Отчет ПЗ 6.4 Аналитическое обоснование СЗИ. 6 Разработка аналитического обоснования необходимости создания системы защиты информации на объекте информатизации
 Скачать 1.08 Mb.
|
|
6. Возможные объекты воздействия угроз безопасности информации Негативные последствия, объекты воздействия, виды воздействия на них в ИСПДн «Кадры» ЗАО «Солнышко» изображены в таблице 515. Таблица 5
7. Источники угроз безопасности информации Возможные цели реализации угроз безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» нарушителями16 представлены в таблице 6. Таблица 6
Уровни возможностей нарушителей по реализации угроз безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» представлена в таблице 7 Таблица 7
8. Способы реализации (возникновения) угроз безопасности информации Исходя из объектов воздействия и доступных интерфейсов, для каждого вида нарушителя определены актуальные способы реализации угроз безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» представлена в таблице 8 Примеры определения актуальных способов реализации угроз безопасности информации и соответствующие им виды нарушителей и их возможности Таблица 8
9. Актуальные угрозы безопасности информации Из общего состава техник и тактик, приведенных в Методике оценки угроз безопасности информации: методический документ, утвержден ФСТЭК России от 5 февраля 2021 г., исключаем те, которые не связаны с используемыми у нас технологиями, не применимы к нашим процессам, не приводящие к ущербу или недоступные актуальным нарушителям. Все актуальные сценарии должны быть подмножествами их этого ограниченного набора тактик. Перечень основных тактик и соответствующих им типовых техник, используемых для построения сценариев реализации угроз безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» представлена в таблице 9 Таблица 9 – Расшифровка актуальных техник и тактик реализации УБИ
10. ТСЗИ предлагаемые для использования ИСПДн С учетом актуальных угроз безопасности ИСПДн входят: идентификация и аутентификация субъектов доступа и объектов доступа; управление доступом субъектов доступа к объектам доступа; ограничение программной среды; защита машинных носителей информации, регистрация событий безопасности; антивирусная защита; обнаружение (предотвращение) вторжений; контроль (анализ) защищенности персональных данных; обеспечение целостности информационной системы и персональных данных; обеспечение доступности персональных данных; защита среды виртуализации; защита технических средств; защита информационной системы, ее средств, систем связи и передачи данных; выявление инцидентов и реагирование на них; управление конфигурацией информационной системы и системы защиты персональных данных. 11. Обоснование необходимости привлечения специальных организаций Для четкого расчета и получение всех необходимых перечней документов 12. Оценка материальных, трудовых и финансовых затрат на разработку и внедрение ТСЗИ В учреждении отсутствует необходимое контрольно-измерительное оборудование, программные средства контроля защищенности информации от НСД и их приобретение не целесообразно в связи с высокой стоимостью. Кроме того, у учреждения нет лицензий на деятельность по технической защите конфиденциальной информации. В связи с большим объемом работ монтажных и пуско-наладочных, приемо-сдаточных и контрольных испытаний целесообразно привлечение сотрудников специализированной организации, имеющей лицензии на деятельность по технической защите персональных данных. 13. Ориентировочные сроки разработки и внедрения ТСЗИ Ориентировочная стоимость предлагаемых к использованию сертифицированных средств защиты информации представлена в таблице 11.1 Таблица 11.1 - ориентировочная стоимость предлагаемых технических средств
К установке и настройке средств защиты информации могут привлекаться специалисты по защиты информации оператора, разработчики информационной системы и специалисты сторонних организаций, специализирующихся на защиты информации. Проведение испытаний системы защиты ИС сопровождается выдачей документа, подтверждающего соответствие принятых мер защиты в соответствии с классом ИС. Проведение работ по оценке соответствия требованиям руководящих документов по защите информации в ИС может проводить организация, имеющая лицензию на право проведения работ по защиты конфиденциальной информации. Перечень работ по аттестации информационной системы
Предпроектная стадия – разработка технического (частного технического) задания на создание системы защиты ИС в течение десяти дней. Стадия проектирования – разработка проектов, включающая разработку технического проекта СЗИ в составе ИС в течение двадцати дней. Стадия ввода в действие СЗИ – включает установку, настройку, опытную эксплуатацию и приемо-сдаточные испытания средств защиты информации, а также аттестацию объекта информатизации на соответствие требованиям безопасности информации в течение тридцати дней 14. Перечень мероприятий по обеспечению конфиденциальности информации на стадии проектирования объекта информатизации Таким образом, в отношении персональных данных, обрабатываемых в ИСПДн «Кадры» ЗАО «Солнышко»», актуальными являются следующие угрозы безопасности17: 1. Угрозы несанкционированной модификации защищаемой информации 2. Угрозы внесения несанкционированных изменений в прикладное ПО 3. Угрозы сбора информации защищаемой системы 4. Угрозы ошибочных действий Экспертная группа: Начальник отдела ИБ ЗАО «Солнышко» Семенов С.С. Начальник отдела аудита ФГУП «НПП «Бэтта» Васильев Р.А. Ведущий специалист по ТЗИ ФГУП «НПП «Бэтта» Петров В.И. 1 Согласно Постановлению Правительства РФ №1119 для ИСПДн различают угрозы трех типов: Угрозы 1 типа - связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе. Угрозы 2 типа - связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе. Угрозы 3 типа - не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе. Согласно руководящему документу «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей» (Гостехкомиссия России, 1999), недекларированные возможности – это функциональные возможности программного обеспечения, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. 2Категории обрабатываемых персональных данных (ПДн), подразделяются на 4 группы: 1 группа — специальные категории ПДн, к которым относятся информация о национальной и расовой принадлежности субъекта, о религиозных, философских либо политических убеждениях, информацию о здоровье и интимной жизни субъекта; 2 группа — биометрические ПДн, то есть данные, характеризующие биологические или физиологические особенности субъекта и используемые для установления личности, например, фотография или отпечатки пальцев; 3 группа — общедоступные ПДн, то есть сведения о субъекте, полный и неограниченный доступ к которым предоставлен самим субъектом; 4 группа — иные категории ПДн, не представленные в трех предыдущих группах. Руководитель предпроектного обследования 1 Аналитическое обоснование подписывается руководителем предпроектного обследования, согласовывается с главным конструктором (должностным лицом, обеспечивающим научно-техническое руководство создания объекта информатизации), руководителем службы безопасности и утверждается руководителем предприятия-заказчика. Перечень сведений конфиденциального характера составляется заказчиком объекта информатизации и утверждается его руководителем. 2. 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |