Модель угроз и нарушителя безопасности персональных данных, обрабатываемых в типовых информационных системах
 Скачать 267.29 Kb.
|
|
Министерство связи и массовых коммуникаций Российской Федерации __________________________________________________________________ ОДОБРЕНО Решение секции №1 Научно- технического совета Минкомсвязи России «Научно-техническое и стратегическое развитие отрасли» от 21 апреля 2010 года № 2 СОГЛАСОВАНО'>МОДЕЛЬ УГРОЗ И НАРУШИТЕЛЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ В ТИПОВЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТРАСЛИ СОГЛАСОВАНО Письмо ФСБ России от 10.08.2010 г. № 149/7/2/6-1203 СОГЛАСОВАНО Письмо ФСТЭК России от 04.06.2010 г. № 240/2/2271 Москва 2010 2 Перечень обозначений и сокращений АРМ − автоматизированное рабочее место ИР − информационный ресурс ИСПДн − информационная система персональных данных КЗ − контролируемая зона ПДн − персональные данные ПО − программное обеспечение ПТС − программно-технические средства ПЭМИН − побочные электромагнитные излучения и наводки СЗИ − средства защиты информации СКЗИ − средства криптографической защиты информации ФСБ − Федеральная служба безопасности ФСО − Федеральная служба охраны ФСТЭК − Федеральная служба по техническому и экспертному контролю 3 Содержание Перечень обозначений и сокращений 3 Преамбула 5 1 Общие положения 8 2 Характеристика объекта информатизации 9 3 Состав, категории и объем персональных данных 18 4 Характеристики безопасности персональных данных, обрабатываемых в типовых информационных системах персональных данных 20 5 Классификация информационных систем персональных данных 21 6 Способы нарушения конфиденциальности персональных данных 22 7 Угрозы безопасности персональных данных, при их обработке в типовых информационных системах персональных данных 23 8 Характеристика источников угроз безопасности персональных данных в ИСПДн 27 9 Модель нарушителя безопасности персональных данных 33 9.1 Описание нарушителей 33 9.2 Предположения о возможностях нарушителя 38 9.3 Предположения об имеющихся у нарушителя средствах атак 39 9.4 Описание каналов атак 40 9.5 Тип нарушителя при использовании в ИСПДн криптографических средств защиты информации 40 10 Актуальные угрозы безопасности персональных данных в информационных системах персональных данных 43 10.1 Уровень исходной защищенности информационной системы персональных данных 43 10.2 Определение актуальных угроз безопасности персональных данных 45 11 Заключение 48 4 Преамбула Согласно постановлению Правительства Российской Федерации от 02 июня 2008 года № 418 «О Министерстве связи и массовых коммуникаций Российской Федерации» Министерство связи и массовых коммуникаций Российской Федерации является федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в следующих сферах: − информационные технологии (включая использование информационных технологий при формировании государственных информационных ресурсов и обеспечение доступа к ним); − электросвязи (включая использование и конверсию радиочастотного спектра) и почтовой связи; − массовых коммуникаций и средств массовой информации (в том числе электронных), печати, издательской и полиграфической деятельности; − обработки персональных данных. Выделенный функционал с позиции отраслевого нормативного регулирования можно отнести к федеральным законам, формирующим правоотношения для сфер деятельности вышеназванного министерства: − Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Закон № 149- ФЗ); − Федеральный закон от 07 июля 2003 года № 126-ФЗ «О связи» (далее – Закон №126-ФЗ); − Закон Российской Федерации от 27 декабря 1991 года № 2124-1 «О средствах массовой информации» (далее – Закон № 2124-1); − Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ). 5 Характеризуя вышеназванное законодательство по критерию распространяемости правоотношений на иные отрасли в связи с выделением общего предмета регулирования, необходимо отметить особенность сферы действия Закона № 149-ФЗ и Закона № 152-ФЗ. Регулируемые данными нормативными правовыми актами правоотношения касаются особенностей использования информации, в том числе персональной, применительно к различным сферам деятельности, и выделение типичных отраслевых признаков обработки персональных данных, выявленных при анализе данных законов, нецелесообразно. В рамках данной модели при характеристике отдельной отрасли, использующей информационные системы персональных данных с возможностью последующей их типизации, предлагается остановиться на следующих критериях, при совокупном их использовании: − основные признаки отрасли и виды оказываемых услуг внутри отрасли; − полномочия субъектов, формирующих условия и особенности обработки персональных данных в отрасли, в том числе полномочия по вопросам формирования и ведения информационных систем, содержащих информацию, имеющую характер персональных данных; − участники правоотношений в отрасли, определяемые отраслевой нормативной правовой базой; − условия, установленные специальным законодательством, которые определяют особенности обработки информации, имеющей характер персональных данных, отдельных категорий субъектов персональных данных. Наиболее наглядным примером выявления всех вышеперечисленных критериев обладает отрасль связи. Однако они также распространяются на сферу массовых коммуникаций и средств массовой информации, за исключением неавтоматизированной обработки персональных данных, выполняемой в соответствии с требованиями статьи 34 Закона № 2124-1. 6 Поэтому данная модель угроз применима при использовании и в указанной сфере при учете специфики процессов обработки персональных данных, выделяемых на основе вышеозначенных критериев. 7 1 Общие положения Настоящая модель угроз безопасности персональных данных (далее – Модель) содержит систематизированный перечень угроз безопасности персональных данных при их обработке в типовых ИСПДн предприятий отрасли. Указанные угрозы могут исходить от источников, имеющих антропогенный, техногенный и стихийный характер и воздействующих на уязвимости, характерные для данной ИСПДн, реализуя тем самым угрозы информационной безопасности. Модель является методическим документом и предназначена для операторов ПДн, разработчиков ИСПДн и их подсистем при разработке частных (детализированных) моделей угроз безопасности ПДн в отдельных ИСПДн конкретных предприятий с учетом их назначения, условий и особенностей функционирования. В Модели дается обобщенное описание ИСПДн, состав, категории и предполагаемый объем обрабатываемых ПДн с последующей классификацией ИСПДн. Модель описывает потенциального нарушителя безопасности ПДн и подходы по определению актуальности угроз с учетом возможностей нарушителя и особенностей конкретной ИСПДн. Угрозы безопасности ПДн, обрабатываемых в ИСПДн, приведенные в настоящей отраслевой Модели, подлежат адаптации в ходе разработки частных (детализированных) моделей угроз. Настоящая Модель разработана в соответствии с требованиями Федерального законодательства и федеральных органов по защите персональных данных. 8 2 Характеристика объекта информатизации В отрасли существуют следующие типы ИСПДн: 1. ИСПДн абонентов услуг связи (пользователей услугами связи). 2. ИСПДн о зарегистрированных владельцах радиоэлектронных средств. 3. ИСПДн пользователей радиочастотным спектром – единая база сбора, учета и хранения данных о присвоенных радиочастотах. 4. ИСПДн получателей разрешений на строительство и эксплуатацию линий связи при пересечении государственной границы Российской Федерации, на приграничной территории, во внутренних морских водах и в территориальном море Российской Федерации. 5. ИСПДн ведения бухгалтерского учета, управления персоналом, расчета заработной платы хозяйствующего субъекта отрасли и управления доступом. В рамках ИСПДн первого типа: − ведется обработка персональных данных абонентов (пользователей услугами связи); − в некоторых случаях требуется заключение письменной формы договора; − в некоторых случаях оператор связи сам устанавливает перечень обрабатываемой информации (включая персональные данные), в этом случае он не проверяет корректность предоставляемых данных; − оператор связи проверяет корректность предоставляемых абонентом данных для возможности дальнейшего информационного взаимодействия с ним; − ведется обработка персональных данных физических лиц – аффилированных лиц отрасли для предоставления сведений в реестр операторов, занимающих существенное положение в сети связи общего 9 пользования, который ведет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций. Операторами связи, вне зависимости от вида услуг, обрабатывается обязательный перечень информации, имеющей характер персональных данных абонентов (пользователей услугами связи): − фамилия, имя, отчество; − дата и место рождения; − место жительства; − реквизиты документа, удостоверяющего личность. Кроме того, информация об абоненте, имеющая характер персональных данных, содержится в предоставляемых абонентом оператору связи документах: − копия документа, подтверждающего право владения или пользования помещением, в котором устанавливается оборудование; − письменное согласие законных представителей; − доверенность. Роскомнадзором обрабатывается обязательный перечень информации, имеющей характер персональных данных физических лиц – аффилированных лиц отрасли: − фамилия, имя, отчество; − должность; − идентификационный номер налогоплательщика. В рамках ИСПДн второго типа: − ведется обработка персональных данных владельцев радиоэлектронных средств; − требуется заключение письменной формы договора; 10 − оператор связи проверяет корректность предоставляемых абонентом данных для возможности информационного дальнейшего взаимодействия с ним. Обрабатывается обязательный перечень информации, имеющей характер персональных данных заявителей – заказчиков системного проекта сети связи аккредитованным лицом: − фамилия, имя, отчество заявителя; − место жительства; − реквизиты основного документа, удостоверяющего личность; − идентификационный номер налогоплательщика. Кроме того, к заявлению прилагаются следующие документы, содержащие информацию, имеющую характер персональных данных: − системный проект сети связи и копия системного проекта, заверенная заявителем; − копии задания на разработку системного проекта и исходные данные, заверенные подписью и печатью заказчика системного проекта или уполномоченного им лица, использовавшиеся для подготовки системного проекта; − копии лицензий на оказание услуг связи, для которых предназначена проектируемая сеть связи; − документы, подтверждающие полномочия заявителя действовать от имени заказчика системного проекта (если заявителем является уполномоченное заказчиком системного проекта лицо). Роскомнадзором обрабатывается обязательный перечень информации, имеющей характер персональных данных владельцев радиоэлектронных средств и высокочастотных устройств: − фамилия, имя, отчество; − место жительства; 11 − данные документа, удостоверяющего личность гражданина Российской Федерации, включая номер и дату выдачи основного документа, удостоверяющего личность физического лица, и наименование органа, выдавшего этот документ. К заявлению прилагаются документы, содержащие информацию, имеющую характер персональных данных: − копия разрешения на использование радиочастот (радиочастотных каналов) для радиоэлектронных средств (в случае, если наличие такого разрешения предусмотрено законодательством Российской Федерации); − копия документа, подтверждающего факт внесения записи об индивидуальном предпринимателе в Единый государственный реестр индивидуальных предпринимателей, – для индивидуальных предпринимателей; − копия документа о присвоении позывного сигнала опознавания, если присвоение такого позывного сигнала предусмотрено Регламентом радиосвязи Международного союза электросвязи. Роскомнадзор вносит в установленном порядке сведения о зарегистрированных радиоэлектронных средствах и высокочастотных устройствах в базу данных и выдает заявителю свидетельство о регистрации или мотивированное уведомление об отказе в такой регистрации. В рамках ИСПДн_третьего_типа'>ИСПДн третьего типа: − ведется обработка персональных данных пользователей радиочастот или радиочастотных каналов; − требуется заключение письменной формы договора; − оператор связи проверяет корректность предоставляемых абонентом данных для возможности информационного взаимодействия с ним. Радиочастотной службой, Государственной комиссией по радиочастотам, Роскомнадзором, обрабатывается обязательный перечень информации, имеющей характер персональных данных заявителей, о присвоении 12 радиочастоты (радиочастотного канала) для радиоэлектронных средств гражданского назначения: − фамилия, имя, отчество; − место жительства (адрес места жительства); − данные документа, удостоверяющего личность; − контактная информация о заявителе (в том числе отдельно указаны телефон и факс); − индивидуальный номер налогоплательщика. Предприятиями осуществляется взаимодействие с Минобороны России, ФСО России, ФСБ России. К заявлению, подаваемому в Роскомнадзор, прилагаются документы, содержащие информацию, имеющую характер персональных данных: − копия соответствующего решения государственной комиссии по радиочастотам; − пояснительная записка, в которой приводится обоснование запрашиваемого количества радиочастот или радиочастотных каналов; дается информация о назначении планируемой радиосети (радиолинии); о заявляемой деятельности; особенностях применяемых радиоэлектронных средств; условия совместного использования полос радиочастот с радиоэлектронными средствами военного назначения, а также другой информации, относящейся к данному вопросу; − выписка из единого государственного реестра индивидуальных предпринимателей, заверенная органом, выдавшим указанный документ, или нотариально заверенная копия указанного документа. В рамках ИСПДн четвертого типа: − ведется обработка персональных данных получателей разрешений на строительство и эксплуатацию линий связи при пересечении государственной границы Российской Федерации, на приграничной территории, во внутренних морских водах и в территориальном море Российской Федерации; 13 − требуется заключение письменной формы договора; − оператор связи проверяет корректность предоставляемых абонентом данных для возможности информационного взаимодействия с ним. Роскомнадзором и иными уполномоченными органами государственной власти обрабатывается обязательный перечень информации, имеющей характер персональных данных заявителей, о получении разрешения на строительство и эксплуатацию линий связи при пересечении государственной границы Российской Федерации на приграничной территории: − фамилия, имя, отчество; − место жительства; − данные документа, удостоверяющего личность; − индивидуальный номер налогоплательщика; − почтовый адрес для переписки, контактные телефоны. К заявлению прилагаются документы, содержащие информацию, имеющую характер персональных данных: − копии лицензий на осуществление соответствующих видов деятельности и решений о предоставлении водных объектов в пользование в случаях, когда наличие таких лицензий и решений предусмотрено законодательством Российской Федерации; − документы, подтверждающие наличие разрешений, предусмотренных законодательством Российской Федерации, – при проведении работ в полосе отвода автомобильных или железных дорог, нефте- и продуктопроводов, газопроводов, линий электропередачи и других технологических объектов, а также на территории пунктов пропуска через государственную границу Российской Федерации; − сведения о всех формах и степени участия граждан Российской Федерации и (или) российских юридических лиц в проведении работ – для иностранных заявителей; 14 − сведения о лицах, привлекаемых заявителем к проведению работ, в том числе о работниках, участвующих в их проведении. В рамках ИСПДн пятого типа: − ведется обработка персональных данных работников хозяйствующего субъекта отрасли; − ведется обработка персональных данных посетителей объектов размещения хозяйствующего субъекта отрасли; Обрабатывается обязательный перечень информации, имеющей характер персональных данных работников хозяйствующего субъекта отрасли: − фамилия, имя, отчество; − фотография; − гражданство; − дата и место рождения; − пол; − реквизиты документа, удостоверяющего личность; − место регистрации; − состояние в браке; − фамилия, имя, отчество супруга (-и), детей; − количество детей; − дата рождения детей; − профессия; − категория запаса; − воинское звание и личный код; − номер военного билета, удостоверения гражданина, подлежащего призыву на военную службу; − полное обозначение военно-учетной специальности; − категория годности к военной службе; − военный комиссариат по месту жительства; 15 − номер команды, партии воинского учета; − образование; − наименование образовательного учреждения; − номер и серия диплома; − квалификация по документу об образовании; − направление или специальность по документу; − номер страхового свидетельства государственного пенсионного страхования. Может обрабатываться дополнительный перечень информации, имеющей характер персональных данных работников, в соответствии с утвержденными нормативными правовыми актами Российской Федерации различного уровня в зависимости от организационно-правовой формы, особенностей налогового режима хозяйствующего субъекта отрасли. Исходя из основных характеристик, особенностей отраслевых ИСПДн и решаемых ими задач в качестве объекта информатизации предприятия выступают: 1. Автономные АРМ. 2. Локальные вычислительные сети. 3. Распределенные вычислительные сети. В зависимости от характеристик и особенностей отдельных объектов часть вычислительных средств данных предприятий подключена к сетям связи общего пользования и (или) сетям международного информационного обмена. Ввод персональных данных осуществляется как с бумажных носителей (например, документов, удостоверяющих личность субъекта ПДн), так и с электронных носителей информации. ИСПДн предполагают как распределенную (на автоматизированных рабочих местах – АРМ), так и централизованную (на выделенных файловых серверах сети) обработку ПДн. 16 Персональные данные субъектов ПДн могут выводиться из ИСПДн с целью передачи персональных данных клиентов одного предприятия другим предприятиям, внешним организациям, создающим собственные ИСПДн, как в электронном, так и в бумажном виде. Контролируемой зоной (КЗ) ИСПДн являются здания и отдельные помещения. В пределах контролируемой зоны находятся рабочие места пользователей и места хранения архивных копий данных, серверы системы, сетевое и телекоммуникационное оборудование ИСПДн. Вне контролируемой зоны находятся линии передачи данных и телекоммуникационное оборудование, используемое для информационного обмена по сетям связи общего пользования и (или) сетям международного информационного обмена. 17 |