Действующий

Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности

Приложение N 1


N

Уточнённые возможности нарушителей и направления атак (соответствующие актуальные угрозы)

Актуальность использования (применения) для построения и реализации атак

Обоснование отсутствия

1.1

проведение атаки при нахождении в пределах контролируемой зоны.

не актуально

проводятся работы по подбору персонала;

доступ в контролируемую зону, где располагается СКЗИ, обеспечивается в соответствии с контрольно-пропускным режимом;

представители технических, обслуживающих и других вспомогательных служб при работе в помещениях (стойках), где расположены СКЗИ, и сотрудники, не являющиеся пользователями СКЗИ, находятся в этих помещениях только в присутствии сотрудников по эксплуатации;

сотрудники, являющиеся пользователями ИСПДн, но не являющиеся пользователями СКЗИ, проинформированы о правилах работы в ИСПДн и ответственности за несоблюдение правил обеспечения безопасности информации;

пользователи СКЗИ проинформированы о правилах работы в ИСПДн, правилах работы с СКЗИ и ответственности за несоблюдение правил обеспечения безопасности информации;

помещения, в которых располагаются СКЗИ, оснащены входными дверьми с замками, обеспечения постоянного закрытия дверей помещений на замок и их открытия только для санкционированного прохода;

утверждены правила доступа в помещения, где располагаются СКЗИ, в рабочее и нерабочее время, а также в нештатных ситуациях;

утвержден перечень лиц, имеющих право доступа в помещения, где располагаются СКЗИ;

осуществляется разграничение и контроль доступа пользователей к защищаемым ресурсам;

осуществляется регистрация и учет действий пользователей с ПДн;

осуществляется контроль целостности средств защиты;

на АРМ и серверах, на которых установлены СКЗИ:

используются сертифицированные средства защиты информации от несанкционированного доступа;

используются сертифицированные средства антивирусной защиты.

1.2

проведение атак на этапе эксплуатации СКЗИ на следующие объекты:

не актуально

проводятся работы по подбору персонала;


- документацию на СКЗИ и компоненты СФ;

- помещения, в которых находится

доступ в контролируемую зону, где располагается СКЗИ, обеспечивается в соответствии с контрольно-пропускным режимом;

совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно

документация на СКЗИ хранится у ответственного за СКЗИ в металлическом сейфе;

или в составе других систем (далее - СВТ), на которых реализованы СКЗИ и СФ.

помещения, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФ, оснащены входными дверьми с замками, обеспечения постоянного закрытия дверей помещений на замок и их открытия только для санкционированного прохода;

утвержден перечень лиц, имеющих право доступа в помещения.

1.3

получение в рамках предоставленных полномочий, а также в результате наблюдений

не актуально

проводятся работы по подбору персонала;

следующей информации:

- сведений о физических мерах защиты объектов, в которых размещены ресурсы

доступ в контролируемую зону и помещения, где располагаются ресурсы ИСПДн, обеспечивается в соответствии с контрольно-пропускным режимом;

информационной системы;

- сведений о мерах по обеспечению контролируемой зоны объектов, в которых

сведения о физических мерах защиты объектов, в которых размещены ИСПДн, доступны ограниченному кругу сотрудников;

размещены ресурсы информационной системы;

сотрудники проинформированы об ответственности за несоблюдение правил обеспечения безопасности информации.

- сведений о мерах по разграничению доступа в помещения, в которых находятся СВТ, на которых реализованы СКЗИ и СФ.

1.4

использование штатных средств ИСПДн, ограниченное мерами, реализованными в

не актуально

проводятся работы по подбору персоналов;

информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

помещения, в которых располагаются СВТ, на которых располагаются СКЗИ и СФ, оснащены входными дверьми с замками, обеспечивается постоянное закрытия дверей помещений на замок и их открытия только для санкционированного прохода;

сотрудники проинформированы об ответственности за несоблюдение правил обеспечения безопасности информации;

осуществляется разграничение и контроль доступа пользователей к защищаемым ресурсам;

осуществляется регистрация и учет действий пользователей;

в ИСПДн используются:

сертифицированные средства защиты информации от несанкционированного доступа;

сертифицированные средства антивирусной защиты.

2.1

физический доступ к СВТ, на которых реализованы СКЗИ и СФ.

не актуально

проводятся работы по подбору персонала;

доступ в контролируемую зону и помещения, где располагается СВТ, на которых реализованы СКЗИ и СФ, обеспечивается в соответствии с контрольно-пропускным режимом;

помещения, в которых располагаются СВТ, на которых располагаются СКЗИ и СФ, оснащены входными дверьми с замками, обеспечивается постоянное закрытия дверей помещений на замок и их открытия только для санкционированного прохода.

2.2

возможность воздействовать на аппаратные компоненты СКЗИ и СФ, ограниченная мерами,

не актуально

проводятся работы по подбору персонала;

реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

доступ в контролируемую зону и помещения, где располагается СВТ, на которых реализованы СКЗИ и СФ, обеспечивается в соответствии с контрольно-пропускным режимом;

помещения, в которых располагаются СКЗИ и СФ, оснащены входными дверьми с замками, обеспечивается постоянное закрытия дверей помещений на замок и их открытия только для санкционированного прохода;

представители технических, обслуживающих и других вспомогательных служб при работе в помещениях (стойках), где расположены компоненты СКЗИ и СФ, и сотрудники, не являющиеся пользователями СКЗИ, находятся в этих помещениях только в присутствии сотрудников по эксплуатации.

3.1

создание способов, подготовка и проведение атак с привлечением специалистов в области анализа сигналов, сопровождающих функционирование СКЗИ и СФ, и в области использования для

не актуально

не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности;

реализации атак недокументированных (недекларированных)

высокая стоимость и сложность подготовки реализации возможности;

возможностей прикладного ПО.

проводятся работы по подбору персонала;

доступ в контролируемую зону и помещения, где располагается СВТ, на которых реализованы СКЗИ и СФ, обеспечивается в соответствии с контрольно-пропускным режимом;

помещения, в которых располагаются СКЗИ и СФ, оснащены входными дверьми с замками, обеспечивается постоянное закрытия дверей помещений на замок и их открытия только для санкционированного прохода;

представители технических, обслуживающих и других вспомогательных служб при работе в помещениях (стойках), где расположены компоненты СКЗИ и СФ, и сотрудники, не являющиеся пользователями СКЗИ, находятся в этих помещениях только в присутствии сотрудников по эксплуатации;

осуществляется разграничение и контроль доступа пользователей к защищаемым ресурсам;

осуществляется регистрация и учет действий пользователей;

на АРМ и серверах, на которых установлены СКЗИ:

используются сертифицированные средства защиты информации от несанкционированного доступа;

используются сертифицированные средства антивирусной защиты.

3.2

проведение лабораторных исследований СКЗИ, используемых вне контролируемой зоны, ограниченное мерами, реализованными в

не актуально

не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности;

информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

высокая стоимость и сложность подготовки реализации возможности.

3.3

проведение работ по созданию способов и средств атак в научно-исследовательских центрах, специализирующихся в области разработки и анализа СКЗИ и СФ, в том числе с использованием исходных текстов входящего в СФ прикладного ПО, непосредственно использующего вызовы программных функций СКЗИ.

не актуально

не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности;

высокая стоимость и сложность подготовки реализации возможности.

4.1

создание способов, подготовка и проведение атак с привлечением специалистов в области использования для реализации атак недокументированных (недекларированных)

не актуально

не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности;

возможностей системного ПО.

высокая стоимость и сложность подготовки реализации возможности;

проводятся работы по подбору персонала;

доступ в контролируемую зону и помещения, где располагается СВТ, на которых реализованы СКЗИ и СФ, обеспечивается в соответствии с контрольно-пропускным режимом;

помещения, в которых располагаются СКЗИ и СФ, оснащены входными дверьми с замками, обеспечивается постоянное закрытия дверей помещений на замок и их открытия только для санкционированного прохода;

представители технических, обслуживающих и других вспомогательных служб при работе в помещениях (стойках), где расположены компоненты СКЗИ и СФ, и сотрудники, не являющиеся пользователями СКЗИ, находятся в этих помещениях только в присутствии сотрудников по эксплуатации;

осуществляется разграничение и контроль доступа пользователей к защищаемым ресурсам;

осуществляется регистрация и учет действий пользователей;

на АРМ и серверах, на которых установлены СКЗИ:

используются сертифицированные средства защиты информации от несанкционированного доступа;

используются сертифицированные средства антивирусной защиты.

4.2

возможность располагать сведениями, содержащимися в конструкторской документации на аппаратные и программные компоненты СФ.

не актуально

не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности.

4.3

возможность воздействовать на любые компоненты СКЗИ и СФ.

не актуально

не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности.