|
|
Модель угроз. Утверждена приказом ау
ВОЗМОЖНЫЕ ОБЪЕКТЫ ВОЗДЕЙСТВИЯ УГРОЗ БЕЗОПАСНОСТИ
ИНФОРМАЦИИ
В ходе оценки угроз безопасности информации определяются информационные ресурсы и компоненты ИС «Сайт», несанкционированный доступ к которым или воздействие на которые в ходе реализации (возникновения) угроз безопасности информации может привести к негативным последствиям, определенным в разделе 4 настоящей Модели угроз, – объектов воздействия.
Объекты воздействия определялись для реальной архитектуры и условий функционирования ИС «Сайт» на основе анализа исходных данных и проведенной инвентаризации.
Определение объектов воздействия производилось на аппаратном, системном и прикладном уровнях, на уровне сетевой модели взаимодействия, а также на уровне пользователей.
В отношении каждого объекта воздействия определялись виды воздействия на него, которые могут привести к негативным последствиям. Рассматриваемые виды воздействия представлены в таблице 7.
Таблица 7 – Виды воздействия
Идентификатор
|
Вид воздействия
|
ВВ.1
|
утечка (перехват) конфиденциальной информации или отдельных
данных (нарушение конфиденциальности)
|
ВВ.2
|
несанкционированный доступ к компонентам, защищаемой ин- формации, системным, конфигурационным, иным служебным дан-
ным
|
ВВ.3
|
отказ в обслуживании компонентов (нарушение доступности)
|
ВВ.4
|
несанкционированная модификация, подмена, искажение защища-
емой информации, системных, конфигурационных, иных служеб- ных данных (нарушение целостности)
|
ВВ.5
|
несанкционированное использование вычислительных ресурсов
систем и сетей в интересах решения несвойственных им задач
|
ВВ.6
|
нарушение функционирования (работоспособности) программно-
аппаратных средств обработки, передачи и хранения информации
|
Итоговый перечень объектов воздействия со списком возможных видов воздействия на них, реализация которых может привести к негативным последствиям, представлен в таблице 8.
Таблица 8 – Объекты воздействия и виды воздействия
Негативные
последствия
|
Объекты
воздействия
|
Виды воздействия
|
Разглашение персо- нальных данных граж- дан
|
Информационная (автоматизирован-
ная) система
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4; ВВ.5; ВВ.6
|
Прикладное прог-
раммное обеспе- чение
|
ВВ.2; ВВ.3; ВВ.4
|
Негативные
последствия
|
Объекты
воздействия
|
Виды воздействия
|
|
Узел вычислитель- ной сети (авто- матизированные рабочие места, сер- вера, маршрутиза- торы, коммутато-
ры, IoT-устройства и т.п.)
|
ВВ.2; ВВ.3; ВВ.4; ВВ.6
|
Нарушение неприкос- новенности частной жизни
|
База данных
|
ВВ.1; ВВ.2; ВВ.4
|
Защищаемая ин-
формация
|
ВВ.1; ВВ.2; ВВ.4
|
Нарушение личной, се- мейной тайны, утрата чести и доброго имени
|
База данных
|
ВВ.1; ВВ.2; ВВ.4
|
Защищаемая ин-
формация
|
ВВ.1; ВВ.2; ВВ.4
|
Нарушение иных прав и свобод гражданина, закрепленных в Кон- ституции Российской Федерации и федераль-
ных законах
|
База данных
|
ВВ.1; ВВ.2; ВВ.4
|
Защищаемая ин-
формация
|
ВВ.1; ВВ.2; ВВ.4
|
Сетевой трафик
|
ВВ.1; ВВ.2; ВВ.4
|
Нарушение конфиден- циальности (утечка) персональных данных
|
Веб-сайт
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4
|
База данных
|
ВВ.1; ВВ.2; ВВ.4
|
Защищаемая ин-
формация
|
ВВ.1; ВВ.2; ВВ.4
|
Машинный но- ситель информа- ции в составе средств вычисли-
тельной техники
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4
|
Объекты файловой
системы
|
ВВ.1; ВВ.2; ВВ.4
|
Прикладное прог- раммное обеспе-
чение
|
ВВ.2; ВВ.3; ВВ.4
|
Средства крип- тографической за-
щиты информации
|
ВВ.2; ВВ.3; ВВ.4; ВВ.6
|
Сетевой трафик
|
ВВ.1; ВВ.2; ВВ.4
|
Средство вычисли-
тельной техники
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4; ВВ.5; ВВ.6
|
Узел вычислитель- ной сети (авто- матизированные рабочие места, сер- вера, маршрутиза- торы, коммутато-
ры, IoT-устройства и т.п.)
|
ВВ.2; ВВ.3; ВВ.4; ВВ.6
|
Учетные данные
пользователя
|
ВВ.1; ВВ.2; ВВ.4
|
Негативные
последствия
|
Объекты
воздействия
|
Виды воздействия
|
Нарушение законо- дательства Российской Федерации (юридичес- кое лицо, индивиду-
альный предпринима- тель)
|
Информационная (автоматизирован- ная) система
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4; ВВ.5; ВВ.6
|
Необходимость допол- нительных (незапла- нированных) затрат на выплаты штрафов (не- устоек) или компенса-
ций
|
База данных
|
ВВ.1; ВВ.2; ВВ.4
|
Защищаемая ин- формация
|
ВВ.1; ВВ.2; ВВ.4
|
Утечка конфиденци- альной информации (коммерческой тайны, секретов производства (ноу-хау) и др.)
|
База данных
|
ВВ.1; ВВ.2; ВВ.4
|
Защищаемая ин-
формация
|
ВВ.1; ВВ.2; ВВ.4
|
Машинный но- ситель информа- ции в составе средств вычисли-
тельной техники
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4
|
Объекты файловой
системы
|
ВВ.1; ВВ.2; ВВ.4
|
Прикладное прог- раммное обеспе-
чение
|
ВВ.2; ВВ.3; ВВ.4
|
Сетевой трафик
|
ВВ.1; ВВ.2; ВВ.4
|
Средство вычисли-
тельной техники
|
ВВ.1; ВВ.2; ВВ.3; ВВ.4; ВВ.5; ВВ.6
|
Узел вычислитель- ной сети (авто- матизированные рабочие места, сер- вера, маршрутиза- торы, коммутато- ры, IoT-устройства
и т.п.)
|
ВВ.2; ВВ.3; ВВ.4; ВВ.6
|
Учетные данные
пользователя
|
ВВ.1; ВВ.2; ВВ.4
| |
|
|
Скачать 1.31 Mb.