Постановление Правительства Архангельской области от 06.11.2018 № 523-пп

ПРАВИТЕЛЬСТВО  АРХАНГЕЛЬСКОЙ ОБЛАСТИ

ПОСТАНОВЛЕНИЕ

от 6 ноября 2018 г. № 523-пп

г. Архангельск

Об утверждении Положенияпо определению угроз

безопасностиперсональных данных, актуальных

при их обработкев информационных системах персональных

данныхв исполнительных органах государственной власти Архангельской области,подведомственных им 

государственныхучреждениях Архангельской области

В соответствии с частью 5 статьи 19 Федерального закона от 27 июля2006 года № 152-ФЗ «О персональных данных», в целях обеспечения единогоподхода к определению угроз безопасности персональных данных, актуальных при ихобработке в информационных системах персональных данных в исполнительных органахгосударственной власти Архангельской области, подведомственныхим государственных учреждениях Архангельской области, Правительство Архангельской области постановляет:

1.      Утвердитьприлагаемое Положение по определению угроз безопасности персональных данных, актуальных при их обработке в информационныхсистемах персональных данных в исполнительных органах государственнойвласти Архангельской области, подведомственных им государственных учрежденияхАрхангельской области (далее – Положение).

2.       Исполнительным органам государственной властиАрхангельской области, подведомственным имгосударственным учреждениям Архангельской области при разработке частныхмоделей угроз учитывать актуальные угрозы, указанные в Положении.

3.      Рекомендовать органам местногосамоуправления муниципальных образований Архангельской области, подведомственнымим муниципальным учреждениям руководствоваться Положением при определенииугроз безопасности персональных данных,актуальных при обработке персональных данных в используемых имиинформационных системах персональных данных.

4.      Настоящее постановление вступаетв силу со дня его официального опубликования.

УТВЕРЖДЕНО

 постановлениемПравительства Архангельской области

от 6 ноября 2018 г. № 523-пп

П О Л О Ж Е Н И Е

по определению угроз безопасности персональных данных,

актуальных при их обработке в информационных системахперсональных данных в исполнительных органах государственной властиАрхангельской области, подведомственных им 

государственных учреждениях Архангельской области

I. Общие положения

1. Настоящее Положение,разработанное в соответствии с частью 5 статьи 19 Федерального законаот 27 июля 2006 года № 152-ФЗ «Оперсональных данных» (далее – Федеральный закон № 152-ФЗ), определяетугрозы безопасности персональных данных (далее – ПДн),актуальные при обработке ПДн в информационныхсистемах (далее – ИС) ПДн (далее – ИСПДн) в исполнительных органахгосударственной власти Архангельской области,подведомственных им государственных учреждениях Архангельской области(далее – государственные органы).

2.  Угрозыбезопасности ПДн, обрабатываемых в ИСПДн, приведенные внастоящем Положении, подлежат изменению и адаптациив ходе разработкиоператорами ИСПДн частных моделей угроз безопасностиинформации. В процессе этой работы проводится анализ структурно-функциональныххарактеристик конкретной ИСПДн, применяемых в нейинформационных технологий и особенностей ее функционирования. По результатаманализа делается вывод об отнесении ИСПДн к одному извидов ИСПДн, указанных в пункте 5 настоящегоПоложения.

II. Порядок определения актуальных угроз

3. В частной моделиугроз безопасности информации указываются:

1)  описание ИСПДн и ее структурно-функциональныххарактеристик;

2) описание угрозбезопасности информации, включающее описание возможностей нарушителя (модельнарушителя), возможных уязвимостей ИС, способов реализации угроз безопасностиинформации и последствий от нарушения свойств безопасностиинформации.

4.  Актуальныеугрозы безопасности ПДн, обрабатываемых в ИСПДн, содержащиеся в настоящем Положении, изменяютсяпо мере выявления новых источников угроз, развития способов и средствреализации угроз безопасности ПДн в ИСПДн. Изменения, указанные в пункте 2 настоящегоПоложения, согласовываются с Федеральной службой по техническому иэкспортному контролю (далее – ФСТЭК России) и Федеральной службойбезопасности Российской Федерации в соответствии с пунктом 3требований к порядку создания, развития, ввода в эксплуатацию,эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в ихбазах данных информации, утвержденных постановлением ПравительстваРоссийской Федерации от 6 июля 2015 года№ 676.

5.  Вгосударственных органах создаются и эксплуатируются однотипные и разноплановыеИСПДн. В зависимости от предназначения ИСПДн подразделяются:

1)  на ИСПДн обеспечения типовой деятельности, предназначенные дляавтоматизации обеспечивающей деятельности государственных органов в рамках исполнения ими типовых полномочий,предусмотренных нормативными правовыми актами.

К ИСПДнобеспечения типовой деятельности относятся:

а)  ИСПДн управленияперсоналом (учет кадров);

б)  ИСПДн управленияфинансами (расчет заработной платы);

2)  наИСПДн обеспечения специальной деятельности,предназначенныедля автоматизации или информационной поддержки предоставления государственных услуг, исполнения государственныхфункций, предусмотренных нормативными правовыми актами Архангельскойобласти в качестве полномочий конкретного государственного органа. К ИСПДн обеспечения специальной деятельности относятся:

а)  «Системаэлектронного документооборота Правительства Архангельской области «Дело»;

б)  «Региональнаясистема межведомственного электронного взаимодействия Архангельской области»;

в)  «Комплекснаяинформационно-аналитическая система Архангельской области»;

3)  ИСПДн по направлениям деятельности государственныхорганов, предназначенные для предоставления государственных услуг, исполнениягосударственных функций.

III. Объекты защиты ИСПДн,классификация
и характеристики нарушителей

6.  В системезащиты информации ИСПДн к объектам защиты относятся:

1)  персональные данные – объект 1;

2)  средствакриптографической защиты информации (далее – СКЗИ) – объект 2;

3) средафункционирования средств защиты информации, в том числе СКЗИ (далее – СФ),– объект 3;

4)  информация,относящаяся к криптографической защите ПДн, включая ключевую, парольную и аутентифицирующуюинформацию СКЗИ, – объект 4;

5)  документы,включая документацию на СКЗИ и на технические и программные компоненты СФ,– объект 5;

6)  носителизащищаемой информации, используемые в ИСПДнв процессе криптографической защиты ПДн,носители ключевой, парольной и аутентифицирующейинформации СКЗИ и порядок доступа к ним – объект 6;

7)  каналы(линии) связи, используемые информационной системой, – объект 7;

8)  помещения,в которых находятся ресурсы ИС, имеющие отношение к криптографическойзащите ПДн, – объект 8.

7.  По наличиюправа постоянного или разового доступа в контролируемую зону ИСПДннарушители подразделяются на два типа:

внешние нарушители,не имеющие доступа к ИСПДн, реализующиеугрозы из внешних сетей связи общего пользования и (или) сетей международногоинформационного обмена;

внутренние нарушители,имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн.

8.  Внешними нарушителями могут быть:

разведывательные службыиностранных государств;

юридические лица;

физические лица.

9.  Внешний нарушитель имеет возможностьосуществлять:

несанкционированныйдоступ к каналам связи, выходящим за пределы служебных помещений;

несанкционированныйдоступ через автоматизированное рабочее место (далее– АРМ), подключенное к сетям связи общего пользования и (или) к сетяммеждународного информационного обмена;

несанкционированныйдоступ к информации с использованием специальных программных воздействийпосредством программных вирусов, вредоносных программ, алгоритмических или программныхзакладок;

несанкционированныйдоступ через элементы информационной инфраструктуры ИСПДн,которые в процессе своего жизненного цикла (модернизации, сопровождения,ремонта, утилизации) оказываются за пределами контролируемой зоны;

несанкционированныйдоступ через ИС взаимодействующих ведомств, организаций и учрежденийпри их подключении к ИСПДн.

10. Внутренниепотенциальные нарушители подразделяются на восемь категорийв зависимости от способа доступа и полномочий доступа к ПДн:

1) к первойкатегории относятся лица, имеющие санкционированный доступ к ИСПДн, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционированиеИСПДн.

Лицо этой категорииможет:

иметь доступ кфрагментам информации, содержащей ПДн
и распространяющейся по внутренним каналам связи ИСПДн;

располагать фрагментамиинформации о топологии ИСПДн и об используемыхкоммуникационных протоколах и их сервисах;

располагать именамии вести выявление паролей зарегистрированных пользователей;

изменять конфигурациютехнических средств ИСПДн, вносить в неепрограммно-аппаратные закладки и обеспечивать съем информации, используянепосредственное подключение к техническим средствам ИСПДн;

2) ко второйкатегории относятся зарегистрированные пользователи ИСПДн, осуществляющие ограниченный доступ к ресурсам ИСПДнс рабочего места.

Лицо этой категории:

обладает всемивозможностями лиц первой категории;

знает одно и болеерабочее имя доступа;

обладает всеминеобходимыми атрибутами, обеспечивающими доступ к некоторому подмножеству ПДн;

располагаетконфиденциальными данными, к которым имеет доступ;

3)  к третьейкатегории относятся зарегистрированные пользователи ИСПДн,осуществляющие удаленный доступ к ПДнпо локальным и (или) распределенным ИС.

Лицо этой категории:

обладает всемивозможностями лиц первой и второй категорий;

располагает информациейо топологии ИСПДн на базе локальной и (или) распределенной ИС, через которую осуществляетсядоступ, и о составетехнических средств ИСПДн;

имеет возможностьфизического доступа к фрагментам технических средств ИСПДн;

4) к четвертойкатегории относятся зарегистрированные пользователи ИСПДнс полномочиями администратора безопасности сегмента ИСПДн.

Лицо этой категории:

обладает всемивозможностями лиц предыдущих категорий;

обладаетполной информацией о системном и прикладном программном обеспечении,используемом в сегменте ИСПДн;

обладаетполной информацией о технических средствах и конфигурации сегмента (фрагмента) ИСПДн;

имеет доступ к средствамзащиты информации и протоколирования, а также к отдельным элементам,используемым в сегменте ИСПДн;

имеет доступко всем техническим средствам сегмента ИСПДн;

обладает правамиконфигурирования и административной настройки некоторого подмножестватехнических средств сегмента ИСПДн;

5)  к пятойкатегории относятся зарегистрированные пользователи с полномочиямисистемного администратора ИСПДн.

Лицо этой категории:

обладает всемивозможностями лиц предыдущих категорий;

обладаетполной информацией о системном и прикладном программном обеспечении ИСПДн;

обладаетполной информацией о технических средствах и конфигурации ИСПДн;

имеет доступко всем техническим средствам обработки информации и даннымИСПДн;

обладает правамиконфигурирования и административной настройки технических средств ИСПДн;

6)  к шестойкатегории относятся зарегистрированные пользователи с полномочиямиадминистратора безопасности ИСПДн.

Лицо этой категории:

обладает всемивозможностями лиц предыдущих категорий;

обладает полнойинформацией об ИСПДн;

имеет доступк средствам защиты информации и протоколирования и к частиключевых элементов ИСПДн;

не имеет прав доступак конфигурированию технических средств сети, за исключением контрольных(инспекционных);

7)  к седьмойкатегории относятся программисты-разработчики прикладного программногообеспечения и лица, обеспечивающие его сопровождение на защищаемомобъекте.

Лицо этой категории:

обладаетинформацией об алгоритмах и программах обработки информации на ИСПДн;

обладает возможностямивнесения ошибок, недекларированных возможностей, программных закладок, вредоносныхпрограмм в программное обеспечение (далее – ПО) ИСПДнна стадии ее разработки, внедрения и сопровождения;

может располагать любымифрагментами информации о топологии ИСПДни технических средствах обработки и защиты ПДн,обрабатываемых в ИСПДн;

8)  квосьмой категории относятся разработчики и лица, обеспечивающие поставку, сопровождениеи ремонт технических средств ИСПДн.

Лицо этой категории:

обладает возможностямивнесения закладок в технические средства ИСПДнна стадии их разработки, внедрения и сопровождения;

может располагать любымифрагментами информации о топологии ИСПДни технических средствах обработки и защиты информации в ИСПДн.

11.  Возможностьили невозможность доступа каждой категории нарушителейк объектам защиты определяется в соответствии с таблицей № 1.

Таблица№ 1

12. Источники атакна объекты ИСПДн располагают обобщеннымивозможностями в соответствии с таблицей № 2.

Таблица№ 2

13.  Уточненныевозможности нарушителей и направления атак приведены в таблице № 3.

Таблица№ 3

III. Актуальные угрозы безопасности

14.  Учитываяособенности обработки ПДн в государственныхорганах, а также категорию и объем обрабатываемых в ИСПДнПДн, основными характеристиками безопасности являютсяконфиденциальность, целостность и доступность.

Конфиденциальность –обязательное для соблюдения оператором или иным получившим доступ к ПДн лицом требование не допускать их распространения безсогласия субъекта ПДн или наличия иного законногооснования.

Целостность – состояниезащищенности информации, характеризуемое способностью автоматизированнойсистемы обеспечивать сохранность и неизменностьинформации при попытках несанкционированных воздействий на неев процессе обработки или хранения.

Доступность – состояниеинформации, при котором субъекты, имеющие права доступа, могут реализоватьих беспрепятственно.

15.  Подактуальными угрозами безопасности ПДн понимаетсясовокупность условий и факторов, создающих актуальную опасностьнесанкционированного, в том числе случайного, доступа к ПДн при их обработке в ИС, результатом которого могутстать уничтожение, изменение, блокирование, копирование, предоставление,распространение ПДн, а также иные неправомерныедействия. Для определения актуальных угроз безопасности из общего перечняугроз безопасности выбираются только те угрозы, которые являютсяактуальными для ИСПДн обеспечения типовой илиспециальной деятельности.

16.  Угрозыбезопасности ПДн, актуальные при обработке ПДн в ИСПДн, подразделяютсяна угрозы первого, второго, третьего типа. Для определения актуальныхугроз безопасности из общего перечня угроз безопасности выбираются толькоте угрозы, которые являются актуальными для ИСПДнв соответствии с Методикой определения актуальных угрозбезопасности персональных данных при их обработке в информационныхсистемах персональных данных, утвержденной заместителем директора ФСТЭК России14 февраля 2008 года. Большинство угроз безопасности ПДнв ИСПДн государственных органовотносится к третьему типу. Уровень защищенности ПДнв ИСПДн государственных органов – не выше третьего уровня защищенности (заисключением ИС регионального масштаба, обрабатывающих специальные категории ПДн).

17. Основной цельюприменения СКЗИ в ИСПДн государственных органовявляется защита ПДн при информационном обменепо сетям связи общего пользования и (или) сетям международногоинформационного обмена, не защищенным от перехвата нарушителемпередаваемой по ним информации или от несанкционированных воздействийна эту информацию.

18.  В ИСПДн обеспечения типовой и специальной деятельности неиспользуются отчуждаемые носители защищаемой информации, для которыхнесанкционированный доступ к хранимой на них информации не можетбыть исключен без использования криптографических методов и способов.

19.  Основными видами угроз безопасности ПДн в ИСПДн являются:

а)  угрозы,связанные с преднамеренными или непреднамеренными действиями лиц, имеющихдоступ к ИСПДн, включая пользователей ИСПДн, реализующих угрозы непосредственно в ИСПДн (внутренний нарушитель);

б)  угрозы,связанные с преднамеренными или непреднамеренными действиями лиц,не имеющих доступа к ИСПДн, реализующихугрозы из внешних сетей связи общего пользования и (или) сетеймеждународного информационного обмена (внешний нарушитель);

в)  угрозы,возникновение которых напрямую зависит от свойств техники и ПО,используемого в ИСПДн;

г)  угрозы,возникающие в результате внедрения аппаратных закладок и вредоносныхпрограмм;

д)  угрозы, направленные нанарушение нормальной работы технических средств, используемых в ИСПДн;

е)  угрозы,связанные с недостаточной квалификацией обслуживающего ИСПДнперсонала.

20.  Переченьактуальных и неактуальных угроз безопасности приведен в таблице№ 4.

Таблица № 4

21.  В случаеподключения ИСПДн к локальным вычислительным сетям,имеющим подключения к сетям общего пользования и (или) сетям международногоинформационного обмена, актуальными и неактуальными являютсядополнительные угрозы безопасности, указанные в таблице № 5.

Таблица№ 5

22. В случаеиспользования для защиты персональных данных СКЗИ актуальными и неактуальными являются дополнительные угрозы безопасности,указанные в таблице № 6.

Таблица № 6

23. Актуальные угрозыбезопасности ИСПДн обеспечения типовой деятельности.

1)  ИСПДн обеспечения типовой деятельности отличаютсяследующимиособенностями:

использованиемстандартных (унифицированных) технических средств обработки информации;

использованием типовогоПО;

наличием незначительногоколичества АРМ, участвующих в обработке ПДн;

дублированиеминформации, содержащей ПДн, на бумажныхносителяхи на магнитных накопителях информации (далее – МНИ);

незначительныминегативными последствиями для субъектов ПДн приреализации угроз безопасности ИСПДн;

эксплуатацией ИСПДн сотрудниками государственных органов без привлеченияна постоянной основе сторонних организаций;

жесткой регламентациейпроцедуры взаимодействия со сторонними организациями (банки, пенсионные,страховые и налоговые органы, органы статистики);

2) актуальными угрозамибезопасности ПДн в ИСПДнобеспечения типовой деятельности в государственных органах являются:

кража носителейинформации;

кража ключейи атрибутов доступа;

вывод из строяузлов ПЭВМ, каналов связи;

несанкционированноеотключение средств защиты;

утрата ключейи атрибутов доступа;

непреднамереннаямодификация (уничтожение) информации сотрудниками;

непреднамеренноеотключение средств защиты;

выход из строяаппаратно-программных средств;

разглашение информации,модификация, уничтожение сотрудниками, допущенными к ее обработке.

24.  Актуальныеугрозы безопасности ПДн в ИСПДнобеспечения специальной деятельности.

1)  ИСПДн обеспечения специальной деятельности отличаютсяследующимиособенностями:

использованиемширокой номенклатуры технических средств получения, отображенияи обработки информации;

использованиемспециального ПО;

наличием значительногоколичества АРМ, участвующих в обработке ПДн;

построением ИСПДнна базе распределенной по территории Архангельской областивычислительной сети со сложной архитектурой;

наличием подключенийк сетям связи общего пользования и (или) международного информационногообмена;

использованиемразнообразной телекоммуникационной инфраструктуры, принадлежащей различным операторамсвязи;

широким применениемсредств защиты информации, включая сертифицированные СКЗИ;

использованием аутсорсинга при создании и эксплуатации ИСПДни ее элементов;

сложностьюс дублированием больших массивов информации, содержащей ПДн,на бумажных носителях и МНИ;

значительныминегативными последствиями при реализации угроз безопасности ИСПДн;

недостаточнойквалификацией пользователей и обслуживающего ИСПДн и средства защитыинформации персонала;

проблемамивзаимодействия различных ИСПДн, вызванныхнесовершенствомзаконодательства Российской Федерации;

2) актуальными угрозамибезопасности ПДн в ИСПДнобеспечения специальной деятельности в государственных органах являются:

кража носителейинформации;

кража ключейи атрибутов доступа;

вывод из строяузлов ПЭВМ, каналов связи;

несанкционированное отключениесредств защиты;

утрата ключейи атрибутов доступа;

непреднамереннаямодификация (уничтожение) информации сотрудниками;

непреднамеренноеотключение средств защиты;

выход из строяаппаратно-программных средств;

разглашение информации,модификация, уничтожение сотрудниками, допущенными к ее обработке;

угроза «Анализ сетевоготрафика» с перехватом передаваемой из ИСПДни принимаемой из внешних сетей информации;

угрозы сканирования,направленные на выявление типа или типов используемых операционных систем,сетевых адресов рабочих станций ИСПДн, топологиисети, открытых портов и служб, открытых соединений;

угрозы выявления паролейпо сети;

угрозы навязыванияложного маршрута сети;

угрозы подменыдоверенного объекта в сети;

угрозы внедрения ложногообъекта как в ИСПДн, так и во внешних сетях;

угрозы типа «Отказв обслуживании»;

угрозы удаленногозапуска приложений;

угрозы внедренияпо сети вредоносных программ;

совершение атаки свиртуальной машины на другую виртуальную машину;

совершениеатаки на систему управления виртуальной инфраструктурой;

подготовкаи проведение атак без привлечения специалистов в области разработкии анализа СКЗИ;

проведение атакинарушителем вне КЗ;

проведение атакна этапе эксплуатации СКЗИ:

а)  на персональные данные;

б)  наключевую, аутентифицирующую и парольную информацию СКЗИ;

в)  на программные компоненты СКЗИ;

г)  на аппаратные компоненты СКЗИ;

д)  на программные компонентыСФ, включая программное обеспечение BIOS;

е)  на аппаратные компоненты СФ;

ж)  на данные, передаваемые по каналамсвязи;

получениеиз находящихся в свободном доступе источников (включая информационно-телекоммуникационные сети, доступ ккоторым не ограничен определеннымкругом лиц, в том числе информационно-телекоммуникационную сеть«Интернет») информации об ИС, в которой используется СКЗИ;

применение:

а) находящихсяв свободном доступе или используемых за пределами контролируемой зоныАС и ПО, включая аппаратные и программные компоненты СКЗИи СФ;

б)  специально разработанных АС и ПО;

использованиена этапе эксплуатации в качестве среды переноса от субъекта к объекту (от объектак субъекту) атаки действий, осуществляемых при подготовке и (или)проведении атаки:

а)  каналовсвязи, не защищенных от несанкционированного доступак информации организационными и техническими мерами;

б)  каналовраспространения сигналов, сопровождающих функционирование СКЗИ и СФ;

проведение на этапеэксплуатации атаки из информационно-телекоммуникационныхсетей, доступ к которым не ограничен определенным кругом лиц, если ИС,в которых используются СКЗИ, имеют выход в эти сети;

использование на этапеэксплуатации находящихся за пределами контролируемой зоны АС и ПО изсостава средств ИС, применяемых на местах эксплуатации СКЗИ.

_____________