Методика. Обозначения и сокращения 4
![]()
|
7.3Классификация уязвимостей ИСПДнУязвимость ИСПДн – недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении автоматизированной информационной системы, которое может быть использовано для реализации угрозы безопасности персональных данным. Причинами возникновения уязвимостей являются: ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения; преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения; неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ; несанкционированное внедрение и использование неучтенных программ с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях); внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении; несанкационированные неумышленные действия пользователей, приводящие к возникновению уязвимостей; сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.). Различают следующие группы основных уязвимостей: уязвимости системного программного обеспечения (в том числе протоколов сетевого взаимодействия); уязвимости прикладного программного обеспечения (в том числе средств защиты информации). 7.4Перечень возможных УБПДнДля ИСПДн Учреждений можно выделить следующие угрозы: 1. Угрозы от утечки по техническим каналам. 1.1. Угрозы утечки акустической информации. 1.2. Угрозы утечки видовой информации. 1.3. Угрозы утечки информации по каналам ПЭМИН. 2. Угрозы несанкционированного доступа к информации. 2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн. 2.1.1. Кража ПЭВМ; 2.1.2. Кража носителей информации; 2.1.3. Кража ключей и атрибутов доступа; 2.1.4. Кражи, модификации, уничтожения информации; 2.1.5. Вывод из строя узлов ПЭВМ, каналов связи; 2.1.6. Несанкционированное отключение средств защиты. 2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий). 2.2.1. Действия вредоносных программ (вирусов); 2.2.2. Недекларированные возможности системного ПО и ПО для обработки персональных данных; 2.2.3. Установка ПО не связанного с исполнением служебных обязанностей. 2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера. 2.3.1. Утрата ключей и атрибутов доступа; 2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками; 2.3.3. Непреднамеренное отключение средств защиты; 2.3.4. Выход из строя аппаратно-программных средств; 2.3.5. Сбой системы электроснабжения; 2.3.6. Стихийное бедствие. 2.4. Угрозы преднамеренных действий внутренних нарушителей. 2.4.1. Доступ к информации, модификация, уничтожение лиц не допущенных к ее обработке; 2.4.2. Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке. 2.5. Угрозы несанкционированного доступа по каналам связи. 2.5.1. Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации: 2.5.1.1. Перехват за переделами с контролируемой зоны; 2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями; 2.5.1.3. Перехват в пределах контролируемой зоны внутренними нарушителями. 2.5.2. Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др. 2.5.3. Угрозы выявления паролей по сети. 2.5.4. Угрозы навязывание ложного маршрута сети. 2.5.5. Угрозы подмены доверенного объекта в сети. 2.5.6. Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях. 2.5.7. Угрозы типа «Отказ в обслуживании». 2.5.8. Угрозы удаленного запуска приложений. 2.5.9. Угрозы внедрения по сети вредоносных программ. Определение УБПДн производится на основании Отчета о результатах проведения внутренней проверки. Список УБПДн может быть скорректирован в зависимости от типа ИСПДн. Так, если ИСПДн не имеет подключения к сетям общего пользования и (или) международного обмена, то Угрозы несанкционированного доступа по каналам связи, можно убрать из общего списка угроз. |