|
|
Занятие Определение уровня исходной защищённости ( y 1 ) 15
Задания (указания по порядку выполнения работы)
Изучить документ «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», разработанный ФСТЭК России.
Определить коэффициенты реализуемости угрозы (Y) и возможности реализации для всех пунктов угроз.
Результаты оформить в виде таблицы.
Содержание отчёта и его форма
Отчёт выполняется каждым студентом индивидуально. Работа должна быть оформлена в электронном виде в формате .doc и распечатана на листах формата А4.
На титульном листе указываются: наименование учебного учреждения, наименование дисциплины, название и номер работы, вариант, выполнил: фамилия, имя, отчество, студента, курс, группа, проверил: преподаватель ФИО.
Контрольные вопросы
Как определяется коэффициент реализуемости угрозы Y?
Перечислите вербальные показатели опасности для рассматриваемой ИСПДн.
Какое значение имеет вербальный показатель, если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных?
Лабораторное занятие №5.
Тема: Определение актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных
Цель и содержание
Целью практических занятий является теоретическая и практическая подготовка студентов в области изучения проблем определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, научиться работать с нормативными документами по защите персональных данных.
Теоретическое обоснование
Данное практическое задание предполагает использование документа
«Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» разработана ФСТЭК России.
Оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:
низкая опасность – если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;
средняя опасность – если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;
высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.
Рекомендации по определению опасности угрозы:
чем больше количество субъектов ПДн, тем выше опасность угрозы;
опасность угрозы выше в зависимости от типа ИСПДн (в порядке возрастания):
o ИСПДн – О;
o ИСПДн – С.
в зависимости от угрозы ПДн.
Для примера значений опасности каждой угрозы в ИСПДн-О возможно использовать следующую таблицу 7.
Таблица 7.
Пример значений опасности угрозы.
Наименование угрозы
|
Возможность реализации угрозы
|
1. Угрозы от утечки по техническим каналам
|
1.1. Угрозы утечки видовой информации
|
низкая
|
1.2. Угрозы утечки информации по каналам ПЭМИН
|
низкая
|
2. Угрозы НСД к информации
|
2.1. Угрозы уничтожения, хищения аппаратных средств и носителей информации путем физического доступа к элементам ИСПДн
|
2.1.1. Кража ПЭВМ
|
низкая
|
2.1.2. Кража носителей информации
|
низкая
|
2.1.3. Кража ключей и атрибутов доступа
|
низкая
|
2.1.4. Кража, модификация, уничтожение информации
|
низкая
|
2.1.5. Вывод из строя узлов ИСПДн, каналов связи
|
низкая
|
2.1.6. НСД к перс. данным при техобслуживании (ремонте, уничтожении) узлов ИСПДн
|
низкая
|
2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет НСД с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий).
|
2.2.1. Действия вредоносных программ (вирусов)
|
средняя
|
2.2.2. Недекларированные возможности системного ПО и ПО для обработки персональных данных
|
низкая
|
2.2.3. Установка ПО, не связанного с исполнением служебных обязанностей
|
высокая
|
2.3. Угрозы непреднамеренных действий пользователей и нарушений безопасности ПДн из-за сбоев в программном обеспечении, а также от угроз не антропогенного и стихийного характера.
|
2.3.1. Утрата ключей и атрибутов доступа
|
средняя
|
2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками
|
низкая
|
2.3.3. Непреднамеренное отключение средств защиты
|
низкая
|
2.3.4. Сбой электропитания, аварии, отказы, стихийные бедствия и т.п.
|
низкая
|
2.4. Угрозы преднамеренных действий внутренних нарушителей
|
2.4.1. НСД к перс. данным лиц, не допущенных к ее обработке
|
низкая
|
2.4.2. НСД к перс. данным лиц, допущенных к ее обработке
|
низкая
|
2.5.Угрозы несанкционированного доступа по каналам связи
|
2.5.1.Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации:
|
|
2.5.1.1. Перехват за переделами с контролируемой зоны
|
низкая
|
2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями
|
низкая
|
2.5.1.3.Перехват в пределах контролируемой зоны внутренними нарушителями.
|
низкая
|
|
2.5.2.Угрозы сканирования, направленные на выявление типа операционных систем, сетевых адресов рабочих, топологии сети, открытых портов и служб и т.п.
|
низкая
|
2.5.3.Угрозы выявления паролей по сети
|
средняя
|
2.5.4.Угрозы навязывания ложного маршрута сети
|
низкая
|
2.5.5.Угрозы подмены доверенного объекта в сети
|
низкая
|
2.5.6.Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях
|
низкая
|
2.5.7.Угрозы типа «Отказ в обслуживании»
|
низкая
|
2.5.3.Угрозы выявления паролей по сети
|
средняя
|
2.5.4.Угрозы навязывания ложного маршрута сети
|
низкая
|
Осуществляется выбор из общего (предварительного) перечня угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами, приведенными в таблице 8.
Таблица 8.
Правила отнесения угрозы безопасности ПДн к актуальной
Возможность
реализации угрозы
|
Показатель опасности угрозы
|
Низкая
|
Средняя
|
Высокая
|
Низкая
|
неактуальная
|
неактуальная
|
актуальная
|
Средняя
|
неактуальная
|
актуальная
|
актуальная
|
Высокая
|
актуальная
|
актуальная
|
актуальная
|
Очень высокая
|
актуальная
|
актуальная
|
актуальная
|
Обобщенный список актуальных угроз в ИСПДн представлен в таблице 9.
Таблица 9.
Перечень актуальных угроз.
Тип угроз безопасности ПДн
|
Опасность угрозы
|
1. Угрозы от утечки по техническим каналам
|
1.1. Угрозы утечки акустической информации
|
неактуальная
|
1.2. Угрозы утечки видовой информации
|
неактуальная
|
1.3. Угрозы утечки информации по каналам ПЭМИН
|
неактуальная
|
2. Угрозы несанкционированного доступа к информации
|
2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации
путем физического доступа к элементам ИСПДн
|
2.1.1. Кража ПЭВМ
|
неактуальная
|
2.1.2. Кража носителей информации
|
неактуальная
|
2.1.3. Кража ключей и атрибутов доступа
|
неактуальная
|
2.1.4. Кражи, модификации, уничтожения информации
|
неактуальная
|
2.1.5. Вывод из строя узлов ПЭВМ, каналов связи
|
неактуальная
|
2.1.6. Несанкционированный доступ к информации при техническом обслуживании (ремонте, уничтожении) узлов ПЭВМ
|
неактуальная
|
2.1.7. Несанкционированное отключение средств защиты
|
неактуальная
|
2.2. Угрозы хищения, несанкционированной модификации или блокирования информации
за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий)
|
2.2.1. Действия вредоносных программ (вирусов)
|
актуальная
|
2.2.2. Недекларированные возможности системного ПО и ПО для обработки персональных данных
|
неактуальная
|
2.2.3. Установка ПО, не связанного с исполнением служебных обязанностей
|
неактуальная
|
2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и систем защиты ПДн в ее составе из-за сбоев в программном обеспечении, а также от сбоев аппаратуры, из-за ненадежности элементов, сбоев
электропитания и стихийного (ударов молний, пожаров, наводнений и т. п.) характера
|
2.3.1. Утрата ключей и атрибутов доступа
|
актуальная
|
2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками
|
неактуальная
|
2.3.3. Непреднамеренное отключение средств защиты
|
неактуальная
|
2.3.4. Выход из строя аппаратно-программных средств
|
неактуальная
|
2.3.5. Сбой системы электроснабжения
|
неактуальная
|
2.3.6. Стихийное бедствие
|
неактуальная
|
2.4. Угрозы преднамеренных действий внутренних нарушителей
|
2.4.1. Доступ к информации, копирование, модификация, уничтожение,
|
актуальная
|
|
лицами не допущенными к ее обработке
|
|
2.4.2. Разглашение информации, копирование, модификация, уничтожение сотрудниками, допущенными к ее обработке
|
актуальная
|
2.5.Угрозы несанкционированного доступа по каналам связи
|
2.5.1.Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации:
|
неактуальная
|
2.5.1.1. Перехват за переделами с контролируемой зоны
|
неактуальная
|
2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями
|
неактуальная
|
2.5.1.3.Перехват в пределах контролируемой зоны внутренними нарушителями.
|
неактуальная
|
2.5.2.Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.
|
актуальная
|
2.5.3.Угрозы выявления паролей по сети
|
неактуальная
|
2.5.4.Угрозы навязывание ложного маршрута сети
|
неактуальная
|
2.5.5.Угрозы подмены доверенного объекта в сети
|
неактуальная
|
2.5.6.Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях
|
неактуальная
|
2.5.7.Угрозы типа «Отказ в обслуживании»
|
неактуальная
|
2.5.8.Угрозы удаленного запуска приложений
|
актуальная
|
2.5.9.Угрозы внедрения по сети вредоносных программ
|
неактуальная
|
|
Вывод: актуальными угрозами безопасности ПДн в ИСПДн являются:
угрозы от действий вредоносных программ (вирусов);
угрозы утраты ключей и атрибутов доступа;
доступ к информации, копирование, модификация, уничтожение лицами, не допущенными к ее обработке
разглашение информации, копирование, модификация, уничтожение сотрудниками, допущенными к ее обработке
угрозы выявления паролей по сети;
угрозы внедрения по сети вредоносных программ.
|
|
|
Скачать 1.72 Mb.