Модель угрозы безопасности персональных данных разрабатывается для ответов sdo rd

Укажите концептуальные документы, разрабатываемые в целях организации защиты персональных данных при их обработке в информационной системе персональных данных:Модель угроз безопасности персональных данныхТехнический проект с указанием перечня мер и средств защиты персональных данныхВсе указанные документыТехническое задание на создание системы защиты персональных данныхНайти другие ответы на вопросы

Связанные темы

Темы, в которых встречается данный вопрос:

Модель угроз безопасности персональных данных разрабатывается — Ответ СДО РЖД

Модель угроз безопасности персональных данных разрабатывается с целью: (Выберите правильный вариант ответа)Понимания информационной системы обработки персональных данных как объекта защитыОписания нарушителей безопасности персональных данныхВыбора мер защиты

Свести к минимуму возможность совершения неправомерных действий в отношении личной информации граждан позволяет ответственный подход операторов к интеграции СЗПДн. В свою очередь, для определения эффективных мер защиты необходимо понимать какие бывают угрозы и к чему они могут привести. Разобраться в этом помогает «модель угроз информационной безопасности организации», составление которой можно доверить персоналу компании либо сторонним специалистам. Документ предполагает тщательный предварительный анализ деятельности предприятия, ИП либо государственной организации с точки зрения вероятности несанкционированного доступа. Причем рассматриваются все источники УБ, включая незадекларированные опции приложений, действия физических лиц и программные закладки.

Задачи, которые выполняет модель угроз безопасности ИСПДн

Разработка документа требует достаточно большое количество как времени, так и человеческих интеллектуальных ресурсов. Эта мера вынужденная и позволит в дальнейшем избежать разногласий с контролирующими структурами, претензий со стороны клиентов и деловых партнеров, а также снизит репутационные риски.

Главные цели разработки модели угроз информационной безопасности организации:

оценить, насколько сформированная ИС защищена от факторов риска НСД с учетом применяемых защитных мероприятий;
принять решение о том, кто и каким образом будет заниматься вопросами безопасности конфиденциальных сведений (штатные работники либо аутсорсинговая компания) и передать им соответствующие полномочия;
составить действенную систему защиты ПДн с применением установленных методик и средств, которые отвечают требованиям в отношении ИСПДн с установленным уровнем защищенности;
реализовать план действий, направленный на предупреждение неправомочных действий в отношении персональных данных;
разработать меры профилактики воздействия на оборудование и программное обеспечение компании, способные привести к незаконному использованию ПДн;
обеспечить контроль эффективности СЗПДн.

При составлении документа необходимо следовать требованиям ФЗ-152 и специализированной нормативно-методической документации. Практика показывает, что чем тщательнее проведена работа по установлению, предупреждению и контролированию УБ, тем меньше вероятность утечки информации, касающейся персональных данных, и тем ниже финансовые затраты на дооптимизацию системы и уплату штрафов.

Что такое базовая модель угроз ИСПДн?

Работа по установлению УБ и разработке результативных методов противодействия крайне сложна. Для ее упрощения и унификации процесса ФСТЭК разработала базовую модель угроз ПДн в ИСПДн, в которой содержатся конкретные примеры факторов риска для различных систем с учетом всех вероятных каналов утечки. В расчет принимаются не только преднамеренные, но и случайные действия граждан, иностранных специальных служб, преступников, которые потенциально могут нанести вред владельцу информации, государству или обществу:

НСД к информационным базам, который дает возможность блокировки, распространения, изменения, обновления и совершения иных операций с ПДн без разрешения граждан;
перехват конфиденциальных сведений по техническим каналам для создания копий и неправомерного применения.

Документ был утвержден 15. 2008 года и является основным для операторов, которые нацелены на приведение бизнеса в соответствие с законодательными требованиями в области персональных данных. Изучив базовую модель угроз ПДн, можно разобраться в:

существующих деструктивных действиях в отношении конфиденциальных сведений;
классах уязвимости ИСПДн;
видах УБ и способах их реализации;
источниках опасности и вариантах утечки ПДн.

Отдельно выделены образцы типовых УБ в зависимости от характеристик информационных систем, обрабатывающих персональные данные.

Этапы создания частной модели угроз ИСПДн

Далеко не все факторы, указанные в документе ФСТЭК, могут быть реализованы в той или иной ИСПДн, поэтому задача специалистов заключается в том, чтобы выделить реальные риски для определенной системы. Для этого разрабатывается частная модель угроз безопасности персональных данных на примере базовой, и делается это в такой последовательности:

Установление исходного уровня защищенности с расчетом соответствующего показателя.
Формирование модели нарушителя.
Составление предварительного списка УБ.
Оценка частоты возникновения каждой из выделенных угроз.
Анализ степени опасности УБ с последующим определением актуальных факторов.
Продумывание технических и организационных профилактических мероприятий согласно требованиям ФСБ и ФСТЭК.

Особенности проработки модели угроз информационной безопасности в соответствии с нормативами ФСТЭК

Структура документа определена методическими рекомендациями, но есть ряд нюансов, которые нужно учитывать. К ним относятся:

техническое задание должен подписать руководитель владельца ИС, иначе модель вернут на доработку;
нормативно-правовая база варьируется в зависимости от вида системы (например, для организаций, которые не применяют средства шифрования, не нужно прорабатывать документы, обозначенные в шаблоне пометкой «СКЗИ»);
при упоминании правовой базы не следует упоминать документы, не имеющие отношения к ПДн, или те, которые уже перестали действовать;
в большинстве случаев модель угроз информационной безопасности составляется в отношении ПДн, однако она также может быть составлена для информации — ЗИ или КИ в зависимости от специфики деятельности компании или ИП;
при описании системы не нужно досконально описывать все сведения и ее технические параметры (например, серийные номер устройств или лицензионные ключи ПО). ИСПДн следует описать таким образом, чтобы можно было составить о ней общее представление;
особое внимание следует обратить на раздел, посвященный описанию СКУД, охраны, видеонаблюдения;
при составлении модели нарушителя важно выделить из перечня тех, которые актуальны именно для вашего предприятия;
законодательством не предусмотрено подробное описание в модели УБ всех выявленных уязвимых мест системы. Оптимальным вариантом является использование классификации, предусмотренной ГОСТом Р 56546-2015;
наиболее разумным при разработке частной модели является использование Банка данных угроз, в котором их на данный момент 213. Это избавит от необходимости самостоятельного подбора формулировок. Однако сортировка рисков в БДУ крайне непростая задача;
просчет вероятности, опасности и актуальности осуществляется в отношении каждой угрозы;
важно помнить, что если не исключить неактуальные факторы, то в дальнейшем придется нести дополнительную финансовую нагрузку на защиту от них.

Чтобы работа над определением УБ прошла успешно, обязательно следует изучить образцы. Следует отметить, что модели угроз ПДн в государственных ИСПДн имеют ряд особенностей, кроме того, есть ряд неофициальных пожеланий контролирующих структур, на которые следует обращать внимание.

В случае если собственных ресурсов не хватает или возникает потребность в приведении организации в соответствие с требованиями ФСБ, то имеет смысл делегировать данную работу сотрудникам нашего Центра, который специализируется на информационной безопасности в сфере ПДн.

Что такое модель угроз

Модель угроз (безопасности информации) — это физическое, математическое, описательное представление свойств или характеристик угроз безопасности информации. Угроза безопасности информации — это совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.

Законодательство, в частности Федеральный закон №152 и 17 приказ, предъявляют требования по защите к обширному перечню информационных систем, одно из них – определение вероятных угроз.

Соответственно, модель угроз — это документ, назначение которого— определить угрозы, актуальные для конкретной системы. Только по факту наличия у организации подобного документа законодательные требования по моделированию будут выполнены.

Процесс разработки модели угроз

определить все последствия, которые могут возникнуть в случае использования угроз (ущерб рядовым гражданам или компаниям, ущерб государству);
определить все возможные объекты для атак, перечислить функционирующие в ИС системы и сети, каналы связи;
оценить возможности вероятных злоумышленников, иными словами – определить источники атак;
оценить способы атак, вероятные для исследуемой системы;
оценить возможности по выполнению атак и определить актуальность угроз;
оценить вероятные сценарии атак в Ваших сетях.

Введение.
Описание систем и сетей. Должен включать в себя наименования, классы защищённости, задачи, бизнес-процессы, архитектуру, описание групп пользователей, интерфейсов нормативно-правовую базу функционирования конкретных систем, в общем, исчерпывающую информацию о всех функционирующих системах и сетях.
Возможные последствия. Должен содержать описание видов ущерба, актуальных для владельца ИС, а также негативных последствий, которые повлекут за собой описанный ущерб.
Возможные объекты воздействия. Требуется наличие наименований и назначения компонентов систем и сетей, воздействие на которые может привести к нежелательным последствиям.
Источники. Должен включать категории возможных нарушителей, их характеристику и возможности.
Способы. Здесь необходимо описать способы реализации угроз, которые могут быть использованы возможными нарушителями, а также описать интерфейсы, через которые наиболее вероятные нарушители могут реализовать атаки.
Актуальные угрозы. Финальный список всех возможных угроз, составленный на основе всех предыдущих глав. Также должен включать описание вероятных сценариев реализации и выводы об актуальности угроз. Главы 2–5 методики ФСТЭК дают исчерпывающие рекомендации по разработке каждого элемента модели угроз. Приложения 4–11 дают примеры таблиц, которые должны быть приведены в документе, опираясь на них, вполне возможно создать собственную модель угроз.

Основные моменты

Подводя итоги: модель угроз — это один из главных элементов всего пакета внутренних документов ИБ, который должен содержать выявление вероятных угроз для Вашей информационной системы. Требования к структуре и содержанию предъявляет новая методика оценки угроз безопасности информации ФСТЭК, она же даёт подробные рекомендации по разработке частной модели угроз.

Чтобы соответствовать современным требованиям надежной и безопасной компании, которая заботится о сохранности конфиденциальной информации, нужно приложить немало усилий для предотвращения УБ ПДн. Провести анализ и внедрить средства защиты необходимо еще и для того, чтобы не быть оштрафованным за несоблюдение положений ФЗ-152, распространяющихся на всех операторов, включая ИП. Перед построением и интеграцией СЗПДн необходимо определить:

какие есть риски;
насколько защищена система в настоящий момент;
какова вероятность реализации конкретных УБ.

В целях унификации процессов, связанных с анализом потенциально опасных условий и факторов, власти разработали методику определения актуальных угроз ПДн. Простому обывателю досконально понять суть документа крайне проблематично, не говоря об адаптации деятельность по оценке УБ. В связи с чем, есть смысл поручить эту работу сотрудникам нашего центра. Далее мы рассмотрим ключевые моменты, связанные с алгоритмом, предусмотренным законодательством Российской Федерации.

Что собой представляет методика определения угроз безопасности персональных данных?

Если бы каждый оператор осуществлял анализ УБ не в соответствии с установленными правилами и методиками, а руководствуясь личными представлениями о том, на что обращать внимание, то в сфере ИБ царила бы неразбериха и безответственность. В свою очередь гражданам приходилось бы полагаться исключительно на добросовестность компаний и ИП, которым они доверяют личные сведения. Утвержденная 14. 2008 методика определения актуальных угроз безопасности персональных данных помогла решить сразу несколько проблем:

предоставить фирмам, предпринимателям и госорганам четкий механизм действий по установлению рисков в процессе их деятельности;
наладить систему отслеживания и регулирования работы операторов в области обеспечения защиты ПДн;
дифференцировать требования к разным типам ИСПДн;
создать базу для интеграции эффективных мер предупреждения и реагирования на внутренние и внешние угрозы.

Документ, разработанный ФСТЭК, учитывает положения других действующих в стране нормативно-правовых актов, касающихся сферы ПДн, где подробно описано, что делать тем, кто намерен анализировать УБ и принимать решения по внедрению СЗ:

штатным сотрудникам, которые занимаются вопросами информационной безопасности;
индивидуальным предпринимателям, не имеющим персонала (включая тех, кто ведет бизнес в Интернете);
специалистам, работающим в аутсорсинговом формате;
директорам предприятий.

Основная информация об УБ ПДн

Перед тем как приступать непосредственно к расчетам, важно ознакомиться с общими положениями методики, поскольку в них содержится главное, что нужно знать об угрозах безопасности ПДн:

К УБ относятся различные факторы, а также условия, способные привести к неправомерному использованию конфиденциальных сведений о гражданах.
Задачей оператора является защита не только от преднамеренных, но и от случайных незаконных действий в отношении ПДн.
Существует два основных способа реализации УБ — с помощью специализированного софта либо через технические каналы. Отдельной категорией являются угрозы, которые связаны с утечками через межсетевые протоколы.
В качестве источников опасности могут выступать аппаратные закладки, нарушители (штатные и внештатные сотрудники, хакеры, посетители и т.д.), а также носители вредоносного ПО.
При установлении факторов риска, предполагающих использование утилит либо устройств, необходима экспертная оценка, в том числе с применением сетевых сканеров.
О наличии той или иной угрозы можно говорить в том случае, если выявлено уязвимое звено и источник, необходимые для реализации данной УБ.

Процесс определения угроз безопасности персональных данных

Есть огромное количество УБ, но далеко не все из них необходимо принимать во внимание, формируя систему информационной защиты. Алгоритм, предлагаемый ФСТЭК, дает возможность выявить именно те факторы, которые способны привести к НСД именно в вашей ИСПДн. Для этого необходимо проанализировать уровень изначальной защищенности, а также просчитать, с какой вероятность конкретная угроза может возникнуть.

Первый показатель базируется на оценке эксплуатационных и технических свойств системы с помощью указанной в методике таблицы:

высокий уровень определяется, если больше 70% параметров отвечают высокому уровню, а остальные — среднему;
если как минимум 70% характеристик отвечают уровню не ниже среднего, а остальные относятся к низкому, то ИСПДн имеет средний уровень;
при несоблюдении требований высокого и среднего уровня системе присваивают низкий уровень исходной защищенности.

Второй показатель позволяет оценить, как часто может быть реализовано условие, при котором происходит несанкционированный доступ и использование ПДн. Для этого нужно составить перечень УБ и с учетом наличия объективных возможностей для её выполнения обозначить её маловероятность, низкую, среднюю либо высокую вероятность. Для каждой из градаций предусмотрен числовой эквивалент: 0, 2, 5 и 10, соответственно. После этого рассчитывается коэффициент Y = (Y1+Y2)/20 и проводится экспертная оценка с привлечением должностных лиц и сторонних экспертов. Последний этап — выделение из списка тех УБ, которые возможно осуществить в исследуемой системе.

После определения типа актуальных угроз безопасности персональных данных согласно установленному алгоритму, специалисты могут приступать к проработке организационно-технических требований, на основании которых будет потом выстраиваться СЗПДн.

Банк данных угроз безопасности информации

Угрозы
Уязвимости
Документы
Термины
Обратная связь
Обновления
Участники
Обучение
ФСТЭК России

Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (выписка)

Модель угроз безопасности персональных данных разрабатывается с целью:Понимания информационной системы обработки персональных данных как объекта защитыОписания нарушителей безопасности персональных данныхВыбора мер защитыНайти другие ответы на вопросы

Зачем нужна модель угроз?

Необходимость разработки модели угроз регламентирована рядом нормативных документов. Вот некоторые из них.

Часть 2 статьи 19 закона №152-ФЗ «О персональных данных»:

Обеспечение безопасности персональных данных достигается, в частности:

1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (утверждены приказом ФСТЭК России от 18 февраля 2013г. №21):

Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.

Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (утверждены ФСТЭК России от 11 февраля 2013г. №17)

Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды (утверждены приказом ФСТЭК России от 14 марта 2014г. №31):

Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (утверждены приказом ФСТЭК России от 25 декабря 2017г. №239):

а) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);

Итак, вывод отсюда простой: для любых информационных систем, так или иначе подлежащих защите в соответствии с законодательством необходимо разработать модель угроз.

С необходимостью создания документа разобрались, давайте же посмотрим, что предписывает нам законодательство по его содержанию. Здесь, как ни странно, все довольно скудно.

В качестве хрестоматийного примера описания содержания модели угроз можно привести 17 приказ ФСТЭК:

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Вы не поверите, но это все. Но с другой стороны, хоть текста и не много, но он довольно содержательный. Давайте еще раз перечитаем и выпишем, что должно быть в нашей модели угроз:

описание информационной системы;
структурно-функциональные характеристики;
описание угроз безопасности;
модель нарушителя;
возможные уязвимости;
способы реализации угроз;
последствия от нарушения свойств безопасности информации.

Это по законодательству, что требует ФСТЭК. Так же дополнительно есть требования ФСБ (о них чуть позже) и некоторые неофициальные требования-пожелания от ФСТЭК, с которыми мы столкнулись в процессе согласования моделей угроз государственных информационных систем.

Вступительная часть модели угроз

В шаблоне его подписывает именно руководитель владельца информационной системы. Это не просто так.

Постановление Правительства РФ от 11 мая 2017г. №555:

Техническое задание на создание системы и модель угроз безопасности информации утверждаются должностным лицом органа исполнительной власти, на которое возложены соответствующие полномочия.

Естественно, если информационная система не государственная и оператор системы не является органом исполнительной власти, то подписывать модель угроз может кто угодно. Просто мы не раз сталкивались, когда при выполнении вышеуказанных условий (государственная информационная система органа исполнительной власти) заказчик нас просил изменить титульный лист, чтобы там были подписи только представителей компании-лицензиата (то есть – наши). Приходилось объяснять, почему такую модель угроз ФСТЭК вернет на доработку.

Раздел «Нормативно-методическое обеспечение»

Здесь хотелось бы вспомнить, о том, что модель угроз может разрабатываться для очень разных систем – от ИСПДн до КИИ. Поэтому и список нормативной документации может отличаться. Например, если мы разрабатываем модель угроз для АСУ ТП, то из шаблона нужно убрать 21 и 17 приказы ФСТЭК и добавить 31-й.

Документы, помеченные аббревиатурой «СКЗИ» это нормативные документы ФСБ, регламентирующие обращение с шифровальными средствами. Если криптосредства в информационной системе не используется (сейчас это редкость, но все же), то эти нормативные документы из списка необходимо удалить.

Частой ошибкой здесь бывает добавление различных ГОСТ и прочих нормативных документов (очень любят сюда вписывать СТР-К), никак не связанных с моделированием угроз. Либо отмененных документов. Например, часто в моделях угроз можно встретить в списке нормативных документов ФСБшные так называемые «Методические рекомендации. » и «Типовые требования. », которые давно не актуальны.

Общие положения

Здесь указываются общие сведения об информационной системе – где находится, как называется, какие данные и какого класса (уровня защищенности, категории) обрабатываются. Здесь конечно многих интересует – насколько подробно нужно описывать информационную систему.

В процессе многократных согласований моделей угроз для государственных информационных систем нами выработано решение относительно этого – должна быть золотая середина. Это не должна быть копипаста из технического паспорта с указанием серийных номеров технических средств. Но с другой стороны, человек не знакомый с системой, почитавший ее описание в модели угроз должен примерно понять, как эта самая система работает.

Серверная часть информационной системы «Нипель» представляет собой кластер физических серверов, на которых развернут гипервизор ESXi 6. Работа серверной части основных сервисов информационной системы обеспечивается виртуальными серверами (имена серверов) под управлением операционных систем (список ОС). Основным программным обеспечением, реализующим технологические процессы обработки является (название ПО). Прикладное программное обеспечение является клиент-серверным приложением. Клиентская часть работает как толстый клиент на рабочих станциях пользователей под управлением операционных систем (список ОС). Пользователи получают доступ к информационной системе, как из локальной сети, так и через сеть интернет с использованием защищенных каналов связи. В целом информационная система функционирует как показано на схеме.

Прикладывается функциональная (не топологическая!) схема информационной системы.

Вот примерно так оно обычно выглядит. Стиль и другие детали, конечно, могут сильно отличаться, главное – информация, которую можно подчерпнуть из описания.

Здесь же есть раздел «Охрана помещений». Тут описываем, как охраняются помещения в рабочее и в нерабочее время – видеонаблюдение, СКУД, охранник, вахтер, сигнализация и вот это все.

Сюда же в шаблоне модели угроз отнесены чисто ФСБшные разделы «Определение актуальности использования СКЗИ для обеспечения безопасности персональных данных» и «Дополнительные объекты защиты». Если криптография не используется, то эти разделы просто убираем, если используется, то там особо менять ничего, в общем-то, и не нужно, кроме как вписать название информационной системы.

Раздел «Принципы модели угроз» тоже можно не менять. Просто обратите внимание, что есть вариант для случаев, когда в системе используются криптосредства, и когда нет. Выбираем нужный и едем дальше.

Модель нарушителя

Здесь можно разделить эту часть на классическую и новую. Классическая это та самая, где описаны потенциальные нарушители 1, 2 и далее категорий. На самом деле эта часть модели нарушителя оставлена в шаблоне только потому, что регуляторам нравится, когда она есть. Практическую же ценность представляет раздел «Нарушители согласно банку данных угроз ФСТЭК России».

Практическую ценность этот раздел представляет потому, что сами угрозы из банка данных угроз ФСТЭК (далее – БДУ) привязаны к нарушителям с низким, средним и высоким потенциалом. Сам раздел представляет из себя копипасту описаний характеристик нарушителей с низким, средним и высоким потенциалами. Далее делается вывод нашим любимым «экспертным» путем — какой нарушитель для нас актуален. То есть, по сути, составитель выбирает нарушителя «на глаз», потому что каких-либо методик выбора нарушителя просто нет. Не будем здесь приводить эти описания полностью, постараемся коротко сформулировать, чем отличаются потенциалы нарушителей. Кроме разграничения по потенциалу нарушители еще бывают внешние и внутренние.

Самый талантливый хакер в мире, который в совершенстве пользуется уже имеющимися инструментами и может создавать свои инструменты это внезапно нарушитель с низким потенциалом. Нарушитель с теми же возможностями, но имеющий некую инсайдерскую информацию о системе это уже средний потенциал. Основная фраза, отличающая средний потенциал от низкого: «Имеют доступ к сведениям о структурно-функциональных характеристиках и особенностях функционирования информационной системы». Вот здесь нужно хорошо подумать, насколько вероятна утечка такой информации. Нарушители с высоким потенциалом, если коротко, то это в основном спецслужбы. Тут у нас и возможность привлекать специализированные научные организации и съем информации с физических полей и вот это все.

В реалистичных ситуациях потенциал нарушителя либо низкий, либо средний.