Приложение. Положение об угрозах безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных в Аппарате Правительства Пермского края, Администрации Губернатора Пермского края, исполнительных органах государственной власти Пермского края

Приложение
к Указу Губернатора Пермского края
от 22 февраля 2018 г. N 13

Положение
об угрозах безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных в Аппарате Правительства Пермского края, Администрации Губернатора Пермского края, исполнительных органах государственной власти Пермского края

I. Общие положения

1.1. Настоящее Положение об угрозах безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных в Аппарате Правительства Пермского края, Администрации Губернатора Пермского края, исполнительных органах государственной власти Пермского края, определяет угрозы безопасности персональных данных (далее - ПДн), актуальные при обработке ПДн в информационных системах персональных данных (далее - ИСПДн), эксплуатируемых Аппаратом Правительства Пермского края, Администрацией Губернатора Пермского края, исполнительными органами государственной власти Пермского края (далее - ОГВ).

1.2. Настоящее Положение предназначено для руководства ОГВ при решении следующих задач:

определение угроз безопасности ПДн, актуальных при обработке ПДн в ИСПДн;

проведение анализа защищенности ИСПДн от актуальных угроз безопасности ПДн;

проведение мероприятий по минимизации и (или) нейтрализации угроз безопасности ПДн;

модернизация системы защиты ИСПДн;

предотвращение несанкционированного воздействия на технические средства ИСПДн;

контроль за обеспечением уровня защищенности ИСПДн.

1.3. При определении угроз безопасности ПДн использованы следующие правовые акты, методические документы:

Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

постановление Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" (далее - Постановление N 1119);

приказ ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах";

приказ ФСТЭК России от 18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";

Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденная заместителем директора ФСТЭК России 15 февраля 2008 г.;

Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденная заместителем директора ФСТЭК России 14 февраля 2008 г.;

Методические рекомендации по составлению Частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных учреждений здравоохранения, социальной сферы, труда и занятости, разработанные Министерством здравоохранения и социального развития Российской Федерации, 2009 г.;

Модель угроз и нарушителя безопасности персональных данных, обрабатываемых в типовых информационных системах персональных данных отрасли, согласованная с ФСТЭК России, ФСБ России и одобренная решением секции N 1 Научно-технического совета Минкомсвязи России "Научно-техническое и стратегическое развитие отрасли" от 21 апреля 2010 г. N 2;

Банк данных угроз безопасности информации, размещенный в информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет") по адресу: http://bdu.fstec.ru.

II. Основные термины и определения

Понятия, используемые в настоящем Положении, применяются в значениях, определенных Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных". В настоящем Положении применяются следующие сокращения:

АРМ - автоматизированное рабочее место;

ИС - информационная система;

КЗ - контролируемая зона;

СВТ - средства вычислительной техники;

СПО - системное программное обеспечение;

ППО - прикладное программное обеспечение;

СЗИ - средства защиты информации;

СКЗИ - средства криптографической защиты информации.

III. Определение актуальных угроз безопасности ПДн при разработке частной модели угроз ПДн

3.1. Под угрозами безопасности ПДн понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн при их обработке в ИСПДн, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение ПДн, а также иные неправомерные действия.

3.2. Угрозы безопасности ПДн в ИСПДн, приведенные в настоящем Положении, подлежат адаптации в ходе разработки частных моделей угроз безопасности ПДн при их обработке в ИСПДн.

3.3. В целях настоящего Положения под частной моделью угроз безопасности ПДн при их обработке в ИСПДн понимается модель угроз безопасности ПДн при их обработке в ИСПДн, учитывающая особенности обработки персональных данных в отдельном ОГВ.

3.4. В целях создания частной модели угроз безопасности ПДн определяется тип ИСПДн и группы угроз безопасности ПДн, актуальные для данного типа ИСПДн.

3.5. Тип ИСПДн определяется по результатам анализа структурно-функциональных характеристик ИСПДн, применяемых в ней информационных технологий и особенностей ее функционирования, согласно разделу IV настоящего Положения.

3.6. Группы угроз безопасности ПДн в ИСПДн определяются в соответствии с типом ИСПДн согласно разделу VII настоящего Положения.

3.7. Расширенный перечень угроз безопасности ПДн в ИСПДн (по группам) представлен в приложении к настоящему Положению.

3.8. В частной модели угроз безопасности ПДн описываются ИСПДн и ее структурно-функциональные характеристики, угрозы безопасности ПДн, включающие описание возможностей нарушителя (модель нарушителя), возможных уязвимостей ИСПДн, способов реализации угроз безопасности ПДн и их последствия.

IV. Типы ИСПДн

Операторы ИСПДн создают и эксплуатируют ИСПДн в целях обработки ПДн. Ввод ПДн осуществляется как с бумажных носителей, так и с электронных носителей информации. ПДн субъектов могут выводиться из ИСПДн с целью передачи ПДн третьим лицам как в электронном, так и в бумажном виде.

Информационный обмен по сетям связи общего пользования и (или) сетям международного информационного обмена осуществляется с использованием сертифицированных средств криптографической защиты.

КЗ ИСПДн являются здания или отдельные помещения. В пределах КЗ находятся рабочие места пользователей, серверы, сетевое и телекоммуникационное оборудование ИСПДн. Вне КЗ находятся линии передачи данных и телекоммуникационное оборудование, используемое для информационного обмена по сетям связи общего пользования и (или) сетям международного информационного обмена.

В зависимости от структурно-функциональных характеристик такие ИСПДн подразделяются на:

ИСПДн обеспечения типовой деятельности;

ИСПДн обеспечения специальной деятельности.

4.1. ИСПДн обеспечения типовой деятельности.

К ИСПДн обеспечения типовой деятельности относятся ИСПДн, используемые для управления персоналом, управления финансами, информационного обеспечения деятельности ОГВ.

ИСПДн управления персоналом предназначены для персонального кадрового учета, анализа кадрового состава, сопровождения кадровых процедур и для иных целей, связанных с управлением персоналом. Обработке подлежит информация, являющаяся ПДн, и иная информация, имеющая характер ПДн, сотрудников оператора ИСПДн, кандидатов на замещение должностей и (или) граждан, подавших сведения для участия в конкурсе на замещение вакантных должностей, конкурсе на включение в кадровый резерв.

ИСПДн управления финансами предназначены для обработки ПДн, необходимых для бухгалтерского и управленческого финансового учета, предоставления информации в пенсионные и налоговые органы, систему обязательного медицинского страхования. В ИСПДн обрабатываются: фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес; номер телефона; идентификационный номер налогоплательщика; страховой номер индивидуального лицевого счета (СНИЛС); табельный номер; должность; номер приказа и дата приема на работу (увольнения); номер лицевого счета для перечисления денежного содержания и иных выплат.

ИСПДн информационного обеспечения предназначены для официального доведения любой информации до определенного или неопределенного круга лиц, при этом факт доведения такой информации не порождает правовых последствий, однако может являться обязательным в силу действующего законодательства. ИСПДн информационного обеспечения является общедоступным источником ПДн, где с письменного согласия субъекта ПДн обрабатываются: фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные ПДн.

К ИСПДн информационного обеспечения относятся:

официальные сайты (порталы) ОГВ в сети "Интернет";

информационные сайты (порталы) ОГВ в сети "Интернет", посвященные определенному проекту или мероприятию, проводимому на территории Пермского края.

4.2. ИСПДн обеспечения специальной деятельности.

К ИСПДн обеспечения специальной деятельности можно отнести ведомственные ИСПДн, краевые ИСПДн, сегментные (распределенные) ИСПДн, подключенные к сетям общего пользования и (или) сетям международного информационного обмена. ИСПДн обеспечения специальной деятельности предназначены для исполнения функций (полномочий) ОГВ, технологического обеспечения предоставления государственных услуг в электронной форме.

В ИСПДн обеспечения специальной деятельности обрабатываются ПДн заявителей, необходимые для предоставления государственных услуг и получаемые в рамках межведомственного информационного взаимодействия, в том числе из базовых государственных информационных ресурсов, а также для осуществления ОГВ иных функций в соответствии с действующим законодательством.

Ведомственные ИСПДн создаются (эксплуатируются) по решению одного ОГВ в его интересах и предназначены для исполнения функций (полномочий) ОГВ.

Краевые ИСПДн создаются и эксплуатируются по решению ОГВ в интересах нескольких ОГВ, при этом цели и задачи создания и эксплуатации данных ИСПДн, а также требования к ним определяются на уровне Пермского края.

Сегментные (распределенные) ИСПДн представляют собой сегменты федеральных ИС, созданные и эксплуатируемые на уровне Пермского края на основании решения федеральных органов власти. ИСПДн используются для обработки данных на уровне Пермского края и передачи их на федеральный уровень и наоборот, при этом цели и задачи создания и эксплуатации данных ИСПДн определяются на федеральном уровне. Данные ИСПДн предназначены для реализации функций (полномочий) федеральных органов власти и исполнения функций (полномочий) ОГВ.

V. Источники угроз безопасности ПДн в ИСПДн

Источниками угроз безопасности ПДн в ИСПДн выступают:

носитель вредоносной программы;

аппаратная закладка;

нарушитель.

5.1. Носителем вредоносной программы может быть аппаратный элемент компьютера или программный контейнер. В качестве носителя вредоносной программы рассматриваются:

отчуждаемый носитель (дискета), оптический диск (CD-R, CD-RW и т.п.), флеш-память, отчуждаемый винчестер и т.п.;

встроенные носители информации (винчестеры, микросхемы оперативной памяти, процессор, микросхемы системной платы, микросхемы устройств, видеоадаптеры, сетевые платы, звуковые платы, модемы, устройства ввода/вывода магнитных жестких и оптических дисков, блоки питания и т.п.);

микросхемы внешних устройств (монитора, клавиатуры, принтера, модема, сканера и т.п.);

пакеты, передаваемые по сетям связи общего пользования и (или) сетям международного информационного обмена;

файлы (текстовые, графические, исполняемые и т.д.).

5.2. Аппаратная закладка может применяться в аппаратных средствах, предназначенных для ввода информации (ПДн) в ИСПДн с клавиатуры АРМ, например:

аппаратная закладка внутри клавиатуры;

считывание данных с кабеля клавиатуры бесконтактным методом;

включение устройства в разрыв кабеля;

аппаратная закладка внутри системного блока и др.

5.3. Под нарушителем безопасности информации понимается физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при обработке ПДн в ИСПДн.

По наличию права постоянного или разового доступа в ИСПДн нарушители подразделяются на три типа.

5.3.1. Внешний нарушитель. Данный тип нарушителя не имеет права постоянного доступа в КЗ или имеет право разового (контролируемого) доступа в КЗ, а также не имеет доступа к СВТ ИСПДн, расположенным в пределах КЗ, или он ограничен и контролируется. Данный тип нарушителя может реализовывать угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена.

5.3.2. Внутренний нарушитель, имеющий доступ к ИСПДн. Данный тип нарушителя имеет право постоянного (периодического) доступа на территорию КЗ, а также доступ к СВТ ИСПДн, расположенным в пределах КЗ. Данный тип нарушителя может проводить атаки с использованием внутренней (локальной) сети передачи данных и непосредственно в ИСПДн.

5.3.3. Внутренний нарушитель, не имеющий доступ к ИСПДн. Данный тип нарушителя имеет право постоянного (периодического) доступа на территорию КЗ, но не имеет доступ к СВТ ИСПДн, расположенным в пределах КЗ. Данный тип нарушителя может проводить атаки с использованием внутренней (локальной) сети передачи данных.

VI. Группы угроз безопасности ПДн в ИСПДн

6.1. Основными группами угроз безопасности ПДн в ИСПДн являются:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы инженерной инфраструктуры;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы, предоставляющие доступ к грид-системам и позволяющие их модифицировать;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, обеспечивающие доступ к мобильным устройствам;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием облачных услуг;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием суперкомпьютерных технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей;

угрозы, связанные с предоставлением доступа к беспроводным каналам передачи данных.

6.2. При рассмотрении групп угроз эксплуатации уязвимостей в ППО и угроз эксплуатации уязвимостей в СПО согласно пункту 6 Постановления N 1119 определяются угрозы 1-го, 2-го или 3-го типа, актуальные для каждой ИСПДн, независимо от типа ИСПДн. Определение типа угроз безопасности ПДн, актуальных для ИСПДн, производится оператором с учетом оценки возможного вреда, который может быть причинен субъектам ПДн.

6.3. Группы угроз безопасности ПДн в ИСПДн уточняются по мере выявления новых угроз безопасности ПДн и их источников, развития способов и средств их реализации.

VII. Группы угроз безопасности ПДн, актуальные при обработке ПДн по типам ИСПДн

В настоящем разделе представлены группы угроз безопасности ПДн, актуальные для каждого типа ИСПДн, в соответствии с разделом IV настоящего Положения.

7.1. ИСПДн обеспечения типовой деятельности.

7.1.1. Группы угроз безопасности ПДн, актуальные в ИСПДн управления персоналом:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей.

7.1.2. Группы угроз безопасности ПДн, актуальные в ИСПДн управления финансами:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей.

7.1.3. Группы угроз безопасности ПДн, актуальные в ИСПДн информационного обеспечения:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, обеспечивающие доступ к мобильным устройствам;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием облачных услуг;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей.

7.2. ИСПДн обеспечения специальной деятельности.

7.2.1. Группы угроз безопасности ПДн, актуальные в ведомственных ИСПДн:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы инженерной инфраструктуры;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, обеспечивающие доступ к мобильным устройствам;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием облачных услуг;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей;

угрозы, связанные с предоставлением доступа к беспроводным каналам передачи данных.

7.2.2. Группы угроз безопасности ПДн, актуальные в краевых ИСПДн:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы инженерной инфраструктуры;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, обеспечивающие доступ к мобильным устройствам;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием облачных услуг;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей;

угрозы, связанные с предоставлением доступа к беспроводным каналам передачи данных.

7.2.3. Группы угроз безопасности ПДн, актуальные в сегментных (распределенных) ИСПДн:

угрозы нарушения функционирования аппаратного обеспечения;

угрозы инженерной инфраструктуры;

угрозы, обеспечивающие предоставление доступа к хранилищу данных;

угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы информационной безопасности ИСПДн;

угрозы физического доступа к компонентам ИСПДн;

угрозы эксплуатации уязвимостей в аппаратных компонентах ИСПДн и микропрограммном обеспечении;

угрозы эксплуатации уязвимостей в ППО;

угрозы эксплуатации уязвимостей в СПО;

угрозы эксплуатации уязвимостей СЗИ;

угрозы, обеспечивающие доступ к мобильным устройствам;

угрозы, позволяющие внести изменения в состав программных или аппаратных средств ИСПДн;

угрозы, связанные с использованием облачных услуг;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с нарушением правил эксплуатации машинных носителей;

угрозы, связанные с предоставлением доступа к беспроводным каналам передачи данных.