Преамбула
Согласно постановлению Правительства Российской Федерации от 02 июня 2008 года № 418 «О Министерстве связи и массовых коммуникаций Российской Федерации» Министерство связи и массовых коммуникаций Российской Федерации является федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в следующих сферах:
- информационные технологии (включая использование информационных технологий при формировании государственных информационных ресурсов и обеспечение доступа к ним);
- электросвязи (включая использование и конверсию радиочастотного спектра) и почтовой связи;
- массовых коммуникаций и средств массовой информации (в том числе электронных), печати, издательской и полиграфической деятельности;
- обработки персональных данных.
Выделенный функционал с позиции отраслевого нормативного регулирования можно отнести к федеральным законам, формирующим правоотношения для сфер деятельности вышеназванного министерства:
- Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Закон № 149- ФЗ);
- Федеральный закон от 07 июля 2003 года № 126-ФЗ «О связи» (далее – Закон №126-ФЗ);
- Закон Российской Федерации от 27 декабря 1991 года № 2124-1
- «О средствах массовой информации» (далее – Закон № 2124-1);
- Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).
Характеризуя вышеназванное законодательство по критерию распространяемости правоотношений на иные отрасли в связи с выделением общего предмета регулирования, необходимо отметить особенность сферы действия Закона № 149-ФЗ и Закона № 152-ФЗ. Регулируемые данными нормативными правовыми актами правоотношения касаются особенностей использования информации, в том числе персональной, применительно к различным сферам деятельности, и выделение типичных отраслевых признаков обработки персональных данных, выявленных при анализе данных законов, нецелесообразно.
В рамках данной модели при характеристике отдельной отрасли, использующей информационные системы персональных данных с
возможностью последующей их типизации, предлагается остановиться на следующих критериях, при совокупном их использовании:
- основные признаки отрасли и виды оказываемых услуг внутри отрасли;
- полномочия субъектов, формирующих условия и особенности обработки персональных данных в отрасли, в том числе полномочия по вопросам формирования и ведения информационных систем, содержащих информацию, имеющую характер персональных данных;
- участники правоотношений в отрасли, определяемые отраслевой нормативной правовой базой;
- условия, установленные специальным законодательством, которые определяют особенности обработки информации, имеющей характер персональных данных, отдельных категорий субъектов персональных данных.
Наиболее наглядным примером выявления всех вышеперечисленных критериев обладает отрасль связи. Однако они также распространяются на сферу массовых коммуникаций и средств массовой информации, за исключением неавтоматизированной обработки персональных данных, выполняемой в соответствии с требованиями статьи 34 Закона № 2124-1.
Поэтому данная модель угроз применима при использовании и в указанной сфере при учете специфики процессов обработки персональных данных, выделяемых на основе вышеозначенных критериев.
Характеристика источников угроз безопасности персональных данных в ИСПДн (Информационная система персональных данных)
В отношении ИСПДн могут существовать три типа источников угроз безопасности ПДн:
- Антропогенные источники угроз безопасности ПДн.
- Техногенные источники угроз безопасности ПДн.
- Стихийные источники угроз безопасности ПДн.
Антропогенные источники угроз безопасности ПДн
В качестве антропогенного источника угроз для ИСПДн необходимо рассматривать субъекта (личность), имеющего санкционированный или несанкционированный доступ к работе со штатными средствами ИСПДн, действия которого могут привести к нарушению безопасности персональных данных. Антропогенные источники угроз по отношению к ИСПДн могут быть как внешними, так и внутренними.
Среди внешних антропогенных источников можно выделить случайные и преднамеренные источники.
Случайные (непреднамеренные) источники могут использовать такие уязвимости, как ошибки, совершенные при проектировании ИСПДн и ее элементов, ошибки в программном обеспечении; различного рода сбои и отказы, повреждения, проявляемые в ИСПДн. К таким источникам можно отнести персонал поставщиков различного рода услуг, персонал надзорных организаций и аварийных служб и т.п. Действия (угрозы), исходящие от данных источников, совершаются по незнанию, невнимательности или халатности, из любопытства, но без злого умысла.
Преднамеренные источники проявляются в корыстных устремлениях нарушителей. Основная цель таких источников – умышленная дезорганизация работы, вывод систем предприятия из строя, искажение информации за счет проникновения в ИСПДн путем несанкционированного доступа.
Внутренними источниками, как правило, являются специалисты в области программного обеспечения и технических средств, в том числе средств защиты информации, имеющие возможность использования штатного оборудования и программно-технических средств ИСПДн. К таким источникам можно отнести основной персонал, представителей служб безопасности, вспомогательный и технический персонал.
Для внутренних источников угроз особое место занимают угрозы в виде ошибочных действия и (или) нарушений требований эксплуатационной и иной документации сотрудниками предприятий отрасли, имеющих доступ к ИР ИСПДн. К подобным угрозам, в частности, относятся:
- непредумышленное искажение или удаление программных компонентов;
- внедрение и использование неучтенных программ;
- игнорирование организационных ограничений (установленных правил) при работе с ресурсами ИСПДн, включая средства защиты информации. В частности:
- нарушение правил хранения информации ограниченного доступа, используемой при эксплуатации средств защиты информации (ключевой, парольной и аутентифицирующей информации);
- предоставление посторонним лицам возможности доступа к средствам защиты информации, а также к техническим и программным средствам, способным повлиять на выполнение предъявляемых к средствам защиты информации требований;
- настройка и конфигурирование средств защиты информации, а также технических и программных средств, способных повлиять на выполнение предъявляемых к средствам защиты информации требований, в нарушение нормативных и технических документов;
- несообщение о фактах утраты, компрометации ключевой, парольной и аутентифицирующей информации, а также любой другой информации ограниченного доступа.
Наибольшую опасность представляют преднамеренные угрозы, исходящие как от внешних, так и от внутренних антропогенных источников.
Необходимо рассматривать следующие классы таких угроз:
- угрозы, связанные с преднамеренными действиями лиц, имеющими доступ к ИСПДн, включая пользователей ИСПДн и иных сотрудников предприятия, реализующими угрозы непосредственно в ИСПДн (внутренний нарушитель);
- угрозы, связанные с преднамеренными действиями лиц, не имеющими доступа к ИСПДн и реализующими угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (внешний нарушитель) (в случае распределенных ИСПДн);
- угрозы, связанные с преднамеренными действиями лиц, не имеющими доступа к ИСПДн и реализующими угрозы по ТКУИ.
Техногенные источники угроз безопасности ПДн Техногенные источники угроз напрямую зависят от свойств техники.
Данные источники также могут быть как внешними, так и внутренними.
К внешним источникам относятся инфраструктурные элементы ИСПДн:
средства связи (телефонные линии, линии передачи данных и т.п.), сети инженерных коммуникаций (водоснабжение, канализация, отопление и пр.).
К внутренним источникам относятся некачественные технические и программные средства обработки информации, вспомогательные средства (охраны, сигнализации, телефонии), другие технические средства, применяемые в ИСПДн, а также вредоносное программное обеспечение и аппаратные закладки.
Аппаратная закладка
Аппаратные закладки могут быть конструктивно встроенными и автономными.
Конструктивно встроенные аппаратные закладки создаются в ходе проектирования и разработки аппаратного обеспечения, применяемого в ИСПДн и могут проявляться в виде недекларированных возможностей различных элементов вычислительной системы.
Автономные аппаратные закладки являются законченными устройствами, выполняющими определенные функции перехвата, накопления, передачи или ввода/вывода информации. Например, функции автономной аппаратной закладки может выполнять сотовый телефон, несанкционированно подключаемый к ТС ИСПДн.
Учитывая, что аппаратные закладки представляют собой некоторый элемент технических средств (ТС), скрытно внедряемый или подключаемый к ИСПДн и обеспечивающий при определенных условиях реализацию несанкционированного доступа или непосредственное выполнение некоторых деструктивных действий, в них, как правило, содержатся микрокоманды, обеспечивающие взаимодействие закладки с программно-техническими средствами (ПТС) ИСПДн.
Аппаратные закладки могут реализовать угрозы:
- сбора и накопления ПДн, обрабатываемых и хранимых в ИСПДн;
- формирования ТКУИ.
В силу отмеченных свойств аппаратных закладок эффективная защита от них может быть обеспечена только за счет тщательного учета их специфики и соответствующей организации технической защиты информации на всех стадиях (этапах) жизненного цикла ИСПДн.
Носитель вредоносной программы
В качестве носителя вредоносной программы в ИСПДн может выступать аппаратный элемент средств вычислительной техники из состава ИСПДн или ПО, выполняющее роль программного контейнера.
Если вредоносная программа не ассоциируется с какой-либо прикладной программой из состава системного или общего ПО ИСПДн, в качестве ее носителя выступают:
- внешний машинный (отчуждаемый) носитель, т.е. дискета, оптический диск, лазерный диск, флэш-память, внешний жесткий диск и т.п.;
- встроенные носители информации (жесткие диски, микросхемы оперативной памяти, процессор, микросхемы системной платы, микросхемы устройств, встраиваемых в системный блок устройства – видеоадаптера, сетевой платы, устройств ввода/вывода магнитных жестких, оптических и лазерных дисков, блока питания и т.п., микросхемы прямого доступа к памяти, шин передачи данных, портов ввода/вывода);
- микросхемы внешних устройств (монитора, клавиатуры, принтера, плоттера, сканера и т.п.).
В том случае, если вредоносная программа может быть проассоциирована с системным или общим ПО, с файлами различной структуры или с сообщениями, передаваемыми по сети, то ее носителем являются:
- пакеты передаваемых по сети ИСПДн сообщений;
- файлы (исполняемые, текстовые, графические и т.д.).
При возникновении угроз из данной группы появляется потенциальная возможность нарушения конфиденциальности, целостности, доступности и других характеристик безопасности ПДн.
Стихийные источники угроз безопасности ПДн
Стихийные источники угроз отличается большим разнообразием и непредсказуемостью и являются, как правило, внешними по отношению к предприятию. Под ними, прежде всего, рассматриваются различные природные катаклизмы: пожары, землетрясения, ураганы, наводнения. Возникновение этих источников трудно спрогнозировать и им тяжело противодействовать, но при наступлении подобных событий нарушается штатное функционирование самой ИСПДн и ее средств защиты, что потенциально может привести к нарушению конфиденциальности, целостности, доступности и других характеристик безопасности ПДн.
Следует отметить, что, как правило, защита от угроз, исходящих от техногенных и стихийных источников угроз безопасности ПДн, в основном регламентируется инструкциями, разработанными и утвержденными оператором с учетом особенностей эксплуатации ИСПДн и действующей нормативной базы Министерства.
10 Актуальные угрозы безопасности персональных данных в информационных системах персональных данных
Для выявления из всего перечня угроз безопасности ПДн актуальных для ИСПДн оцениваются два показателя:
- уровень исходной защищенности ИСПДн;
- частота (вероятность) реализации рассматриваемой угрозы.
10.1 Уровень исходной защищенности информационной системы персональных данных
Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн. Перечень данных характеристик и показатели защищенности ИСПДн,
зависящие от них, показаны в таблице 10.18. Данный показатель рассчитывается для ИСПДн, исходя из обобщенных характеристик объекта информатизации.
Для определения исходной защищенности ИСПДн должно быть рассчитано процентное соотношение каждого уровня защищенности ко всем характеристикам, имеющим место для ИСПДн.
Принимается, что ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню «высокий», а остальные уровню «средний».
В случае, если не менее 70% характеристик ИСПДн относится к уровню «не ниже среднего», а остальные к уровню «низкий», то исходная защищенность ИСПДн будет среднего уровня.
Во всех остальных случаях ИСПДн будет иметь низкий уровень защищенности.
10.2 Определение актуальных угроз безопасности персональных данных
Уровень исходной защищенности является первым параметром, используемым при оценке актуальности угроз безопасности ПДн,
обрабатываемых в ИСПДн.
Для оценки уровня исходной защищенности, в соответствии с руководящим документом ФСТЭК России «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», вводится коэффициент исходной защищенности Y1, который может принимать значения:
0 – для высокой степени исходной защищенности;
5 – для средней степени исходной защищенности;
10 – для низкой степени исходной защищенности.
Следующим параметром, необходимым для определения актуальности угроз безопасности ПДн, является частота (или вероятность) реализации угрозы, под которой понимается определенный экспертным путем показатель, характеризующий вероятность реализации конкретной угрозы безопасности
ПДн для ИСПДн в реальных условиях ее функционирования. Вводится четыре значения этого показателя, обозначаемого как Y2:
маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);
низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);
средняя вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;
высокая вероятность – объективные предпосылки для реализации
угрозы существуют и меры по обеспечению безопасности ПДн не приняты.
Данный показатель принимает следующие значения:
0 – для маловероятной угрозы;
2 – для низкой вероятности угрозы;
5 – для средней вероятности угрозы;
10 – для высокой вероятности угрозы.
Используя значения приведенных выше показателей Y1 и Y2, вычисляется коэффициент реализуемости угрозы Y, определяемый соотношением Y = (Y1+Y2)/20.
В зависимости от своего значения этот коэффициент принимает значения:
0 < Y < 0,3 – реализуемость угрозы признается низкой;
0,3 < Y < 0,6 – реализуемость угрозы признается средней;
0,6 < Y < 0,8 – реализуемость угрозы признается высокой;
Y > 0,8 – реализуемость угрозы признается очень высокой.
Далее дается оценка опасности каждой угрозы ПДн для ИСПДн. Данная оценка носит экспертный характер и получается путем опроса экспертов в области безопасности информации. Данная оценка имеет три значения:
низкая опасность – если реализация угрозы может привести к
незначительным негативным последствиям для субъектов ПДн;
средняя опасность – если реализация угрозы может привести к
негативным последствиям для субъектов ПДн;
высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов ПДн.
После просчета всех показателей производится оценка актуальности каждой угрозы безопасности ПДн при их обработке в ИСПДн исходя из специальной матрицы.