Базовая-модель-угроз. Департаменту образования и науки города Москвы

• Название: Департаменту образования и науки города Москвы
• Дата: 09.11.2021
• Размер: 1.96 Mb.
• Имя файла: Базовая-модель-угроз.docx
• Тип: Документы; #267611
• страница: 2 из 10

Группа ИС «АРМ пользователей»

1. 
   Общие сведения об АРМ пользователей
   

ИСПДн АРМ пользователей состоит из пользовательских рабочих станций, которые имеют доступ к обработке ПДн в следующих ИС (в зависимости от типа ОО, включая, но не исчерпываясь):

5. 
   АИС «Зачисление в образовательную организацию»;
   
6. 
   АИС «Зачисление в Профтех»;
   
7. 
   УАИС «Бюджетный учет»;
   
8. 
   Единый сервис записи;
   
9. 
   ИС «Проход и питание»;
   
10. 
    ИАС МРКО ЭЖД;
    
11. 
    Электронный журнал;
    
12. 
    АИС «Олимпиада»;
    
13. 
    ведомственная электронная почта;
    
14. 
    официальный сайт ОО.
    

АРМ используются для исполнения должностных обязанностей персоналом ОО и контрактных обязательств работниками подрядных организаций.

АРМ пользователей расположены во всех отделениях (корпусах) ОО.

2. 
   Структура ИС группы «АРМ пользователей»
   

Система является кампусной многопользовательской системой с разграничением прав доступа пользователей, состоящей из множества АРМ, предназначенных как для локальной работы, так и для удаленного доступа к централизованным системам. С АРМ пользователей есть ограниченный доступ в сеть Интернет.

В ряде ОО АРМ пользователей включены в домен (локальный домен ОО или поддомен общего домена Департамента образования и науки Москвы), в других используются локальные персонифицированные учетные записи. Заведение локальных учетных записей и учетных записей домена ОО осуществляет работник ОО (инженер по автоматизации, техник); в ОО, подключенных к домену Департамента образования и науки гоода Москвы, учетные записи заводятся автоматически на основании данных из централизованных систем.

Аутентификация и авторизация пользователей при входе в АРМ осуществляется локально или на уровне домена. Пароль устанавливается новым пользователем АРМ при входе в операционную систему (далее  ОС) под созданной для него учетной записью. При первичном входе в ОС пользователям необходимо поменять пароль. Пароль, как правило, должен отвечать требованиям сложности (не менее 6 буквенно-цифровых символов).

Для доступа к централизованным системам используются учетные записи систем, предоставленные организациями, осуществляющими администрирование соответствующих систем.

Защита АРМ пользователей осуществляется штатными средствами ОС и средствами антивирусной защиты (как правило, но не на всех АРМ). Используются лицензионные средства антивирусной защиты, предоставленные Департаментом образования и науки города Москвы, или свободно распространяемые антивирусные программы. Пользователи не обладают правами локального администратора.

Журналирование событий на АРМ не регламентировано.

Пароль на внесение изменений в базовую систему ввода/вывода (далее  BIOS) не установлен. Автоматическая блокировка экрана при простое не используется.

3. 
   ИС АРМ пользователей, предназначенные для обработки ПДн категории «иные»
   

ИС АРМ пользователей, предназначенные для обработки ПДн категории «иные», не имеют структурных отличий от общей схемы группы «АРМ пользователей».

В состав обрабатываемых ПДн входят:

15. 
    ФИО;
    
16. 
    дата и место рождения;
    
17. 
    реквизиты документов, удостоверяющих личность;
    
18. 
    идентификаторы, присвоенные при постановке на учет в государственных органах (Федеральной налоговой службе, Фонде социального страхования и др.);
    
19. 
    информация о лицевых счетах;
    
20. 
    контактная информация – адреса регистрации и проживания, номера телефонов, адреса электронной почты;
    
21. 
    сведения об образовании, квалификации, аттестации, включая сведения о текущей успеваемости;
    
22. 
    социальный статус, позволяющий претендовать на льготы и компенсации (группа инвалидности и степень ограничения трудоспособности, наличие лиц, находящихся на иждивении, семейное положение и др.);
    
23. 
    сведения о доходах;
    
24. 
    любая другая информация, не относящаяся к специальным категориям ПДн и биометрическим ПДн.
    

Кроме того, к этой же группе можно отнести АРМ, на которых обрабатываются общедоступные данные, поскольку требования по защите применяются одинаковые.

4. 
   ИС АРМ пользователей, предназначенные для обработки специальных категорий ПДн
   

ИС АРМ пользователей, предназначенные для обработки специальных категорий ПДн, не имеют структурных отличий от общей схемы группы «АРМ пользователей».

В состав обрабатываемых ПДн помимо сведений категории «иные» входят сведения о состоянии здоровья (диагнозы текущих и перенесенных заболеваний) и другие медицинские данные.

5. 
   ИС АРМ пользователей, предназначенные для обработки биометрических ПДн
   

ИС АРМ пользователей, предназначенные для обработки биометрических ПДн, не имеют структурных отличий от общей схемы группы «АРМ пользователей».

В состав обрабатываемых ПДн помимо сведений категории «иные» входят сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность, и использующиеся в ОО для идентификации субъектов ПДн, в том числе фотографии в системе контроля и управления доступом.

5. 
   Группа ИС «Серверы ОО»
   
   1. 
      Общие сведения об используемых в ОО локальных системах
      

Для внутренних целей в ОО могут использоваться различные локальные ИС, например файловый сервер и сервер службы каталогов (как с локальным доменом, так и с поддоменом основного домена Департамента образования и науки города Москвы).

Серверы локальных ИС могут располагаться как в одном из отделений (корпусов) ОО, так и во всех отделениях (корпусах) ОО.

2. 
   Структура ИС группы «Серверы ОО»
   

Системы группы «Серверы ОО» являются локальными (реже – кампусными) многопользовательскими системами с разграничением прав доступа пользователей, состоящими из одного или нескольких серверов. Серверы имеют ограниченный доступ в сеть Интернет.

В ряде ОО серверы включены в домен (локальный домен ОО или поддомен общего домена Департамента образования и науки города Москвы), в других для администрирования используются локальные учетные записи.

Пользователи файловых серверов могут обращаться к ресурсам по ссылкам на папки, предназначенные для общей работы, или видеть ресурсы как виртуальные жесткие диски в зависимости от конфигурации, используемой в ОО.

Защита серверов осуществляется штатными средствами ОС и средствами антивирусной защиты (как правило, но не на всех серверах). Используются лицензионные средства антивирусной защиты, предоставленные Департаментом образования и науки города Москвы, или свободно распространяемые антивирусные программы.

Журналирование событий на серверах не регламентировано.

Пароль на внесение изменений в BIOS не установлен.

3. 
   ИС «Серверы, предназначенные для обработки ПДн категории «иные»
   

ИС «Серверы, предназначенные для обработки ПДн категории «иные» не имеет структурных отличий от общей схемы группы «Серверы ОО».

В состав обрабатываемых ПДн входят:

25. 
    ФИО;
    
26. 
    дата и место рождения;
    
27. 
    реквизиты документов, удостоверяющих личность;
    
28. 
    идентификаторы, присвоенные при постановке на учет в государственных органах (Федеральной налоговой службе, Фонде социального страхования и др.);
    
29. 
    информация о лицевых счетах;
    
30. 
    контактная информация – адреса регистрации и проживания, номера телефонов, адреса электронной почты;
    
31. 
    сведения об образовании, квалификации, аттестации, включая сведения о текущей успеваемости;
    
32. 
    социальный статус, позволяющий претендовать на льготы и компенсации (группа инвалидности и степень ограничения трудоспособности, наличие лиц, находящихся на иждивении, семейное положение и др.);
    
33. 
    сведения о доходах;
    
34. 
    любая другая информация, не относящаяся к специальным категориям ПДн и биометрическим ПДн.
    

Кроме того, к этой же группе можно отнести серверы, на которых обрабатываются общедоступные данные, поскольку требования по защите применяются одинаковые.

4. 
   ИС «Серверы, предназначенные для обработки специальных категорий ПДн»
   

ИС «Серверы, предназначенные для обработки специальных категорий ПДн» не имеет структурных отличий от общей схемы группы «Серверы ОО».

В состав обрабатываемых ПДн помимо сведений категории «иные» входят сведения о состоянии здоровья (диагнозы текущих и перенесенных заболеваний) и другие медицинские данные.

5. 
   ИС «Серверы, предназначенные для обработки биометрических ПДн»
   

ИС «Серверы, предназначенные для обработки биометрических ПДн» не имеет структурных отличий от общей схемы группы «Серверы ОО».

В состав обрабатываемых ПДн помимо сведений категории «иные» входят сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность, и использующиеся в ОО для идентификации субъектов ПДн, в том числе фотографии в системе контроля и управления доступом.

3. 
   Основные виды угроз безопасности ПДн в ИСПДн
   
   1. 
      Угрозы утечки информации по техническим каналам
      

В процессе обработки ПДн в ИСПДн существует возможность нарушения безопасности ПДн за счет реализации следующих угроз:

1. 
   угрозы утечки акустической (речевой) информации;
   
2. 
   угрозы утечки видовой информации;
   
3. 
   угрозы утечки информации по каналам побочных электромагнитных излучений и наводок (далее – ПЭМИН).
   

1. 
   Угрозы утечки акустической (речевой) информации
   

Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи пользователя ИСПДн, при обработке ПДн в ИСПДн возможно при наличии функций голосового ввода ПДн в ИСПДн или функций воспроизведения ПДн акустическими средствами ИСПДн.

Утечка акустической (речевой) информации может быть осуществлена:

35. 
    с помощью аппаратных закладок;
    
36. 
    за счет съема виброакустических сигналов;
    
37. 
    за счет излучений, модулированных акустическим сигналом (микрофонный эффект и высокочастотное облучение);
    
38. 
    за счет оптического излучения, модулированного акустическим сигналом.
    

2. 
   Угрозы утечки видовой информации
   

Угрозы утечки видовой информации реализуются за счет просмотра ПДн с помощью оптических (оптико-электронных) средств с экранов дисплеев и других устройств отображения средств вычислительной техники, информационно‑вычислительных комплексов, ТС обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн.

Кроме этого, просмотр (регистрация) ПДн возможен с использованием специальных электронных устройств съема, внедренных в служебных помещениях или скрытно используемых физическими лицами при посещении ими служебных помещений.

Необходимым условием осуществления просмотра (регистрации) ПДн является наличие прямой видимости между средством наблюдения и носителем ПДн.

Утечка видовой информации может быть осуществлена:

39. 
    за счет удаленного просмотра экранов дисплеев и других средств отображения информации;
    
40. 
    с помощью видеоаппаратных закладок.
    

3. 
   Угрозы утечки информации по каналам ПЭМИН
   

Возникновение угрозы ПДн по каналам ПЭМИН возможно за счет перехвата ТС побочных (не связанных с прямым функциональным значением элементов ИСПДн) информативных электромагнитных полей и электрических сигналов, возникающих при обработке ПДн ТС ИСПДн.

Генерация информации, содержащей ПДн и циркулирующей в ТС ИСПДн в виде электрических информативных сигналов, обработка и передача указанных сигналов в электрических цепях ТС ИСПДн сопровождаются побочными электромагнитными излучениями, которые могут распространяться за пределы служебных помещений в зависимости от мощности излучений и размеров ИСПДн.

Регистрация ПЭМИН осуществляется с целью перехвата информации, циркулирующей в ТС, осуществляющих обработку ПДн (в средствах вычислительной техники, информационно-вычислительных комплексах и сетях, средствах и системах передачи, приема и обработки ПДн, средствах и системах звукозаписи, звукоусиления, звуковоспроизведения, переговорных и телевизионных устройствах, средствах изготовления, тиражирования документов и других ТС обработки речевой, графической, видео- и буквенно-цифровой информации).

Для регистрации ПЭМИН используется аппаратура в составе радиоприемных устройств и оконечных устройств восстановления информации.

Утечка информации по каналам ПЭМИН может быть осуществлена:

41. 
    за счет побочных электромагнитных излучений электронно-вычислительной техники;
    
42. 
    за счет наводок по цепям питания;
    
43. 
    за счет радиоизлучений, модулированных информационным сигналом.
    

2. 
   Угрозы несанкционированного доступа
   

Угрозы несанкционированного доступа (далее – НСД) в ИСПДн с применением программных и программно-аппаратных средств реализуются при осуществлении несанкционированного, в том числе случайного, доступа, в результате которого осуществляется нарушение конфиденциальности (копирование, несанкционированное распространение), целостности (уничтожение, изменение) и доступности (блокирование) ПДн, и включают в себя:

1. 
   угрозы НСД, связанные с действиями нарушителей, имеющих доступ к ТС ИСПДн;
   
2. 
   угрозы, осуществляемые с использованием протоколов сетевого взаимодействия, реализуемые внутри распределенной сети;
   
3. 
   угрозы внедрения (в том числе по сети) вредоносных программ (программно‑математического воздействия).
   

1. 
   Угрозы НСД, связанные с действиями нарушителей, имеющих доступ к ТС ИСПДн
   

Данные угрозы могут быть реализованы нарушителем в случае получения физического доступа к ИСПДн или, по крайней мере, к средствам ввода информации в ИСПДн. При этом можно выделить ряд угроз, приведенных далее.

1. 
   Угрозы, реализуемые в ходе загрузки ОС
   

Эти угрозы безопасности информации направлены на перехват паролей или идентификаторов, модификацию ПО BIOS, перехват управления загрузкой с изменением необходимой технологической информации для получения НСД в операционную среду ИСПДн. Чаще всего такие угрозы реализуются с использованием отчуждаемых носителей информации.

2. 
   Угрозы, реализуемые после загрузки операционной среды, независимо от того, какая прикладная программа запускается пользователем
   

Эти угрозы, как правило, направлены на выполнение непосредственно НСД к информации. При получении доступа в операционную среду нарушитель может воспользоваться как стандартными функциями ОС (уничтожение, копирование, перемещение, форматирование носителей информации и т. п.) или какой-либо прикладной программой общего пользования (например системой управления базами данных), так и специально созданными для выполнения НСД программами, например:

44. 
    программами просмотра и модификации реестра ОС;
    
45. 
    программами поиска текстов в текстовых файлах по ключевым словам и копирования;
    
46. 
    специальными программами просмотра и копирования записей в базах данных;
    
47. 
    программами быстрого просмотра графических файлов, их редактирования или копирования;
    
48. 
    программами поддержки возможностей реконфигурации программной среды (настройки ИСПДн в интересах нарушителя) и др.
    

Кроме того, к данным угрозам необходимо отнести угрозы утечки информации путем копирования ее на съемные носители.

3. 
   Угрозы, реализуемые после загрузки операционной среды
   

Реализация данных угроз определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ. Большая часть таких угроз представляет собой угрозы внедрения вредоносных программ.

2. 
   Угрозы, осуществляемые с использованием протоколов сетевого взаимодействия, реализуемые внутри распределенной сети
   

Можно выделить ряд угроз, осуществляемых с использованием протоколов сетевого взаимодействия, реализуемых внутри распределенной сети.

1. 
   Угроза «анализ сетевого трафика»
   

Эта угроза реализуется с помощью специальной программы-анализатора пакетов (sniffer), перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются идентификатор пользователя и его пароль, а также конфиденциальная информация.

2. 
   Угроза сканирования сети
   

Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ИСПДн и анализе ответов от них с целью выявления используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определения активных сетевых сервисов, подбора идентификаторов и паролей пользователей.

3. 
   Угроза выявления паролей
   

Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IP-spoofing) и перехват пакетов (sniffing). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха злоумышленник может создать для себя «проход» для будущего доступа, который будет действовать, даже если на хосте изменится пароль доступа.

4. 
   Угроза навязывания ложного маршрута сети
   

Данная угроза реализуется путем несанкционированного изменения маршрутно‑адресных данных. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности из‑за проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сеть злоумышленника, где можно войти в операционную среду ТС в составе ИСПДн. Реализация угрозы основывается на несанкционированном использовании протоколов маршрутизации (RIP, OSPF, LSP) и управления сетью (ICMP, SNMP) для внесения изменений в маршрутно‑адресные таблицы. При этом нарушителю необходимо послать от имени сетевого управляющего устройства (например маршрутизатора) управляющее сообщение.

5. 
   Угроза внедрения ложного объекта сети
   

Эта угроза основана на использовании недостатков алгоритмов удаленного поиска. В случае если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска (например SAP в сетях Novell NetWare; ARP, DNS, WINS в сетях со стеком протоколов TCP/IP), предназначенные для передачи по сети специальных запросов и получения на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутно-адресных данных. В дальнейшем весь поток информации, ассоциированный с объектом-жертвой, будет проходить через ложный объект сети.

6. 
   Угрозы типа «отказ в обслуживании»
   

Эти угрозы основаны на недостатках сетевого ПО, его уязвимостях, позволяющих нарушителю создавать условия, когда ОС оказывается не в состоянии обрабатывать поступающие пакеты.

Может быть выделено несколько разновидностей таких угроз:

49. 
    скрытый отказ в обслуживании, вызванный привлечением части ресурсов ИСПДн на обработку пакетов, передаваемых злоумышленником, со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов. Примерами реализации угроз подобного рода могут служить направленный шторм эхо-запросов по протоколу ICMP (Ping flooding), шторм запросов на установление TCP-соединений (SYN-flooding), шторм запросов к FTP-серверу;
    
50. 
    явный отказ в обслуживании, вызванный полным исчерпанием ресурсов ИСПДн при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть из‑за недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов, дискового пространства памяти и т. д. Примерами угроз данного типа могут служить шторм широковещательных ICMP-эхо-запросов (Smurf), SYN-flooding, шторм сообщений почтовому серверу (Spam);
    
51. 
    явный отказ в обслуживании, вызванный нарушением логической связности между ТС ИСПДн при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих к изменению маршрутно-адресных данных (например ICMP Redirect Host, DNS-flooding) или идентификационной и аутентификационной информации;
    
52. 
    явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами (угрозы типа Land, TearDrop, Bonk, Nuke, UDP-bomb) или имеющих длину, превышающую максимально допустимый размер (угроза типа Ping Death), что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена.
    

Результатом реализации данной угрозы может стать нарушение работоспособности соответствующей службы предоставления удаленного доступа к ПДн в ИСПДн, передача с одного адреса такого количества запросов на подключение к ТС в составе ИСПДн, какое максимально может «вместить» трафик (направленный шторм запросов), что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полная остановка ИСПДн из-за невозможности системы заниматься ничем другим, кроме обработки запросов.

7. 
   Угроза удаленного запуска приложений
   

Угроза заключается в стремлении запустить на хосте ИСПДн различные предварительно внедренные вредоносные программы:

53. 
    программы-закладки;
    
54. 
    вирусы;
    
55. 
    «сетевые шпионы» и т. д.
    

Основная цель внедренных вредоносных программ – нарушение конфиденциальности, целостности, доступности информации и полный контроль за работой хоста. Кроме того, возможен несанкционированный запуск прикладных программ пользователей для несанкционированного получения необходимых нарушителю данных, для запуска управляемых прикладной программой процессов и др.

Выделяют три подкласса данной угрозы:

1. 
   Распространение файлов, содержащих несанкционированный исполняемый код. Типовые угрозы этого подкласса основываются на активизации распространяемых файлов при случайном обращении к ним. Примерами таких файлов могут служить:
   

1. 
   файлы, содержащие исполняемый код в виде макрокоманд (документы Microsoft Word, Excel и т. п.);
   
2. 
   HTML-документы, содержащие исполняемый код в виде элементов ActiveX, Java-апплетов, интерпретируемых скриптов (например тексты на JavaScript);
   
3. 
   файлы, содержащие исполняемые коды программ.
   

Для распространения файлов могут использоваться службы электронной почты, передачи файлов, сетевой файловой системы.

2. 
   Удаленный запуск приложения путем переполнения буфера приложений‑серверов. При угрозах этого подкласса используются недостатки программ, реализующих сетевые сервисы (в частности отсутствие контроля за переполнением буфера). Настройкой системных регистров иногда удается переключить процессор после прерывания, вызванного переполнением буфера, на исполнение кода, содержащегося за границей буфера. Примером реализации такой угрозы может служить внедрение широко известного «вируса Морриса».
   
3. 
   Удаленный запуск приложения путем использования возможностей удаленного управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами. При угрозах этого подкласса нарушитель использует возможности удаленного управления системой, предоставляемые скрытыми компонентами (например, «троянскими» программами типа Back Orifice, Net Bus) либо штатными средствами управления и администрирования компьютерных сетей (Landesk Management Suite, Managewise, Back Orifice и т. п.). В результате их использования удается добиться удаленного контроля над станцией в сети.
   

3. 
   Угрозы внедрения по сети вредоносных программ (программно‑математического воздействия)
   

Программно-математическое воздействие – это воздействие с помощью вредоносных программ. Программой с потенциально опасными последствиями, или вредоносной программой, называют некоторую самостоятельную программу (набор инструкций), которая способна выполнять любое непустое подмножество следующих функций:

56. 
    скрывать признаки своего присутствия в программной среде компьютера;
    
57. 
    обладать способностью к самодублированию, ассоциированию себя с другими программами и (или) переносу своих фрагментов в иные области оперативной или внешней памяти;
    
58. 
    разрушать (искажать произвольным образом) код программ в оперативной памяти;
    
59. 
    выполнять без инициирования со стороны пользователя (пользовательской программы в штатном режиме ее выполнения) деструктивные функции (копирования, уничтожения, блокирования и т. п.);
    
60. 
    сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных);
    
61. 
    искажать произвольным образом, блокировать и (или) подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных.
    

Вредоносные программы могут быть внесены в процессе эксплуатации ИСПДн с внешних носителей информации или посредством сетевого взаимодействия как в результате НСД, так и случайно, пользователями ИСПДн.

Вредоносные программы основаны на использовании уязвимостей различного рода ПО и разнообразных сетевых технологий, обладают широким спектром возможностей и могут действовать во всех видах ПО.

Наличие в ИСПДн вредоносных программ может способствовать возникновению скрытых, в том числе нетрадиционных, каналов доступа к информации, позволяющих вскрывать, обходить или блокировать защитные механизмы, предусмотренные в системе, в том числе парольную защиту.

4. 
   Угрозы наличия недекларированных (недокументированных) возможностей в ПО
   

Недекларированные (недокументированные) возможности (далее – НДВ) – функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Угрозы НДВ в ПО разделяются на:

1. 
   угрозы, связанные с наличием НДВ в системном ПО, используемом в ИС;
   
2. 
   угрозы, связанные с наличием НДВ в прикладном программном обеспечении (далее – ППО), используемом в ИС.
   

4. 
   Источники угроз безопасности ПДн в ИСПДн
   

Источник угрозы безопасности информации – субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации.

Источниками угроз НСД в ИСПДн могут быть:

62. 
    носитель вредоносной программы;
    
63. 
    аппаратная закладка;
    
64. 
    нарушитель.
    

1. 
   Объекты угроз ИСПДн
   

В процессе обработки и хранения защищаемой информации к объектам угроз ИСПДн, создающим условия для появления угроз безопасности, могут быть отнесены:

65. 
    ПДн, хранящиеся и обрабатываемые в базах данных ИСПДн;
    
66. 
    конфигурационная информация;
    
67. 
    управляющая информация;
    
68. 
    информация в электронных журналах регистрации событий;
    
69. 
    побочные сигналы, которые возникают в процессе функционирования ТС и в которых полностью или частично отражаются ПДн или другая защищаемая информация;
    
70. 
    резервные копии файлов с ПДн, которые могут создаваться в процессе обработки этих файлов;
    
71. 
    остаточная информация на носителях информации.
    

2. 
   Носитель вредоносной программы
   

В качестве носителя вредоносной программы в ИСПДн может выступать аппаратный элемент средств вычислительной техники из состава ИСПДн или ПО, выполняющий роль программного контейнера.

Если вредоносная программа не ассоциируется с какой-либо прикладной программой из состава системного или общего ПО ИСПДн, в качестве ее носителя выступают:

72. 
    отчуждаемый носитель, то есть дискета, оптический диск, лазерный диск, флеш-память, внешний жесткий диск и т. п.;
    
73. 
    встроенные носители информации (жесткие диски, микросхемы оперативной памяти, процессор, микросхемы системной платы, микросхемы устройств, встраиваемых в системный блок устройства – видеоадаптера, сетевой платы, устройств ввода/вывода магнитных жестких, оптических и лазерных дисков и т. п., – микросхемы прямого доступа к памяти, шин передачи данных, портов ввода/вывода);
    
74. 
    микросхемы внешних устройств (клавиатуры, принтера, плоттера, сканера и т. п.)
    

В том случае, если вредоносная программа может быть проассоциирована с системным или общим ПО, с файлами различной структуры или с сообщениями, передаваемыми по сети, то ее носителем являются:

75. 
    пакеты передаваемых по сети ИСПДн сообщений;
    
76. 
    файлы (исполняемые, текстовые, графические и т. д.).
    

При возникновении угроз, источником которых является носитель вредоносной программы, появляется потенциальная возможность нарушения конфиденциальности, целостности, доступности и других характеристик безопасности ПДн.

3. 
   Аппаратная закладка
   

Аппаратные закладки могут быть конструктивно встроенными и автономными.

Конструктивно встроенные аппаратные закладки создаются в ходе проектирования и разработки аппаратного обеспечения, применяемого в ИСПДн, и могут проявляться в виде НДВ различных элементов вычислительной системы.

Автономные аппаратные закладки являются законченными устройствами, выполняющими определенные функции перехвата, накопления, передачи или ввода/вывода информации. Например, функции автономной аппаратной закладки может выполнять сотовый телефон, несанкционированно подключаемый к ТС ИСПДн.

Учитывая, что аппаратные закладки представляют собой некоторый элемент ТС, скрытно внедряемый или подключаемый к ИСПДн и обеспечивающий при определенных условиях реализацию НСД или непосредственное выполнение некоторых деструктивных действий, в них, как правило, содержатся микрокоманды, обеспечивающие взаимодействие закладки с программно-техническими средствами ИСПДн.

Аппаратные закладки могут реализовать угрозы:

77. 
    сбора и накопления ПДн, обрабатываемых и хранимых в ИСПДн;
    
78. 
    формирования технических каналов утечки (акустический, оптический, ПЭМИН) с возможной обработкой информации, в том числе и стеганографическими методами, и передачей ее за пределы контролируемой зоны (далее  КЗ) ИСПДн (на внешних машинных носителях информации).
    

В связи с технической сложностью использования аппаратных закладок можно сделать вывод, что вероятность использования аппаратных закладок в рамках данной ИСПДн очень низкая.

4. 
   Нарушитель безопасности ПДн
   

Модель нарушителя учитывает требования следующих законодательных актов и нормативно-методических документов:

79. 
    Федеральный закон Российской Федерации от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
    
80. 
    «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утвержденные руководством 8 Центра ФСБ России от 21.02.2008 г. № 149/54-144;
    
81. 
    «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденные руководством 8 Центра ФСБ России от 21.02.2008 г. № 149/6/6-622;
    
82. 
    «Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности», утвержденные Приказом ФСБ России от 10.07.2014 г. № 378.
    

Модель нарушителя может быть пересмотрена:

83. 
    по решению ОО на основе периодически проводимых анализа и оценки угроз безопасности ПДн с учетом особенностей и (или) изменений конкретной ИС;
    
84. 
    по результатам мероприятий по контролю выполнения требований к обеспечению безопасности ПДн при их обработке в ИСПДн.
    

1. 
   Описание возможных нарушителей
   

Под понятием «нарушитель безопасности ПДн» подразумевается физическое лицо или группа лиц, случайно или преднамеренно совершающие действия (атаку), следствием которых является нарушение безопасности ПДн при их обработке ТС в ИСПДн ОО.

Физические лица, имеющие доступ к техническим и программным средствам ИСПДн, разделяются на следующие категории: