1 Санкт-Петербург 2010 год Определение актуальных угроз безопасности персональным данным при их обработке в информационных системах персональных данных. Ведущий эксперт Управления Федеральной службы по техническому и экспортному контролю по Северо-Западному федеральному округу, Катаржнов Александр Демьянович кандидат технических наук, доцент Негосударственное образовательное учреждение дополнительного образования "Учебный центр "ЭВРИКА"

2 1. Угрозы безопасности информации в ИС могут быть реализованы за счет ее утечки по техническим каналам (технические каналы утечки информации, обрабатываемой в ЭВМ, технические каналы перехвата информации при ее передаче по каналам связи, технические каналы утечки акустической (речевой) информации) либо за счет несанкционированного доступа к базам данных с использованием штатного или специально разработанного программного обеспечения. 2. Источниками угроз, реализуемых за счет несанкционированного доступа к базам данных с использованием штатного или специально разработанного программного обеспечения являются субъекты, действия которых нарушают регламентируемые в ИС правила разграничения доступа к информации (нарушитель (человек), программно- аппаратная закладка). 3. Детальное описание угроз, связанных с утечкой информации по техническим каналам и несанкционированным доступом к базам персональных данных приведено в "Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных". 3. Выявление угроз НСД к информации, реализуемых с применением программных и программно-аппаратных средств, осуществляется на основе экспертного метода, в том числе путем опроса специалистов, персонала ИС, должностных лиц, при этом могут использоваться специальные инструментальные средства (сетевые сканеры) для подтверждения наличия и выявления уязвимостей программного и аппаратного обеспечения ИС. Для проведения опроса составляются специальные опросные листы. 4. Выявление технических каналов утечки информации осуществляется на основе методических и нормативных документов ФСТЭК России. ОБЩИЕ ПОЛОЖЕНИЯ ПО ПОРЯДКУ ВЫЯВЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ

3 МЕТОДИКА ОПРЕДЕЛЕНИЯ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ Документ предназначен для специалистов по обеспечению безопасности информации, руководителей организаций и предприятий, организующих и проводящих работы по обработке ПДн в ИСПДн. Методика содержит: основные понятия и определения, показатели исходной защищенности ПДн, порядок определения актуальных угроз безопасности ПДн в ИСПДн

4 Детальное описание угроз безопасности информации по ТКУИ и НСД к базам данных Выявление угроз НСД к информации, реализуемых с применением программных и программно-аппаратных средств Выявление ТКУИ Выявление уязвимых звеньев ИС Формирование перечня актуальных угроз безопасности информации Оценка актуальности угроз Алгоритм определения угроз безопасности информации в ИСПДн Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для обрабатываемой информации. Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для обрабатываемой информации. Модель угроз безопасности информации Модель угроз безопасности информации Экспертные методы, Сканеры уязвимости Экспертные методы, Сканеры уязвимости НМД ФСТЭК России НМД ФСТЭК России

5 Общий порядок выявления актуальных угроз Качественная оценка исходной степени защищенности и перевод ее в количественную Экспертная качественная оценка возможности реализации каждой угрозы и перевод ее в количественную Уровень исходной защищенности ИСПДн – это обобщенный качественный показатель, определяемый только техническими и эксплуатационными характеристиками ИСПДн Принятие решения об отнесении каждой угрозы к актуально по установленному правилу Составление перечня возможных угроз ПДн на основе Базовой модели угроз Качественная оценка опасности каждой угрозы Составление перечня актуальных угроз На основе оценки субъективной вероятности по трем уровням: низкий, средний и высокий с переводом в балльную оценку по десятибалльной шкале По трем уровням: низкая, средняя и высокая опасность с переводом в балльную оценку по десятибалльной шкале

6 Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных Для оценки возможности реализации угрозы применяются два показателя: Уровень исходной защищенности ИСПД (Y 1 ) Частота (вероятность) реализации рассматриваемой угрозы (Y 2 ) Под уровнем исходной защищенности ИСПД понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПД таких как: - Территориальная распределенность; - Подключение к сетям общего пользования; - Соединение с другими ИСПД и т.п. Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПД в складывающихся условиях обстановки. Актуальность угрозы = возможность реализации + опасность угрозы

7 Уровень исходной защищенности ИСПДн (Y1) – определяется по таблице исходя из технических и эксплуатационных характеристик ИСПДн (высокий, средний, низкий) : по территориальному размещению, по наличию соединения с ССОП, по встроенным операциям с записями БД, по разграничению доступа к ПДн, по наличию соединений с другими базами ПДн, по уровню обобщения ПДн, по объему ПДн, предоставляемых сторонним пользователям без предварительной обработки. Если более 70% характеристик соответствуют уровню «высокий» - ИСПДн имеет высокий уровень защищенности (числовой коэффициент 0) Если менее 70% характеристик соответствуют уровню «высокий» и не менее 70% соответствуют уровню не ниже «средний» - ИСПДн имеет средний уровень защищенности (числовой коэффициент 5); Если не выполняются указанные выше условия - ИСПДн имеет низкий уровень защищенности (числовой коэффициент 10) Пример: 65%-высокий,4%-средний,31%-низкий. ИСПДН имеет низкий уровень защищенности – коэффициент 10. Порядок определения реализуемости угрозы безопасности персональных данных в информационных системах персональных данных 7

8 Частота (вероятность) реализации угрозы Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя: маловероятно - отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся); низкая вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации); средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны; высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

9 Порядок определения реализуемости угрозы безопасности персональных данных в информационных системах персональных данных При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y2, а именно: 0 для маловероятной угрозы; 2 для низкой вероятности угрозы; 5 для средней вероятности угрозы; 10 для высокой вероятности угрозы.

10 Расчет коэффициента реализуемости угрозы С учетом изложенного коэффициент реализуемости угрозы Y будет определяться соотношением Y = (Y1+ Y2)/20. По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом: если 0

11 Показатели исходной защищенности ИСПДн Техническое и эксплуатационные характеристики ИСПДн Уровень защищенности Высокий СреднийНизкий 1 По территории охвата: - распределенная ИСПДн, которая охватывает несколько областей, краев или государство в целом; - городская ИСПДн, охватывающая не более одного населенного пункта; - корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации; - локальная ИСПДн, располагающаяся в пределах нескольких близко расположенных зданиях - локальная ИСПДн, располагающаяся в пределах одного здания

12 Показатели исходной защищенности ИСПДн Техническое и эксплуатационные характеристики ИСПДн Уровень защищенности Высокий СреднийНизкий 2 По наличию соединения с глобальными сетями общего пользования: - ИСПДн, имеющие многоточечный выход в глобальную сеть общего пользования; - ИСПДн, имеющая одноточечный выход в глобальную сеть общего пользования; - ИСПДн, физически отделенные от Internet По встроенным (легальным) операциям с записями баз персональных данных ИСПДн: - чтение, поиск; - запись, удаление, сортировка; - модификация, передача

13 Показатели исходной защищенности ИСПДн Техническое и эксплуатационные характеристики ИСПДн Уровень защищенности Высокий СреднийНизкий 4 По разграничению доступа к ПДн в ИСПДн: - ИСПДн, к которым имеет доступ определенный перечень сотрудников организации, являющейся владельцем ИСПДн, либо субъект ИСПДн; -ИСПДн, к которым имеют доступ все сотрудники организации -- ИСПДн с открытым доступом По наличию соединений с другими базами ПДн иных ИСПДн: - интегрированные ИСПДн (использование одной организацией нескольких баз ПДн ИСПДн, при этом организация не является владельцем всех используемых баз ПДн); - ИСПДн, в которых используется одна база ПДн, принадлежащая организации- владельцу данной ИСПДн

14 Показатели исходной защищенности ИСПДн Техническое и эксплуатационные характеристики ИСПДн Уровень защищенности Высокий СреднийНизкий 6 По уровню обобщения (обезличивания) ПДн: - ИСПДн, в которых предоставляемые пользователю данные являются обезличенными - ИСПДн, в которых данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации; - ИСПДн, в которых предоставляемые пользователю данные не являются обезличенными По объему ПДн ИСПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки: - ИСПДн, предоставляющие всю БД с ПДн; - ИСПДн, предоставляющие часть ПДн; - ИСПДн, не предоставляющие никакой информации

15 Порядок определения показателя опасности угрозы безопасности персональных данных в информационных системах персональных данных Далее оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения: низкая опасность - если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных; средняя опасность - если реализация угрозы может привести к негативным последствиям для субъектов персональных данных; высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных. Затем осуществляется выбор из общего (предварительного) перечня угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами, показанными в таблице.

16 Правила отнесения угрозы безопасности ПДн к актуальной Возможность реализации угрозы Показатель опасности угрозы Низкая СредняяВысокая Низкаянеактуальнаянеактуальнаяактуальная Средняянеактуальнаяактуальнаяактуальная Высокаяактуальнаяактуальнаяактуальная Очень высокая актуальнаяактуальнаяактуальная

17 Порядок учета актуальных угроз безопасности ИСПДн С использованием данных о классе ИСПДн и составленного перечня актуальных угроз, на основе «Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» формулируются конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн.