РОСЖЕЛДОР

Государственное образовательное учреждение высшего  профессионального образования

СИБИРСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ  СООБЩЕНИЯ (СГУПС)

Расчётно-графическая работа

ТЕМА: Модель угроз

Вариант 38

2012 г.

СОДЕРЖАНИЕ

ЗАДАНИЕ 3

1 КЛАССИФИКАЦИЯ АС 4

2 ПЕРЕЧЕНЬ ПДН, ИХ КАТЕГОРИЯ И ОБЪЕМ 6

3 КЛАССИФИКАЦИЯ ИСПДН 8

4 АКТУАЛЬНОСТЬ УБПДН ДЛЯ ИСПДН И ВОЗМОЖНЫЕ ПОСЛЕДСТВИЯ РЕАЛИЗАЦИИ ДАННЫХ УГРОЗ 11

5 ВНУТРЕННИХ И ВНЕШНИХ НАРУШИТЕЛЕЙ УБПДН 15

6 ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ 17

7 ПОТОКИ ИНФОРМАЦИИ В ДОМЕН ФБИ  В ПРОЦЕССЕ АВТОРИЗАЦИИ ПОЛЬЗОВАТЕЛЯ ДОМЕНА 23

8 УГРОЗЫ УТЕЧКИ ВИДОВОЙ ИНФОРМАЦИИ 24

9 ОБЩАЯ ХАРАКТЕРИСТИКА УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, РЕАЛИЗУЕМЫХ С ИСПОЛЬЗОВАНИЕМ ПРОТОКОЛОВ МЕЖСЕТЕВОГО ВЗАИМОДЕЙСТВИЯ 25

10 ВОЗМОЖНЫЕ ПОСЛЕДСТВИЯ РЕАЛИЗАЦИИ УГРОЗ РАЗЛИЧНЫХ КЛАССОВ 29

11 СОЗДАНИЕ  НЕТРАДИЦИОННЫХ  ИНФОРМАЦИОННЫХ  КАНАЛОВ  32

ЗАДАНИЕ

Задание - общая часть:

1. Определите класс АС (по РД).
2. Определите перечень ПДн, их категорию и объем.
3. Определите класс ИСПДн.
4. Определите актуальность УБПДн для ИСПДн и возможные последствия реализации данных угроз (УБПДн выбираются по вариантам из журнала).
5. Определите внутренних и внешних нарушителей УБПДн.
6. Разработайте комплекс защитных мероприятий по обеспечению информационной безопасности в ИСПДн по данным угрозам.

Задание - по варианту:

7. Опишите потоки информации в Домен ФБИ  в процессе авторизации пользователя домена.
8. Определите возможные УБПДн при их обработке в ИСПДн: угроза утечки видовой информации; угрозы доступа в операционную среду компьютера с использованием штатного программного обеспечения.
9. Опишите общую характеристику угроз безопасности персональных данных, реализуемых с использованием протоколов межсетевого взаимодействия.
10. Опишите возможные последствия реализации угроз различных классов.
11. Создание нетрадиционных информационных каналов на уровне операционной системы.

1 КЛАССИФИКАЦИЯ АС

1.1. Классификация распространяется  на все действующие и проектируемые  АС учреждений, организаций и  предприятий, обрабатывающие конфиденциальную  информацию.

1.2. Деление АС на соответствующие  классы по условиям их функционирования  с точки зрения защиты информации  необходимо в целях разработки  и применения обоснованных мер по достижению требуемого уровня защиты информации.

1.3. Дифференциация подхода к  выбору методов и средств защиты  определяется важностью обрабатываемой  информации, различием АС по своему  составу, структуре, способам  обработки информации, количественному  и качественному составу пользователей  и обслуживающего персонала.

1.4. Основными этапами классификации АС являются: 
- разработка и анализ исходных данных; 
- выявление основных признаков АС, необходимых для классификации; 
- сравнение выявленных признаков АС с классифицируемыми; 
- присвоение АС соответствующего класса защиты информации от НСД.

1.5. Необходимыми исходными данными  для проведения классификации  конкретной АС являются: 
- перечень защищаемых информационных ресурсов АС и их уровень конфиденциальности; 
- перечень лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий; 
- матрица доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС; 
- режим обработки данных в АС.

1.6. Выбор класса АС производится  заказчиком и разработчиком с  привлечением специалистов по  защите информации.

1.7. К числу определяющих признаков,  по которым производится группировка  АС в различные классы, относятся: 
- наличие в АС информации различного уровня конфиденциальности; 
- уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации; 
- режим обработки данных в АС - коллективный или индивидуальный.

Каждый класс характеризуется  определенной минимальной совокупностью  требований по защите.

Классы подразделяются на три группы, отличающиеся особенностями обработки  информации в АС.

В пределах каждой группы соблюдается  иерархия требований по защите в зависимости  от ценности (конфиденциальности) информации и, следовательно, иерархия классов  защищенности АС.

1.9. Третья группа включает АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А.

Вторая группа включает АС, в которых  пользователи имеют одинаковые права  доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.

Первая группа включает многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности. Не все пользователи имеют право доступа ко всей информации АС. Класс системы - 1Г.

2 ПЕРЕЧЕНЬ ПДН, ИХ КАТЕГОРИЯ И ОБЪЕМ

Персональные  данные– любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия,имя,отчество,датаиместорождения,адрес,семейное,социальное, имущественное положение,образование,профессия,доходы,другаяинформация.

Категории обрабатываемых в ИС ПДн (XПД):

категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских  убеждений, состояния здоровья, интимной жизни;

категория 2 - персональные данные, позволяющие  идентифицировать субъекта персональных данныхиполучитьонемдополнительнуюинформацию,заисключениемперсональных данных, относящихся к категории 1;

категория 3 - персональные данные, позволяющие  идентифицировать субъекта персональных данных;

категория 4 - обезличенные и (или) общедоступные  персональные данные.

Объем обрабатываемых персональных данных (XНПД).

1 - в ИС  одновременно обрабатываются ПДн более чем 100 000 субъектов ПДн или ПДн субъектов ПДн в пределах субъекта РФ или РФ в целом;

2 - в ИС  одновременно обрабатываются ПДн от 1000 до 100 000 субъектов ПДн или ПДн субъектовПДн,работающихвотраслиэкономикиРФ, ворганегосударственнойвласти, проживающих в пределах муниципального образования;

1. - в ИС одновременно обрабатываются ПДн менее чем 1000 субъектов ПДн или ПДн субъектов ПДн в пределах конкретной организации.

3 КЛАССИФИКАЦИЯ  ИСПДН

Исходные  данные:

- категория  обрабатываемых в информационной  системе персональных данныхXПД;

- объем  обрабатываемых персональных данных (количество субъектов ПДн, данные которых обрабатываются в информационной системе) - XНПД;

- заданные  оператором характеристики безопасности  персональных данных, обрабатываемых  в информационной системе;

- структура  информационной системы;

- наличие  подключений информационной системы  к сетям связи общего пользования  и (или) сетям международного  информационного обмена;

- режим  обработки персональных данных;

- режим  разграничения прав доступа пользователей информационной системы;

- местонахождение  технических средств информационной  системы.

По заданным оператором характеристикам безопасности ПДн, обрабатываемых в ИС, подразделяются на:

– типовые;

– специальные.

Типовые информационные системы - информационные системы, в которых требуется  обеспечение только конфиденциальности персональных данных.

Специальные информационные системы - информационные системы, в которых вне зависимости  от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных  действий).

К специальным  информационным системам должны быть отнесены:

- ИС, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;

- ИС, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

По структуре  ИС подразделяются на:

- автономные (не подключенные к иным информационным  системам) комплексы технических  и программных средств (КТПС), предназначенные для обработки  ПДн (автоматизированные рабочие места (АРМ));

- комплексы АРМ, объединенных в единую ИС средствами связи без использования технологии удаленного доступа (локальные информационные системы (ЛИС));

- комплексы АРМ и (или) ЛИС, объединенных в единую ИС средствами связи с использованием технологии удаленного доступа (распределенные информационные системы (РИС)).

По наличию  подключений к сетям связи  общего пользования и (или) сетям  международного информационного обмена информационные системы подразделяются на:

– системы, имеющие подключения,

– системы, не имеющие подключений.

По режиму обработки ПДн в ИС подразделяются на:

– однопользовательские;

– многопользовательские.

По разграничению  прав доступа пользователей информационные системы подразделяются на:

– системы без разграничения прав доступа;

– системы с разграничением прав доступа.

ИС в  зависимости от местонахождения  их технических средств подразделяются на:

– системы, все технические средства которых находятся в пределах РФ;

– системы, технические средства которых частично или целиком находятся за пределами  РФ.

По результатам  анализа исходных данных типовой  информационной системе присваивается  один из следующих классов:

класс 1 (К1) - ИС, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;

класс 2 (К2) - ИС, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;

класс 3 (К3) - ИС, для которых нарушение  заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов  персональных данных;

класс 4 (К4) - ИС, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

4 АКТУАЛЬНОСТЬ  УБПДН ДЛЯ ИСПДН И ВОЗМОЖНЫЕ  ПОСЛЕДСТВИЯ РЕАЛИЗАЦИИ ДАННЫХ  УГРОЗ

Таблица 1 - Перечень исходной защищённости ИСПДн