угрозы. Модели угроз безопасности информации и модели нарушителяв Министерстве чрезвычайных ситуаций Республики Крым и его
 Скачать 197.82 Kb.
|
|
Отсутствуют соответствующие угрозы. АС является АСс клиент-серверной архитектурой построения. Информационные ресурсы хранятся и обрабатываются исключительно на серверах АС с № п/п Требование безопасности КИ Действие над требованием Обоснование исключения или добавления требования доступом. Маркировка должна отражать уровень конфиденциальности объекта централизованным администрированием и ведением ресурсов. Угрозы, связанные с возможностью несанкционированного (в т.ч. ошибочного) использования информационных ресурсов (без их дополнительного маркирования) незначительны и в существующих условиях функционирования АС нереализуемы. 4. Должно проводиться несколько видов учета (дублирующих) защищаемых носителей информации исключено Отсутствуют соответствующие угрозы. АС является АСс клиент-серверной архитектурой построения. Информационные ресурсы хранятся и обрабатываются исключительно на серверах АС с централизованным администрированием и ведением ресурсов. Угрозы, связанные с возможностью несанкционированного использования (хищения) однократно учтенных носителей информации со стороны предполагаемого нарушителя незначительны и в существующих условиях функционирования АС нереализуемы. 5. Регистрация выдачи (приема) носителей информации в журнале (карточке) исключено Отсутствуют соответствующие угрозы. Количество администраторов и используемых ими учитываемых носителей информации ограничено. Пользователи АС не осуществляют выгрузку КИ напрямую из АС на носители информации. Угрозы, связанные с несанкционированным использованием (хищением) учтенных носителей информации со стороны предполагаемого нарушителя незначительны и в существующих условиях № п/п Требование безопасности КИ Действие над требованием Обоснование исключения или добавления требования функционирования АС нереализуемы. 6. Реализация в АС мер специальной защиты информации, направленных на предотвращение утечки КИ по техническим каналам исключено Отсутствуют соответствующие угрозы. Ввиду наличия необходимых организационных и режимных мер защиты КИ, связанных с ограничением доступа в помещения и на объекты функционирования АС, а также физического выделения серверного сегмента АС в отдельные центры обработки данных, угрозы связанные с возможностью несанкционированного доступа к КИ с использованием технических каналов утечки со стороны предполагаемого нарушителя незначительны и в существующих условиях функционирования АС нереализуемы. 7. Должна осуществляться регистрация изменений полномочий субъектов доступа и статуса объектов доступа. В параметрах регистрации указываются дата и время изменения полномочий, идентификатор субъекта доступа (администратора), осуществившего изменения добавлено Возможна реализация существующих угроз. Учитывая зависимость уровня защищенности АС от предоставляемого пользователям объема полномочий, необходимо предотвращать угрозы, связанные с попытками (со стороны пользователей АС и пользователей внешних систем) расширения предоставленного объема полномочий с использованием штатных и специализированных инструментальных средств и последующего несанкционированного доступа к КИ. 8. Должна осуществляться сигнализация попыток нарушения защиты добавлено Возможна реализация существующих угроз. Учитывая наличие большого числа пользователей АС и пользователей внешних систем, № п/п Требование безопасности КИ Действие над требованием Обоснование исключения или добавления требования функционирующих удаленно от консолидированных информационных ресурсов, необходимо предотвращать угрозы, связанные с попытками (со стороны пользователей АС и пользователей внешних систем) осуществления несанкционированных информационных воздействий на защищаемые информационные ресурсы АС с использованием штатных и специализированных инструментальных средств. 9. Должен быть предусмотрен администратор (служба) защиты информации, ответственный за ведение, нормальное функционирование и контроль работы средств защиты информации в составе СЗПДн добавлено Возможна реализация существующих угроз. Учитывая масштабность функционального наполнения АС, характер хранимых и обрабатываемых КИ, большое количество пользователей и предоставляемых системой сервисов, необходимо наличие администратора (службы) защиты информации, ответственного за ведение, нормальное функционирование и контроль работы средств защиты информации в составе АС 6. Выводы Учитывая, что АС является АС с многопользовательской архитектурой и консолидированным хранением и обработкой КИ и коммерческой тайны в физически выделенных центрах обработки данных с реализацией необходимого объема организационных и режимных мер защиты, то о возможностях нарушителя можно сделать следующие выводы. 1. Атаки внешнего нарушителя, направленные на каналы связи посредством перехвата информации и последующего ее анализа, уничтожения, модификации и блокирования информации, реализация попыток преодоления системы защиты КИ, c использованием, в том числе, уязвимостей программной среды, а также утечка информации по техническим каналам нейтрализуются организационными и режимными мероприятиями, а также условиями функционирования АС. 2. Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны ограничительных факторов, из которых основным является реализация комплекса режимных и организационно-технических мер, в том числе по подбору, расстановке и обеспечению высокой профессиональной подготовки кадров, допуску физических лиц внутрь контролируемой зоны и контролю за порядком проведения работ, направленных на предотвращение и пресечение несанкционированных действий. 3. Ввиду исключительной роли в АС лиц категории I и II в число этих лиц должны включаться только доверенные лица, к которым применен комплекс особых организационно-режимных мер по их подбору, принятию на работу, назначению на должность и контролю выполнения функциональных обязанностей. 4. Лица категорий III-VII относятся к вероятным нарушителям. Среди лиц категорий III-VII наиболее опасными вероятными нарушителями являются лица категории III (пользователи АС) и лица категории VII (уполномоченный персонал разработчиков АС, который на договорной основе имеет право на техническое обслуживание и модификацию компонентов АС). Представленная модель угроз с описанием вероятного нарушителя для АС должна использоваться при формировании обоснованных требований безопасности КИ (профиля защиты АС) и проектировании СЗКИ АС. |