Характеристика ИСПДн ООО «Криптолинк» и разработка частной модели угроз для обеспечения безопасности персональных данных сотрудников организации, обрабатываемых в организации.
Для исследования выбрана информационная система персональных данных «1С Предприятие», используемая в ООО «Криптолинк».
В ООО «Криптолинк» ИСПДн «1С Предприятие» используется для накопления, хранения и обработки персональных данных.
Конфигурация «Бухгалтерия предприятия» предназначена для автоматизации бухгалтерского и налогового учёта, включая подготовку обязательной (регламентированной) отчётности в организации. Бухгалтерский и налоговый учёт ведётся в соответствии с действующим законодательством Российской Федерации.
В состав конфигурации включен план счетов бухгалтерского учёта, соответствующий Приказу Минфина РФ «Об утверждении плана счетов бухгалтерского учёта финансово-хозяйственной деятельности организаций и инструкции по его применению» от 31 октября 2000 г. № 94н (в редакции Приказа Минфина РФ от 07.05.2003 № 38н). Состав счетов, организация аналитического, валютного, количественного учёта на счетах соответствуют требованиям законодательства по ведению бухгалтерского учёта и отражению данных в отчётности. При необходимости пользователи могут самостоятельно создавать дополнительные субсчета и разрезы аналитического учёта.
Согласно приказу ФСТЭК России от 11 февраля 2013 года №17, в информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства, общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.
Частная модель угроз безопасности персональных данных (далее – Модель) при их обработке в информационной системе персональных данных «1С Предприятие», принадлежащая ООО «Криптолинк», строится на основании следующих документов:
· Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 15 февраля 2008г.)[10];
· Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 14 февраля 2008г.)[11].
Перед построением модели угроз безопасности ПДн, выявляются возможные угрозы безопасности ПДн для ИСПДн, в зависимости структуры ИСПДн, возможности разграничения доступа, наличия подключения к сетям связи общего пользования и (или) международного информационного обмена и других классификационных признаков.
Характеристика ИСПДн показана в таблице 2
Результаты анализа исходной защищенности приведены в Таблице 1
Таким образом, ИСПДн имеет низкий (Y1=10) уровень исходной защищенности, т. к. сумма высокого и среднего уровня защищенности не составляет 70%.
Далее переходим к определению актуальных угроз для ИСПДн. Для определения актуальности угрозы необходимо учитывать следующие параметры[12]:
· уровень исходной защищенности ИСПДн (Y1);
· обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн;
· вероятность реализации угрозы (Y2);
· возможность реализации угрозы(Y) ;
· опасность реализации угрозы;
Вероятность реализации угроз, опасность угроз и актуальность угроз определены экспертным методом в соответствии с Методикой и результатов обследования ИСПДн.
Итак, в отношении персональных данных, обрабатываемых в ИСПДн «1С Бухгалтерия», актуальными являются следующие угрозы безопасности[12]:
1. Кража ПЭВМ. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн.
Меры по противодействию угрозе:
· металлическая дверь;
· камеры наблюдения;
Опасность – низкая, вероятность реализации (Y2) – низкая, возможность реализации (Y) – средняя; Актуальность – неактуальна.
Y1 = 10, Y2 =2, У=(Y1+Y2)/20= 0,6
2. Кража носителей информации. Угроза осуществляется путем НСД внешними и внутренними нарушителями к носителям информации.
Меры по противодействию угрозе:
· металлическая дверь;
· сейф для хранения носителей информации;
Опасность – низкая, вероятность реализации – низкая, возможность реализации – средняя. Актуальность – неактуальна.
Y1 = 10 Y2 = 2 (Y1+Y2)/20 = 0,6
3. Кража ключей и атрибутов доступа. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где происходит работа пользователей.
Меры по противодействию угрозе:
· двери закрываются на замок;
· организовано хранение ключей в сейфе.
Опасность – низкая, вероятность реализации – маловерятна, возможность реализации – средняя. Актуальность – неактуальна. Y1 = 10,Y2 = 0 Y=(Y1+Y2)/20 = 0,5.
4. Кражи, модификации, уничтожения информации. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн и средства защиты, а также происходит работа пользователей.
Меры по противодействию угрозе:
· система видеонаблюдения;
· разрешительная система доступа (организационная мера) к информационным ресурсам и помещениям (серверным комнатам) где расположены элементы ИСПДН;
- система разграничения доступом к информационным ресурсам;
Опасность – низкая, вероятность реализации – маловероятно, возможность реализации – средняя. Актуальность – неактуальна.
Y1 = 10,
Y2 = 0 Y=(Y1+Y2)/20 = 0,5
5. Вывод из строя узлов ПЭВМ, каналов связи. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы всех ИСПДн и проходят каналы связи.
Меры по противодействию угрозе:
· металлическая дверь;
· пропускной режим;
· разрешительная система доступа (организационная мера) к информационным ресурсам и помещениям, где расположены элементы ИСПДН.
Опасность – низкая, вероятность реализации – маловероятно, возможность реализации – средняя. Актуальность – неактуальна.
Y1 = 10,Y2 = 0, (Y1+Y2)/20 = 0,5
6. Несанкционированное отключение средств защиты. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены средства защиты всех ИСПДн.
Меры по противодействию угрозе:
· металлическая дверь;
· система видеонаблюдения;
· разрешительная система доступа (организационная мера) к информационным ресурсам и помещениям, где расположены элементы ИСПДН;
· разграничение прав доступа к настройкам СЗИ.
Опасность – средняя, вероятность реализации – маловероятно возможность реализации – средняя. Актуальность – актуальна. Y1 = 10,Y2 = 0, (Y1+Y2)/20 = 0,5.
7. Действия вредоносных программ (вирусов).
Меры по противодействию угрозе: лицензированные антивирусные программы из Лаборатории Касперского
Опасность – средняя, вероятность реализации – низкая. Y1 = 10 Y2 = 2 (Y1+Y2)/20 = 0,6 возможность реализации – средняя. Актуальность – неактуальна.
8. Не декларированные возможности системного ПО и ПО для обработки персональных данных. Не декларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие, описанным в документации, при использовании которых возможно нарушение целостности обрабатываемой информации.
Меры по противодействию угрозе: резервное копирование информации.
Опасность – средняя, вероятность реализации –высокая.
Y1 = 10 Y2 = 5 (Y1+Y2)/20 = 0,75 => Возможность реализации –высокая. Актуальность – актуальна.
9. Установка ПО не связанного с исполнением служебных обязанностей. Угроза осуществляется путем несанкционированной установки ПО внутренними нарушителями, что может привести к нарушению конфиденциальности, целостности и доступности всей ИСПДн или ее элементов.
Меры по противодействию угрозе: разграничение прав доступа на установку программного обеспечения.
Опасность – низкая, вероятность реализации – средняя. Y1 = 10,Y2 = 5, (Y1+Y2)/20 = 0,75 => возможность реализации – высокая. Актуальность – актуальна.
10. Утрата аппаратных ключей и/или паролей доступа к ИСПДн. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн, которые нарушают положения парольной политики в части их создания (создают легкие или пустые пароли, не меняют пароли по истечении срока их жизни или компрометации и т.п.) и хранения (записывают пароли на бумажные носители, передают ключи доступа третьим лицам и т.п.) или не осведомлены о них.
Меры по противодействию угрозе: парольная политика устанавливающая правила использования и хранения паролей.
Опасность – средняя, вероятность реализации – средняя. Y1 = 10,Y2 = 5, (Y1+Y2)/20 = 0,75 => возможность реализации – высокая. Актуальность – актуальна.
11. Непреднамеренная модификация (уничтожение) информации сотрудниками. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн, которые нарушают положения принятых правил работы с ИСПДн или не осведомлены о них.
Меры по противодействию угрозе: резервное копирование информации.
Опасность – низкая, вероятность реализации – маловероятно. Y1 = 10, Y2= 0 ,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.
12. Непреднамеренное отключение средств защиты. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн, которые нарушают положения принятых правил работы с ИСПДн и средствами защиты или не осведомлены о них.
Меры по противодействию угрозе: разграничение прав доступа к настройкам СЗИ.
Опасность – низкая, вероятность реализации – маловероятно.
Y1 =10, Y2=0 (Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.
13. Выход из строя аппаратно-программных средств. Угроза осуществляется вследствие несовершенства аппаратно-программных средств, из-за которых может происходить нарушение целостности и доступности защищаемой информации.
Меры по противодействию угрозе: резервное копирование информации.
Опасность – средняя, вероятность реализации – маловероятно.
Y1 = 10,Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – актуальна.
14. Сбой системы электроснабжения. Угроза осуществляется вследствие несовершенства системы электроснабжения, из-за чего может происходить нарушение целостности и доступности защищаемой информации.
Меры по противодействию угрозе: использование источников бесперебойного питания.
Опасность – низкая, вероятность реализации – маловероятно.
Y1 = 10,Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.
15. Угроза возникновения пожара. Угроза осуществляется вследствие несоблюдения мер пожарной безопасности.
Меры по противодействию угрозе: пожарная сигнализация и средства пожаротушения.
Опасность – низкая, вероятность реализации – маловероятна.
Y1 = 10,Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.
16. Доступ, модификация, уничтожение информации лицами, не допущенными к ее обработке. Угроза осуществляется путем НСД внутренних нарушителей в помещения, где расположены элементы ИСПДн и средства защиты, а также происходит работа пользователей.
Меры по противодействию угрозе: контроль доступа в контролируемую зону, система видеонаблюдения, двери закрываются на замок, организация на 9 этаже, установлены жалюзи на окнах.
Опасность – низкая, вероятность реализации – маловероятна.
Y1 = 10, Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.
17. Разглашение информации, модификация, уничтожение сотрудниками, допущенными к ее обработке. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн.
Меры по противодействию угрозе: обязательство о неразглашении.
Опасность – низкая, вероятность реализации – низкая.
Y1 = 10,Y2 = 2, (Y1+Y2)/20 = 0,6=> возможность реализации – средняя. Актуальность – неактуальна.
18. Перехват информации в пределах контролируемой зоны. Эта угроза реализуется с помощью специальной программы-анализатора пакетов, перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются конфиденциальная информация.
Меры по противодействию угрозе: разграничение прав доступа к коммутационному оборудованию;
Опасность – низкая, вероятность реализации – маловероятно.
Y1 = 10 Y2 = 0 (Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.
19. Отказ в обслуживании. Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты.
Меры по противодействию угрозе: межсетевой экран.
Опасность – низкая, вероятность реализации – маловероятно.
Y1 = 10 Y2 = 0 (Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – Неактуальна.
20. Удаленный запуск приложений. Угроза заключается в стремлении запустить на хосте ИСПДн различные предварительно внедренные вредоносные программы — программы-закладки, вирусы, «сетевые шпионы», основная цель которых — нарушение конфиденциальности, целостности, доступности информации и полный контроль за работой хоста.
Меры по противодействию угрозе:
· Парольная политика в организации
· антивирусное программное обеспечение;
· межсетевой экран.
Опасность – высокая, вероятность реализации – маловероятно.
Y1 = 10, Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – актуальна.
Рекомендации по повышению уровня защиты ПДн сотрудников, обрабатываемых в ООО «Криптолинк».
Проанализировав систему защиты ПДн в ООО «Криптолинк», а так же рассмотрев ИСПДн используемую в организации можно дать некоторые рекомендации по повышению уровня защиты ПДн сотрудников, а так же всей системы защиты.
В учреждении должен быть документально определен перечень ЗП и лиц, ответственных за их эксплуатацию в соответствии с установленными требованиями по защите информации, а также составлен технический паспорт на ЗП
Для исключения просмотра текстовой и графической конфиденциальной информации через окна помещения рекомендуется оборудовать их шторами (жалюзи).
Защищаемые помещения рекомендуется оснащать сертифицированными по требованиям безопасности информации ОТСС и ВТСС либо средствами, прошедшими специальные исследования и имеющими предписание на эксплуатацию.
Эксплуатация ОТСС, ВТСС должна осуществляться в строгом соответствии с предписаниями и эксплуатационной документацией на них.
Специальная проверка ЗП и установленного в нем оборудования с целью выявления возможно внедренных в них электронных устройств перехвата информации "закладок" проводится, при необходимости, по решению руководителя предприятия.
Во время проведения конфиденциальных мероприятий запрещается использование в ЗП радиотелефонов, оконечных устройств сотовой, пейджинговой и транкинговой связи, переносных магнитофонов и других средств аудио и видеозаписи. При установке в ЗП телефонных и факсимильных аппаратов с автоответчиком или спикерфоном, а также аппаратов с автоматическим определителем номера, следует отключать их из сети на время проведения этих мероприятий.
Системы пожарной и охранной сигнализации ЗП должны строиться только по проводной схеме сбора информации (связи с пультом) и, как правило, размещаться в пределах одной с ЗП контролируемой зоне.
В качестве оконечных устройств пожарной и охранной сигнализации в ЗП рекомендуется использовать изделия, сертифицированные по требованиям безопасности информации, или образцы средств, прошедшие специальные исследования и имеющие предписание на эксплуатацию.
Следует применять организационно-режимные меры, ограничивая на период проведения конфиденциальных мероприятий доступ посторонних лиц в места возможного прослушивания разговоров, ведущихся в ЗП.
При эксплуатации ЗП необходимо предусматривать организационно-режимные меры, направленные на исключение несанкционированного доступа в помещение:
· двери ЗП в период между мероприятиями, а также в нерабочее время необходимо запирать на ключ;
· выдача ключей от ЗП должна производиться лицам, работающим в нем или ответственным за это помещение;
· установка и замена оборудования, мебели, ремонт ЗП должны производиться только по согласованию и под контролем подразделения (специалиста) по защите информации учреждения [18].
Так же рекомендуется провести следующие действия внутри организации:
1. Разработать и утвердить внутри учреждения приказ о защите персональных данных
2. Разработать и утвердить внутри учреждения приказ о подразделении по защите персональных данных
3. Разработать и утвердить внутри учреждения приказ о назначении ответственных лиц за обработку персональных данных.
4. Разработать и утвердить внутри учреждения Концепцию информационной безопасности и Политику информационной безопасности.
5. Разработать и утвердить внутри учреждения приказ о проведении внутренней проверки. Результат оформить в виде отчета
6. Определить состав и категории обрабатываемых персональных данных Результат оформить в виде перечня ПДн
7. Осуществить классификацию действующих информационных систем, обрабатывающих персональные данные
8. Разработать и утвердить внутри учреждения положение о разграничении прав доступа к обрабатываемым персональным данным
9. Адаптировать модель угроз к конкретной ИСПДн учреждения
10. Разработать и утвердить план мероприятий по защите ПДн
11. Разработать и утвердить порядок резервирования и восстановления работоспособности ТС и ПО, баз данных и СЗИ
12. Разработать и утвердить план внутренних проверок состояния защиты ПДн
13. Разработать и утвердить журнал учета обращений субъектов ПДн о выполнении их законных прав
14. Разработать и утвердить перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним
15. Разработать и утвердить электронный журнал обращений пользователей информационной системы к ПДн.
16. Провести необходимые технические мероприятия для обеспечения защиты ПДн при их обработке в ИСПДн. В их состав входят:
а) Обязательные технические мероприятия.
б) Технические мероприятия, выполняемые, при выделении дополнительного финансирования.
17. Декларировать соответствие или провести аттестационные (сертификационные) испытания ИСПДн [17].
Заключение
Производственная практика является важным элементом учебного процесса по подготовке специалиста в области защиты информации. Практика дает возможность реализовать все те знания и умения, которые студент получил за время учебы.
Цель практики состоит в получении студентом практического опыта работы в качестве ассистента специалиста в области защиты информации, повышении и закреплении полученных теоретических знаний, улучшению качества профессиональной подготовки, в умении использования законодательства в конкретных случаях, воспитания студента в духе уважения к закону, закрепление полученных знаний.
Практика помогла научиться самостоятельно решать задачи, возникающие в ходе работы специалиста.
Я понял, что в ходе работы специалиста информационной безопасности будут востребованы все знания, полученные в ходе обучения студента.
Я освоил азы применения норм Российского права на практике, понял, как работают некоторые законы, а так же осознал их значимость в практической деятельности.
В связи с быстрыми изменениями законодательной базы, я осознал значение электронных информационных систем, таких как правовая система "КонсультантПлюс" или правовая система "Гарант", мировая сеть Интернет, в которой можно в настоящее время найти множество полезной информации в области защиты информации.
Библиографический список
Приложение
Таблица 1 - Характеристики ИСПДн
| Заданные характеристики безопасности персональных данных | Специальная информационная система |
| Структура информационной системы | Автоматизированное рабочее место |
| Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена | Имеется |
| Режим обработки персональных данных | Однопользовательская |
| Режим разграничения прав доступа пользователей | Система без разграничения доступа |
| Местонахождение технических средств информационной системы | Все технические средства находятся в пределах Российской Федерации |
| Дополнительная информация | К персональным данным предъявляется требование целостности и (или) доступности |
Таблица 2 – Уровень исходной защищенности
| Технические и эксплуатационные характеристики ИСПДн | Уровень защищенности | |||
| Высокий | Средний | Низкий | ||
| 1. По территориальному размещению: | ||||
| Локальная ИСПДн, развернутая в пределах одного здания | + | – | – | |
| 2. По наличию соединения с сетями общего пользования | ||||
| ИСПДн, имеющая одноточечный выход в сеть общего пользования; | – | + | _ | |
| 3. По встроенным (легальным) операциям с записями баз персональных данных: | ||||
| чтение, поиск; | + | – | – | |
| запись, удаление, сортировка; | – | + | – | |
| 4.По разграничению доступа к персональным данным: | ||||
| ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн; | – | – | + | |
| 5. По наличию соединений с другими базами ПДн иных ИСПДн: | ||||
| ИСПДн, в которой используется одна база ПДн, принадлежащая организации – владельцу данной ИСПДн | + | _ | _ | |
| 6. По уровню обобщения (обезличивания) ПДн: | |||
| ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн) | _ | _ | + |
| 7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки: | |||
| ИСПДн, не предоставляющая никакой информации. | + | _ | _ |
Продолжение таблицы 2