CC BY
79
Моделирование угроз безопасности предприятия при не сохранении конфиденциальности персональной информации работников
Modeling of enterprise security threats while not preserving the confidentiality of personal information of employees
Кобышева Марина Семеновна Kobysheva Marina Semenovna
аспирант
Санкт-Петербургский политехнический университет Петра Великого 195251, Россия, Санкт-Петербург, Политехническая, 29
marichinkoba@mail. ru Федотов Александр Васильевич Fedotov Alexander Vasilyevich Доктор экономических наук/профессор Санкт-Петербургский политехнический университет Петра Великого 195251, Россия, Санкт-Петербург, Политехническая, 29
[email protected] Кобышев Константин Игоревич Kobyshev Konstantin Igorevich
аспирант
Санкт-Петербургский политехнический университет Петра Великого 195251, Россия, Санкт-Петербург, Политехническая, 29
konstantin.ym@mail .ru
Аннотация. Защита конфиденциальной информации получила особенную актуальность в связи с большим количеством атак, как на коммуникативные средства связи, так и на данные, хранимые на различных видах электронных носителей. Наблюдается повсеместное усиление зависимости успешности деятельности компании от развития ее информационной системы, внедренных информационных технологий, системы защиты информации. Вопрос о защите персональных данных на предприятии имеет не меньшую значимость и актуальность, чем, например, план по стратегическому развитию компании.
Annotation. The protection of confidential information has become particularly relevant in connection with a large number of attacks, both on communication tools and on data stored on various types of electronic media. There is a widespread strengthening of the dependence of the success of the company's activities on the development of its information system, the implemented information technologies, and the information protection system. The issue of protection of personal data at the enterprise is no less important and relevant than, for example, the strategic development plan for the company.
Ключевые слова: Конфиденциальная информация, персональные данные, информационная система.
Key words: Confidential information, personal data, information system.
В настоящее время можно с уверенностью сказать, что Российское государство на данном пути столкнулось с рядом требующих решения проблем, среди которых выделяется обеспечение защиты сферы частной жизни гражданина.
С развитием средств электронной коммерции и доступных средств массовых коммуникаций возросли возможности злоупотреблений, связанных с использованием информации о человеке. В современных организациях хранятся и обрабатываются данные о сотрудниках, клиентах, посетителях и других физических лицах [9].
В данной статье содержит описание структурно-функциональных характеристик информационной системы персональных данных компании со 100%
иностранным капиталом (далее - ИСПДн), а также описание угроз безопасности информации, включающее описание возможностей нарушителя (модель нарушителя), способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.
В ходе исследования был разработан документ предназначен для обоснования выдвигаемых требований по обеспечению безопасности ПДн при их обработке в ИСПДн и служит основой для обоснованного выбора организационных и технических мер, входящих в состав системы защиты персональных данных (далее -СЗПДн).
В ходе моделирования угроз для ИСПДн были определены:
• Характерные параметры угроз:
• источники угроз;
• перечень характерных сценариев реализации угроз безопасности ПДн;
• объекты воздействия угроз;
• характер деструктивного воздействия на ПДн;
• предпосылки реализации угроз;
• вероятность реализации угроз [10].
• Возможности нарушителей, которые они могут использовать для разработки и проведения атак, позволяющие определить класс криптосредств в случае их использования в ИСПДн для обеспечения безопасности ПДн в соответствии с документом [4];
• Актуальность угроз безопасности ПДн для рассматриваемой ИСПДн в соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных
данных» (утверждена заместителем директора ФСТЭК России 14 февраля 2008 г.) [6].
• Тип актуальных угроз безопасности ПДн для рассматриваемой ИСПДн в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» [4].
Основные термины и определения
Для целей настоящего документа применяются следующие термины и определения:
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники [3].
Автоматизированные рабочие места - автономные (не подключенные к иным ИСПДн) комплексы технических и программных средств, предназначенные для обработки ПДн.
Доступность - состояние ИС при котором существует возможность ознакомления (работы) с информацией, содержащейся внутри ИС.
Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Контролируемая зона - это пространство, в котором исключено неконтролируемое пребывание сотрудников и посетителей оператора и посторонних транспортных, технических и иных материальных средств [1].
Границей контролируемой зоны могут являться:
• периметр охраняемой территории Общества;
• ограждающие конструкции охраняемого здания или охраняемой части здания, если оно размещено на неохраняемой территории.
Конфиденциальность - состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право.
Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания [1].
Модель нарушителя - предположения о возможностях нарушителя, которые он может использовать для разработки и проведения атак, а также об ограничениях на эти возможности.
Нарушитель (субъект атаки) - лицо (или инициируемый им процесс), проводящее (проводящий) атаку [1].
Несанкционированный доступ (несанкционированные действия) - доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных.
Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными [1].
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) [1].
Побочные электромагнитные излучения и наводки - электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их
электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания [6].
Распределенная ИСПДн - комплексы АРМ и (или) локальных ИСПДн, объединенных в единую ИСПДн средствами связи с использованием технологии удаленного доступа [6].
Среда функционирования криптосредства - совокупность технических и программных средств, совместно с которыми предполагается штатное функционирование криптосредства и которые способны повлиять на выполнение предъявляемых к криптосредству требований [5].
Технический канал утечки информации - совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация
[7].
Угроза безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Целостность - состояние ИС, при котором информация не может быть случайно или злонамеренно изменена или уничтожена.
Порядок оценки актуальности угроз ПДн в ИСПДн
Работы по оценке актуальности УБПДн проводятся по следующему алгоритму:
• определение уровня исходной защищенности ИСПДн;
• определение объектов воздействия угроз, актуальных для анализируемой ИСПДн;
• определение возможных источников угроз безопасности ПДн при их обработке в ИСПДн;
• формирование общего перечня УБПДн;
• оценка опасности каждой конкретной угрозы безопасности ПДн для данной ИСПДн;
• расчет вероятности реализации конкретной угрозы безопасности ПДн для ИСПДн с учетом существующих предпосылок и реализованных мер защиты;
• расчет коэффициента реализуемости конкретной угрозы безопасности ПДн для данной ИСПДн;
• определение актуальных угроз из полученного общего перечня УБПДн, характерных для анализируемой ИСПДн.
Определение уровня исходной защищенности ИСПДн
Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн.
Уровень исходной защищенности ИСПДн определен согласно инструкции, изложенной в Приложении В, в соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных».
При составлении перечня актуальных угроз безопасности ПДн полученной оценке степени исходной защищенности ставится в соответствие числовой коэффициент, равный 10.
Угрозы, характерные для ИСПДн с соответствующими параметрами, можно разделить на две группы:
• угрозы утечки информации по техническим каналам,
• угрозы несанкционированного доступа (далее - НСД).
Угрозы утечки информации по техническим каналам включают:
• угрозы утечки акустической (речевой) информации;
• угрозы утечки видовой информации;
• угрозы утечки информации по каналам ПЭМИН.
Угроз НСД включают:
• угрозы, связанные с наличием недокументированных (недекларированных) возможностей (далее - НДВ) в системном и/или прикладном программном обеспечении (далее - ПО);
• угрозы, не связанные с НДВ в системном и прикладном ПО.
Утечка акустической информации
Ввиду того, что в анализируемой ИСПДн не предусмотрен голосовой ввод ПДн и (или) функции воспроизведения ПДн акустическими средствами ИСПДн, угрозы утечки акустической информации признаются не актуальными для ИСПДн и далее не рассматриваются.
Утечка видовой информации
Угрозы утечки видовой информации реализуются за счет просмотра ПДн с экранов дисплеев и других средств отображения вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн.
Размещение устройств вывода информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео - и буквенно-цифровой информации, входящих в состав информационной системы, в помещениях, в которых они установлены, осуществляется таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей ПДн.
Утечка по каналам ПЭМИН
Для перехвата информации по каналам ПЭМИН нарушитель должен обладать дорогостоящей аппаратурой и иметь в своем составе специалистов высокой квалификации, достаточной для настройки аппаратуры, перехвата и выделения информативного сигнала. Объем информации, который может быть перехвачен по каналу утечки за счет ПЭМИН, минимален, вероятность перехвата ПДн конкретного субъекта ПДн крайне мала.
СВТ, входящие в состав ИСПДн, располагаются в пределах контролируемой зоны и удовлетворяют требованиям стандартов РФ по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации. Неконтролируемое пребывание посторонних лиц на территории Общества исключены путем применения организационных и технических мер в рамках организации пропускного режима.
С учетом указанных факторов и реализованных защитных мер возможность реализации угроз, связанных с перехватом информации по каналам ПЭМИН, со стороны нарушителей, определенных в модели нарушителя, является пренебрежимо малой. Угрозы утечки по каналам ПЭМИН признаются неактуальными и далее не рассматриваются.
Угрозы НСД, связанные с наличием недокументированных (недекларированных) возможностей в системном и/или прикладном программном обеспечении
Используемое Обществом системное и прикладное ПО является лицензионным серийно выпускаемым массовым продуктом, разрабатываемым крупнейшими мировыми вендорами. ПО поставляется с полным комплектом рабочей и технической документации. В отдельных случаях обеспечивается сопровождение используемого прикладного ПО с привлечением подрядных организаций на основании соответствующих договоров.
С учетом указанных факторов и реализованных защитных мер возможность реализации угроз, связанных с наличием НДВ в системном и прикладном ПО, является пренебрежимо малой. Соответствующие угрозы признаются неактуальными и далее не рассматриваются.
Угрозы НСД, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении
Угрозы НСД, не связанные с наличием НДВ в системном и прикладном ПО, могут быть актуальны для анализируемой ИСПДн в связи с тем, что имеются следующие предпосылки для осуществления угроз:
• наличие взаимодействия с информационно-телекоммуникационными сетями международного информационного обмена (сетями связи общего пользования);
• наличие удаленного доступа к ИСПДн;
• передача информации, содержащей ПДн, через сети международного информационного обмена (сети связи общего пользования)
• наличие у персонала доступа к информации, носителям, средствам обработки информации;
• наличие уязвимостей (как известных, так и неизвестных), ошибок в прикладном и общесистемном программном обеспечении;
• использование мобильных устройств или носителей информации за пределами контролируемой зоны;
• наличие у персонала возможности передачи информации за пределы организации с использованием сети Интернет (в т.ч. электронной почты);
• наличие у персонала возможности установки и запуска несанкционированного программного обеспечения;
• наличие у персонала возможности подключения нештатных носителей к средствам обработки информации;
• наличие возможности загрузки средств обработки информации с нештатного носителя;
• возможность наличия у персонала злого умысла.
Государство в настоящее время создает все необходимые условия для выполнения требований по безопасности персональных данных. Оно определило понятия ПДн и операторов, которые эти данные обрабатывают. Согласно Законодательству операторами ПДн являются практически все организации, которые ведут свою деятельность на территории РФ, поскольку они как минимум осуществляют сбор, систематизацию и хранение сведений о своих сотрудниках, клиентах и партнерах. Государство возложило на операторов ПДн определенные обязанности. Важнейшим из них является обеспечение безопасности персональных данных. Это означает, что оператор ПДн обязан принять все необходимые меры для обеспечения конфиденциальности (а в некоторых случаях доступности и целостности) сведений о субъектах ПДн. Уполномоченные государством органы разработали требования по созданию системы защиты персональных данных и конкретизировали их в нормативно-методических документах [4]
Показатели опасности угроз
Таблица 1- Показатели опасности угроз в ИСПДн
Наименование Возможный вред (степень Показатель
характеристики возможных последствий) для опасности
безопасности ПДн субъекта ПДн угрозы
Конфиденциальность Незначительные негативные последствия Низкая опасность
Целостность Незначительные негативные последствия Низкая опасность
Доступность Незначительные негативные последствия Низкая опасность
Угроза безопасности ПДн - угроза нарушения конфиденциальности, целостности и (или) доступности ПДн в результате действий источников угроз безопасности ПДн. Угрозы безопасности ПДн по типам источников угроз можно классифицировать следующим образом:
Естественные (объективные) угрозы - это угрозы ИБ, вызванные воздействиями объективных физических процессов или стихийных природных явлений (обстоятельств непреодолимой силы), не зависящих от воли человека.
К естественным угрозам относятся:
Природные факторы. Угрозы такого рода, как правило, являются внешними и могут включать в себя:
• стихийные бедствия (пожар, наводнение, землетрясение, ураган и др.);
• электромагнитные факторы: грозовые разряды, геомагнитные аномалии
и т.п.
Техногенные факторы, которые могут быть как внешними, так и внутренними. К внутренним источникам угроз техногенного характера можно отнести:
• аппаратные или программные средства обработки информации;
• технические средства инфраструктуры.
К внешним источникам угроз техногенного характера можно отнести:
• средства связи (в том числе телекоммуникационные услуги);
• сети инженерных коммуникаций (в том числе электроснабжение).
Искусственные (субъективные) угрозы - это угрозы ИБ, вызванные деятельностью человека и зависящие от его воли. Среди них можно выделить:
• Непреднамеренные (неумышленные) угрозы - это угрозы, вызванные ошибками в проектировании средств информатизации, ошибками в программном обеспечении, ошибками в действиях персонала и т.п.
• Преднамеренные (умышленные) угрозы - это угрозы, порождаемые преднамеренными злоумышленными действиями нарушителя ИБ [9].
Преднамеренные и непреднамеренные угрозы, в свою очередь, могут быть нацелены на нарушение конфиденциальности, целостности и доступности информации.
В качестве нарушителя может выступать внешний или внутренний субъект, производящий негативное воздействие преднамеренного или непреднамеренного характера. Нарушитель может реализовать угрозы ИБ по халатности, по незнанию, в результате допущения ошибки или осознанно с прямым или косвенным умыслом, в том числе из корыстных интересов с целью хищения или шантажа и т.п.
К внутренним нарушителям безопасности ПДн относятся лица, имеющие возможность физического доступа к ИСПДн, осуществляющие преднамеренные или непреднамеренные действия, приводящие к нарушению безопасности ПДн, включая:
• лиц, имеющих санкционированный доступ в контролируемую зону, но не имеющих доступа к защищаемой информации (работников организации, реализующих угрозы безопасности ПДн вне легально предоставленных им полномочий в ИСПДн);
• пользователей, имеющих легитимный доступ к защищаемой информации (работников компании» и сервисного центра компании, реализующих
угрозы безопасности ПДн с использованием легально предоставленных им полномочий в ИСПДн), как пользователей, имеющих ограниченные права доступа к ПДн с рабочего места, так и пользователей, осуществляющих удаленный доступ к ПДн.
• пользователей с полномочиями администратора ИСПДн и полномочиями администратора средств защиты информации.
К внешним нарушителям безопасности персональных данных относятся лица, не имеющие возможности физического доступа к ИСПДн, осуществляющие преднамеренные действия, приводящие к нарушению безопасности ПДн, включая:
• конкуренты (конкурирующие организации);
• недобросовестные партнеры;
• компьютерные злоумышленники, осуществляющие НСД к ПДн или целенаправленное деструктивное воздействие на ПДн.
Список литературы:
1. Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (в ред. от 23.07.2013)
2. Доктрина информационной безопасности Российской Федерации (утв. Президентом РФ 09.09.2000 N Пр-1895)
3. Федеральный закон от 20 февраля 1995 г № 24- ФЗ «Об информации, информатизации и защите информации» ( в ред. от 10.01.2003)
4. Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»[Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации» (утвержден руководством 8 Центра ФСБ России 21 февраля 2008 г. № 149/54-144)
5. Приказ ФСБ России от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности
персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности
6. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (утверждена заместителем директора ФСТЭК России 14 февраля 2008 г.).
7. Алексеевцев А.Ю.. Безопасность информационных технологий.-1999.№3 - 65-71 с
8. Computer Security Act of 1987, Public Law 100-235 (H.R. 145), January 8,
1988
9. Кобышева М.С. Исследования в области теории рисков. Статья в сборнике «Студенты и молодые ученые - инновационной России»: материалы работ молодежной научной конференции. - СПб.: Изд-во Политехн. ун-та, 2013. -370 с.
10. Кобышева М.С., Гусев В.С., Факторы оказывающие влияние на возникновение угроз утечки конфиденциальной информации внутри компании Статья в сборнике «Неделя науки СПбГПУ: материалы научно-практической конференции c международным участием». Инженерно-экономический институт СПбГПУ. Ч. 3. - СПб.: Изд-во Политехн. ун-та, 2014. - 132 с.
11. www.s-director.ru (дата обращения 18.04.2017)
12. http://www.jetinfo.ru/stati/zaschita-personalnykh (дата обращения 03.10.2016)
