• Гаджеты
• Android
• Windows
• Ios
• Блог

Уровни защиты и базовые модели угроз безопасности персональных данных при их обработке в информационных системах пд. Модель угроз безопасности информации Цель разработки модели угроз безопасности информации

Как вы, наверное, знаете, недавно в приказ ФСТЭК №17 “Требования о защите информации, не содержащей государственную тайну, содержащуюся в государственных информационных системах” были внесены неоднозначные изменения, по которым есть вопросы и проблемы с их применением. Сегодня давайте обсудим одну из таких проблем:

теперь при моделировании угроз необходимо использовать “новую” БДУ ФСТЭК России, а новой методики моделирования угроз не предвидится. Далее подробно …

В соответствии с пунктом 14 приказа, обаятельным этапом формирования требований к защите информации в ГИС является:

“определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;”

По сути это две отдельных работы, требования к каждой из которых детализируются в пункте 14.3 приказа:

I. Определение угроз

“14.3. Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей , анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).

В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации (bdu.fstec.ru ) …”

II. Разработка модели угроз

“Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик , а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации”

Можно ли использовать при этом произвольные методики? Нет…

“Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы , разработанные и утвержденные ФСТЭК России ”

III . Давайте разбираться, какой же методический документ надо использовать? В соответствии с каким документом должен требовать государственный орган проведение работ от подрядчика?

Единственный утвержденный и опубликованный методический документ ФСТЭК России в части моделирования угроз - это “Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. ФСТЭК России, 2008 год”. Условно назовем её “старая методика”. (Есть ещё утвержденный, но не опубликованный документ - "Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры", утв. ФСТЭК России в 18.05.2007, но его мы не будем рассматривать) .

По неформальной информации, “новой” методики для ГИС ожидать в ближайшее время не стоит. Тогда надо определиться со “старой” методикой. Нужно ли и можно ли её использовать? Есть несколько причин против использования методики:

Первая: “старая” методика предназначена только для определения угроз ПДн и ИСПДн. Мы же рассматриваем Государственные информационные системы, которые не всегда могут являться ПДн. Требования Приказа применяются и для иной информации в ГИС, в том числе для общедоступной информации и информации подлежащей обязательному опубликованию.

Вторая: “старая” методика разработана на основании Постановления правительства №781, которое уже отменено. Вместе с этим в юридической практике применяется следующее общее правило “Признание основного нормативного правового акта утратившим юридическую силу означает утрату юридической силы производных и вспомогательных нормативных правовых актов, если не установлено иное” . То есть – утратила юридическую силу.

Третья: “старая” методика предназначена для определения актуальных угроз – “Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для ПДн” , а в соответствии с Приказом от нас требуется определить “угрозы безопасности информации, реализация которых может привести к нарушению безопасности информации” . Согласитесь, что разница есть и понятия эти не тождественные.

Четвертая: Методический документ должен охватывать и вторую часть работ – а именно описывать, как разрабатывается документ под названием Модель угроз. В “ старой” методике об этом ни слова.

Пятая: В соответствии с Приказом угрозы должны определяться в зависимости от одного набора характеристик. Примерно же набор характеристик применяется в БДУ ФСТЭК. А в “старой” методике, определяются в зависимости от другого набора. Подробнее на рисунке.

С одной стороны, все выводы указывают на тот факт, что это не подходящая для ГИС методика. С другой стороны, есть один весомый аргумент за её использование – это единственная утвержденная и опубликованная методика ФСТЭК России в области моделирования угроз.

PS : На самом деле, все указанные аргументы против использования “старой” методики, можно было бы устранить внеся небольшие “косметические” обновления в методику. Поменять термины, ИСПДн на ИС, ПДн на информацию и т.п. + добавить некоторые описательные разделы из проекта “новой” методики + немного актуализировать таблицу для расчета исходной защищенности. А все формулы для расчета актуальности угроз можно было оставлять без изменений – они себя хорошо показали за время, прошедшее с 2008 года.

Думаю, что на такую небольшую актуализацию методики моделирования угроз, месяца было бы вполне достаточно. А вот три года, это уже перебор.

при их обработке в информационной системе персональных данных

1. Общие положения

Данная частная модель угроз безопасности персональных данных при их обработке в информационной системе персональных данных «СКУД» в ___________(далее – ИСПДн) разработана на основании:

1) «Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 15 февраля 2008 г. заместителем директора ФСТЭК России;

2) «Методики определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России;

3) ГОСТ Р 51275-2006 «Защита информации. Факторы, воздействующие на информацию. Общие положения».

Модель определяет угрозы безопасности персональных данных, обрабатываемых в информационной системе персональных данных «СКУД».

2. Перечень угроз, представляющих потенциальную опасность для персональных данных, обрабатываемых в испДн

Потенциальную опасность для персональных данных (далее – ПДн) при их обработке в ИСПДн представляют:

угрозы утечки информации по техническим каналам;

физические угрозы;

угрозы несанкционированного доступа;

угрозы персонала.

1. Определение актуальных угроз безопасности пДн при обработке в испДн

3.1. Определение уровня исходной защищенности испДн

Уровень исходной защищенности ИСПДн определен экспертным методом в соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (далее – Методика), утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России. Результаты анализа исходной защищенности приведены в Таблице 1.

Таблица 1. Уровень исходной защищенности

Таким образом, ИСПДн имеет средний (Y 1 =5 ) уровень исходной защищенности, т. к. более 70% характеристик ИСПДн соответствуют уровню защищенности не ниже «средний», но менее 70% характеристик ИСПДн соответствуют уровню «высокий».

В данный момент занимаюсь пересмотром частной политики по рискам нарушения информационной безопасности и обновлением модели угроз ИБ.

В ходе работы я столкнулся с некоторыми сложностями. О том, как я их решил и разработал частную модель угроз, и пойдет речь далее.

Ранее многие банки использовали Отраслевую модель угроз безопасности ПДн, взятую из Рекомендации в области стандартизации ЦБР РС БР ИББС-2.4-2010 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Отраслевая частная модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных организаций банковской системы Российской Федерации" (РС БР ИББС-2.4-2010). Но в связи с изданием информации Банка России от 30.05.2014 документ утратил силу. Сейчас её нужно разрабатывать самому.

Не многие знают, что с выходом Рекомендации в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации" РС БР ИББС-2.9-2016 (РС БР ИББС-2.9-2016) произошла подмена понятий. Теперь при определении перечня категорий информации и перечня типов информационных активов рекомендуется ориентироваться на содержание п.6.3 и 7.2 РС БР ИББС-2.9-2016. Раньше это был п.4.4 Рекомендаций в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности" РС БР ИББС-2.2-2009 (РС БР ИББС-2.2-2009). Я даже обращался в ЦБ за разъяснениями:

Основные источники угроз перечислены в п.6.6 Стандарте Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2014 (СТО БР ИББС-1.0-2014). Потенциал нарушителя можно взять отсюда .

В общем случае, при определении актуальных угроз ИБ нужно принимать во внимание инциденты ИБ, которые происходили в организации, сведения из аналитических отчетов регуляторов и компаний, оказывающих услуги по обеспечению информационной безопасности, и экспертное мнение специалистов компании.

Также угрозы ИБ определяются в соответствии с Указанием Банка России от 10.12.2015 N 3889-У "Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных (3889-У), приложением 1 РС БР ИББС-2.2-2009, таблицей 1 РС БР ИББС-2.9-2016 (её я сделал отдельным приложением), Банком данных угроз безопасности информации ФСТЭК России (БДУ).

Кстати, заметил, что некоторые угрозы из 3889-У дублируют угрозы из БДУ:

• угроза воздействия вредоносного кода, внешнего по отношению к информационной системе персональных данных - УБИ.167, УБИ.172, УБИ.186, УБИ.188, УБИ.191;
• угроза использования методов социального инжиниринга к лицам, обладающим полномочия-ми в информационной системе персональных данных - УБИ.175;
• угроза несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в программном обеспечении информационной системы персональных данных - УБИ.192;

В связи с этим я исключил дублирующие угрозы из 3889-У в пользу УБИ, т.к. в их описании содержится дополнительная информация, которая облегчает заполнение таблиц с моделью угроз и оценкой рисков ИБ.

Актуальные угрозы источника угроз "Неблагоприятные события природного, техногенного и социального характера" статистику МЧС РФ о чрезвычайных ситуациях и пожарах .

Актуальные угрозы источника угроз "Террористы и криминальные элементы" можно определить, ориентируясь на статистику МВД РФ о состоянии преступности и рассылку новостей "Преступления в банковской сфере" .

На данном этапе мы определись с источниками угроз ИБ и актуальными угрозами ИБ. Теперь перейдем к созданию таблицы с моделью угроз ИБ.

За основу я взял таблицу "Отраслевая модель угроз безопасности ПДн" из РС БР ИББС-2.4-2010. Колонки "Источник угрозы" и "Уровень реализации угрозы" заполняются в соответствии с требованиями п.6.7 и п.6.9 СТО БР ИББС-1.0-2014. У нас остаются пустыми колонки "Типы объектов среды" и "Угроза безопасности". Последнюю я переименовал в "Последствия реализации угрозы", как в БДУ (на мой взгляд, так вернее). Для их заполнения нам потребуется описание наших угроз из БДУ.

В качестве примера рассмотрим " УБИ.192: Угроза использования уязвимых версий программного обеспечения ":
Описание угрозы : угроза заключается в возможности осуществления нарушителем деструктивного воздействия на систему путем эксплуатации уязвимостей программного обеспечения. Данная угроза обусловлена слабостями механизмов анализа программного обеспечения на наличие уязвимостей. Реализация данной угрозы возможна при отсутствии проверки перед применением программного обеспечения на наличие в нем уязвимостей.
Источники угрозы : внутренний нарушитель с низким потенциалом; внешний нарушитель с низким потенциалом.
Объект воздействия : прикладное программное обеспечение, сетевое программное обеспечение, системное программное обеспечение.
Последствия реализации угрозы : нарушение конфиденциальности, нарушение целостности, нарушение доступности.

Для удобства я распределил типы объектов среды (объекты воздействия) по уровням реализации угрозы (уровням информационной инфраструктуры банка ).

Перечень объектов среды я скомпоновал из п.7.3 РС БР ИББС-2.9-2016, п.4.5 РС БР ИББС-2.2-2009 и из описания УБИ. Уровни реализации угрозы представлены в п.6.2 СТО БР ИББС-1.0-2014.

Т.о. данная угроза затрагивает следующие уровни: уровень сетевых приложений и сервисов; уровень банковских технологических процессов и приложений.

Тоже самое проделал с другими угрозами ИБ.

В результате получилась такая таблица.

Для чего она нужна и как ее разработать?! Ответы на эти вопросы Вы найдете в этой статье.

Модель угроз – это перечень возможных угроз.

Все просто и ясно. Хотя в ГОСТ Р 50922-2006 – «Защита информации. Основные термины и определения» дано более емкое определение:

Модель угроз (безопасности информации) – физическое, математическое, описательное представление свойств или характеристик угроз безопасности информации.

Итак, модель угроз – это документ, тем или иным способом описывающий возможные угрозы безопасности персональных данных.

Теперь разберемся что такое угроза безопасности информации (персональных данных) .

«Базовая модель» содержит систематизированный перечень угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Многие эксперты по защите информации весьма скептически относятся к этому документу. Угрозы, приведенные в базовой модели, устарели и далеко не всеобъемлющи. Однако за неимением лучшего приходится довольствоваться текущей редакцией документа.

Документ «Методика определения актуальных угроз» содержит алгоритм оценки угрозы. Путем несложных расчетов определяется статус каждой вероятной угрозы.

Если Вы решили разрабатывать модель угроз самостоятельно, мы рекомендуем Вам воспользоваться нашим онлайн сервисом для подготовки пакета документов по защите персональных данных . Это позволит избежать ошибок и сократить время подготовки документов.

Наш сервис уже содержит все угрозы безопасности из "Базовой модели". Вам достаточно просто проставить их характеристики и общие характеристики Вашей ИСПДн. Алгоритм расчета актуальности угроз полностью автоматизирован. В результате Вы получите готовый документ в формате RTF

Классификация несанкционированных воздействий

Под угрозой понимается потенциально существующая возможность случайного или преднамеренного действия (бездействия), в результате которого могут быть нарушены основные свойства информации и систем ее обработки: доступность, целостность и конфиденциальность.

Знание спектра потенциальных угроз защищаемой информации, умение квалифицированно и объективно оценить возможность их реализации и степень опасности каждой из них, является важным этапом сложного процесса организации и обеспечения защиты. Определение полного множества угроз ИБ практически невозможно, но относительно полное описание их, применительно к рассматриваемому объекту, может быть достигнуто при детальном составлении модели угроз.

Удаленные атаки классифицированы по характеру и цели воздействия, по условию начала осуществления воздействия и наличию обратной связи с атакуемым объектом, по расположению объекта относительно атакуемого объекта и по уровню эталонной модели взаимодействия открытых систем ЭМВОС, на котором осуществляется воздействие.

Классификационные признаки объектов защиты и угроз безопасности автоматизированным системам и озможные способы несанкционированного доступа (НСД) к информации в защищаемых АС:

• 1) по принципу НСД:
  • - физический. Может быть реализован при непосредственном или визуальном контакте с защищаемым объектом;
  • - логический. Предполагает преодоление системы защиты с помощью программных средств путем логического проникновения в структуру АС;
• 2) по пути НСД:
  • - использование прямого стандартного пути доступа. Используются слабости установленной политики безопасности и процесса административного управления сетью. Результатом может быть маскировка под санкционированного пользователя;
  • - использование скрытого нестандартного пути доступа. Используются недокументированные особенности (слабости) системы защиты (недостатки алгоритмов и компонентов системы защиты, ошибки реализации проекта системы защиты);
  • - Особую по степени опасности группу представляют угрозы ИБ, осуществляемые путем воздействий нарушителя, которые позволяют не только осуществлять несанкционированное воздействие (НСВ) на информационные ресурсы системы и влиять на них путем использования средств специального программного и программно-технического воздействия, но и обеспечивать НСД к информации.
• 3) по степени автоматизации:
  • - выполняемые при постоянном участии человека. Может использоваться общедоступное (стандартное) ПО. Атака проводится в форме диалога нарушителя с защищаемой системой;
  • - выполняемые специальными программами без непосредственного участия человека. Применяется специальное ПО, разработанное чаще всего по вирусной технологии. Как правило, такой способ НСД для реализации атаки предпочтительнее;
• 4) по характеру воздействия субъекта НСД на объект защиты:
  • - пассивное. Не оказывает непосредственного воздействия на АС, но способно нарушить конфиденциальность информации. Примером является контроль каналов связи;
  • - активное. К этой категории относится любое несанкционированное воздействие, конечной целью которого является осуществление каких-либо изменений в атакуемой АС;
• 5) по условию начала воздействия:
  • - атака по запросу от атакуемого объекта. Субъект атаки изначально условно пассивен и ожидает от атакуемой АС запроса определенного типа, слабости которого используются для осуществления атаки;
  • - атака по наступлению ожидаемого события на атакуемом объекте. За ОС объекта атаки ведется наблюдение. Атака начинается, когда АС находится в уязвимом состоянии;
  • - безусловная атака. Субъект атаки производит активное воздействие на объект атаки вне зависимости от состояния последнего;
• 6) по цели воздействия. Безопасность рассматривают как совокупность конфиденциальности, целостности, доступности ресурсов и работоспособности (устойчивости) АС, нарушение которых нашло отражение в модели конфликта;
• 7) по наличию обратной связи с атакуемым объектом:
  • - с обратной связью. Подразумевается двунаправленное взаимодействие между субъектом и объектом атаки с целью получения от объекта атаки каких-либо данных, влияющих на дальнейший ход НСД;
  • - без обратной связи. Однонаправленная атака. Субъект атаки не нуждается в диалоге с атакуемой АС. Примером является организация направленного "шторма" запросов. Цель - нарушение работоспособности (устойчивости) АС;
• 8) по типу используемых слабостей защиты:
  • - недостатки установленной политики безопасности. Разработанная для АС политика безопасности неадекватна критериям безопасности, что и используется для выполнения НСД:
  • - ошибки административного управления;
  • - недокументированные особенности системы безопасности, в том числе связанные с ПО, - ошибки, неосуществленные обновления ОС, уязвимые сервисы, незащищенные конфигурации по умолчанию;
  • - недостатки алгоритмов защиты. Алгоритмы защиты, использованные разработчиком для построения системы защиты информации, не отражают реальных аспектов обработки информации и содержат концептуальные ошибки;
  • - ошибки реализации проекта системы защиты. Реализация проекта системы защиты информации не соответствует заложенным разработчиками системы принципам.

Логические признаки объектов защиты:

• 1) политика безопасности. Представляет собой совокупность документированных концептуальных решений, направленных на защиту информации и ресурсов, и включает цели, требования к защищаемой информации, совокупность мероприятий по ИБ, обязанности лиц, ответственных за ИБ;
• 2) процесс административного управления. Включает управление конфигурацией и производительностью сети, доступом к сетевым ресурсам, меры повышения надежности функционирования сети, восстановление работоспособности системы и данных, контроль норм и корректности функционирования средств защиты в соответствии с политикой безопасности;
• 3) компоненты системы защиты:
  • - система криптографической защиты информации;
  • - ключевая информация;
  • - пароли;
  • - информация о пользователях (идентификаторы, привилегии, полномочия);
  • - параметры настройки системы защиты;
• 4) протоколы. Как совокупность функциональных и эксплуатационных требований к компонентам сетевого программно-аппаратного обеспечения, должны обладать корректностью, полнотой, непротиворечивостью;
• 5) функциональные элементы вычислительных сетей. Должны быть защищены в общем случае от перегрузок и уничтожения "критических" данных.

Возможные способы и методы осуществления НСД (виды атак):

• 1) анализ сетевого трафика, исследование ЛВС и средств защиты для поиска их слабостей и исследования алгоритмов функционирования АС. В системах с физически выделенным каналом связи передача сообщений осуществляется напрямую между источником и приемником, минуя остальные объекты системы. В такой системе при отсутствии доступа к объектам, через которые осуществляется передача сообщения, не существует программной возможности анализа сетевого трафика;
• 2) введение в сеть несанкционированных устройств.
• 3)перехват передаваемых данных с целью хищения, модификации или переадресации;
• 4) подмена доверенного объекта в АС.
• 5) внедрение в сеть несанкционированного маршрута (объекта) путем навязывания ложного маршрута с перенаправлением через него потока сообщений;
• 6) внедрение в сеть ложного маршрута (объекта) путем использования недостатков алгоритмов удаленного поиска;
• 7) использование уязвимостей общесистемного и прикладного ПО.
• 8) криптоанализ.
• 9) использование недостатков в реализации криптоалгоритмов и криптографических программ.
• 10) перехват, подбор, подмена и прогнозирование генерируемых ключей и паролей.
• 11) назначение дополнительных полномочий и изменение параметров настройки системы защиты.
• 12) внедрение программных закладок.
• 13) нарушение работоспособности (устойчивости) АС путем внесения перегрузки, уничтожения "критических" данных, выполнения некорректных операций.
• 14) доступ к компьютеру сети, принимающему сообщения или выполняющему функции маршрутизации;

Классификация злоумышленников

Возможности осуществления вредительских воздействий в большой степени зависят от статуса злоумышленника по отношению к КС. Злоумышленником может быть:

• 1) разработчик КС;
• 2) сотрудник из числа обслуживающего персонала;
• 3) пользователь;
• 4) постороннее лицо.

Разработчик владеет наиболее полной информацией о программных и аппаратных средствах КС. Пользователь имеет общее представление о структурах КС, о работе механизмов защиты информации. Он может осуществлять сбор данных о системе защиты информации методами традиционного шпионажа, а также предпринимать попытки несанкционированного доступа к информации. Постороннее лицо, не имеющее отношения к КС, находится в наименее выгодном положении по отношению к другим злоумышленникам. Если предположить, что он не имеет доступ на объект КС, то в его распоряжении имеются дистанционные методы традиционного шпионажа и возможность диверсионной деятельности. Он может осуществлять вредительские воздействия с использованием электромагнитных излучений и наводок, а также каналов связи, если КС является распределенной.

Большие возможности оказания вредительских воздействий на информацию КС имеют специалисты, обслуживающие эти системы. Причем, специалисты разных подразделений обладают различными потенциальными возможностями злоумышленных действий. Наибольший вред могут нанести работники службы безопасности информации. Далее идут системные программисты, прикладные программисты и инженерно-технический персонал.

На практике опасность злоумышленника зависит также от финансовых, материально-технических возможностей и квалификации злоумышленника.