Модель угроз и модель нарушителя безопасности персональных данных при их обработке в ИС «1С: Бухгалтерия и 1С: Зарплата и кадры» государственного комитета Республики Саха (Якутия) по инновационной политике и науке (стр. 6 )

- прошли инструктаж по работе ИСПДн в соответствии с п.5.4. Технической политики в области информационной безопасности, утвержденной приказом государственного комитета Республики Саха (Якутия) по инновационной политике и науке__.__.2014 г. № ___;

- подписали договор (соглашение) о неразглашении персональных данных.

В кабинетах, в которых производится хранение и обработка персональных данных:

- назначены ответственные сотрудники за соблюдение требований по обработке, хранению и защите документов, содержащих сведения ограниченного распространения, в том числе персональных данных;

- введен организационный контроль за пребыванием посторонних лиц и сотрудников, не допущенных к работе с ПДн и ИСПДн.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

3.2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн

Кража ПЭВМ. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн.

В государственном комитета Республики Саха (Якутия) по инновационной политике и науке введен контроль доступа в КЗ, двери закрываются на замок..

В кабинетах, в которых производится хранение и обработка персональных данных, назначены ответственные сотрудники за соблюдение требований по обработке, хранению и защите документов, содержащих сведения ограниченного распространения, в том числе персональных данных.

Введен организационный контроль за пребыванием в помещениях и административном здании государственного комитета Республики Саха (Якутия) по инновационной политике и науке.

посторонних лиц и сотрудников, не допущенных к работе с ПДн и ИСПДн.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

Кража носителей информации. Угроза осуществляется путем НСД внешними и внутренними нарушителями к носителям информации.

В государственном комитете Республики Саха (Якутия) по инновационной политике и науке введен контроль доступа в КЗ, двери закрываются на замок и опечатываются.

В соответствии с Технической политикой в области информационной ведется учет и хранение электронных носителей информации. Периодически проводится инвентаризация носителей информации.

В кабинетах, в которых производится хранение и обработка персональных данных, назначены ответственные сотрудники за соблюдение требований по обработке, хранению и защите документов, содержащих сведения ограниченного распространения, в том числе персональных данных.

Введен организационный контроль за пребыванием в помещениях и административном здании государственного комитета Республики Саха (Якутия) по инновационной политике и науке посторонних лиц и сотрудников, не допущенных к работе с ПДн и ИСПДн.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

Кража ключей и атрибутов доступа. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где происходит работа пользователей.

В государственном комитете Республики Саха (Якутия) по инновационной политике и науке введен контроль доступа в КЗ, двери закрываются на замок и опечатываются.

В соответствии с Технической политикой в области информационной ведется учет и хранение электронных носителей информации. Периодически проводится инвентаризация носителей информации.

В кабинетах, в которых производится хранение и обработка персональных данных, назначены ответственные сотрудники за соблюдение требований по обработке, хранению и защите документов, содержащих сведения ограниченного распространения, в том числе персональных данных.

Введен организационный контроль за пребыванием в помещениях и административном здании государственного комитета Республики Саха (Якутия) по инновационной политике и науке посторонних лиц и сотрудников, не допущенных к работе с ПДн и ИСПДн.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

Кражи, модификации, уничтожения информации. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн и средства защиты, а так же происходит работа пользователей.

В государственном комитете Республики Саха (Якутия) по инновационной политике и науке введен контроль доступа в КЗ, двери закрываются на замок и опечатываются.

В соответствии с Технической политикой в области информационной ведется учет и хранение электронных носителей информации. Периодически проводится инвентаризация носителей информации.

В кабинетах, в которых производится хранение и обработка персональных данных, назначены ответственные сотрудники за соблюдение требований по обработке, хранению и защите документов, содержащих сведения ограниченного распространения, в том числе персональных данных.

Введен организационный контроль за пребыванием в помещениях и административном здании государственного комитета Республики Саха (Якутия) по инновационной политике и науке посторонних лиц и сотрудников, не допущенных к работе с ПДн и ИСПДн.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

Вывод из строя узлов ПЭВМ, каналов связи. Угроза осуществляется путем НСД внешними и внутренними нарушителями в помещения, где расположены элементы ИСПДн и проходят каналы связи.

В государственном комитете Республики Саха (Якутия) по инновационной политике и науке введен контроль доступа в КЗ, двери закрываются на замок и опечатываются.

В соответствии с Технической политикой в области информационной ведется учет и хранение электронных носителей информации. Периодически проводится инвентаризация носителей информации.

В кабинетах, в которых производится хранение и обработка персональных данных, назначены ответственные сотрудники за соблюдение требований по обработке, хранению и защите документов, содержащих сведения ограниченного распространения, в том числе персональных данных.

Введен организационный контроль за пребыванием в помещениях и административном здании государственного комитета Республики Саха (Якутия) по инновационной политике и науке посторонних лиц и сотрудников, не допущенных к работе с ПДн и ИСПДн.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

Несанкционированный доступ к информации при техническом обслуживании (ремонте, уничтожении) узлов ПЭВМ. Угроза осуществляется путем НСД внешними нарушителями при осуществлении технического обслуживания узлов ПЭВМ, входящих в состав ИСПДн.

При передаче ПЭВМ на ремонт необходимо извлечь носитель информации, в договоре на техническое облуживание предусмотреть раздел о соблюдении конфиденциальности и ответственности за причиненный ущерб.

Вероятность реализации угрозы – маловероятна.

Числовой коэффициент реализуемости угрозы – Y2 = 0.

3.2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий)

Действия вредоносных программ (вирусов). Программно-математическое воздействие – это воздействие с помощью вредоносных программ. Программой с потенциально опасными последствиями или вредоносной программой (вирусом) называют некоторую самостоятельную программу (набор инструкций), которая способна выполнять любое непустое подмножество следующих функций:

- скрывать признаки своего присутствия в программной среде компьютера;

- обладать способностью к самодублированию, ассоциированию себя с другими программами и (или) переносу своих фрагментов в иные области оперативной или внешней памяти;

- разрушать (искажать произвольным образом) код программ в оперативной памяти;

- выполнять без инициирования со стороны пользователя (пользовательской программы в штатном режиме ее выполнения) деструктивные функции (копирования, уничтожения, блокирования и т. п.);

- сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных);

- искажать произвольным образом, блокировать и (или) подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных.

В государственном комитете Республики Саха (Якутия) по инновационной политике и науке на всех элементах ИСПДн установлена антивирусная защита, пользователи проинструктированы о мерах предотвращения вирусного заражения.

Вероятность реализации угрозы – низкая.

Числовой коэффициент реализуемости угрозы – Y2 = 2.

Недекларированные возможности системного ПО и ПО для обработки ПДн. Недекларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.

В государственном комитете Республики Саха (Якутия) по инновационной политике и науке используется лицензионное программное обеспечение, приобретенное у правообладателей и эксплуатируемое длительное время, в течение которого утечек информации не случилось.

Вероятность реализации угрозы – низкая.

Числовой коэффициент реализуемости угрозы – Y2 = 2.

Установка ПО не связанного с исполнением служебных обязанностей. Угроза осуществляется путем несанкционированной установки ПО внутренними нарушителями, что может привести к нарушению конфиденциальности, целостности и доступности всей ИСПДн или ее элементов.

В соответствии с Технической политиков в области информационной безопасности, на всех персональные компьютеры, на которых производится обработка персональных данных, применяется учетная политика, по которой установка программного обеспечения производится только администратором безопасности.

Сотрудники государственном комитете Республики Саха (Якутия) по инновационной политике и науке ознакомлены с Перечнем программного обеспечения, разрешенного к эксплуатации в государственном комитете Республики Саха (Якутия) по инновационной политике и науке, утвержденного приказом государственного комитета Республики Саха (Якутия) по инновационной политике и науке __.__.2014 г. №___.