ОРГАНИЗАЦИЯ ЗАЩИТЫ ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Лекция № 5

угроз безопасности персональным данным.
ВОПРОС 3. Источники угроз безопасности персональным данным.
ВОПРОС

4. Уязвимости ИСПДн.
ВОПРОС 5. Технические каналы утечки информации персональным данным..
ВОПРОС 6. Каналы несанкционированного доступа к персональным данным.
ВОПРОС 7. Уязвимые звенья ИСПДн и способы реализации угроз безопасности персональным данным.
ВОПРОС 8. Основные мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных

Учебные вопросы:

Лекция № 5
ОРГАНИЗАЦИЯ ЗАЩИТЫ ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия :Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

на ряде документов, установивших принципы, порядок и условия обработки персональных

данных на межгосударственном уровне.
Обозначила проблему защиты персональных данных на международном уровне Организация по экономическому сотрудничеству и развитию (ОЭСР).
Данная организация приняла в 1980 году "Основные положения о защите неприкосновенности частной жизни и международных обменов персональными данными”.
В этом документе были зафиксированы базовые принципы работы с персональными данными.

ВВЕДЕНИЕ

физических лиц при автоматизированной обработке персональных данных" (Страсбург, 28 января

1981 г.);
- Директива 95/46/ЕС Европейского парламента и Совета Европейского Союза от 24 октября 1995 года о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных;
- Директива 97/66/EC Европейского парламента и Совета Европейского Союза от 15 декабря 1997 года, касающаяся использования персональных данных и защиты неприкосновенности частной жизни в сфере телекоммуникаций;

ВВЕДЕНИЕ

Директива 2002/58/ЕС Европейского парламента и Совета ЕС от 12 июля

2002 г. в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи (Директива о конфиденциальности и электронных средствах связи);
- Директивы 2001/20/ЕС Европейского парламента и Совета ЕС от 4 апреля 2001 г. о сближении законодательных, регламентарных и административных положений Государств-членов ЕС, касающихся применения качественной клинической практики при проведении клинических исследований медицинской продукции, предназначенной для использования людьми;

ВВЕДЕНИЕ

16 декабря 2008 г. о статистических данных Сообщества в области здравоохранения, охраны

здоровья и безопасности;
- Директива Европейского парламента и Совета Европейского Союза 2011/24/ЕС от 9 марта 2011 г. о правах пациентов в трансграничном медицинском обслуживании.
Учитывая активное международное сотрудничество в сфере информационных процессов, в 2005 году Российская Федерация ратифицировала Конвенцию Совета Европы "О защите физических лиц при автоматизированной обработке персональных данных", тем самым возложив на себя обязательства соблюдать международные стандарты по защите персональных данных в соответствие требованиям общеевропейского права.

ВВЕДЕНИЕ

персональных данных".
Этот закон был создан с учетом международных нормативных

актов, уже действовавших в европейских и других странах.
За прошедшие годы в Российской Федерации создана система национального законодательства, приняты на его основе подзаконные акты, позволяющие эффективно регулировать отношения, связанные с обработкой персональных данных.
В указанных нормативных правовых актах закреплены общепризнанные права граждан на защиту персональных данных от несанкционированного доступа, на информирование об обработке и обеспечение доступа граждан к обрабатываемым персональным данным.

ВВЕДЕНИЕ

вопросы:
ОРГАНИЗАЦИЯ ЗАЩИТЫ ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия :Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

безопасности персональным данным при их обработке в информационных системах персональных

данных»)

Совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение пер­сональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

как совокупность информации и ее источников, используемых в ИСПДн;
Информационные технологии,

как совокупность приемов, способов и методов применения средств вычислительной техники при обработке ПДн;
Технические средства, осуществляющие обработку ПДн (средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации) (технические средства ИСПДн);

базами данных и т.п.);
Средства защиты информации;
Вспомогательные технические средства и системы

(технические сред­ства и системы, их коммуникации, не предназначенные для обработки ПДн, но размещенные в помещениях, в которых расположены ИСПДн, их технические средства (далее — служебные помещения) (различного рода телефонные средства и системы, средства вычислительной техники, средства и системы передачи данных в системе радиосвязи, средства и системы охранной и пожарной сигнализации, средства и системы оповещения и сигнализации, контрольно-измерительная аппаратура, средства и системы кондиционирования, средства и системы проводной радиотрансляционной сети и приема программ радиовещания и телевидения, средства электронной оргтехники, сред­ства и системы электрочасофикации) (далее — ВТСС).

произносимой речи
информация воспроизводимая акустическими средствами ИСПДн
информация

содержащаяся в электромагнитных полях и электрических сигналах которые возникают за счёт преобразований акустической информации

Видовая информация

информация представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн

Информация, обрабатываемая (циркулирующая) в ИСПДн,
в виде электрических, электромагнитных, оптических сигналов

Информация, обрабатываемая в ИСПДн,
представленная в виде бит, байт, IP-протоколов, файлов и других логических структур

безопасности персональным данным

ВОПРОС 2.
Классификация угроз безопасности персональным данным

Учебные вопросы:

ОРГАНИЗАЦИЯ ЗАЩИТЫ ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.
Классификация угроз безопасности персональным данным
УГРОЗА — потенциальная причина

инцидента, который может нанести ущерб системе или организации
(ГОСТ Р ИСО/МЭК 13335-1-2006).

УГРОЗА (БЕЗОПАСНОСТИ ИНФОРМАЦИИ) — совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации
(Р 50.1.056-2005).

УГРОЗЫ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных .
(Рекомендации ФСТЭК от 15.02.2008. Диапазон действия редакции: c 15.02.2008 по 14.03.2010)

по техническим каналам однозначно описываются характеристиками:
— источника информации,
—

среды (пути) распространения
— приемника информативного сигнала,
то есть определяются характеристиками технического канала утечки ПДн.

Угрозы могут быть описаны в формализованном виде:

угроза утечки ПДн по техническим каналам: =
<источник угрозы (приемник информативного сигнала)>,
<среда (путь) распространения информационного сигнала>,
<источник (носитель) ПДн>.

НСД, представляются в виде совокупности
— обобщенных классов возможных источников

угроз НСД,
— уязвимостей программного и аппаратного обеспечения ИСПДн,
— способов реализации угроз,
— объектов воздействия (носителей защищаемой информации)
— и возможных деструктивных действий.

Такое представление описывается следующей формализованной записью:
угроза НСД: =
<источник угрозы>,
<уязвимость программного или аппаратного обеспечения>,
<способ реализации угрозы>,
<объект воздействия (носитель ПДн)>,
<несанкционированный доступ>.

источников угроз
Угрозы, связанные преднамеренными или непреднамеренными действиями лиц, имеющими доступ

к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн

Угрозы, связанные преднамеренным или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена

По структуре ИСПДн, на которые направлена реализация угроз безопасности ПДн

Угрозы безопасности ПДн, обрабатываемых в ИСПДн, на базе автоматизированного рабочего места

Угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе локальных информационных систем

Угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе распределённых информационных систем

По виду несанкционированных действий, осуществляемых с ПДн

Угрозы, приводящие к нарушению конфиденциальности ПДн (копированию, распространению), при реализации которых не осуществляется непосредственное воздействие на содержание информации

Угрозы, приводящие несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение ПДн или их уничтожение

Угрозы, приводящие несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы ИСПДн, в результате которого осуществляется блокирование ПДн

реализации угроз безопасности ПДн
Угрозы, реализуемые в ИСПДн при их подключении

к сетям связи общего пользования

Угрозы, реализуемые в ИСПДн при их подключении к сетям международного информационного обмена

Угрозы, реализуемые не имеющих подключений к сетям связи общего пользования и сетям международного информационного обмена

По виду каналов, с использованием которых реализуется угроза безопасности ПДн

Угрозы, реализуемые через каналы возникающие за счёт использования технических средств съёма (добывания) информации, обрабатываемой в технических средствах ИСПДн или ВТСС (технические каналы утечки информации):

Угрозы, реализуемые за счёт несанкционированного доступа к ПДн в ИСПДн с использованием программного обеспечения ИСПДн или специально разрабатываемого программного обеспечения:

- угрозы утечки акустической (речевой) информации

- угрозы утечки видовой информации

- угрозы утечки информации по каналам ПЭМИН

- угрозы доступа (проникновения) в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения)

- угрозы создания нештатных режимов работы программных средств за счет преднамеренных изменений служебных данных

- угрозы внедрения вредоносных программ (программно-математического воздействия)

вызванные наличием в ИСПДн программно-аппаратной закладки
Уязвимости, связанные с реализацией протоколов

сетевого взаимодействия и каналов передачи данных

Уязвимости, вызванные недостатками организации ТЗИ от НСД

Уязвимости СЗИ

Уязвимости программно-аппаратных средств ИСПДн в результате сбоев в работе, отказов этих средств

Использование существующих уязвимостей программно-аппаратного обеспечения ИСПДн

Внедрение (внесение) новых уязвимостей в ИСПДн

Информация, обрабатываемая на АРМ (узле) вычислительной техники

Информация в средствах реализующих сетевое взаимодействие в каналах передачи данных в сети

Нарушение конфиденциальности

Нарушение целостности (уничтожение, модификация, дезинформация)

Нарушение доступности

Способ реализации угрозы

Уязвимости ИСПДн

Источник угрозы

Объект воздействия

Деструктивное действие

Элементы угроз НСД в ИСПДн

УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ

ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия : Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации.

(ГОСТ Р 50922-2006)

ИСТОЧНИК УГРОЗЫ БЕЗОПАСНОСТИ ИНФОРМАЦИИ — субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации.

Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости (утв. Министерством здравоохранения и социального развития РФ 23 декабря 2009 г.)

ВОПРОС 3.
Источники угроз безопасности персональным данным

в КЗ, но не имеющие доступа к ИР
Зарегистрированный пользователь информационных

ресурсов, имеющий ограниченные права доступа в ПДн ИСПДн с рабочего места

Пользователи информационных ресурсов, осуществляющие удалённый доступ к ПДн по ЛВС

Зарегистрированный пользователь ПДн с полномочиями администратора безопасности структурного подразделения защищаемой ИСПДн

Зарегистрированный пользователь ПДн с полномочиями системного администратора ПДн

Зарегистрированный пользователь ПДн с полномочиями администратора безопасности ИСПДн

Программисты - разработчики прикладного программного обеспечения и лица, обеспечивающие его сопровождение в ИСПДн

Разработчики и лица обеспечивающие поставку, сопровождение и ремонт технических средств ИСПДн

Другие категории в соответствии с оргштатной структурой ИСПДн

Конструктивно встроенная

Программные закладки (недекларированные возможности ПО, программы типа «Троянский конь», специальные программы: клавиатурные шпионы, программы подбора паролей удалённого доступа и др.)

Программные вирусы

Вредоносные программы распространяющиеся по сети (сетевые черви)

Другие вредоносные программы, предназначенные для осуществления НСД

Программно-аппаратная закладка

Вредоносная программа

Внутренний

Автономная

в ИСПДн программно-аппаратной закладки
Уязвимости, связанные с реализацией протоколов сетевого взаимодействия

и каналов передачи данных

Уязвимости, вызванные недостатками организации ТЗИ от НСД

Уязвимости СЗИ

Уязвимости программно-аппаратных средств ИСПДн в результате сбоев в работе, отказов этих средств

Элементы описания угроз НСД в ИСПДн

Уязвимости микропрограмм прошивок ПЗУ, ППЗУ

Уязвимости драйверов аппаратных средств

Уязвимости ИСПДн

В процессе инициализации ОС

В незащищенном режиме работы процессора

В процессе функционирования ОС в привилегированном режиме

Уязвимости прикладного ПО

Уязвимости специального ПО

Уязвимости ПО пользователя

Уязвимости на канальном уровне

Уязвимости на сетевом уровне

Уязвимости на транспортном уровне

Уязвимости на сеансовом уровне

Уязвимости на прикладном уровне

Уязвимости операционных систем

УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ

ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия : Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

использована одной или несколькими угрозами.

(ГОСТ Р ИСО/МЭК 13335-1-2006).

УЯЗВИМОСТЬ (ИНФОРМАЦИОННОЙ СИСТЕМЫ); БРЕШЬ — свойство информационной системы, обусловливающее возможность реализации угроз безопасности обрабатываемой в ней информации
ПРИМЕЧАНИЯ:
1. Условием реализации угрозы безопасности обрабатываемой в системе информации может быть недостаток или слабое место в информационной системе.
2. Если уязвимость соответствует угрозе, то существует риск.
(ГОСТ Р 50922-2006).

ВОПРОС 4.
Уязвимости ИСПДн

РИСК — сочетание вероятности появления опасного события и его последствий.
(ГОСТ Р 51901.11-2005)

недостаток или слабое место в системном или прикладном программном (программно-аппаратном)

обеспечении автоматизированной информационной системы, которое может быть использовано для реализации угрозы безопасности персональных данным.

основных групп уязвимостей ИСПДн, включает:
уязвимости системного программного обеспечения (в том

числе протоколов сетевого взаимодействия);
уязвимости прикладного программного обеспечения (в том числе средств защиты информации).

Для систематизации описания множества уязвимостей используется единая база данных уязвимостей CVE (Common Vulnerabilities and Exposures), в разработке которой принимали участие специалисты многих известных компаний и организаций, таких как MITRE, ISS, Cisco, BindView, Axent, NFR, L-3, CyberSafe, CERT, Carnegie Mellon University, институт SANS и т.д.
Эта база данных постоянно пополняется и используется при формировании баз данных многочисленных программных средств анализа защищенности и, прежде всего, сетевых сканеров.

(ПАО) ИСПДн
Способ реализации угрозы
Обход СЗИ
Деструктивное воздействие на СЗИ
Перехват информации
Модификация передаваемых

данных

Перегрузка ресурсов (отказ в обслуживании)

Внедрение вредоносной программы

Удалённый несанкционированный доступ в систему

Разглашение и утечка информации на незащищённые рабочие места вычислительной сети

Вскрытие или перехват пароля

На этапе проектирования и разработки ИСПДн

На этапе утилизации элементов АС

Внедрение (внесение) новых уязвимостей в ИСПДн

Уязвимости протоколов сетевого взаимодействия и каналов передачи данных

Использование остаточной, неучтённой информации (сбор «мусора»)

Использование нетрадиционных (стеганографических) каналов передачи данных

Использование нештатного ПАО

Обмен программами и данными, содержащими выполняемые модули (скрипты, макросы и т.д.)

Изменение конфигурации ПО

Модификация ПО и данных

Разработка вредоносных программ

Публикация, разглашение защищаемых сведений

На этапе сопровождения (модернизации) ИСПДн

На этапе эксплуатации

Внесение уязвимостей с использованием штатных средств

вычислительной сети
ГМД
ЖМД
Накопители ZIP
Накопители электронной памяти типа флэш
Аудио-, видеокассеты, магнитные ленты
Оптические

компакт-диски

Информация на канальном уровне

Информация в средствах реализующих сетевое взаимодействие и каналах передачи данных в сети

Программно-аппаратная закладка

На отчуждаемых носителях информации

Сотовые телефоны, карманные компьютеры, цифровые фотоаппараты,mp3- проигрыватели

Цифровые видеокамеры

Другие устройства

Жёсткие магнитные диски

Постоянные запоминающие устройства

Перепрограммируемые (перезаписываемые)запоминающие устройства

На встроенных носителях долговременного хранения информации

Оперативная память

Кэш-память, буферы ввода-вывода

Видео память

Оперативная память подключаемых устройств

В средствах обработки и хранения оперативной информации

Информация на сетевом уровне

Информация на транспортном уровне

Информация на сеансовом уровне

Информация на презентационном уровне

Информация на прикладном уровне

В средствах (портах) ввода/вывода информации

Объект воздействия

Клавиатура

Манипулятор мышь

Сканер

Дисплей, монитор

Принтер

Плоттер

Приводы магнитных и оптических дисков

Порты ввода/вывода для подключения периферийных устройств

Информация в средствах (аппаратуре) передачи данных

Другие средства ввода/вывода информации

Другие средства ввода/вывода информации

конфигурацией сетей
Воздействие на ПО и данные пользователя
Нарушение функционирования и отказы

средств обработки информации

Нарушение и отказы функционирования средств ввода/вывода информации

Нарушение целостности (уничтожение, модификация, дезинформация)

Нарушение доступности

Программно-аппаратная закладка

Деструктивное действие

Перехват информации в каналах передачи данных

Разглашение (публикация) защищаемой информации

Нарушение и отказы функционирования средств хранения информации

Нарушение и отказы функционирования аппаратуры и каналов передачи данных

Нарушение и отказы функционирования СЗИ

Воздействие на микропрограммы, данные и драйвера устройств вычислительной системы

Воздействие на программы, данные и драйвера устройств обеспечивающие загрузку (инициализацию) ОС и СЗИ

Воздействие на программы и данные прикладного ПО

Воздействие на программы и данные специального ПО

Воздействие на промежуточные (оперативные) значения программ и данных в процессе их обработки средствами и устройствами вычислительной техники

Внедрение вредоносной программы

Внедрение программно-аппаратной закладки

Воздействие на СЗИ

Средства управления адресами и маршрутизацией передачи данных в сети

Средства управления функциональным контролем сети

Средства управления безопасностью сети

Воздействие на технологическую сетевую информацию

– это некоторая самостоятельная программа (набор инструкций), которая способна выполнять

любое непустое подмножество следующих функций:
скрывать признаки своего присутствия в программной среде ПЭВМ;
обладать способностью к самодублированию, ассоциированию себя с другими программами и/или переносу своих фрагментов в иные области оперативной или внешней памяти;
разрушать (искажать произвольным образом) код программ в оперативной памяти;
сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных);
искажать произвольным образом, блокировать и/или подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных

ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ

СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия : Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

информации (ТКУИ —
совокупность объектов разведки, которые содержат информацию, технических средств

разведки (ТСР) , с помощью которых добывается информация, и физической среды, в которой распространяется информативный сигнал (циркулируют данные).

ТЕХНИЧЕСКИЙ КАНАЛ УТЕЧКИ ИНФОРМАЦИИ – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация.

Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (утв. Федеральной службой по техническому и экспортному контролю 15 февраля 2008 г.)
Диапазон действия редакции: c 15.02.2008 по 14.03.2010

с линий связи
ИК - аппаратура
Средства видеонаблюдения
Устройства лазерного съема со стекол

Стетоскопы

Направленные микрофоны

Электроакустические сигналы

ЭМИ линий связи и передачи данных

Собственные излучения дисплеев, табло, экранов

Отраженная световая энергия

Излучения экранов

Вибрационные колебания

Средства передачи (обмена) данных

Теле, видеоаппаратура

Средства звукозаписи

Документы и др.

Плакаты, схемы, демонстрационные доски

Звуковоспроизводящая
аппаратура

Источник защищаемой информации

Среда (путь) распространения информативного сигнала

Приемник информативного сигнала

Краткая характеристика ТКУИ

Должностные лица

Речевая информация

Экраны мониторов

Графическая информация

Средства связи

Информация в ТСОИ

СВТ, источники ПЭМИ

Информация в АС

Акустические колебания

ПЭМИ ОТСС и ВТСС

Электрические сигналы (наводки)

Акустические закладки

Средства АРР

Приемники радиосигналов

Приемники сигналов ЭМИ

перехвата

ЗАЩИТЫ ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В

ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия : Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

каналы несанкционированного доступа к персональным данным.
Уязвимым является любой элемент информационных

ресурсов и информационных систем.
Обнаружение действующего или предполагаемого канала несанкционированного доступа к информации, а также предотвращение его появления возможны только при наличии постоянного контроля над обеспечением защиты информационных ресурсов.

ВОПРОС 6.
Каналы несанкционированного доступа к персональным данным

технические каналы несанкционированного доступа

и охранной сигнализации;
технические каналы несанкционированного доступа

окна;
- системы водо -, теплоснабжения;
технические каналы несанкционированного доступа

оптико-электронной разведки;
технические каналы несанкционированного доступа

передачи информации;
линия связи
Электромагнитное излучение
технические каналы несанкционированного доступа

линии связи, выходящие за пределы контролируемой зоны;
технические каналы несанкционированного доступа

действия с ней;
Хищение технических средств с хранящейся в них информацией

или носителей информации;

технические каналы несанкционированного доступа

несанкционированного доступа к защищаемой информации, связанные с так называемым человеческим

фактором.
Например, трудно обнаружить инициативное сотрудничество злоумышленника с сотрудником предприятия (секретарем-референтом, экспертом, сетевым администратором и др.).
Для предотвращения образования каналов несанкционированного доступа к персональным данным необходимо вести постоянную аналитическую работу.
Аналитическое исследование позволяет выработать способы минимизации рисков, связанных с недостатками в обеспечении информационной безопасности, а также определить ее структуру и стоимость в соответствии с реальными опасностями, угрожающими ценным информационным ресурсам организации.

ВОПРОС 6.
Каналы несанкционированного доступа к персональным данным

входит в число постоянных направлений аналитической работы и в общем

виде включает в себя:
- анализ источников конфиденциальной информации;
- анализ каналов объективного распространения информации;
- аналитическую работу с источником угрозы информации.

Сотрудники организации должны учитывать все каналы несанкционированного доступа к конфиденциальной информации, выявлять, определять наиболее вероятные из них и контролировать их.
С этой целью все сотрудники должны принимать непосредственное участие в мероприятиях, в ходе которых есть вероятность разглашения конфиденциальной информации организации.

ВОПРОС 6.
Каналы несанкционированного доступа к персональным данным

персональным данным

ОРГАНИЗАЦИЯ ЗАЩИТЫ ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ

ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

персональным данным
Любая ИСПДн включает в себя активы (в первую очередь

информацию, а также технические средства, программное обеспечение, связь и т.д.), важные для успешной деятельности организации.
Эти активы представляют для организации ценность, которая обычно определяется по их влиянию на бизнес-операции неавторизованного раскрытия информации, ее модификации или отказа от авторства, а также недоступностью или разрушением информации или услуг.

персональным данным

в работе ИСПДн обеспечения жизнедеятельности (ПФР, ФНС и др.)
4. Нарушения

конституционных прав граждан

2. Экономический, финансовый, моральный ущерб операторам ИСПДн

Возможные последствия в случае реализации угроз безопасности персональным данным:

5. Снижение авторитета, деловой репутации и, соответственно, степени доверия к данной организации, ущерб репутации организации

Оценка возможных последствий реализации угроз безопасности информации

их обработке в информационных системах персональных данных

Учебные вопросы:
ОРГАНИЗАЦИЯ ЗАЩИТЫ

ОТ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫМ ДАННЫМ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Цель занятия : Рассмотреть особенности организации защиты и оценки угроз безопасности персональным данным

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ



Методический документ предназначен для специалистов по

ОБИ, руководителей организаций и предприятий, организующих и проводящих работы по обработке ПДн в ИСПДн

Настоящий документ применяется для обеспечения безопасности
ПДн при их обработке в ИСПДн следующих видов:

ИСПДн государственных органов;

ИСПДн муниципальных органов;

ИСПДн юридических лиц;

ИСПДн физических лиц.

18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и

технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных"

Информационное сообщение Федеральной службы по техническому и экспортному контролю от 15 июля 2013 г. N 240/22/2637 "По вопросам защиты информации и обеспечения безопасности персональных данных при их обработке в информационных системах в связи с изданием приказа ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" и приказа ФСТЭК России от 18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных"

включают:
вопросы организации обеспечения безопасности персональных данных, в том числе классификацию

информационной системы;
мероприятия по техническому обеспечению безопасности персональных данных при их обработке в информационной системе, включающие размещение, специальное оборудование, охрану и организацию режима допуска в помещения, где ведется работа с персональными данными;
мероприятия по закрытию технических каналов утечки персональных данных при их обработке в информационных системах;
мероприятия по защите персональных данных от несанкционированного доступа и определению порядка выбора средств защиты персональных данных при их обработке в информационных системах персональных данных.

Мероприятиями по организации и техническому обеспечению безопасности персональных данных

ПДн
выбор целесообразных способов (мер и средств) защиты ПДн
решение вопросов управления

обеспечением безопасности ПДн в динамике изменения обстановки и контроля эффективности защиты

обеспечение реализации принятого замысла защиты

планирование мероприятий по защите ПДн

организацию и проведение работ по созданию системы защиты персональных данных (СЗПДн)

Порядок организации обеспечения безопасности персональных данных в информационных системах персональных данных

разработку документов по организации обеспечения безопасности ПДн и эксплуатации СЗПДн в ИСПДн

развертывание и ввод в опытную эксплуатацию СЗПДн в ИСПДн

ПДн
Порядок формирования замысла обеспечения безопасности ПДн при их обработке в

ИСПДн

по подразделениям

по категориям ПДн

по уязвимым звеньям

по направлениям защиты

по актуальным угрозам

по возможностям реализации с учетом затрат

организация охраны

организация служебной связи и сигнализации

финансового

технического и программного

информационного

кадрового

Определение основных направлений по защите ПДн

Выбор способов защиты ПДн

организация взаимодействия

организация резервирования программного и аппаратного обеспечения

организация управления администрированием

угроз
Содержание оценки обстановки
определение состава, содержания и местонахождения ПДн
категорирование ПДн
оценка выполнения

обязанностей по обеспечению безопасности ПДн оператором

оценка возможности физического доступа к ИСПДн

выявление возможных технических каналов утечки информации

анализ возможностей программно-математического воздействия на ИСПДн

анализ возможностей электромагнитного воздействия на ПДн

оценка непосредственного ущерба от реализации угроз безопасности ПДн

оценка опосредованного ущерба от реализации угроз безопасности ПДн

от физического доступа

от утечки по техническим каналам

от НСД

от ПМВ

от электромагнитных воздействий

Анализ информационных ресурсов

Анализ уязвимых звеньев и возможных угроз безопасности ПДн

обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных

данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
идентификация и аутентификация субъектов доступа и объектов доступа;
управление доступом субъектов доступа к объектам доступа;
ограничение программной среды;
защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее - машинные носители персональных данных);
регистрация событий безопасности;
антивирусная защита;
обнаружение (предотвращение) вторжений;
контроль (анализ) защищенности персональных данных;
обеспечение целостности информационной системы и персональных данных;
обеспечение доступности персональных данных;
защита среды виртуализации;
защита технических средств;
защита информационной системы, ее средств, систем связи и передачи данных;
выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;
управление конфигурацией информационной системы и системы защиты персональных данных.

Приказ ФСТЭК России от 18 февраля 2013 г. N 21

система защиты персональных данных
организационные меры
средства защиты

информации

средства предотвращения несанкционированного доступа

средства предотвращения утечки информации по техническим каналам

средства предотвращения программно-технических воздействий на технические средства обработки персональных данных

информационные технологии

шифровальные (криптографические) средства

и реализации ИСПДн
3. Стадия ввода в действие СЗПДн
предпроектное обследование ИСПДн
разработка

технического (частного технического) задания на ее создание

разработка СЗПДн в составе ИСПДн

опытная эксплуатация и приемо-сдаточные испытания СЗИ

оценка соответствия ИСПДн требованиям безопасности информации

перечень ПДн, подлежащих защите от НСД
определяются условия расположения ИСПДн относительно

границ контролируемой зоны (КЗ)

определяются конфигурация и топология ИСПДн в целом и ее отдельных компонент, физические, функциональные и технологические связи

определяются технические средства и системы, предполагаемые к использованию в разрабатываемой ИСПДн

определяются режимы обработки ПДн в ИСПДн в целом и в отдельных компонентах, определяется класс ИСПДн

уточняется степень участия персонала в обработке ПДн

определяются (уточняются) угрозы безопасности ПДн к конкретным условиям функционирования

задания на разработку СЗПДн
обоснование разработки СЗПДн
исходные данные создаваемой (модернизируемой)

ИСПДн

класс ИСПДн

ссылки на нормативные документы

мероприятия и требования к СЗПДн

перечень предполагаемых к использованию средств защиты информации

обоснование проведения разработок собственных средств защиты информации

состав, содержание и сроки проведения работ по этапам разработки и внедрения СЗПДн

технического проекта на ИСПДн в части защиты информации
строительно-монтажные работы в

соответствии с проектной документацией

использование серийно выпускаемых технических средств обработки, передачи и хранения информации

использование сертифицированных технических, программных и программно-технических средств защиты информации и их установка

сертификация по требованиям безопасности информации программных средств защиты информации в случае, когда на рынке отсутствуют требуемые сертифицированные средства защиты информации

разработка и реализация разрешительной системы доступа пользователей к обрабатываемой на ИСПДн информации

определение подразделений и назначение лиц, ответственных за эксплуатацию средств защиты информации

Мероприятия стадии проектирования и создания ИСПДН (СЗПДн)

разработка эксплуатационной документации на ИСПДн и средства защиты информации, а также организационно-распорядительной документации по защите информации (приказов, инструкций и других документов)

защиты информации
опытная эксплуатация средств защиты информации в комплексе с другими

техническими и программными средствами в целях проверки их работоспособности в составе ИСПДн и отработки ПДн

приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации

организация охраны и физической защиты помещений ИСПДн, исключающих несанкционированный доступ к техническим средствам ИСПДн, их хищение и нарушение работоспособности, хищение носителей информации

оценка соответствия ИСПДн требованиям безопасности ПДн

Мероприятия стадии ввода в действие ИСПДН (СЗПДн)

по защите ПДн при их обработке в ИСПД реализуется в

рамках следующих систем:

Мероприятия по обнаружению вторжений в ИСПДн проводятся в соответствии с требованиями нормативных документов Федеральной службы безопасности Российской Федерации.

В ИСПДн должен проводиться контроль на наличие недекларированных возможностей в программном и программно-аппаратном обеспечении и анализ защищенности системного и прикладного программного обеспечения.

Анализ защищенности должен проводиться путем использования в составе ИСПДн программных или программно-аппаратных средств (систем) анализа защищенности (САЗ).

в информационных системах персональных данных
Мероприятия по защите от НСД к

ПДн при их обработке в ИСПДн

Мероприятия по защите информации от утечки по техническим каналам

защита от НСД при многопользовательском режиме обработки ПДн и равных правах доступа к ним субъектов доступа

защита от НСД при многопользовательском режиме обработки ПДн и разных правах доступа

защита информации при межсетевом взаимодействии ИСПДн

защита от НСД при однопользовательском режиме обработки ПДн

антивирусная защита

обнаружение вторжений

Защиты информации от съема за счет ПЭМИН

Защиты акустической речевой информации

Защиты информации, содержащейся в изображениях на мониторах

памяти
Уничтожение остаточных данных
Контроль целостности данных и программ
Смена паролей
Программные средства ОС
Дополнительные

программные средства

Ограничения на использование сетевых сервисов, служб, сетевых протоколов, сценариев

Криптографические средства

Средства защиты от ПМВ

Другие средства защиты

Средства контроля целостности

Специальные средства обнаружения вредоносных программ и «лечения»

Средства тестирования сетей и программ

Средства обнаружения атак

Средства тестирования

Утилиты для восстановления информации

Межсетевые экраны

VPN-технологии

Меры и средства защиты от НСД с применением программных и программно-аппаратных средств

сертифицированных серийно выпускаемых в защищенном исполнении технических средств
использование сертифицированных средств

защиты информации

размещение объектов защиты на максимально возможном расстоянии относительно границы КЗ

размещение понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в пределах КЗ

обеспечение развязки цепей электропитания объектов защиты с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал

обеспечение электромагнитной развязки между линиями связи и другими цепями ВТСС, выходящими за пределы КЗ, и информационными цепями, по которым циркулирует защищаемая информация

видовых разведок
Мероприятия по защите акустической (речевой) информации заключаются в обеспечении

звукоизоляции ограждающих конструкций помещений, в которых расположена ИСПДн, их систем вентиляции и кондиционирования не позволяющей прослушивание акустической (речевой) информации при голосовом вводе ПДн в ИСПДн, либо воспроизведении акустическими средствами ИСПДн.

Для исключения просмотра текстовой и графической видовой информации отображаемой устройствами отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средства обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн рекомендуется оборудовать помещения в которых они установлены шторами (жалюзи).