МОДЕЛЬ УГРОЗ И НАРУШИТЕЛЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ В ТИПОВЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ. Министерство связи и массовых коммуникаций Российской Федерации Модель угроз и нарушителя безопасности персональных данных
![]()
|
7Угрозы безопасности персональных данных, при их обработке в типовых информационных системах персональных данныхПод угрозами безопасности персональных данных при их обработке в ИСПДн понимается совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и (или) несанкционированными и (или) непреднамеренными воздействиями на нее. Таким образом, угрозы безопасности ПДн при их обработке в ИСПДн могут быть связаны как с непреднамеренными действиями персонала ИСПДн, так и со специально осуществляемыми неправомерными действиями отдельных организаций и граждан, а также иными источниками угроз. Неправомерные действия могут исходить также и от сотрудников предприятия в случае, когда они рассматриваются в качестве потенциального нарушителя безопасности ПДн. В целях формирования систематизированного перечня угроз безопасности ПДн при их обработке в ИСПДн и разработке на их основе частных (детализированных) моделей применительно к конкретному виду ИСПДн, угрозы безопасности персональным данным в ИСПДн можно классифицировать в соответствии со следующими признаками: по видам возможных источников угроз; по типу ИСПДн, на которые направлена реализация угроз; по виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн); по способам реализации угроз; по используемой уязвимости; по объекту воздействия. Для типовых ИСПДн существуют следующие классы угроз безопасности ПДн: По видам возможных источников угроз безопасности персональных данных угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющими доступ к информационным ресурсам ИСПДн, включая пользователей, реализующие угрозы непосредственно в ИСПДн; угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена; угрозы, возникновение которых напрямую зависит от свойств техники, используемой в ИСПДн; угрозы, связанные со стихийными природными явлениями. Кроме этого, угрозы могут возникать в результате внедрения аппаратных закладок и вредоносных программ. Подробно источники угроз безопасности ПДн рассмотрены в подразделе 8 настоящей Модели. По типу ИСПДн, на которые направлена угроза: По структуре ИСПДн, на которые направлена угроза, необходимо рассматривать следующие классы угроз: угрозы безопасности данных, обрабатываемых в ИСПДн на базе автоматизированных рабочих мест; угрозы безопасности данных, обрабатываемых в ИСПДн на базе локальных информационных систем; угрозы безопасности данных, обрабатываемых в ИСПДн на базе распределенных систем. По способам реализации угроз По способам реализации угроз выделяют следующие классы угроз: угрозы, связанные с несанкционированным доступом к ПДн (в том числе угрозы внедрения вредоносных программ); угрозы утечки ПДн по техническим каналам утечки информации; угрозы специальных воздействий на ИСПДн. По виду нарушаемого свойства информации (несанкционированных действий, осуществляемых с персональными данными) По виду несанкционированных действий, осуществляемых с персональными данными, можно выделить следующий класс угроз: угрозы, приводящие к нарушению конфиденциальности ПДн (копированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации. По используемой уязвимости выделяются следующие классы угроз: угрозы, реализуемые с использованием уязвимости системного программного обеспечения (ПО); угрозы, реализуемые с использованием уязвимости прикладного ПО; угрозы, возникающие в результате использования уязвимости, вызванной наличием в ИСПДн аппаратной закладки; угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных; угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации технической защиты информации от несанкционированного доступа; угрозы, реализуемые с использованием уязвимостей, обусловливающих наличие технических каналов утечки информации; угрозы, реализуемые с использованием уязвимостей средств защиты информации. По объекту воздействия выделяются следующие классы угроз: угрозы безопасности ПДн, обрабатываемых на АРМ; угрозы безопасности ПДн, обрабатываемых в выделенных средствах обработки (принтерах, плоттерах, графопостроителях, вынесенных мониторах, видеопроекторах, средствах звуковоспроизведения и т.п.); угрозы безопасности ПДн, передаваемых по сетям связи; угрозы прикладным программам, с помощью которых обрабатываются ПДн; угрозы системному ПО, обеспечивающему функционирование ИСПДн. При разработке частных (детализированных) моделей угроз должны учитываться подходы, изложенные в настоящей Модели, с детализацией угроз в соответствии с документом ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». |