
ступа посторонних
лиц в КЗ, наличие
решёток на окнах
первых этажей, осу-
ществляется физиче-
ская охрана КЗ, уста-
новлена охранная
сигнализация, утвер-
ждён список лиц, до-
пущенных в поме-
42
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
щение, где произво-
дится обработка
ПДн, утверждён спи-
сок помещений, где
уборка помещений
проводится только в
присутствии сотруд-
ника, утверждён
список лиц на полу-
чение ключей от
конкретных помеще-
ний;
- Положение о за-
щите ПДн;
43
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
-Инструкция пользо-
вателя по обеспече-
нию безопасности
обработки ПДн; -
Инструкция по
учёту носителей
ПДн;
ИСПДн «Интернет-
касса»
маловероятно
низкая
низкая
Неактуальная
маловероятно
низкая
2.1.3. Кража ключей
и атрибутов доступа
Высокая веро-
ятность
Высокая ве-
роятность
низкая
Актуальная
-Обеспечение хране-
ния в сейфе ключей
доступа.
-Положение о под-
разделение по за-
щите информации;
44
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
- Положение о за-
щите ПДн;
-Инструкция пользо-
вателя по обеспече-
нию безопасности
обработки ПДн;
2.1.4. Кражи, моди-
фикации, уничтоже-
ния информации.
маловероятно
низкая
низкая
Неактуальная
2.1.5. Вывод из строя
узлов ПЭВМ, кана-
лов связи
маловероятно
низкая
низкая
Неактуальная
2.1.6. Несанкциони-
рованное отключе-
ние средств защиты
маловероятно
низкая
низкая
Неактуальная
45
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счёт несанкционирован-
ного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-матема-
тических воздействий)
2.2.1. Действия вре-
доносных программ
(вирусов)
Высокая веро-
ятность
Высокая ве-
роятность
средняя
Актуальная
-Сертифицированные
ФСТЭК средства анти-
вирусной защиты сер-
вера и АРМ пользова-
телей ИСПДн
-Сертифицированные
ФСТЭК средства цен-
трализованного кон-
троля доступа на АРМ
пользователей к съём-
ным накопителям ин-
формации
-Инструкция пользо-
вателя;
-Инструкция адми-
нистратора безопас-
ности;
-Инструкция по ор-
ганизации антиви-
русной защиты;
- Положение о за-
щите ПДн;
46
Наименование
угрозы
Вероятность
реализации
угрозы (Y2)
Возмож-
ность реали-
зации угрозы
(Y)
Опас-
ность
угрозы
Актуальность
угрозы
Меры по противодействию угрозе
Технические
Организационные
-Инструкция пользо-
вателя по обеспече-
нию безопасности
обработки ПДн.
2.2.2. Недеклариро-
ванные возможности
системного ПО и ПО
для обработки ПДн
Средняя веро-
ятность
Средняя ве-
роятность
низкая
Нектуальная
2.2.3. Установка ПО,
не связанного с ис-
полнением служеб-
ных обязанностей
ИСПДн «Зарплата и
кадры»
Средняя веро-
ятность
Средняя ве-
роятность
средняя
Актуальная
-Сертифицированные
ФСТЭК средства за-
щиты от НСД
-Должностные ин-
струкции сотрудни-