Предположения об имеющейся у нарушителя информации об объектах реализации угроз.

В качестве основных уровней знаний нарушителей об ИС можно выделить следующие:

• общая информация – информации о назначения и общих характеристиках ИСПДн;

• эксплуатационная информация – информация, полученная из эксплуатационной документации;

• чувствительная информация – информация, дополняющая эксплуатационную информацию об ИСПДн (например, сведения из проектной документации ИСПДн).

В частности, нарушитель может иметь:

• данные об организации работы, структуре и используемых технических, программных и программно-технических средствах ИСПДн;

• сведения об информационных ресурсах ИСПДн: порядок и правила создания, хранения и передачи информации, структура и свойства информационных потоков;

• данные об уязвимостях, включая данные о недокументированных (недекларированных) возможностях технических, программных и программно-технических средств ИСПДн;

• данные о реализованных в ПСЗИ принципах и алгоритмах;

• исходные тексты программного обеспечения ИСПДн;

• сведения о возможных каналах реализации угроз;

• информацию о способах реализации угроз.

Предполагается, что лица категории III и категории IV владеют только эксплуатационной информацией, что обеспечивается организационными мерами. При этом лица категории IV не владеют парольной, аутентифицирующей и ключевой информацией, используемой в ИС, к которым они не имеют санкционированного доступа.

Предполагается, что лица категории V владеют в той или иной части чувствительной и эксплуатационной информацией о системе передачи информации и общей информацией об ИС, использующих эту систему передачи информации, что обеспечивается организационными мерами. При этом лица категории V не владеют парольной и аутентифицирующей информацией, используемой в ИС.

Предполагается, что лица категории VI и лица категории VII по уровню знаний не превосходят лица категории V.

Предполагается, что лица категории VIII обладают чувствительной информацией об ИСПДн включая информацию об уязвимостях технических и программных средств ИСПДн. Организационными мерами предполагается исключить доступ лиц категории VIII к техническим и программным средствам ИСПДн в момент обработки с использованием этих средств защищаемой информации.

Таким образом, наиболее информированными об ИС являются лица категории III и лица категории VIII.

С целью создания определенного запаса прочности предполагается, что вероятные нарушители обладают всей информацией, необходимой для подготовки и реализации угроз, за исключением информации, доступ к которой со стороны нарушителя исключается системой защиты информации. К такой информации, например, относится парольная, аутентифицирующая и ключевая информация.

Предположения об имеющихся у нарушителя средствах реализации угроз.

Предполагается, что нарушитель имеет:

· аппаратные компоненты СЗПДн и СФ СЗПДн;

· доступные в свободной продаже технические средства и программное обеспечение;

· специально разработанные технические средства и программное обеспечение.

Внутренний нарушитель может использовать штатные средства.

Для создания устойчивой СЗПДн предполагается, что вероятный нарушитель имеет все необходимые для реализации угроз средства, возможности которых не превосходят возможности аналогичных средств реализации угроз на информацию, содержащую сведения, составляющие государственную тайну, и технические и программные средства, обрабатывающие эту информацию.

Вместе с тем предполагается, что нарушитель не имеет:

· средств перехвата в технических каналах утечки;

· средств воздействия через сигнальные цепи (информационные и управляющие интерфейсы СВТ);

· средств воздействия на источники и через цепи питания;

· средств воздействия через цепи заземления;

· средств активного воздействия на технические средства (средств облучения).

Предполагается, что наиболее совершенными средствами реализации угроз обладают лица категории III и лица категории VIII.

Тип нарушителя

Исходя из предположений о возможностях нарушителя его следует отнести к типу Н1.

Таким образом, для обеспечения безопасности персональных данных в ИСПДн «Региональная медицинская информационная система» необходимо использовать средства криптографической защиты информации уровня не ниже КС1.

Оценка уровня исходной защищенности ИСПДн(название ИСПДн)

Под общим уровнем защищенности понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн (Y₁),

Результаты оценки уровня исходной защищенности ИСПДн, зависящие от технических и эксплуатационных характеристик ИСПДн, приведены в таблице №2

Таблица 2

№ п/п	Технические и эксплуатационные характеристики ИСПДн	Оценка	Уровень защищенности
1.	По территориальному размещению
2.	По наличию соединения с сетями общего пользования
3.	По встроенным (легальным) операциям с записями баз персональных данных
4.	По разграничению доступа к персональным данным
5.	По наличию соединений с другими базами ПДн иных ИСПДн
	По уровню обобщения
7.	По объему ПДн, которые предоставляются сторонним пользователям ИСПДн, без предварительной обработки
Исходный уровень защищенности ИСПДн:

В результате оценки исходной защищенности ИСПДн установлено, что ______% характеристик соответствует уровню __________. В соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 14.02.2008 заместителем директора ФСТЭК России, исходная степень защищенности информационной системы персональных данных: ____________.

Коэффициент защищенности

(0 – для высокой степени исходной защищенности ,5 – для средней, 10 – для низкой)