Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
УБИ.172
|
Угроза рас- пространения
«почтовых чер- вей»
|
Внешний нарушитель, облада- ющий базовыми возможностями
|
Сетевое программное обеспечение
|
НП.8; НП.9
|
СР.1; СР.2; СР.8
|
Сценарий реализации УБИ.172:
– Т1 (T1.1);
– Т2 (Т2.3)
|
УБИ.173
|
Угроза «спама» веб-сервера
|
Внешний нарушитель, облада- ющий базовыми возможностями
|
Веб-сервер
|
НП.8; НП.9
|
СР.1
|
Сценарий реализации УБИ.173:
– Т1 (T1.1);
– Т2 (Т2.1)
|
УБИ.174
|
Угроза «фар- минга»
|
Внешний нарушитель, облада- ющий базовыми возможностями
|
Сетевое программное обеспечение, Сетевой трафик, Узел вычис- лительной сети (авто- матизированные ра- бочие места, сервера, маршрутизаторы, коммутаторы, IoT-ус-
тройства и т.п.)
|
НП.1; НП.4;
НП.5; НП.8; НП.9; НП.10
|
СР.1; СР.2
|
Сценарий реализации УБИ.174:
– Т1 (T1.1; Т1.8);
– Т3 (Т3.3)
|
УБИ.175
|
Угроза «фи- шинга»
|
Внешний нарушитель, облада- ющий базовыми возможностями
|
Сетевое программное обеспечение, Сетевой трафик, Узел вычис- лительной сети (авто- матизированные ра- бочие места, сервера, маршрутизаторы, коммутаторы, IoT-ус-
тройства и т.п.)
|
НП.1; НП.4;
НП.5; НП.8; НП.9; НП.10
|
СР.1
|
Сценарий реализации УБИ.175:
– Т1 (T1.1; Т1.11);
– Т2 (Т2.8)
|
Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
УБИ.176
|
Угроза на- рушения тех- нологическо- го/производс- твенного про- цесса из-за вре- менны́ х задер-
жек, вносимых
средством за- щиты
|
Внешний нарушитель, облада- ющий базовыми возможностями
|
Средство защиты ин- формации
|
НП.8; НП.9
|
СР.1; СР.8; СР.12
|
Сценарий реализации УБИ.176:
– Т10 (Т10.3; Т10.10)
|
УБИ.177
|
Угроза непод- тверждённого ввода данных оператором в систему, свя- занную с бе-
зопасностью
|
Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Прикладное програм- мное обеспечение, Сетевое программное обеспечение, Сис- темное программное обеспечение
|
НП.1; НП.5;
НП.8; НП.9; НП.10
|
СР.1; СР.9
|
Сценарий реализации УБИ.177:
– Т10 (Т10.14)
|
УБИ.178
|
Угроза несан- кционирован- ного использо- вания сис- темных и се- тевых утилит
|
Внешний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
Системное програм- мное обеспечение
|
НП.8; НП.9
|
СР.1; СР.3
|
Сценарий реализации УБИ.178:
– Т2 (Т2.4; Т2.5);
– Т10 (Т10.5)
|
УБИ.179
|
Угроза несан- кционирован- ной модифи-
|
Внешний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада-
ющий базовыми возможностями,
|
Объекты файловой системы
|
НП.5; НП.8; НП.9; НП.10
|
СР.8; СР.11
|
Сценарий реализации УБИ.179:
– Т2 (Т2.5);
– Т10 (Т10.7; Т10.8)
|
Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
|
кации защища- емой информа-
ции
|
Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
|
|
|
|
УБИ.180
|
Угроза отказа подсистемы обеспечения температурно-
го режима
|
Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
Система поддержания температурно-влаж- ностного режима
|
НП.8; НП.9
|
СР.1; СР.9
|
Сценарий реализации УБИ.180:
– Т10 (Т10.14)
|
УБИ.182
|
Угроза фи- зического уста- ревания аппа- ратных компо-
нентов
|
Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
Сетевое оборудо- вание, Средство вы- числительной техни- ки
|
НП.5; НП.8; НП.9; НП.10
|
СР.1; СР.9
|
Сценарий реализации УБИ.182:
– Т10 (Т10.8; Т10.10)
|
УБИ.185
|
Угроза несан- кционирован- ного изменения параметров настройки средств за-
щиты ин- формации
|
Внешний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Средство защиты ин- формации
|
НП.8; НП.9
|
СР.1; СР.9
|
Сценарий реализации УБИ.185:
– Т2 (Т2.4);
– Т7 (Т7.4)
|
УБИ.186
|
Угроза внедре- ния вредонос- ного кода через
рекламу, сер- висы и контент
|
Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада-
ющий базовыми повышенными возможностями
|
Сетевое программное обеспечение
|
НП.8; НП.9
|
СР.1; СР.2; СР.8
|
Сценарий реализации УБИ.186:
– Т1 (T1.1);
– Т3 (Т3.3)
|
Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
УБИ.187
|
Угроза несан- кционирован- ного воздей- ствия на средс- тво защиты ин-
формации
|
Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Средство защиты ин- формации
|
НП.8; НП.9
|
СР.1; СР.8; СР.9
|
Сценарий реализации УБИ.187:
– Т2 (Т2.4);
– Т7 (Т7.4);
– Т10 (Т10.2)
|
УБИ.188
|
Угроза подме- ны програм- много обеспе- чения
|
Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Прикладное програм- мное обеспечение, Сетевое программное обеспечение, Сис- темное программное
обеспечение
|
НП.1; НП.5;
НП.8; НП.9; НП.10
|
СР.2; СР.9
|
Сценарий реализации УБИ.188:
– Т2 (Т2.7);
– Т3 (Т3.7; Т3.8; Т3.10);
– Т7 (Т7.24);
– Т10 (Т10.7)
|
УБИ.191
|
Угроза внедре- ния вредонос- ного кода в дистрибутив программного обеспечения
|
Внешний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада-
ющий базовыми повышенными возможностями
|
Прикладное програм- мное обеспечение, Сетевое программное обеспечение, Сис- темное программное обеспечение
|
НП.1; НП.5;
НП.8; НП.9; НП.10
|
СР.2; СР.8; СР.9
|
Сценарий реализации УБИ.191:
– Т3 (Т3.2)
|
УБИ.192
|
Угроза исполь- зования уязви- мых версий программного обеспечения
|
Внешний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
Прикладное програм- мное обеспечение, Сетевое программное обеспечение, Сис- темное программное обеспечение
|
НП.1; НП.5;
НП.8; НП.9; НП.10
|
СР.1; СР.9
|
Сценарий реализации УБИ.192:
– Т2 (Т2.5);
– Т10 (Т10.2)
|
Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
УБИ.203
|
Угроза утечки информации с неподключен- ных к сети Ин- тернет компь-
ютеров
|
Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Сетевое оборудо- вание, Средство вы- числительной техни- ки
|
НП.5; НП.8; НП.9; НП.10
|
СР.1; СР.2; СР.8
|
Сценарий реализации УБИ.203:
– Т2 (Т2.5);
– Т3 (Т3.2);
– Т6 (Т6.3);
– Т9 (Т9.11)
|
УБИ.205
|
Угроза на-
рушения ра- боты компь- ютера и бло- кирования дос- тупа к его дан- ным из-за не- корректной ра- боты установ- ленных на нем
средств за- щиты
|
Внешний нарушитель, облада- ющий базовыми возможностями
|
Средство вычисли- тельной техники
|
НП.5; НП.8; НП.9; НП.10
|
СР.1; СР.8
|
Сценарий реализации УБИ.205:
– Т2 (Т2.4)
|
УБИ.208
|
Угроза нецеле- вого использо- вания вычисли- тельных ресур- сов средства вычислитель-
ной техники
|
Внешний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
Средство вычисли- тельной техники
|
НП.5; НП.8; НП.9; НП.10
|
СР.2; СР.8
|
Сценарий реализации УБИ.208:
– Т10 (Т10.11)
|
УБИ.209
|
Угроза несан- кционирован-
ного доступа к
|
Внешний нарушитель, облада- ющий базовыми возможностями,
|
Средство вычисли- тельной техники
|
НП.5; НП.8; НП.9; НП.10
|
СР.1
|
Сценарий реализации УБИ.209:
– Т10 (Т10.1; Т10.5)
|
Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
|
защищаемой памяти ядра процессора
|
Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными
возможностями
|
|
|
|
|
УБИ.211
|
Угроза исполь- зования непро- веренных поль- зовательских данных при формировании конфигураци- онного файла, используемого программным обеспечением администри- рования ин- формационных
систем
|
Внутренний нарушитель, облада- ющий базовыми возможностями, Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Системное програм- мное обеспечение
|
НП.8; НП.9
|
СР.1; СР.9
|
Сценарий реализации УБИ.211:
– Т10 (Т10.2)
|
УБИ.212
|
Угроза перех- вата управле- ния информа- ционной систе- мой
|
Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Информационная (ав- томатизированная) система, Системное программное обеспе- чение, Средство вы-
числительной техни- ки
|
НП.1; НП.5;
НП.6; НП.8; НП.9; НП.10
|
СР.1
|
Сценарий реализации УБИ.212:
– Т2 (Т2.4; Т2.5);
– Т8 (Т8.1);
– Т10 (Т10.1)
|
Иденти- фикатор угрозы
|
Наимено- вание угрозы
|
Характеристика нарушителя, необходимая для реализации угрозы
|
Объект воздействия
|
Негативны е последстви я
|
Способы реализации угрозы
|
Возможные сценарии реализации угрозы
|
УБИ.214
|
Угроза несво- евременного выявления и реагирования компонентами информацион- ной (автомати- зированной) системы (в том числе средства- ми защиты ин- формации) на события бе- зопасности ин-
формации
|
Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Информационная (ав- томатизированная) система
|
НП.1; НП.6;
НП.8; НП.9
|
СР.1; СР.8
|
Сценарий реализации УБИ.214:
– Т7 (Т7.4)
|
УБИ.217
|
Угроза исполь- зования ском- прометирован- ного доверен- ного источника обновлений программного
обеспечения
|
Внутренний нарушитель, облада- ющий базовыми повышенными возможностями
|
Микропрограммное обеспечение, Прик- ладное программное обеспечение, Сетевое программное обеспе- чение, Системное программное обеспе-
чение
|
НП.1; НП.5;
НП.8; НП.9; НП.10
|
СР.1; СР.2
|
Сценарий реализации УБИ.217:
– Т3 (Т3.8);
– Т7 (Т7.24)
|
Уточненные возможности нарушителей и направления атак
№
|
Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)
|
Актуальность ис- пользования (приме- нения) для построения и реали-
зации атак
|
Обоснование
|
1.1
|
Проведение атаки при нахождении в пределах контро- лируемой зоны
|
Да
|
Обслуживающий персонал и лица, обеспечивающие функционирование 1С КОЛЛЕДЖ ПРОФ, не имеют воз- можности находиться в помещениях, где расположена 1С КОЛЛЕДЖ ПРОФ, в отсутствие пользователей 1С КОЛ- ЛЕДЖ ПРОФ;
Работа пользователей 1С КОЛЛЕДЖ ПРОФ регламен- тирована;
Ответственный за обеспечение безопасности ПДн, ад- министраторы 1С КОЛЛЕДЖ ПРОФ назначаются из чис- ла особо доверенных лиц;
Ремонт, обслуживание и сопровождение программных, технических и программно-технических средств 1С КОЛ- ЛЕДЖ ПРОФ, в том числе СЗИ, выполняется доверенны- ми лицами, с выполнением мер по обеспечению безопас- ности ПДн;
В помещениях, в которых происходит обработка ПДн, невозможно нахождение посторонних лиц;
Проводится обучение пользователей 1С КОЛЛЕДЖ ПРОФ мерам по обеспечению безопасности ПДн и пре- дупреждение об ответственности за их несоблюдение;
Не используются сертифицированные средства защиты информации от НСД;
Используются сертифицированные средства антивирус- ной защиты, базы вирусных сигнатур регулярно обновля- ются;
|
№
|
Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)
|
Актуальность ис- пользования (приме- нения) для построения и реали-
зации атак
|
Обоснование
|
|
|
|
– Ответственный пользователь криптосредств назначает-
ся не из числа особо доверенных лиц
|
1.2
|
Проведение атак на этапе эксплуатации СКЗИ на следу- ющие объекты: – документацию на СКЗИ и компоненты СФ; – помещения, в которых находится совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем, на которых реализованы СКЗИ и СФ
|
Да
|
Ответственный пользователь криптосредств назначает- ся не из числа особо доверенных лиц;
Документация на СКЗИ не хранится у ответственного пользователя криптосредств в металлическом сейфе (шка- фу);
Помещения, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, не оснащены входными дверьми с замками;
Не обеспечивается постоянное закрытие дверей по- мещений, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, на замок и их открытие
только для санкционированного прохода
|
1.3
|
Получение в рамках предоставленных полномочий, а так- же в результате наблюдений следующей информации: – сведений о физических мерах защиты объектов, в которых размещены ресурсы информационной системы; – све- дений о мерах по обеспечению контролируемой зоны объ- ектов, в которых размещены ресурсы информационной системы; – сведений о мерах по разграничению доступа в помещения, в которых находятся СВТ, на которых реали-
зованы СКЗИ и СФ
|
Нет
|
Работа пользователей 1С КОЛЛЕДЖ ПРОФ регламен- тирована;
Проводится обучение пользователей 1С КОЛЛЕДЖ ПРОФ мерам по обеспечению безопасности ПДн и пре- дупреждение об ответственности за их несоблюдение;
Сведения о физических мерах защиты объектов, в ко- торых размещена 1С КОЛЛЕДЖ ПРОФ, доступны огра- ниченному кругу сотрудников
|
1.4
|
Использование штатных средств ИС, ограниченное ме- рами, реализованными в информационной системе, в ко- торой используется СКЗИ, и направленными на предот-
вращение и пресечение несанкционированных действий
|
Да
|
– Работа пользователей 1С КОЛЛЕДЖ ПРОФ регламен- тирована;
|
№
|
Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)
|
Актуальность ис- пользования (приме- нения) для построения и реали-
зации атак
|
Обоснование
|
|
|
|
Ответственный за обеспечение безопасности ПДн, ад- министраторы 1С КОЛЛЕДЖ ПРОФ назначаются из чис- ла особо доверенных лиц;
Ремонт, обслуживание и сопровождение программных, технических и программно-технических средств 1С КОЛ- ЛЕДЖ ПРОФ, в том числе СЗИ, выполняется доверенны- ми лицами, с выполнением мер по обеспечению безопас- ности ПДн;
Проводится обучение пользователей 1С КОЛЛЕДЖ ПРОФ мерам по обеспечению безопасности ПДн и пре- дупреждение об ответственности за их несоблюдение;
Не используются сертифицированные средства защиты информации от НСД;
Используются сертифицированные средства антивирус- ной защиты, базы вирусных сигнатур регулярно обновля- ются;
Пользователи 1С КОЛЛЕДЖ ПРОФ имеют возможнос- ти запуска стороннего или установки, изменения настроек имеющегося программного обеспечения без контроля со стороны ответственного за обеспечение безопасности ПДн;
Программные, технические, программно-технические средства, в том числе и СЗИ, настроены доверенными ли- цами и соответствуют требованиям по обеспечению бе- зопасности персональных данных
|
№
|
Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)
|
Актуальность ис- пользования (приме- нения) для построения и реали-
зации атак
|
Обоснование
|
2.1
|
Физический доступ к СВТ, на которых реализованы СКЗИ и СФ
|
Да
|
Обслуживающий персонал и лица, обеспечивающие функционирование 1С КОЛЛЕДЖ ПРОФ, не имеют воз- можности находиться в помещениях, где расположена 1С КОЛЛЕДЖ ПРОФ, в отсутствие пользователей 1С КОЛ- ЛЕДЖ ПРОФ;
В помещениях, в которых происходит обработка ПДн, невозможно нахождение посторонних лиц;
Помещения, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, не оснащены входными дверьми с замками;
Не обеспечивается постоянное закрытие дверей по- мещений, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, на замок и их открытие
только для санкционированного прохода
|
2.2
|
Возможность воздействовать на аппаратные компоненты СКЗИ и СФ, ограниченная мерами, реализованными в ин- формационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несан- кционированных действий
|
Да
|
В помещениях, в которых происходит обработка ПДн, невозможно нахождение посторонних лиц;
Помещения, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, не оснащены входными дверьми с замками;
Не обеспечивается постоянное закрытие дверей по- мещений, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, на замок и их открытие только для санкционированного прохода;
Корпуса системных блоков не защищены от вскрытия (не опечатаны/не опломбированы)
|
№
|
Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)
|
Актуальность ис- пользования (приме- нения) для построения и реали-
зации атак
|
Обоснование
|
3.1
|
Создание способов, подготовка и проведение атак с прив- лечением специалистов в области анализа сигналов, соп- ровождающих функционирование СКЗИ и СФ, и в об- ласти использования для реализации атак недокументи- рованных (недекларированных) возможностей прик- ладного ПО
|
Нет
|
Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
|
3.2
|
Проведение лабораторных исследований СКЗИ, исполь- зуемых вне контролируемой зоны, ограниченное мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий
|
Нет
|
Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
|
3.3
|
Проведение работ по созданию способов и средств атак в научно-исследовательских центрах, специализирующих- ся в области разработки и анализа СКЗИ и СФ, в том числе с использованием исходных текстов входящего в СФ прикладного ПО, непосредственно использующего вы- зовы программных функций СКЗИ
|
Нет
|
Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
|
4.1
|
Создание способов, подготовка и проведение атак с прив- лечением специалистов в области использования для ре- ализации атак недокументированных (недекларирован- ных) возможностей системного ПО
|
Нет
|
Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
|
№
|
Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)
|
Актуальность ис- пользования (приме- нения) для построения и реали-
зации атак
|
Обоснование
|
4.2
|
Возможность располагать сведениями, содержащимися в конструкторской документации на аппаратные и програм- мные компоненты СФ
|
Нет
|
Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности
|
4.3
|
Возможность воздействовать на любые компоненты СКЗИ и СФ
|
Нет
|
Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности
|
Утверждена приказом АУ
«Нефтеюганский политехнический колледж» от 18.11.2022 № 01-01-06/567
|
Скачать 1.31 Mb.