Лабораторное занятие №1.
Тема: Определение перечня угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
Цель и содержание
Целью практических занятий является теоретическая и практическая подготовка студентов в области изучения задач определения модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных, научиться работать с нормативными документами по защите персональных данных.
Теоретическое обоснование
Данное практическое задание предполагает использование документа
«Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. ФСТЭК России 15.02.2008 г. ДСП.»
Модель вероятного нарушителя безопасности ИСПДн.
По признаку принадлежности к ИСПДн все нарушители делятся на две группы:
внешние нарушители – физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн;
внутренние нарушители – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн.
Внешние нарушители.
В роли внешних нарушителей информационной безопасности могут выступать лица, описанные в таблице 1.
Таблица 1.
Категория нарушителя
|
Описание категории нарушителя
|
Лица, не имеющие санкционированного доступа к ИСПДн
|
физические лица
организации (в том числе конкурирующие)
криминальные группировки
|
Внутренние нарушители.
Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.
Под внутренним нарушителем информационной безопасности рассматривается нарушитель, имеющий непосредственный доступ к каналам связи, техническим средствам и ресурсам системы, находящимся в пределах контролируемой зоны, на территории Российской федерации.
К внутренним нарушителям могут относиться лица, описанные в таблице 2. Таблица 2.
Катего- рия наруши-
теля
|
Перечень лиц
|
Описание категории нарушителя
|
1
|
Работники предприятия, не имеющие санкционированного доступа к ИСПДн
|
имеет доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИСПДн;
располагает фрагментами информации о топологии ИСПДн (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;
располагает именами и возможностью выявления паролей зарегистрированных пользователей;
изменяет конфигурацию технических средств ИСПДн, вносит в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИСПДн.
|
2
|
Пользователи ИСПДн
|
обладает всеми возможностями лиц первой категории;
знает, по меньшей мере, одно легальное имя доступа;
обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;
располагает конфиденциальными данными, к которым имеет доступ.
|
3
|
Администраторы ППО ИСПДн
|
Обладает всеми возможностями лиц первой и второй категорий;
располагает информацией о топологии ИСПДн на
|
|
|
базе локальной и (или) распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств ИСПДн;
имеет возможность прямого (физического) доступа к фрагментам технических средств ИСПДн.
|
4
|
Администраторы локальной сети
|
Обладает всеми возможностями лиц предыдущих категорий;
обладает полной информацией о системном и прикладном программном обеспечении, используемом в сегменте (фрагменте) ИСПДн;
обладает полной информацией о технических средствах и конфигурации сегмента (фрагмента) ИСПДн;
имеет доступ к средствам защиты информации и протоколирования, а также к отдельным элементам, используемым в сегменте (фрагменте) ИСПДн;
имеет доступ ко всем техническим средствам сегмента (фрагмента) ИСПДн;
обладает правами конфигурирования и административной настройки некоторого подмножества технических средств сегмента (фрагмента) ИСПДн.
|
5
|
Зарегистрированные пользователи с полномочиями системного администратора ИСПДн
Администраторы информационной безопасности
|
Обладает всеми возможностями лиц предыдущих категорий;
обладает полной информацией о системном и
прикладном программном обеспечении ИСПДн;
обладает полной информацией о технических средствах и конфигурации ИСПДн;
имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;
обладает правами конфигурирования и административной настройки технических средств ИСПДн
|
6
|
Работники сторонних организаций,
обеспечивающие поставку,
сопровождение и ремонт технических средств ИСПДн
|
обладает всеми возможностями лиц предыдущих категорий;
обладает полной информацией об ИСПДн;
имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн;
не имеет прав доступа к конфигурированию
технических средств сети за исключением
|
|
|
контрольных (инспекционных).
|
7
|
Программисты- разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его
сопровождение на
|
обладает информацией об алгоритмах и программах обработки информации на ИСПДн;
обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения;
может располагать любыми фрагментами
информации о топологии ИСПДн и технических
|
|
защищаемом объекте
|
средствах обработки и защиты ПДн, обрабатываемых в ИСПДн.
|
|
Разработчики и лица, обеспечивающие
|
обладает возможностями внесения закладок в технические средства ИСПДн на стадии их
разработки, внедрения и сопровождения;
|
8
|
поставку, сопровождение и ремонт технических средств на ИСПДн
|
может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты информации в ИСПДн.
|
|
Скачать 1.72 Mb.