Модель угроз. Утверждена приказом ау

• Название: Утверждена приказом ау
• Анкор: Модель угроз
• Дата: 16.03.2023
• Размер: 1.31 Mb.
• Имя файла: ilovepdf_merged1.docx
• Тип: Документы; #994051
• страница: 59 из 88

ОБЩИЕ ПОЛОЖЕНИЯ

1. 
   Введение
   
   1. 
      Настоящая модель угроз безопасности информации (далее – Модель угроз) содержит результаты оценки угроз безопасности информации.
      
   2. 
      Оценка угроз проводится в целях определения угроз безопасности информации, реализация (возникновение) которых возможна в информационной системе «Сайт» (далее – ИС «Сайт») (с учетом архитектуры и условий его функционирования) и может привести к нарушению безопасности обрабатываемой в ИС «Сайт» информации (нарушению конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации и (или) средств ее обработки) и (или) к нарушению, прекращению функционирования ИС «Сайт»  актуальных угроз безопасности информации.
      
   3. 
      В соответствии с постановлением Правительства РФ от 1 ноября 2012 г. № 1119
      

«Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» настоящая Модель угроз подлежит использованию при формировании требований к системе защиты ПДн, обрабатываемых в ИС

«Сайт».

2. Источники разработки

   1. 
      Настоящая Модель угроз сформирована в соответствии с методическими документами ФСТЭК России и ФСБ России с учетом следующих принципов:
      

• 
  в случае обеспечения безопасности информации без использования СКЗИ при формировании Модели угроз используются методические документы ФСТЭК России;
  
• 
  в случае определения АУ «Нефтеюганский политехнический колледж» (далее – АУ
  

«Нефтеюганский политехнический колледж») необходимости обеспечения безопасности информации с использованием СКЗИ при формировании Модели угроз используются методические документы ФСТЭК России и ФСБ России.

3. Оцениваемые угрозы

   1. 
      Модель угроз содержит результаты оценки антропогенных угроз безопасности информации, возникновение которых обусловлено действиями нарушителей, и техногенных источников угроз. При этом в настоящей Модели угроз не рассматриваются угрозы, связанные с техническими каналами утечки информации (далее – ТКУИ), по причинам, перечисленным в таблице 1.
      

Таблица 1 – Обоснования исключения угроз, реализуемых за счет ТКУИ

№ п/п	Угрозы, связанные с тех- ническими каналами утечки информации	Обоснование исключения
1.	Угрозы утечки акустической (речевой) информации*	Характеризуются наличием высококвалифицированных нарушителей, использующих дорогостоящую специализированную аппаратуру, регистрирующую акустические (в воздухе) и виброакустические (в упругих средах) волны, а также электромагнитные (в том числе оптические) излучения и электрические сигналы, модулированные информативным акустическим сигналом, возникающие за счет преобразований в технических средствах обработки информации, ВТСС и строительных конструкциях и инженерно- технических коммуникациях под воздействием акустических волн. Характер и объем обрабатываемой в системе информации недостаточен для мотивации нарушителей к реализации таких угроз
2.	Угрозы утечки видовой информации*	Характеризуются наличием высококвалифицированных нарушителей, использующих специализированные оптические (оптико-электронные) средства для просмотра информации с экранов дисплеев и других средств отображения средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав системы. Характер и объем обрабатываемой в системе информации недостаточен для мотивации нарушителей к реализации таких угроз
3.	Угрозы утечки информации по каналам ПЭМИН	Характеризуются наличием высококвалифицированных нарушителей, использующих дорогостоящие специализированные технические средства перехвата побочных (не связанных с прямым функциональным значением элементов системы) информативных электромагнитных полей и электрических сигналов, возникающих при обработке информации техническими средствами системы. Характер и объем обрабатываемой в системе информации недостаточен для мотивации нарушителей к реализации таких угроз

• 
  За исключением угроз, характеризующихся использованием нарушителями портативных (мобильных) устройств съема информации (планшеты, сотовые телефоны, цифровые камеры, звукозаписывающие устройства и иные средства).