модель угроз образец. Модель угроз безопасности информации Государственной информационной системы Название

• Название: Модель угроз безопасности информации Государственной информационной системы Название
• Дата: 21.12.2021
• Размер: 182.83 Kb.
• Имя файла: модель угроз образец.docx
• Тип: Документы; #311669
• страница: 2 из 15

Актуальные угрозы безопасности информации

1. 
   Определение уровня исходной защищенности информационной системы
   

Примечание: Определяется для каждой ГИС индивидуально, согласно Методике определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. ФСТЭК России, 2008 год, утвержденной Заместителем директора ФСТЭК России 14 февраля 2008 г.
Под уровнем исходной защищенности ГИС понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ГИС, определяемый экспертным методом. Результаты анализа исходной защищенности приведены в таблице 3.

Таблица 3

Технические и эксплуатационные характеристики ИС	Уровень защищенности
	Высокий	Средний	Низкий
1. По территориальному размещению:
корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации;	–	+	–
2. По наличию соединения с сетями общего пользования:
ИС, имеющая одноточечный выход в сеть общего пользования;	–	+	–
3. По встроенным (легальным) операциям с записями баз персональных данных:
модификация, передача	–	–	+
4.По разграничению доступа к информации:
доступ по списку пользователей	–	+	–
5. По наличию соединений с другими базами персональных данных иных информационных систем:
интегрированная ИСПДн (организация использует несколько баз ПДн ИСПДн, при этом организация не является владельцем всех используемых баз ПДн);	–	–	+
6. По уровню обобщения (обезличивания) ресурсов:
BC, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта персональных данных)	–	–	+
7. По объему  конфиденциальной информации, которая предоставляется  сторонним пользователям без предварительной обработки:
BC, предоставляющая часть персональных данных	–	+	–
Характеристики ИС по уровням, %	0	57,14	42,86

Интегрально по всем техническим и эксплуатационным характеристикам ГИС уровень исходной защищенности определяется следующим образом:

• 
  ГИС имеет высокий уровень исходной защищенности, если не менее 70% характеристик ГИС соответствуют уровню «высокий» (суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные – среднему уровню защищенности (положительные решения по второму столбцу);
  
• 
  ГИС имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИС соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные – низкому уровню защищенности;
  
• 
  ГИС имеет низкий уровень исходной защищенности, если не выполняются условия по пунктам 1 и 2.
  

При составлении перечня актуальных угроз безопасности каждому уровню исходной защищенности ставится в соответствие числовой коэффициент Y₁:
0 – для высокого уровня исходной защищенности;

5 – для среднего уровня исходной защищенности;

10 – для низкого уровня исходной защищенности.
Таким образом, ГИС «Название» имеет низкий уровень исходной защищенности (Y₁ = 10), так как 42,86% характеристик ИС соответствуют уровню «низкий».

2. 
   Определение вероятности, возможности реализации, опасности и актуальности угроз безопасности информации
   

Для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИС и частота (вероятность) реализации рассматриваемой угрозы.

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности информации для данной ИС в складывающихся условиях обстановки. Используем четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности недостаточны;

высокая вероятность – объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности не приняты.

Для составления перечня актуальных угроз безопасности каждой градации вероятности возникновения угрозы ставим в соответствие числовой коэффициент Y₂:

0 – для маловероятной угрозы;

2 – для низкой вероятности угрозы;

5 – для средней вероятности угрозы;

10 – для высокой вероятности угрозы.

С учетом изложенного коэффициент реализуемости угрозы Y определяем соотношением:

Y = (Y₁+Y₂)/20.

По значению коэффициента реализуемости угрозы Y формируем вербальную интерпретацию реализуемости угрозы следующим образом:

если 0 ≤ Y ≤ 0.3, то возможность реализации угрозы признается низкой;

если 0.3 < Y ≤ 0.6, то возможность реализации угрозы признается средней;

если 0.6 < Y ≤ 0.8, то возможность реализации угрозы признается высокой;

если Y > 0.8, то возможность реализации угрозы признается очень высокой.

Оценка опасности (ущерба) каждой угрозы выполняется экспертным путем, при котором определяется вербальный показатель, имеющий три значения:

низкая опасность – если реализация угрозы может привести к незначительным негативным последствиям;

средняя опасность – если реализация угрозы может привести к негативным последствиям;

высокая опасность – если реализация угрозы может привести к значительным негативным последствиям.

Актуальной считается угроза, которая может быть реализована в информационной системе и представляет опасность. Решение об актуальности угрозы безопасности информации принимается в соответствии с таб­лицей 4.

Таблица 4

Возможность реализации угрозы	Показатель опасности угрозы
	Низкая	Средняя	Высокая
Низкая	неактуальная	неактуальная	актуальная
Средняя	неактуальная	актуальная	актуальная
Высокая	актуальная	актуальная	актуальная