МИНИСТЕРСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ ПО ДЕЛАМ ГРАЖДАНСКОЙ ОБОРОНЫ, ЧРЕЗВЫЧАЙНЫМ СИТУАЦИЯМ И ЛИКВИДАЦИИ ПОСЛЕДСТВИЙ СТИХИЙНЫХ БЕДСТВИЙ Академия Государственной противопожарной службы Институт заочного и дистанционного обучения Кафедра: «Специальной электротехники, автоматизированных систем и связи» Дисциплина: «Технологии обеспечения информационной безопасности сложных технических объектов и систем». КУРСОВАЯ РАБОТА Выполнил: слушатель 1-гокурса ИЗиДО Группы 4121ТмЗ Подполковник внутренней службы Белоусов А.С. (инициалы, фамилия) № зачётной книжки 421158 Порядковый номер в журнале 8. Проверил: (уч.степень, уч. звание, должность, спец. звание преподавателя) Москва 2022 (инициалы, фамилия) СОДЕРЖАНИЕ СПИСОК СОКРАЩЕНИЙ И ОБОЗНАЧЕНИЙ ........................................ 5 1 НОРМАТИВНО-МЕТОДИЧЕСКОЕ ОБЕСПЕЧЕНИЕ ......................... 6 2 ОБЩИЕ ПОЛОЖЕНИЯ ............................................................................ 8 3 ОПИСАНИЕ СУБЪЕКТА ОИИ. ОПРЕДЕЛЕНИЕ ОИ ....................... 10 3.1 Описание субъекта объекта информатизации ................................... 10 3.1.1 Общие сведения ................................................................................. 10 3.2 Описание бизнес-процессов субъекта ОИ.......................................... 10 4 ОПИСАНИЕ ОИ ...................................................................................... 12 4.1 Наименование ОИ ................................................................................. 12 4.2 Сокращённое наименование ОИ ......................................................... 12 4.3 Общие сведения о АИС «Казначейтсво» ........................................... 12 4.3.1 Назначение АИС «Каначейтство».................................................... 12 4.3.2 Функции и особенности АИС «Казначейство» .............................. 12 4.3.3 Структура и состав АИС «Казначейство» ....................................... 14 4.3.4 Объекты защиты АИС «Казначейство»........................................... 17 4.3.5 Состав защищаемой информации ОИ «Казначейство» ................. 18 4.3.6 Классификация аварийных ситуаций на ОИ «Казначейство» ...... 19 4.3.7 Территориальное размещение аппаратных средств ОИ ................ 20 5 МОДЕЛЬ НАРУШИТЕЛЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПО ТРЕБОВАНИЯМ ФСТЭК РОССИИ ............................................................ 21 5.1 Типы (категории) нарушителей ........................................................... 21 5.2 Виды нарушителей................................................................................ 25 5.3 Мотивация нарушителей ...................................................................... 28 5.4 Оценка возможности (потенциала) нарушителей ............................. 29 5.5 Доверенные пользователи .................................................................... 32 5.6 Возможность сговора нарушителей .................................................... 32 5.7 Вывод...................................................................................................... 32 3 6 ОЦЕНКА УРОВНЯ ИСХОДНОЙ ЗАЩИЩЕННОСТИ ОИ ............... 34 7 МОДЕЛЬ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОИ .... 36 ЗАКЛЮЧЕНИЕ ........................................................................................... 50 СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ ....................................... 51 4 СПИСОК СОКРАЩЕНИЙ И ОБОЗНАЧЕНИЙ АВС – антивирусные средства АРМ – автоматизированное рабочее место ВПр – вредоносная программа ВТСС – вспомогательные технические средства и системы ИБП – источник бесперебойного питания ИСПДн – информационная система персональных данных ЛВС – локально-вычислительная сеть МЭ – межсетевой экран НСД – несанкционированный доступ ОС – операционная система ПДн – персональные данные ПО – программное обеспечение ПК – персональный компьютер ПЭМИН – побочные электромагнитные излучения и наводки РМ – рабочее место САЗ – система анализа защищенности СЗИ – средство защиты информации СКС – структурированная кабельная система СПД – сеть передачи данных ТЗ – техническое задание ТС – техническое средство ТСОИ – технические средства обработки информации ФСТЭК – Федеральная служба по техническому и экспортному контролю ЭВМ – электронно-вычислительная машина 5 1 НОРМАТИВНО-МЕТОДИЧЕСКОЕ ОБЕСПЕЧЕНИЕ Курсовой проект разрабатывается в соответствии со следующими действующими нормативно-методическими защитыинформации и объектов документами критической в области информационной инфраструктуры (ОИ): 1. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»; 2. Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149-ФЗ; 3. Постановление Правительства от 8 февраля 2018 г. № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений»; 4. Приказ ФСТЭК России от 21.12.2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования»; 5. Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации»; 6. Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007); 7. Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007); 8. Приказа ФСТЭК России от 18 февраля 2013 года № 21 «Об утверждении состава и содержания организационных и техническихмер по 6 обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»; 9. РД ФСТЭК России от 15 февраля 2008 года «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». 10. РД ФСТЭК России от 15 февраля 2008 года «Методика определения актуальных угроз персональных данных при их обработке в информационных системах персональных данных» 11. ГОСТ 34.201-89 Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем; 12. ГОСТ 34.601-90 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания; 13. ГОСТ 34.602-89 Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы; 14. ГОСТ 34.603-92 Информационная технология. Виды испытаний автоматизированных систем; 15. ГОСТ Р 50739-95 Средства вычислительной техники. Защита от несанкционированного доступа к информации. требования. 7 Общие технические 2 ОБЩИЕ ПОЛОЖЕНИЯ В курсовом проекте содержатся данные по угрозам безопасности информации (далее - УБИ), обрабатываемой в АИС «Казначейство», которые: –связаны с ошибочными действиями персонала; – связаны с перехватом защищаемой информации по техническим каналам с целью ее копирования или неправомерного распространения; – связаны с несанкционированным доступом (далее - НСД) к информации, обрабатываемой в АИС «Казначейство» с целью изменения, копирования, неправомерного распространения защищаемой информации или деструктивных воздействий на элементы АИС «Казначейство» и обрабатываемой в них защищаемой информации с использованием программных и программно-аппаратных средств с целью уничтожения или блокирования защищаемой информации. Целью разработки Модели угроз является: – определение перечня актуальных угроз безопасности конфиденциальной информации и данных, обрабатывающихся в АИС «Казначейство»; – определение перечня актуальных угроз безопасности информации, обрабатывающейся в АИС «Казначейтсво». – описание идентифицированных угроз безопасности информации, определение степени актуальности угроз, возможности и способов их реализации, а также значимости последствий этих угроз. Моделью угроз и нарушителя безопасности информации необходимо руководствоваться при решении следующих задач: – анализ защищенности АИС «Казначейство» от УБИ в ходе организации и выполнения работ по обеспечению безопасности информации; – разработка/модернизация системы защиты информации, обеспечивающая нейтрализацию предполагаемых УБИ с использованием 8 методов и способов защиты информации,предусмотренных руководящими документами ФСТЭК России и ФСБ России; – проведение мероприятий, направленных на предотвращение несанкционированного доступа к защищаемой информации и (или) передачи ее лицам, не имеющим права доступа к такой информации; – осуществление контроля воздействий различного рода на технические средства АИС «Казначейство», в результате которых может быть нарушено их функционирование; – осуществление контроля обеспечения уровня защищенности АИС «Казначейство». 9 3 ОПИСАНИЕ СУБЪЕКТА ОИИ. ОПРЕДЕЛЕНИЕ ОИ 3.1 Описание субъекта объекта информатизации 3.1.1 Общие сведения Федеральное казначейство (сокр. Казначейство России) является федеральным органом исполнительной власти (федеральной службой), осуществляющим в соответствии с законодательством Российской Федерации правоприменительные функции по обеспечению исполнения федерального бюджета, кассовому обслуживанию исполнения бюджетов бюджетной системы Российской Федерации, предварительному и текущему контролю за ведением операций со средствами федерального бюджета главными распорядителями, распорядителями и получателями средств федерального бюджета. Федеральное казначейство – транзакционная, учетная, контрольная, информационная система в области финансовой деятельности публичноправовых образований. 3.2 Описание бизнес-процессов субъекта ОИ Перечень бизнес-процессов объекта представлен в таблице 1. Таблица 1 – Перечень бизнес-процессов казначейства № Наименование Ответственный/ процесса владелец Краткое описание процесса 1. Управление Отдел внутреннего планирования, финансовыми финансового контроля активами контроля и управления финансовыми ресурсами компании; увеличения доходности оперативного за счет управления денежными потоками; уменьшения 10 финансовых рисков компании; снижения операционных расходов и расходов на подготовку отчетности. 2. Производство Отдел финансовых операций финансовых Обработка платежей и поступлений; Выверка и разнесение банковских операций выписок; Отражение операций в учетной системе; Мониторинг остатков денежных средств; Формирование ежедневной денежной позиции; Распределение денежных средств между счетами; Кредитный и валютный контроль; Контроль дебиторской задолженности. 3. Производство Бухгалтерия Контроль целевого использования бухгалтерских денежных средств; операций Администрирование банковских счетов; Концентрация денежных средств (кэш-пулинг); Прогнозирование денежных потоков; Управление ликвидностью и оборотным капиталом; Формирование отчетности по ключевым показателям; Размещение временно свободных денежных средств; Централизация казначейских функций (фабрика платежей). 11 4 ОПИСАНИЕ ОИ 4.1 Наименование ОИ Автоматизированная информационная система управления «Казначейство» – система, предназначенная для хранения и обмена информацией о платежах между администраторами доходов, организациями по приёму платежей и гражданами. 4.2 Сокращённое наименование ОИ АИС «Казначейство». 4.3 Общие сведения о АИС «Казначейтсво» 4.3.1 Назначение АИС «Каначейтство» Система «Каначейтсво» представляет собой комплекс информационных систем и информационных ресурсов, включающий центральную информационную систему, ведомственные информационные системы, информационные ресурсы которых предназначены для принятия управленческих решений в сфере государственного управления, а также информационные ресурсы иных информационных систем (в том числе региональных), необходимость интеграции которых в систему определяется функциональными требованиями к ней. 4.3.2 Функции и особенности АИС «Казначейство» АИС «Казначейство» обеспечивает выполнение следующих функций: – организация, осуществление и контроль за исполнением федерального бюджета РФ, управление доходами и расходами этого бюджета на счетах казначейства в банках исходя из принципа единой кассы. – регулирование финансовых отношений между федеральным бюджетом РФ и внебюджетными фондами, финансовое исполнение этих 12 фондов, контроль за поступлением и использованием внебюджетных средств. – осуществление краткосрочного прогнозирования объемов государственных финансовых ресурсов, а также оперативное управление этими ресурсами в пределах, установленных на соответствующий период государственных расходов. – сбор, обработка и анализ информации о состоянии государственных финансов, представление высшим законодательным и исполнительным органам государственной власти и управления РФ отчетности о финансовых операциях Правительства РФ по федеральному бюджету, о внебюджетных фондах, а также о состоянии бюджетной системы Российской Федерации; – управление и обслуживание совместно с Центральным банком Российской Федерации и другими уполномоченными банками государственного внутреннего и внешнего долга РФ. – разработка методических и инструктивных материалов, порядка ведения учетных операций по вопросам, относящимся к компетенции казначейства, обязательных для органов Государственной власти и управления, предприятий, учреждений и организаций, включая организации, распоряжающиеся государственными средствами государственных (федеральных) внебюджетных фондов, и т.д. Для выполнения многоуровневая указанных система с функций развитыми задействована сложная функциональными и информационными связями не только между иерархическими уровнями органов казначейства, но и с банковской платежной системой, системой государственной налоговой службы, системой формирования и исполнения бюджетов всех уровней, получателями бюджетных средств и налогоплательщиками. Одним из условий повышения эффективности работы казначейских органов является создание перспективной и эффективной системы их информационного обеспечения на 13 всех уровнях. Разработка информационного комплекса проводится на единой методологической основе, с использованием типовых проектных решений, учитывающих не только объемные показатели — число налогоплательщиков, собираемые на территории страны федеральные и регулирующие налоги, число получателей средств федерального бюджета, но и развитие всей финансовой и коммуникационной инфраструктуры регионов. Информационный комплекс казначейских органов способен не только обеспечить функционально, в сочетании с банковской системой исполнение органами казначейства федерального бюджета, но и предназначен при этом организовать эффективное динамичное взаимодействие финансовых органов различных уровней и ведомственной принадлежности, а также банковской и налоговой систем. В основу создания такого комплекса положена технология централизованных и распределенных решений на основе применения высокотехнологичных операционных систем и систем управления базами данных (СУБД) и помехоустойчивых защищенных от несанкционированного доступа телекоммуникационных систем. 4.3.3 Структура и состав АИС «Казначейство» Обобщенная архитектура казначейства приведена на рисунке 1. Рисунок 1 – Обобщенная архитектура казначейства 14 АИС реализована на основе технологии «клиент-сервер». Сервер обеспечивает хранение и доступ к данным и реализует необходимую логику. Клиент обеспечивает визуализацию интерфейса. Связь между сервером и клиентом осуществляется через локальную сеть или выделенную линию. Состав аппаратных средств казначейства представлен в таблице 2. Таблица 2 – Состав аппаратных средств казначейства Наименование оборудования Описание оборудования Сервер DEPO Storm 2250N5 АРМ Intel ® Core ™ I7-3770 3.9 GHz, JPE 8 Gb, HDD 1 Tb CanonLaserShot LBP-1120 Принтер Плоттер HP Designjet 130 D-Link DES-1016D Коммутатор На исследуемом объекте разработаны организационные меры по обеспечению информационной безопасности, а именно разработаны локальные нормативные акты такие как: 1. Положение о порядке обработке и защите персональных данных с использованием ИС и без применения ИС. 2. Регламент информационной безопасности: доступ сотрудников к служебной информации, составляющей коммерческую тайну; доступ к персональным данным сотрудников. 3. Регламент работы с сетью интернет и электронной почтой. 4. Правила создания, хранения и использования парольной защиты при работе со средствами автоматизации. 5. Должностные инструкции системных администраторов. 6. Реестр документов составляющих персональные данные. 15 коммерческую тайну и На предприятии реализованы как организационные, так и физические и программные средства защиты. Достижение основных целей в обеспечении информационной безопасности документооборота достигается за счет выполнения задач: ­ выполнение мероприятий организационного характера в виде создания регламентов, положений с целью отнесения информации обрабатываемой в организации к различным категориям ограниченного доступа (коммерческой тайне, служебной тайне, персональным данным); ­ проведение мероприятий по контролю за выполнением правил работы с документами в бумажной и электронной форме; ­ доведение до сведения всех заинтересованных лиц и ознакомление под роспись об ответственности за неправомочное использование данных, их неправильное или халатное использование; ­ использование в работе средств обработки информации и хранения и передачи данных программное обеспечение, которое позволяет выстроить разграничение прав доступа к данным; ­ проведение мероприятий по прогнозированию и своевременному выявлению угроз информационной безопасности для используемых активов в организации, определение причин и условий, которые позволяют нанести финансовый, материальный или моральный ущерб информации и способствуют появлению факторов, которые отрицательно влияют на деятельность организации; ­ создание условий функционирования организации, которые способствуют к сведению к минимуму возможности возникновения угроз, а также позволяют устранить или минимизировать причиняемый ущерб [15, 16]. Разграничение локального и сетевого трафика осуществляется через: – AlphaInternel – локальный трафик; – SigmaExternal – сетевой трафик. 16 Для защиты от вирусных атак используется антивирус «Kaspersky», который представляет собой эффективный инструмент для постоянного мониторинга состояния компьютера. Он надежно блокирует попытки вирусов, троянских программ, почтовых червей, шпионских программ и других вредоносных объектов проникнуть в систему из внешних источников.антивирус «Kaspersky» удобен в использовании и нетребователен к системным ресурсам - может быть установлен на любой ПК, на котором установлена ОС Windows. Отличительные особенности «Kaspersky» для Windows: - возможность работы на уже инфицированном компьютере и исключительная вирусоустойчивость выделяют «Kaspersky» среди всех других аналогичных программ; - может быть установлен на уже инфицированный компьютер и способен вылечить его; - сканер «Kaspersky» можно запустить с внешнего носителя без установки в системе; - большинство атаковавших систему вирусов могут быть устранены уже во время установки антивируса «Kaspersky» при сканировании памяти и файлов автозагрузки. - непосредственно перед сканированием (в процессе установки) предусмотрена возможность обновления антивирусных баз. Для защиты информации от несанкционированного доступа на персональных компьютерах используется ПАК «Соболь 3.0». 4.3.4 Объекты защиты АИС «Казначейство» В качестве объектов защиты в АИС «Казначейство» выступает: – информация, хранящаяся и обрабатывающаяся на АРМ, жестких дисках и в оперативной памяти; – носители информации, установленные в АРМ (несъемные жесткие диски); 17 – конфигурационная и управляющая информация; – информация в электронных журналах регистрации; – общесистемное и прикладное программное обеспечение АРМ; – аппаратные средства АИС «Казначейтсво»; – побочные сигналы, которые возникают в процессе функционирования технических средств и в которых полностью или частично отражается защищаемая информация. Нарушение целостности записей в электронных журналах регистрации может позволить потенциальным нарушителям скрыть попытки реализации несанкционированного доступа к защищаемой информации. Остаточная информация на машинных носителях информации может содержать информацию ограниченного доступа. Перехват побочных электромагнитных сигналов может позволить потенциальным нарушителям раскрыть содержание конфиденциальной информации. 4.3.5 Состав защищаемой информации ОИ «Казначейство» В соответствии с п. 17 подпункт в) Приказа ФСТЭК России от 25.12.2017 № безопасности 239 «Об утверждении значимых Требований по объектовкритической обеспечению информационной инфраструктуры Российской Федерации» объектами,подлежащими защите от угроз безопасности информации (объектами защиты), в АИС«Казначейство» являются: – служебная информация без ограничительной пометки «для служебного пользования» (далее - служебная информация); – общедоступная информация, доступ к которой не ограничивается Федеральными законами Российской Федерации, но может быть ограничен обладателем; – персональные данные граждан; – программно-аппаратные средства в АИС «Казначейство»; 18 – программные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение). 4.3.6 Классификация аварийных ситуаций на ОИ «Казначейство» Согласно базовой модели угроз безопасности, в частности типовой модели угроз безопасности информационных данных, обрабатываемых в локальных системах, имеющих подключение к сетям связи общего пользования и (или) сетям международного информационного обмена [4], а также на основе анализа банка данных угроз безопасности информации ФСТЭК в информационной системе «Казначейство» возможны: угрозы, реализуемые в ходе загрузки операционной системы и направленные на перехват паролей или идентификаторов, модификацию базовой системы ввода/вывода (BIOS), перехват управления загрузкой – далее по тексту «угрозы НСД до загрузки ОС и во время загрузки ОС»; угрозы, реализуемые после загрузки операционной системы и направленные на выполнение несанкционированного доступа с применением стандартных функций (уничтожение, копирование, перемещение, форматирование носителей информации и т.п.) операционной системы или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.) – далее по тексту «угрозы НСД после загрузки ОС» угрозы «Анализа сетевого трафика» с перехватом передаваемой во внешние сети и принимаемой из внешних сетей информации – далее по тексту «угрозы анализа сетевого трафика внешних сетей»; угрозы «Анализа сетевого трафика» с перехватом передаваемой по сети информации – далее по тексту «угрозы анализа сетевого трафика внутренней сети»; угрозы сканирования, направленные на выявление типа операционной системы АРМ, открытых портов и служб, открытых 19 соединений и др. – далее по тексту «угрозы сканирования портов, служб и типа ОС АРМ»; угрозы сканирования, направленные на выявление типа операционной системы ИС, сетевых адресов рабочих станций, открытых портов и служб, открытых соединений и др. – далее по тексту «угрозы сканирования портов, служб, типа ОС и адресации ИС»; угрозы выявления паролей; угрозы получения НСД путем подмены доверенного объекта; угрозы внедрения ложного объекта сети; угрозы навязывания ложного маршрута путем несанкционированного изменения маршрутно-адресных данных – далее по тексту «угрозы навязывания ложного маршрута»; угрозы типа «Отказ в обслуживании» – далее по тексту «угрозы отказа в обслуживании»; угрозы удаленного запуска приложений; угрозы внедрения по сети вредоносных программ. В результате рассмотрения всех угроз было выяснено, что главной угрозой для нашей информационной системы являются сетевые угрозы. В дальнейшем необходимо произвести оценку актуальности этих угроз. Угроза считается актуальной, если она может быть реализована в ИС и представляет опасность для данных, хранящихся в данной ИС. Cоставление перечня актуальных угроз происходит по методу, описанному в методике определения актуальных угроз безопасности [5]. 4.3.7 Территориальное размещение аппаратных средств ОИ Аппаратные средства АИС пределахконтролируемых зон. 20 «Казначейтство» размещены в 5 МОДЕЛЬ НАРУШИТЕЛЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПО ТРЕБОВАНИЯМ ФСТЭК РОССИИ 5.1 Типы (категории) нарушителей Всех нарушителей ИБ целесообразно разделить на две группы: 1. Внутренние нарушители – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИС. 2. Внешние нарушители – физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИС. В качестве основных побудительных причин действий нарушителей ИБ следует рассматривать: 1. Получение материальной выгоды. 2. Моральное удовлетворение без получения материальной выгоды. 3. Халатность, невнимательность, спешка. 4. Месть. 5. Деятельность, связанная с промышленным шпионажем и конкурентной борьбой субъектов рынка. Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами ИС. Выделяется четыре уровня этих возможностей. Классификация является иерархической, т.е. каждый следующий уровень включает в себя функциональные возможности предыдущего. Первый уровень определяет самый низкий уровень возможностей ведения диалога в ИС – запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации. Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации. 21 Третий уровень функционированием определяется ИС, т.е. возможностью воздействием на базовое управления программное обеспечение системы и на состав и конфигурацию ее оборудования. Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств ИС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации. Исходя из квалификации нарушителя и его технической оснащенности, всех потенциальных нарушителей можно классифицировать по следующим критериям: По уровню знаний программно-технических средств ИС: 1. Нарушитель, знающий функциональные особенности, основные закономерности формирования массивов данных и потоков запросов к ним, а также умеющий пользоваться основными техническими средствами и системами. 2. Нарушитель, обладающий высоким уровнем знаний и опытом работы с программно-техническими средствами, и их обслуживания. 3. Нарушитель, обладающий высоким уровнем знаний в области программирования и вычислительной техники, проектирования и эксплуатации автоматизированных информационных систем. 4. Нарушитель, знающий структуру, функции и механизм действия средств защиты информации, их сильные и слабые стороны. По уровню возможностей (используемым методам и средствам): 1. Нарушитель, применяющий агентурные методы получения сведений. 2. Нарушитель, применяющий пассивные средства (технические средства перехвата без модификации компонентов системы). 3. Нарушитель, использующий только штатные средства и недостатки систем защиты для ее преодоления (несанкционированные действия с использованием разрешенных средств), а также компактные магнитные носители информации, которые могут быть скрытно внесены. 22 4. Нарушитель, применяющий методы и средства активного воздействия (модификация и подключение дополнительных технических средств, подключение к каналам передачи данных, внедрение программных закладок и использование специальных инструментальных и технологических программ). По времени действия: 1. Нарушитель, воздействующий на программно-технические средства во время их работы. 2. Нарушитель, воздействующий на программно-технические средства в период их неактивности (в нерабочее время, во время плановых перерывов в работе, перерывов для обслуживания и ремонта и т.п.). 3. Нарушитель, воздействующий на программно-технические средства как в процессе их функционирования, так и в период их неактивности. По месту действия: 1. Нарушитель, воздействующий на программно-технические средства без доступа в контролируемую зону. 2. Нарушитель, воздействующий на программно-технические средства с контролируемой зоны без доступа в здания и сооружения и из-за пределов КЗ. 3. Нарушитель, воздействующий на программно-технические средства внутри помещений. 4. Нарушитель, воздействующий на программно-технические средства с рабочих мест конечных пользователей (операторов) и обслуживающего персонала. 5. Нарушитель, воздействующий на программно-технические средства с доступом в зону данных (баз данных, архивов и т.п.). 6. Нарушитель, воздействующий на программно-технические средства с доступом в зону управления средствами обеспечения безопасности. По степени опасности для программно-технических средств ИСПДн определена следующая иерархия потенциальных нарушителей: 23 1. Внутренние нарушители, обладающие определенными полномочиями и имеющие физический доступ к наиболее важным узлам (сервера, устройства коммутации, и т.д.). 2. Внутренние нарушители, которые осуществляют деструктивные действия не из злого умысла, а по незнанию, неосторожности или из любопытства. 3. Внешние нарушители, которые знают внутреннюю структуру программно-технических средств и в состоянии организовать не только атаки на внешние точки, но и осуществлять более разрушительные воздействия исходя из своих знаний о программно-технических средствах, методах защиты, каналах передачи данных и т.д. 4. Внешние нарушители, которые будут действовать при осуществлении попыток доступа наугад, не имея уверенности в том, каков будет результат. Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны ограничительных факторов, из которых основным является реализация комплекса организационнотехнических мер, в том числе по подбору, расстановке и обеспечению высокой профессиональной подготовки кадров, допуску физических лиц внутрь контролируемой зоны и контролю за порядком проведения работ, направленных на предотвращение и пресечение несанкционированных действий. Исходя из особенностей функционирования ИС, допущенные к ней физические лица, имеют разные полномочия на доступ к информационным, программным, аппаратным и другим ресурсам ИСПДн в соответствии с принятой разрешительной системой доступа. К внутренним нарушителям могут относиться: 1. Пользователи ИС – категория В1; 2. Администраторы ИС - категория В2; 3. Сотрудники компании, не имеющие права доступа к ПДн - категория В3. 24 5.2 Виды нарушителей Виды нарушителя и их описание представлены в таблице 3. Таблица 3 – Виды нарушителя № Виды нарушителя 1 Специальные службы иностранных государств (блоков государств) 2 Террористические, экстремистские группировки 3 Конкурирующие организации 4 Внешние субъекты (физические лица) 5 Преступные группы Возможные цели (мотивация) Типы нарушителя реализации угроз безопасности информации Нанесение ущерба государству, отдельным его сферам деятельности или Внешний, секторам экономики. внутренний Дискредитация или дестабилизация деятельности органов государственной власти, организаций Нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики. Совершение Внешний террористических актов. Идеологические или политические мотивы. Дестабилизация деятельности органов государственной власти, организаций Получение конкурентных преимуществ. Причинение Внешний имущественного ущерба путем обмана или злоупотребления доверием Идеологические или политические мотивы. Причинение имущественного ущерба путем мошенничества или иным преступным путем. Любопытство или желание Внешний самореализации (подтверждение статуса). Выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды Внешний Причинение имущественного 25 (криминальные структуры) 6 Лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ Внутренний 7 Разработчики, производители, поставщики программных, технических и программнотехнических средств Внешний 8 Бывшие работники (пользователи) Внешний 9 Лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.) 10 Пользователи информационной системы ущерба путем мошенничества или иным преступным путем. Выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды. Причинение имущественного ущерба путем обмана или злоупотребления доверием. Непреднамеренные, неосторожные или неквалифицированные действия. Внедрение дополнительных функциональных возможностей в программное обеспечение или программнотехнические средства на этапе разработки. Причинение имущественного ущерба путем обмана или злоупотребления доверием. Непреднамеренные, неосторожные или неквалифицированные действия Причинение имущественного ущерба путем мошенничества или иным преступным путем. Месть за ранее совершенные действия. Внутренний Причинение имущественного ущерба путем обмана или злоупотребления доверием. Непреднамеренные, неосторожные или неквалифицированные действия Внутренний Причинение имущественного ущерба путем мошенничества или иным преступным путем. Любопытство или желание 26 самореализации (подтверждение статуса). Непреднамеренные, неосторожные или неквалифицированные действия В таблице 4 приведено соотношение между видами нарушителей, рассматриваемыми в рамках нарушителей,приведенными в настоящего базовой документа, модели и угроз видами безопасности информации в ключевыхсистемах информационной инфраструктуры. Таблица 4 – Соответствие между видами нарушителей Вид нарушителя, в соответствии с Вид нарушителя, в соответствии с базовой настоящим документом моделью угроз безопасности информации в ключевых системах информационной инфраструктуры Специальные службы иностранных Представители государств (блоков государств) Террористические, разведывательных служб иностранных государств экстремистские Представители криминальных структур группировки Преступные группы (криминальные Представители криминальных структур структуры) Внешние субъекты (физические лица) Недобросовестные клиенты Конкурирующие организации Представители конкурентов Разработчики, производители, поставщики Программисты-разработчики (поставщики) программных, технических и программно- прикладного ПО и лица, обеспечивающие технических средств его сопровождение на защищаемом объекте Лица, привлекаемые для установки, Разработчики наладки, монтажа, пусконаладочных и поставку, иных видов работ технических объекте 27 и лица, обеспечивающие сопровождение средств на и ремонт защищаемом На основании анализа информации, приведенной в таблице 4, следует, что перечень нарушителей, рассматриваемых в рамках настоящей документа,соответствует перечню нарушителей, приведенных в базовой модели угрозбезопасности информации в ключевых системах информационной инфраструктуры. 5.3 Мотивация нарушителей Возможные цели (мотивация) реализации угроз безопасности информации поведены в таблице 5. Таблица 5 – Возможные цели (мотивация) реализации угроз безопасности информации № Виды нарушителя Специальные службы 1 иностранных государств Террористические, 2 экстремистские группировки Категории нарушителя Внешний Возможные цели реализации угроз безопасности информации Нанесение ущерба государству в области обеспечения обороны, безопасности и правопорядка, а также в иных отдельных областях его деятельности или секторах экономики, в том числе дискредитация или дестабилизация деятельности отдельных органов государственной власти, организаций, получение конкурентных преимуществ на уровне государства, срыв заключения международных договоров, создание внутриполитического кризиса Совершение террористических актов, угроза жизни граждан. Нанесение ущерба отдельным сферам деятельности или секторам экономики государства. Внешний Дестабилизация общества. Дестабилизация деятельности органов государственной власти, организаций Преступные группы 3 (криминальные структуры) Внешний Получение финансовой или иной материальной выгоды. Желание самореализации (подтверждение 28 статуса) Отдельные 4 физические лица (хакеры) Внешний Конкурирующие 5 организации Внешний Разработчики программных, 6 программноаппаратных средств Получение финансовой или иной материальной выгоды. Любопытство или желание самореализации (подтверждение статуса) Получение конкурентных преимуществ. Получение финансовой или иной материальной выгоды Внедрение дополнительных функциональных возможностей в программные или программноаппаратные средства на этапе разработки. Получение конкурентных преимуществ. Внутренний Получение финансовой или иной материальной выгоды. Непреднамеренные, неосторожные или неквалифицированные действия В соответствии с результатами интервьюирования ответственных лиц и специалистов по направлениям деятельности АИС «Казначейство», реализация угроз безопасности информации на АИС «Казначейство» не может привести кущербу сферам деятельности или секторам экономики, дискредитация илидестабилизация деятельности органов государственной власти. На основании этогореализация угроз безопасности информации специальными службами иностранныхгосударств (блоков государств) и террористическими, маловероятной и экстремистскими рассмотрение данного группировками,является вида нарушителя для ОИнецелесообразно. Последствия от реализации УБИ не соответствуют мотивацииданного вида нарушителя и не приводят к достижению его целей. 5.4 Оценка возможности (потенциала) нарушителей 29 Потенциал нарушителей и их возможности приведены в таблице 6. Таблица 6 – Потенциал нарушителей и их возможности № Вид нарушителя Потенциал Возможности по реализации УБИ нарушителя 1 Зарегистрированный пользователь имеющий Базовый - ИС, повышенный доступ располагает фрагментами информации о топологии ИС; к (средний) - знает, по меньшей мере, одно персональным данным с потенциал легальное имя доступа; обладает персонального рабочего всеми необходимыми атрибутами, места обеспечивающими некоторому доступ к подмножеству персональных данных; 2 Администраторы ИС Базовый Непосредственный повышенный защищаемой (средний) обрабатываемой и хранимой в ИС, потенциал а также доступ к информации, к техническим и программным средствам ИСПДн, включая средства защиты, используемые в конкретных АС, в соответствии с установленными для них административными полномочиями 3 Сотрудник, не имеющий Базовый Не располагает знаниями права доступа (низкий) принципах потенциал функционирования ИС. построения о и Не располагает персональными данными. Имеет доступ в помещения ИС Может получить доступ путем компрометации паролей или в результате халатности пользователей ИС 4 Лица, Базовый Имеют 30 возможность получить привлекаемые для повышенный информацию об установки, наладки, (средний) уязвимостях монтажа, потенциал компонент ОИ, опубликованную в отдельных пусконаладочных и общедоступных источниках. иных видов работ Имеют возможность получить информацию о методах и средствах реализации угроз безопасности информации (компьютерных атак), опубликованных в общедоступных источниках, и (или) самостоятельно осуществляют создание методов и средств реализации атак и реализацию атак на ОИ Характеристика видов нарушителейприведены в таблице 7. Таблица 7 – Характеристика видов нарушителей № Вид нарушителя Потенциал Тип нарушителя нарушителя 1 Зарегистрированный пользователь ИС, Базовый повышенный Внутренний имеющий (средний) потенциал доступ к персональным данным с персонального рабочего места 2 Администраторы ИС Базовый повышенный Внутренний (средний) потенциал 3 4 Сотрудник, не имеющий права Базовый (низкий) доступа потенциал Лица,привлекаемые Базовый повышенный дляустановки, наладки, монтажа, (средний) потенциал пусконаладочных и иных видов 31 Внутренний Внешний работ 5.5 Доверенные пользователи Доверенные пользователи информационной системы приведены в таблице 8. Таблица 8 – Доверенные пользователи информационной системы Пользователь Обоснование Администратор Администратор информационной безопасности имеет полный информационной доступ к настройкам средств защиты информации и может безопасности вносить изменения в реализацию правил разграничения доступа. Для защиты от злонамеренных действий администратора информационной безопасности с ним должно быть подписано отдельное соглашение об ответственности за соблюдение требований организационно-распорядительной документации и недопустимости внесения несогласованных с документацией изменений в состав и настройки средств защиты информации. Разработчик системы Для защиты от злонамеренных действий разработчика системы защиты информации защиты информации его доступ к внедренной системе защиты при ее нормальной эксплуатации должен быть ограничен. Все работы по изменению состава и настроек средств защиты информации должны выполняться на основании соответствующих договоров и согласовываться с администратором информационной безопасности. 5.6 Возможность сговора нарушителей На основании выполненных предположений можно считать, что суммарный потенциал нарушителей, вступивших в сговор, является наибольшим потенциаломнарушителей, вступивших в сговор. 5.7 Вывод 32 В соответствии с приведенными моделями нарушителя по требованиям нормативно-методических документов ФСТЭК России получены сводные таблицы актуальных категорий нарушителей информационнойбезопасности АИС «Казначейство», в которых представленыих потенциал и возможности по реализации УБИ. Итоговый перечень возможных нарушителей, рассматриваемых для ОИ, представлен ниже: – зарегистрированный пользователь ИС, имеющий доступ к персональным данным с персонального рабочего места; – администраторы ИС; – сотрудник, не имеющий права доступа – лица, привлекаемые для монтажа,пусконаладочных и иных видов работ. 33 установки, наладки, 6 ОЦЕНКА УРОВНЯ ИСХОДНОЙ ЗАЩИЩЕННОСТИ ОИ Требуется определить уровень исходной защищенности АИС «Казначейство». Исходная степень защищенности АИС приведена в таблице 9. Таблица 9 – Исходная степень защищенности АИС «Казначейство» Уровень защищенности Технические и эксплуатационные характеристики ИСПДн 1. По территориальному размещению: локальнаяИСПДн, развернутая в пределах одного здания Высокий Средний Низкий + + 2. По наличию соединения с сетями + общего пользования: ИСПДн, имеющая одноточечный + выход в сеть общего пользования 3. По встроенным (легальным) операциям с записями баз + персональных данных: модификация, передача + 4. По разграничению доступа к + персональным данным: ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, + являющейся владельцем ИСПДн, либо субъект персональных данных 5. По наличию соединений с + 34 другими базами персональных данных иных ИСПДн интегрированная ИСПДн (организация использует несколько баз персональных данных ИСПДн, + при этом организация не является владельцем всех используемых баз персональных данных) 6. По уровню обобщения + (обезличивания) ПДн: ИСПДн, в которой предоставляемые пользователю данные не являются + обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн) 7. По объему ПДн, которые предоставляются сторонним + пользователям ИСПДн без предварительной обработки: ИСПДн, предоставляющая часть + ПДн ∑ = 1 (14,28%) ИТОГО ∑ < 70% ∑ = 3 (42,86%) ∑ < 70% ∑ = 3 (42,86%) ∑ > 0% Y₁ = 10 Исследцемая АИС имеет низкий исходный уровень защищенности (Y₁ = 10). 35 7 МОДЕЛЬ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОИ Определение актуальных угроз информационной безопасности для организации производится в соответствии с [2]. Методический документ, определяющий методику оценки угроз безопасности информации, был подписан ФСТЭК России 5 февраля 2021 г. Это событие открыло новые двери для специалистов в области ИБ, которые занимаются анализом потенциальных угроз для важных объектов информационной инфраструктуры. Раньше для определения потенциальных угроз безопасности информации использовали одну из следующих методик: методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (2008 года); методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры (2007 года). Данные документы узкоспециализированные и ограничивают область работы с различными типами объектов, а также к 2021 году по ряду аспектов утратили свою актуальность. Новая методика более универсальна и работает со следующими типами объектов: информационные системы (ИС); автоматизированные системы управления; информационно-телекоммуникационные сети; информационно-телекоммуникационные центров обработки данных; 36 инфраструктуры облачные инфраструктуры. Этапы оценки угроз безопасности информации по обновленной методики: определение негативных последствий, которые могут наступить от реализации (возникновения) угроз безопасности информации; определение возможных объектов воздействия угроз (возникновения) угроз безопасности информации; оценка возможности реализации безопасности информации и определение их актуальности. Этап оценки возможности реализации (возникновения) и актуальности угроз состоит из трех подэтапов, которые описаны далее. 1. Выявление источников угроз безопасности информации. Новая методика ориентирована на оценку угроз безопасности, которые обусловлены действиями нарушителей, и поэтому не включает в себя ряд факторов, не зависящих от человека: угрозы безопасности, связанных с природными явлениями и стихийными бедствиями; угрозы безопасности криптографических средств защиты; угрозы безопасности, связанных с техническими каналами утечки данных. Также стоит отметить, что право включения техногенных угроз в модель угроз ИБ остается за оператором систем и сетей или владельцем информации В результате определения источников угроз ИБ выявляются: а) виды потенциальных нарушителей и возможные цели реализации ими угроз безопасности информации, а также их возможности б) категории реализовывать потенциальных угрозы безопасности непреднамеренные угрозы 37 нарушителей, информации, которые могут в числе том 2. Оценка способов реализации угроз безопасности информации. На данном этапе определяются: а) виды и категории нарушителей, способных применить актуальные способы; б) актуальные способы осуществления угроз ИБ и типы интерфейсов объектов воздействия, за счет которых они могут быть реализованы. 3. Оценка актуальности угроз безопасности информации. Угроза считается допустимой, если на этапах оценки были обнаружены следующие признаки: присутствует объект воздействия угроз; присутствует непосредственно нарушитель или другой источник угрозы; обнаружены пути осуществления угрозы ИБ; осуществление угрозы может привести к негативным последствиям. Если обнаружены сценарии реализации угрозы ИБ, то угроза считается актуальной. Сценарии должны быть определены для всех способов осуществления угроз, относительно объектов и видов воздействия. Сценарий определяется путем установления возможных тактик, потенциально применимых нарушителем для создания угрозы, с определением уровня возможностей для реализации угроз безопасности информации. При обнаружении минимум одного сценария угроза считается актуальной и включается в формируемую модель угроз. Результаты, полученные в ходе оценки угроз, заносятся в модель угроз, для которой существует рекомендуемая структура, определенная новой методикой. Данный документ должен поддерживаться в актуальном состоянии и при необходимости обновляться. Отметим, что оценка угроз может осуществляться как владельцем информации самостоятельно, так и с привлечением сторонних организаций. Стоит отметить, что сторонние организации не должны иметь лицензию на техническую защиту конфиденциальной информации в обязательном 38 порядке. Несмотря на то, что на этапе проектирование методики планировалось ввести обязательное лицензирование организаций, требование решили отменить. Это связано с тем, что моделирование угроз не является лицензируемым видом деятельности, поэтому нововведение вызвало шквал недоумения. Главные достоинства новой методики: универсальна и применима для широкого круга областей; наглядные примеры для выполнения каждого из подэтапов оценки потенциальных угроз; рекомендации о применении экспертного метода; нацеленность на оценку негативных последствий угроз. Угрозы НСД, соответствующие различным вариантам типовой модели, приведены в таблице 10. Таблица 10 – Угрозы НСД, соответствующие различным вариантам типовой модели 39 локальные ИС без подключения к открытым сетям локальные ИС с подключением к открытым сетям распределенные ИС без подключения к открытым сетям распределенные ИС с подключением к открытым сетям угрозы, реализуемые в ходе загрузки операционной системы и направленные на перехват паролей или идентификаторов, модификацию базовой системы ввода/вывода (BIOS), перехват управления загрузкой – далее по тексту «угрозы НСД до загрузки ОС и во время загрузки ОС» угрозы, реализуемые после загрузки операционной системы и направленные на выполнение несанкционированного доступа с применением стандартных функций (уничтожение, копирование, перемещение, форматирование носителей информации и т.п.) операционной системы или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и АРМ с подключением к открытым сетям Угрозы НСД для организации АРМ без подключения к открытым сетям Варианты типовой модели угроз + + + + + + + + + + + + модификации реестра, поиска текстов в текстовых файлах и т.п.) – далее по тексту «угрозы НСД после загрузки ОС» угрозы «Анализа сетевого трафика» с перехватом передаваемой во внешние сети и принимаемой из внешних сетей информации – далее по тексту «угрозы анализа сетевого трафика внешних сетей» угрозы «Анализа сетевого трафика» с перехватом передаваемой по сети информации – далее по тексту «угрозы анализа сетевого трафика внутренней сети» угрозы сканирования, направленные на выявление типа операционной системы АРМ, открытых портов и служб, открытых соединений и др. – далее по тексту «угрозы сканирования портов, служб и типа ОС АРМ» угрозы сканирования, направленные на выявление типа операционной системы ИС, сетевых адресов рабочих станций, открытых портов и служб, открытых соединений и др. – далее по тексту «угрозы сканирования портов, служб, типа ОС и адресации ИС» угрозы выявления паролей угрозы получения НСД путем подмены доверенного объекта угрозы внедрения ложного объекта сети угрозы навязывания ложного маршрута путем несанкционированного изменения маршрутно-адресных данных – далее по тексту «угрозы навязывания ложного маршрута» угрозы типа «Отказ в обслуживании» – далее по тексту «угрозы отказа в обслуживании» угрозы удаленного запуска приложений угрозы внедрения вредоносных программ угрозы внедрения по сети вредоносных программ – + – + – + – + + – + + – + – – – – – + – + + + – + + + + + – + – + – + – + – + + + – – – – + + – + + + + – + – + + + + + + + + + + + + + + + Для оценки актуальности угроз утечки информации по техническим каналам и угроз НСД необходимо определить вариант типовой модели угроз, которому соответствует рассматриваемая ИС, и оценить соответствующие типовой модели угрозы по методике определения актуальных угроз [4]. Утечка видовой информации возможна за счет её просмотра с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и иных средств отображения средств вычислительной техники ИС [5]. Кроме этого, просмотр информации возможен с использованием специальных электронных устройств съема, внедренных в служебные помещения или скрытно используемых физическими лицами при посещении ими служебных 40 помещений. Необходимым условием осуществления просмотра информации является наличие прямой видимости между средством наблюдения и носителем информации. Утечка видовой информации может быть осуществлена: – за счет удаленного просмотра экранов дисплеев и других средств отображения информации; – с помощью видео-аппаратных закладок. В информационной системе компании физическое лицо не имеет возможности неконтролируемого пребывания на территории производственных помещений, соответственно, исходя из этого можно сделать вывод, что отсутствует возможность наблюдения посторонними лицами информации. Возникновение угрозы утечки видовой информации не актуальна по причине отсутствия возникновения данной угрозы. Угрозы утечки информации по каналу ПЭМИН возможны по причине наличия электромагнитных излучений, в основном, монитора и системного блока компьютера. Основную опасность представляют угрозы утечки из-за наличия электромагнитных излучений монитора [5]. Для регистрации ПЭМИН используется аппаратура в составе радиоприемных устройств и оконченных устройств восстановления информации. Утечка информации по каналам ПЭМИН может быть осуществлена: – за счет побочных электромагнитных излучений вычислительной техники; – за счет наводок по цепям питания; – за счет радиоизлучений, модулированных информационным сигналом. Рассмотрение угроз безопасности информации, связанных с перехватом ПЭМИН в информационной системе компании избыточно, так как носители данных находятся в пределах контролируемой зоны. Утечка информации по каналам ПЭМИН маловероятна по причине несоответствия стоимости средств съёма информации 41 и полученной в результате регистрации ПЭМИН информации, а защита информации от данного вида угроз экономически нецелесообразна. Угрозы НСД связаны с действиями нарушителей, имеющих доступ к ИС, включая пользователей ИС, реализующих угрозы непосредственно в ИС, а также нарушителей, не имеющих доступа к ИС, реализующих угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена [5]. По наличию права постоянного или разового доступа нарушители подразделяются на два типа: – внешние нарушители; – внутренние нарушители. Угроза считается актуальной, если она может быть реализована в ИС и представляет опасность для данных, хранящихся в данной ИС. Cоставление перечня актуальных угроз происходит по методу, описанному в методике определения актуальных угроз безопасности [4]. Вначале необходимо определить возможность реализации угрозы, для оценки которой применяется показатель уровня исходной защищенности ИС (Y1) и показатель частоты (вероятности) реализации рассматриваемой угрозы (Y2) [4]. Под уровнем исходной защищенности ИС понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИС, приведенных в таблице из методики определения актуальных угроз безопасности персональных данных [4]. Указанная таблица адаптирована под информацию составляющую коммерческую тайну, то есть в ней исключены три последних строки, в которых содержатся показатели, относящееся исключительно к персональным данным, а также несколько изменены формулировки, касающееся персональных данных. В ходе рассмотрения всех угроз, описанных в предыдущих разделах можно сделать вывод, что главной угрозой информационной системы является угроза НСД к информации. В следующих разделах необходимо провести анализ и оценку данной угрозы. 42 Под актуальной угрозой понимают такую угрозу, которую можно реализовать в ИС, и она представляет опасность для ИС. Для составления перечня актуальных угроз описанных в методике актуальных угроз безопасности [4]. Сперва необходимо определить возможность реализации угрозы применяются два показателя: уровень исходной защищенности ИС (Y1) и частота вероятности реализации рассматриваемой угрозы (Y2). Уровень исходной защищенности ИС понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИС приведенных в таблице из методики определения актуальных угроз безопасности персональных данных [4]. Согласно таблице, она подходит под информацию, которая содержит коммерческую тайну из данной таблицы удалены строки, которые содержат показатели только о персональных данных. Показатели исходной защищенности, на основании которых производится дальнейший выбор для расчета условий исходной защищенности приведен в таблице 10. Таблица 10 – Показатели исходной защищенности информационной системы Технические и эксплуатационные характеристики ИС 1. По территориальному размещению: распределенная ИС, которая охватывает несколько областей, краев, округов или государство в целом; городская ИС, охватывающая не более одного населенного пункта (города, поселка); корпоративная распределенная ИС, охватывающая многие подразделения одной организации; локальная (кампусная) ИС, развернутая в пределах нескольких близко расположенных зданий; локальная ИС, развернутая в пределах одного здания 2. По наличию соединения с сетями общего пользования: ИС, имеющая многоточечный выход в сеть общего пользования; ИС, имеющая одноточечный выход в сеть общего пользования; ИС, физически отделенная от сети общего пользования 43 Уровень защищенности Высокий Средний Низкий – – + – – + – + – – + – + – – – – + – + – + – – 3. По встроенным (легальным) операциям: чтение, поиск; запись, удаление, сортировка; модификация, передача 4. По разграничению доступа: ИС, к которой имеют доступ определенные перечнем сотрудники организации ИС, к которой имеют доступ все сотрудники организации, являющейся владельцем ИС; ИС с открытым доступом + – – – – + – – + – + – – – + – – + Уровни защищенности приведены в таблице 11. Таблица 11 – Показатели исходной защищенности ИС компании Технические и эксплуатационные характеристики ИС Уровень защищенности распределенная ИС, которая охватывает несколько областей, краев, округов или государство в целом ИС, имеющая многоточечный выход в сеть общего пользования чтение, поиск, запись, удаление, сортировка, модификация, передача ИС, к которой имеют доступ определенные перечнем сотрудники организации низкий низкий низкий средний Исходя из таблицы 11 и методики определения актуальных угроз безопасности [4], если информационная система имеет не менее 70%, то уровень исходной защищенности является «высокий» (расчет производится по сумме положительных решений) на основании этого можно сделать вывод, о том, что ИС имеет высокую степень защиты. Если информационная система имеет не менее 70% характеристик исходной защищенности является «средний» соответствуют уровню не ниже «средний», то информационная система имеет информационная система не среднюю отвечает двух степень защиты. предыдущим Если уровням защищенности, то она имеет низкую степень защиты. На основании таблицы 12 можно сделать вывод, уровню не ниже средний соответствует 75% характеристик информационной системы, соответственно уровень защищенности Y1 = 5 [4] информационная система имеет низкую степень защиты. 44 Под вероятностью возникновения угрозы понимается определения опытным путём показатель, определяющий насколько вероятным является реализация конкретной угрозы безопасности информационной системы в текущих условиях. Вероятность Y2 определяется по четырем вербальным градациям показателя, описанных в методике определения актуальных угроз безопасности [4]. Таблица 12 – Вероятность реализации угрозы Градация Описание Маловероятно Низкая вероятность Средняя вероятность Высокая вероятность Вероятность (Y2) Отсутствуют объективные предпосылки для осуществления угрозы Объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию Объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности данных недостаточны Объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности данных не приняты Y2 = 0 Y2 = 2 Y2 = 5 Y2 = 10 Для каждой угрозы, определенной для рассматриваемой ИС ранее в таблице 1, необходимо определить вероятность её реализации нарушителем каждой из категорий K1-K8, оценка вероятности которых производится в соответствии со шкалой таблицы 12. Итоговая вероятность реализации угрозы Y2 является средним арифметическим всех значений строки для каждой угрозы, округленным до ближайшего целого числа. В таблице 5.5 приведем, для примера, максимально возможный набор угроз, соответствующий распределенной ИС, имеющей подключение к открытым сетям, и определим вероятности реализации угрозы безопасности различными категориями нарушителей. По итогам оценки уровня исходной защищенности рассматриваемой ИС Y1 и вероятности реализации угрозы для каждой угрозы Y2, 45 рассчитывается коэффициент реализуемости каждой угрозы Y и определяется возможность реализации этой угрозы. Оценка вероятности реализации угрозы безопасности различными категориями нарушителей приведена в таблице 13. Таблица 13 – Оценка вероятности реализации угрозы безопасности специалисты СТОиРО Итоговое значение специалисты ОППО системные администраторы ИС АБИ ИС K1 K2 K3 угрозы НСД до загрузки ОС и во время загрузки 10 2 0 ОС угрозы НСД после загрузки ОС 0 0 0 угрозы анализа сетевого трафика внешних сетей 0 0 5 угрозы анализа сетевого трафика внутренней сети 0 2 0 угрозы сканирования портов, служб, типа ОС и 0 0 5 адресации ИС угрозы выявления паролей 2 0 0 угрозы получения НСД путем подмены 0 0 0 доверенного объекта угрозы внедрения ложного объекта сети 0 0 0 угрозы навязывания ложного маршрута 0 0 0 угрозы отказа в обслуживании 0 0 0 угрозы удаленного запуска приложений 0 0 2 угрозы внедрения вредоносных программ 0 10 0 угрозы внедрения по сети вредоносных программ 0 0 10 K4 K5 K6 10 10 10 K7 5 K8 10 Y2 7 10 10 10 5 5 5 5 5 5 5 5 5 10 5 5 5 0 0 0 0 5 3 3 3 2 2 2 5 2 2 2 0 2 2 2 5 5 2 5 5 2 5 5 0 10 0 10 10 10 10 10 10 2 2 2 0 10 10 0 0 0 0 0 0 2 2 2 2 6 6 АБИ сегмента ИС удаленные пользователи ИС Угроза безопасности данных локальные пользователи ИС специалисты ОТП Вероятность реализации угрозы нарушителем категории KN 2 5 Коэффициент реализуемости каждой угрозы рассчитывается по формуле: Y= (Y1+Y2)/20 (1) Далее для каждой угрозы по значению коэффициента её реализуемости Y формируется вербальная интерпретация реализуемости угрозы следующим образом: если 0 Y 0,3 то возможность реализации угрозы признается низкой; если 46 (2) 0,3 Y 0,6 (3) то возможность реализации угрозы признается средней; если 0,6 Y 0,8 (4) то возможность реализации угрозы признается высокой; если Y 0,8 (5) то возможность реализации угрозы признается очень высокой [4]. Расчет коэффициента реализуемости для каждой угрозы приведен в таблице 14. Таблица 14 – Возможность реализации угрозы Угроза безопасности данных угрозы НСД до загрузки ОС и во время загрузки ОС угрозы НСД после загрузки ОС угрозы анализа сетевого трафика внешних сетей угрозы анализа сетевого трафика внутренней сети угрозы сканирования портов, служб, типа ОС и адресации ИС угрозы выявления паролей угрозы получения НСД путем подмены доверенного объекта угрозы внедрения ложного объекта сети угрозы навязывания ложного маршрута угрозы отказа в обслуживании угрозы удаленного запуска приложений угрозы внедрения вредоносных программ угрозы внедрения по сети вредоносных программ Коэффициент реализуемости угрозы (Y) Возможность реализации угрозы 0,85 0,75 0,65 0,65 очень высокая высокая высокая высокая 0,65 0,6 высокая средняя 0,6 0,6 0,6 0,6 0,6 0,8 0,8 средняя средняя средняя средняя средняя высокая высокая Для отнесения каждой из угроз, возможность реализации которой определена в таблице 14, к актуальной, необходимо экспертным методом оценить опасность каждой угрозы по шкале «низкая-средняя-высокая», после чего отнести каждую угрозу к актуальной или неактуальной, исходя из совокупности критериев «возможность реализации угрозы» и «опасность угрозы». Правила отнесения угрозы у актуальной определены в методике [4] и приведены в таблице 15. 47 Таблица 15 – Правила отнесения угрозы безопасности к актуальной Возможность реализации угрозы Низкая Средняя Высокая Очень высокая Показатель опасности угрозы Низкая Средняя неактуальная неактуальная неактуальная актуальная актуальная актуальная актуальная актуальная Высокая актуальная актуальная актуальная актуальная Экспертная оценка аналогично определена в методике [4] и является вербальным показателем опасности, который имеет три значения и которые, в свою очередь, приведены в таблице 16. Таблица 16 – Значение показателей опасности Градация опасности Низкая Средняя Высокая Описание Реализация угрозы может привести к незначительным негативным последствиям Реализация угрозы может привести к негативным последствиям Реализация угрозы может привести к значительным негативным последствиям На основании известных угроз проведем оценку актуальности угроз в таблице 17. Таблица 17 – Оценка актуальности угроз Угроза безопасности угрозы НСД до загрузки ОС и во время загрузки ОС угрозы НСД после загрузки ОС угрозы анализа сетевого трафика внешних сетей угрозы анализа сетевого трафика внутренней сети угрозы сканирования портов, служб, типа ОС и адресации ИС угрозы выявления паролей угрозы получения НСД путем подмены доверенного объекта угрозы внедрения ложного объекта сети 48 Возможность реализации очень высокая высокая Опасность угроз Актуальность угрозы высокая высокая актуальная актуальная высокая низкая актуальная высокая низкая актуальная высокая средняя низкая низкая актуальная неактуальная средняя средняя низкая низкая неактуальная неактуальная угрозы навязывания ложного маршрута угрозы отказа в обслуживании угрозы удаленного запуска приложений угрозы внедрения вредоносных программ угрозы внедрения по сети вредоносных программ средняя средняя средняя высокая низкая низкая низкая высокая неактуальная неактуальная неактуальная актуальная высокая высокая актуальная На основании таблицы 17 можно сделать вывод, что актуальные угрозы компании являются: – угрозы НСД до загрузки ОС и во время загрузки ОС; – угрозы НСД после загрузки ОС; – угрозы анализа сетевого трафика как внешних, так и внутренних сетей; – угрозы сканирования портов, служб, типа ОС и адресации ИС; – угрозы внедрения вредоносных программ, в том числе по сети. На основании таблицы 2.10 можно сделать вывод, что актуальные угрозы ООО «Экран» являются [4]: – угрозы НСД до загрузки ОС и во время загрузки ОС; – угрозы НСД после загрузки ОС; – угрозы анализа сетевого трафика как внешних, так и внутренних сетей; – угрозы сканирования портов, служб, типа ОС и адресации ИС; – угрозы внедрения вредоносных программ, в том числе по сети. 49 ЗАКЛЮЧЕНИЕ На сегодняшний день информационные ресурсы стали одними из самых значимых рычагов экономического влияния. Информация нужного качества в необходимое время, в необходимом месте - это залог достижения целей в абсолютно любом виде деятельности. Монопольные права на обладание информационными ресурсами оказываются, как правило, определяющими преимуществами в борьбе за рынок [5]. Сегодня невозможно представить организацию, пусть даже и самую мелкую, которая бы не имела в своем распоряжении современные средств обработки данных. Формирование защищенной системы работы с персональными данными, дает предпосылки для значительного роста эффективности труда, порождает при этом ряд сложных и масштабных проблем. Одна из таких проблем - надежное обеспечение сохранности персональных данных и установленного статуса её использования. По завершению выполнения выпускной квалификационной работы получены следующие результаты: – определен перечень актуальных угроз безопасности конфиденциальной информации и данных, обрабатывающихся в АИС «Казначейство»; – определен перечень актуальных угроз безопасности информации, обрабатывающейся в АИС «Казначейтсво». – произведено описание идентифицированных угроз безопасности информации, определение степени актуальности угроз, возможности и способов их реализации, а также значимости последствий этих угроз. По завершению работы можно достоверно отметить, что все поставленные задачи были выполнены, а цель работы полностью достигнута. 50 СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ 1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (ред. от 21.12.2013). 2. Методический документ. Методика оценки угроз безопасности информации (утв. ФСТЭК России 05.02.2021). 3. Федеральный закон Российской Федерации от 26 июля 2006 г. N 149ФЗ «Об информации, информационных технологиях и о защите информации» (ред. от 28.12.2013). 4. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России). 5. Постановление Правительства РФ "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" от 01.11.2012г. №1119. 6. Положение о методах и способах защиты информации в информационных системах персональных данных, утвержденное приказом ФСТЭК России от 05 февраля 2010 года № 58 (зарегистрировано Минюстом России 19 февраля 2010 года № 16456). 7. ГОСТ Р ИСО/МЭК 17799-2005. Информационная технология. Практические правила управления информационной безопасностью [Электронный ресурс]. – Введ. 2007–01–01. // СПС Консультант Плюс. 8. Приказа ФСТЭК России №21 от 18.02.2013 г. «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». 9. ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения [Электронный ресурс]. – Введ. 2006–12–27. // СПС Консультант Плюс. 51 10. СанПиН персональным 2.2.2/2.4.1340-03 «Гигиенические электронно-вычислительным машинам требования и к организации работы». 11. Романец Ю.В., Тимофеев П.А., Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. – М.: Радио и связь, 2017. 12. Симонов С.В. Методология анализа рисков в информационных системах // Защита информации. Конфидент. 2018. №1. C. 72–76. 13. Шумский А.А., Системный анализ в защите информации / А.А. Шумский, А.А. Шелупанов. – М.: Гелиос АРВ, 2016. – 224 с. 14. Староверов Д. Конфликты в сфере безопасности. Социальнопсихологические аспекты защиты // Системы безопасности связи и телекоммуникаций. – №6. – 2017. 52
