Характеристика ИСПДн ООО «Криптолинк» и разработка частной модели угроз для обеспечения безопасности персональных данных сотрудников организации, обрабатываемых в организации.

Для исследования выбрана информационная система персональных данных «1С Предприятие», используемая в ООО «Криптолинк».

В ООО «Криптолинк» ИСПДн «1С Предприятие» используется для накопления, хранения и обработки персональных данных.

Конфигурация «Бухгалтерия предприятия» предназначена для автоматизации бухгалтерского и налогового учёта, включая подготовку обязательной (регламентированной) отчётности в организации. Бухгалтерский и налоговый учёт ведётся в соответствии с действующим законодательством Российской Федерации.

В состав конфигурации включен план счетов бухгалтерского учёта, соответствующий Приказу Минфина РФ «Об утверждении плана счетов бухгалтерского учёта финансово-хозяйственной деятельности организаций и инструкции по его применению» от 31 октября 2000 г. № 94н (в редакции Приказа Минфина РФ от 07.05.2003 № 38н). Состав счетов, организация аналитического, валютного, количественного учёта на счетах соответствуют требованиям законодательства по ведению бухгалтерского учёта и отражению данных в отчётности. При необходимости пользователи могут самостоятельно создавать дополнительные субсчета и разрезы аналитического учёта.

Согласно приказу ФСТЭК России от 11 февраля 2013 года №17, в информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства, общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.

Частная модель угроз безопасности персональных данных (далее – Модель) при их обработке в информационной системе персональных данных «1С Предприятие», принадлежащая ООО «Криптолинк», строится на основании следующих документов:

· Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 15 февраля 2008г.)[10];

· Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 14 февраля 2008г.)[11].

Перед построением модели угроз безопасности ПДн, выявляются возможные угрозы безопасности ПДн для ИСПДн, в зависимости структуры ИСПДн, возможности разграничения доступа, наличия подключения к сетям связи общего пользования и (или) международного информационного обмена и других классификационных признаков.

Характеристика ИСПДн показана в таблице 2

Результаты анализа исходной защищенности приведены в Таблице 1

Таким образом, ИСПДн имеет низкий (Y₁=10) уровень исходной защищенности, т. к. сумма высокого и среднего уровня защищенности не составляет 70%.

Далее переходим к определению актуальных угроз для ИСПДн. Для определения актуальности угрозы необходимо учитывать следующие параметры[12]:

· уровень исходной защищенности ИСПДн (Y1);

· обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн;

· вероятность реализации угрозы (Y2);

· возможность реализации угрозы(Y);

· опасность реализации угрозы;

Вероятность реализации угроз, опасность угроз и актуальность угроз определены экспертным методом в соответствии с Методикой и результатов обследования ИСПДн.

Итак, в отношении персональных данных, обрабатываемых в ИСПДн «1С Бухгалтерия», актуальными являются следующие угрозы безопасности[12]:

1. Кража ПЭВМ. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн.

Меры по противодействию угрозе:

· металлическая дверь;

· камеры наблюдения;

Опасность – низкая, вероятность реализации (Y2) – низкая, возможность реализации (Y) – средняя; Актуальность – неактуальна.

Y1 = 10, Y2 =2, У=(Y1+Y2)/20= 0,6

2. Кража носителей информации. Угроза осуществляется путем НСД внешними и внутренними нарушителями к носителям информации.

Меры по противодействию угрозе:

· металлическая дверь;

· сейф для хранения носителей информации;

Опасность – низкая, вероятность реализации – низкая, возможность реализации – средняя. Актуальность – неактуальна.

Y1 = 10 Y2 = 2 (Y1+Y2)/20 = 0,6

3. Кража ключей и атрибутов доступа. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где происходит работа пользователей.

Меры по противодействию угрозе:

· двери закрываются на замок;

· организовано хранение ключей в сейфе.

Опасность – низкая, вероятность реализации – маловерятна, возможность реализации – средняя. Актуальность – неактуальна. Y1 = 10,Y2 = 0 Y=(Y1+Y2)/20 = 0,5.

4. Кражи, модификации, уничтожения информации. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн и средства защиты, а также происходит работа пользователей.

Меры по противодействию угрозе:

· система видеонаблюдения;

· разрешительная система доступа (организационная мера) к информационным ресурсам и помещениям (серверным комнатам) где расположены элементы ИСПДН;

- система разграничения доступом к информационным ресурсам;

Опасность – низкая, вероятность реализации – маловероятно, возможность реализации – средняя. Актуальность – неактуальна.

Y1 = 10,

Y2 = 0 Y=(Y1+Y2)/20 = 0,5

5. Вывод из строя узлов ПЭВМ, каналов связи. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы всех ИСПДн и проходят каналы связи.

Меры по противодействию угрозе:

· металлическая дверь;

· пропускной режим;

· разрешительная система доступа (организационная мера) к информационным ресурсам и помещениям, где расположены элементы ИСПДН.

Опасность – низкая, вероятность реализации – маловероятно, возможность реализации – средняя. Актуальность – неактуальна.

Y1 = 10,Y2 = 0, (Y1+Y2)/20 = 0,5

6. Несанкционированное отключение средств защиты. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены средства защиты всех ИСПДн.

Меры по противодействию угрозе:

· металлическая дверь;

· система видеонаблюдения;

· разрешительная система доступа (организационная мера) к информационным ресурсам и помещениям, где расположены элементы ИСПДН;

· разграничение прав доступа к настройкам СЗИ.

Опасность – средняя, вероятность реализации – маловероятно возможность реализации – средняя. Актуальность – актуальна. Y1 = 10,Y2 = 0, (Y1+Y2)/20 = 0,5.

7. Действия вредоносных программ (вирусов).

Меры по противодействию угрозе: лицензированные антивирусные программы из Лаборатории Касперского

Опасность – средняя, вероятность реализации – низкая. Y1 = 10 Y2 = 2 (Y1+Y2)/20 = 0,6 возможность реализации – средняя. Актуальность – неактуальна.

8. Не декларированные возможности системного ПО и ПО для обработки персональных данных. Не декларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие, описанным в документации, при использовании которых возможно нарушение целостности обрабатываемой информации.

Меры по противодействию угрозе: резервное копирование информации.

Опасность – средняя, вероятность реализации –высокая.

Y1 = 10 Y2 = 5 (Y1+Y2)/20 = 0,75 => Возможность реализации –высокая. Актуальность – актуальна.

9. Установка ПО не связанного с исполнением служебных обязанностей. Угроза осуществляется путем несанкционированной установки ПО внутренними нарушителями, что может привести к нарушению конфиденциальности, целостности и доступности всей ИСПДн или ее элементов.

Меры по противодействию угрозе: разграничение прав доступа на установку программного обеспечения.

Опасность – низкая, вероятность реализации – средняя. Y1 = 10,Y2 = 5, (Y1+Y2)/20 = 0,75 => возможность реализации – высокая. Актуальность – актуальна.

10. Утрата аппаратных ключей и/или паролей доступа к ИСПДн. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн, которые нарушают положения парольной политики в части их создания (создают легкие или пустые пароли, не меняют пароли по истечении срока их жизни или компрометации и т.п.) и хранения (записывают пароли на бумажные носители, передают ключи доступа третьим лицам и т.п.) или не осведомлены о них.

Меры по противодействию угрозе: парольная политика устанавливающая правила использования и хранения паролей.

Опасность – средняя, вероятность реализации – средняя. Y1 = 10,Y2 = 5, (Y1+Y2)/20 = 0,75 => возможность реализации – высокая. Актуальность – актуальна.

11. Непреднамеренная модификация (уничтожение) информации сотрудниками. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн, которые нарушают положения принятых правил работы с ИСПДн или не осведомлены о них.

Меры по противодействию угрозе: резервное копирование информации.

Опасность – низкая, вероятность реализации – маловероятно. Y1 = 10, Y2= 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.

12. Непреднамеренное отключение средств защиты. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн, которые нарушают положения принятых правил работы с ИСПДн и средствами защиты или не осведомлены о них.

Меры по противодействию угрозе: разграничение прав доступа к настройкам СЗИ.

Опасность – низкая, вероятность реализации – маловероятно.

Y1 =10, Y2=0 (Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.

13. Выход из строя аппаратно-программных средств. Угроза осуществляется вследствие несовершенства аппаратно-программных средств, из-за которых может происходить нарушение целостности и доступности защищаемой информации.

Меры по противодействию угрозе: резервное копирование информации.

Опасность – средняя, вероятность реализации – маловероятно.

Y1 = 10,Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – актуальна.

14. Сбой системы электроснабжения. Угроза осуществляется вследствие несовершенства системы электроснабжения, из-за чего может происходить нарушение целостности и доступности защищаемой информации.

Меры по противодействию угрозе: использование источников бесперебойного питания.

Опасность – низкая, вероятность реализации – маловероятно.

Y1 = 10,Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.

15. Угроза возникновения пожара. Угроза осуществляется вследствие несоблюдения мер пожарной безопасности.

Меры по противодействию угрозе: пожарная сигнализация и средства пожаротушения.

Опасность – низкая, вероятность реализации – маловероятна.

Y1 = 10,Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.

16. Доступ, модификация, уничтожение информации лицами, не допущенными к ее обработке. Угроза осуществляется путем НСД внутренних нарушителей в помещения, где расположены элементы ИСПДн и средства защиты, а также происходит работа пользователей.

Меры по противодействию угрозе: контроль доступа в контролируемую зону, система видеонаблюдения, двери закрываются на замок, организация на 9 этаже, установлены жалюзи на окнах.

Опасность – низкая, вероятность реализации – маловероятна.

Y1 = 10, Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.

17. Разглашение информации, модификация, уничтожение сотрудниками, допущенными к ее обработке. Угроза осуществляется за счет действия человеческого фактора пользователей ИСПДн.

Меры по противодействию угрозе: обязательство о неразглашении.

Опасность – низкая, вероятность реализации – низкая.

Y1 = 10,Y2 = 2, (Y1+Y2)/20 = 0,6=> возможность реализации – средняя. Актуальность – неактуальна.

18. Перехват информации в пределах контролируемой зоны. Эта угроза реализуется с помощью специальной программы-анализатора пакетов, перехватывающей все пакеты, передаваемые по сегменту сети, и выделяющей среди них те, в которых передаются конфиденциальная информация.

Меры по противодействию угрозе: разграничение прав доступа к коммутационному оборудованию;

Опасность – низкая, вероятность реализации – маловероятно.

Y1 = 10 Y2 = 0 (Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – неактуальна.

19. Отказ в обслуживании. Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты.

Меры по противодействию угрозе: межсетевой экран.

Опасность – низкая, вероятность реализации – маловероятно.

Y1 = 10 Y2 = 0 (Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – Неактуальна.

20. Удаленный запуск приложений. Угроза заключается в стремлении запустить на хосте ИСПДн различные предварительно внедренные вредоносные программы — программы-закладки, вирусы, «сетевые шпионы», основная цель которых — нарушение конфиденциальности, целостности, доступности информации и полный контроль за работой хоста.

Меры по противодействию угрозе:

· Парольная политика в организации

· антивирусное программное обеспечение;

· межсетевой экран.

Опасность – высокая, вероятность реализации – маловероятно.

Y1 = 10, Y2 = 0,(Y1+Y2)/20 = 0,5 => возможность реализации – средняя. Актуальность – актуальна.

 

 

Рекомендации по повышению уровня защиты ПДн сотрудников, обрабатываемых в ООО «Криптолинк».

Проанализировав систему защиты ПДн в ООО «Криптолинк», а так же рассмотрев ИСПДн используемую в организации можно дать некоторые рекомендации по повышению уровня защиты ПДн сотрудников, а так же всей системы защиты.

В учреждении должен быть документально определен перечень ЗП и лиц, ответственных за их эксплуатацию в соответствии с установленными требованиями по защите информации, а также составлен технический паспорт на ЗП

Для исключения просмотра текстовой и графической конфиденциальной информации через окна помещения рекомендуется оборудовать их шторами (жалюзи).

Защищаемые помещения рекомендуется оснащать сертифицированными по требованиям безопасности информации ОТСС и ВТСС либо средствами, прошедшими специальные исследования и имеющими предписание на эксплуатацию.

Эксплуатация ОТСС, ВТСС должна осуществляться в строгом соответствии с предписаниями и эксплуатационной документацией на них.

Специальная проверка ЗП и установленного в нем оборудования с целью выявления возможно внедренных в них электронных устройств перехвата информации "закладок" проводится, при необходимости, по решению руководителя предприятия.

Во время проведения конфиденциальных мероприятий запрещается использование в ЗП радиотелефонов, оконечных устройств сотовой, пейджинговой и транкинговой связи, переносных магнитофонов и других средств аудио и видеозаписи. При установке в ЗП телефонных и факсимильных аппаратов с автоответчиком или спикерфоном, а также аппаратов с автоматическим определителем номера, следует отключать их из сети на время проведения этих мероприятий.

Системы пожарной и охранной сигнализации ЗП должны строиться только по проводной схеме сбора информации (связи с пультом) и, как правило, размещаться в пределах одной с ЗП контролируемой зоне.

В качестве оконечных устройств пожарной и охранной сигнализации в ЗП рекомендуется использовать изделия, сертифицированные по требованиям безопасности информации, или образцы средств, прошедшие специальные исследования и имеющие предписание на эксплуатацию.

Следует применять организационно-режимные меры, ограничивая на период проведения конфиденциальных мероприятий доступ посторонних лиц в места возможного прослушивания разговоров, ведущихся в ЗП.

При эксплуатации ЗП необходимо предусматривать организационно-режимные меры, направленные на исключение несанкционированного доступа в помещение:

· двери ЗП в период между мероприятиями, а также в нерабочее время необходимо запирать на ключ;

· выдача ключей от ЗП должна производиться лицам, работающим в нем или ответственным за это помещение;

· установка и замена оборудования, мебели, ремонт ЗП должны производиться только по согласованию и под контролем подразделения (специалиста) по защите информации учреждения [18].

Так же рекомендуется провести следующие действия внутри организации:

1. Разработать и утвердить внутри учреждения приказ о защите персональных данных

2. Разработать и утвердить внутри учреждения приказ о подразделении по защите персональных данных

3. Разработать и утвердить внутри учреждения приказ о назначении ответственных лиц за обработку персональных данных.

4. Разработать и утвердить внутри учреждения Концепцию информационной безопасности и Политику информационной безопасности.

5. Разработать и утвердить внутри учреждения приказ о проведении внутренней проверки. Результат оформить в виде отчета

6. Определить состав и категории обрабатываемых персональных данных Результат оформить в виде перечня ПДн

7. Осуществить классификацию действующих информационных систем, обрабатывающих персональные данные

8. Разработать и утвердить внутри учреждения положение о разграничении прав доступа к обрабатываемым персональным данным

9. Адаптировать модель угроз к конкретной ИСПДн учреждения

10. Разработать и утвердить план мероприятий по защите ПДн

11. Разработать и утвердить порядок резервирования и восстановления работоспособности ТС и ПО, баз данных и СЗИ

12. Разработать и утвердить план внутренних проверок состояния защиты ПДн

13. Разработать и утвердить журнал учета обращений субъектов ПДн о выполнении их законных прав

14. Разработать и утвердить перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним

15. Разработать и утвердить электронный журнал обращений пользователей информационной системы к ПДн.

16. Провести необходимые технические мероприятия для обеспечения защиты ПДн при их обработке в ИСПДн. В их состав входят:
а) Обязательные технические мероприятия.
б) Технические мероприятия, выполняемые, при выделении дополнительного финансирования.

17. Декларировать соответствие или провести аттестационные (сертификационные) испытания ИСПДн [17].

Заключение

Производственная практика является важным элементом учебного процесса по подготовке специалиста в области защиты информации. Практика дает возможность реализовать все те знания и умения, которые студент получил за время учебы.

Цель практики состоит в получении студентом практического опыта работы в качестве ассистента специалиста в области защиты информации, повышении и закреплении полученных теоретических знаний, улучшению качества профессиональной подготовки, в умении использования законодательства в конкретных случаях, воспитания студента в духе уважения к закону, закрепление полученных знаний.

Практика помогла научиться самостоятельно решать задачи, возникающие в ходе работы специалиста.

Я понял, что в ходе работы специалиста информационной безопасности будут востребованы все знания, полученные в ходе обучения студента.

Я освоил азы применения норм Российского права на практике, понял, как работают некоторые законы, а так же осознал их значимость в практической деятельности.

В связи с быстрыми изменениями законодательной базы, я осознал значение электронных информационных систем, таких как правовая система "КонсультантПлюс" или правовая система "Гарант", мировая сеть Интернет, в которой можно в настоящее время найти множество полезной информации в области защиты информации.

 

Библиографический список

Приложение

Таблица 1 - Характеристики ИСПДн

Заданные характеристики безопасности персональных данных	Специальная информационная система
Структура информационной системы	Автоматизированное рабочее место
Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена	Имеется
Режим обработки персональных данных	Однопользовательская
Режим разграничения прав доступа пользователей	Система без разграничения доступа
Местонахождение технических средств информационной системы	Все технические средства находятся в пределах Российской Федерации
Дополнительная информация	К персональным данным предъявляется требование целостности и (или) доступности

 

Таблица 2 – Уровень исходной защищенности

Технические и эксплуатационные характеристики ИСПДн	Уровень защищенности
Высокий	Средний	Низкий
1. По территориальному размещению:
Локальная ИСПДн, развернутая в пределах одного здания	+	–	–
2. По наличию соединения с сетями общего пользования
ИСПДн, имеющая одноточечный выход в сеть общего пользования;	–	+	_
3. По встроенным (легальным) операциям с записями баз персональных данных:
чтение, поиск;	+	–	–
запись, удаление, сортировка;	–	+	–
4.По разграничению доступа к персональным данным:
ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн;	–	–	+
5. По наличию соединений с другими базами ПДн иных ИСПДн:
ИСПДн, в которой используется одна база ПДн, принадлежащая организации – владельцу данной ИСПДн	+	_	_

 

6. По уровню обобщения (обезличивания) ПДн:
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн)	_	_	+
7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:
ИСПДн, не предоставляющая никакой информации.	+	_	_

Продолжение таблицы 2