Постановление Правительства Ленинградской области от 26.12.2017 № 615

 

ПравительствоЛенинградской области

 

постановление

 

 

 

от 26 декабря 2017 года № 615

 

 

 

Об определении угроз безопасности персональных данных, актуальных при их обработке в государственных информационных системах персональных данных Ленинградской области

 

 

В соответствии с частью 5 статьи 19 Федеральногозакона от 27 июля 2006 года № 152-ФЗ "О персональных данных"Правительство Ленинградской области постановляет:

Определить угрозы безопасности персональных данных,актуальные при их обработке в государственных информационных системахперсональных данных Ленинградской области, согласно приложению.

 

 

Губернатор Ленинградской области

А.Дрозденко

 

 

 

ОПРЕДЕЛЕНЫ

постановлением Правительства

Ленинградской области

от 26 декабря 2017 года № 615)

(приложение)

 

 

 

УГРОЗЫ

безопасностиперсональных данных, актуальные при их обработке в государственныхинформационных системах персональных данных Ленинградской области

 

Настоящий документ определяетперечень угроз безопасности персональных данных, актуальных при их обработке вгосударственных информационных системах персональных данных Ленинградскойобласти.

Внастоящем документе используются термины и понятия, установленные Федеральнымзаконом от 27 июля 2006 года № 152-ФЗ "О персональных данных",постановлением Правительства Российской Федерации от 1 ноября 2012 года№ 1119 "Об утверждении требований к защите персональных данных при ихобработке в информационных системах персональных данных" (далее –Требования к защите персональных данных), Методикой определения актуальныхугроз безопасности персональных данных, утвержденной заместителем директораФедеральной службы по техническому и экспортному контролю от 14 февраля 2008года, Методическими рекомендациями по разработке нормативных правовых актов,определяющих угрозы безопасности персональных данных, актуальные при обработкеперсональных данных в информационных системах персональных данных,эксплуатируемых при осуществлении соответствующих видов деятельности,утвержденными ФСБ России 31 марта 2015 года № 149/7/2/6-432.

Подактуальными угрозами безопасности персональных данных при их обработке винформационных системах персональных данных Ленинградской области понимается совокупностьусловий и факторов, создающих актуальную опасность несанкционированного, в томчисле случайного, доступа к персональным данным при их обработке винформационной системе, результатом которого могут стать уничтожение,изменение, блокирование, копирование, предоставление, распространениеперсональных данных, а также иные неправомерные действия (далее – угрозыбезопасности).

 

1. Информационные системы

 

Органамиисполнительной власти Ленинградской области с целью исполнения государственныхфункций создаются и эксплуатируются информационные системы персональных данных(далее – ИСПДн).

Учети регистрация ИСПДн Ленинградской области осуществляется в соответствии спостановлением Правительства Ленинградской области от 23 мая2006 года № 156 "Об утверждении Положения о порядке учета ирегистрации государственных информационных ресурсов и информационных системЛенинградской области" в Едином реестре государственных информационныхресурсов и информационных систем Ленинградской области.

ВИСПДн Ленинградской области обрабатываются специальные, биометрические,общедоступные и иные категории персональных данных работников органовгосударственной власти Ленинградской области и иных субъектов персональныхданных.

Всоответствии с Требованиями к защите персональных данных для ИСПДнЛенинградской области рассматриваются:

угрозывторого типа, актуальные для информационных систем, если для них в том числеактуальны угрозы, связанные с наличием недокументированных (недекларированных)возможностей (далее – НДВ) в прикладном программном обеспечении, используемом винформационной системе;

угрозы третьего типа, актуальные дляинформационных систем, если для них актуальны угрозы, не связанные с наличиемНДВ в системном и прикладном программном обеспечении, используемом в информационнойсистеме.

Необходимостьобеспечения защиты персональных данных в ИСПДн Ленинградской областирассматривается до второго уровня защищенности включительно.

 

2. Структура

 

ИСПДнЛенинградской области являются региональными, территориально-распределеннымисистемами, по характеру содержания и технологии обработки данных относятся коднотипным и разноплановым системам.

Хранилища(носители) баз данных ИСПДн размещаются в зданиях органов государственнойвласти и органов местного самоуправления Ленинградской области,подведомственных им организациях, расположенных на территории Санкт-Петербургаи Ленинградской области, а также, при условии заключения государственныхконтрактов (соглашений, договоров), в иных организациях на территорииРоссийской Федерации.

Взаимодействиетерриториальных распределенных сегментов ИСПДн осуществляется посредствомпроводных каналов связи и каналов подвижной сотовой связи.

ПользователямиИСПДн являются государственные и муниципальные органы Ленинградской области.

 

3. Угрозы безопасностиперсональных данных, актуальные при их обработке в информационных системахперсональных данных

 

3.1. Факторы, воздействующие на безопасностьинформации

Факторы, воздействующие на безопасность информации винформационных системах (факторы угроз), по характеру возникновенияподразделяются на объективные и субъективные, по отношению к объектаминформатизации – на внешние и внутренние.

Объективные(естественные) факторы угроз – физические процессы или стихийные природныеявления, не зависящие от человека (пожары, наводнения, ураганы, землетрясения ит.п.), приводящие к угрозе безопасности информации.

Субъективные(искусственные) факторы угроз – преднамеренно или непреднамеренно совершаемыедействия, приводящие к нарушениям безопасности информации.

Квнешним факторам угроз относятся стихийные бедствия, техногенные катастрофы,возникающие за пределами контролируемой территории, на которой размещеныобъекты информатизации, и (или) субъекты, которые не связаны с защищаемойинформацией, но могут нарушить или нарушают состояние ее безопасности.

Квнутренним факторам угроз относятся техногенные аварии, которые возникают натерритории объекта защиты (отказы и сбои технических средств жизнеобеспечения(электропитание, водоснабжение, климатическое обеспечение и т.п.), лица,которые своими действиями (бездействием) могут нарушить или нарушают состояниеинформационной безопасности на территории объекта защиты.

Кфакторам угроз безопасности информации (персональных данных) в ИСПДн относятсяобъективные внутренние факторы – дефекты, сбои и отказы, аварии техническихсредств и систем объектов информатизации, субъективные внешние и внутренниефакторы угроз безопасности информации – неправомерные действия нарушителей,ошибки пользователей и обслуживающего персонала.

3.2. Актуальные угрозыбезопасности

К угрозам безопасностиперсональных данных при их обработке в информационных системах персональныхданных Ленинградской области относятся:

выходиз строя аппаратно-программных средств;

а)угрозы, связанные с действиями нарушителей, имеющих доступ к ИСПДн, включаяпользователей ИСПДн:

угрозапреднамеренного физического вывода из строя средств вычислительной техники,каналов связи,

угроза несанкционированного доступа к машиннымносителям и хранящейся на них конфиденциальной информации,

угроза перехвата паролей илиидентификаторов,

угроза модификации базовойсистемы ввода/вывода (BIOS),

угроза перехвата управлениязагрузкой,

угрозы выполнениянесанкционированного доступа с применением стандартных функций (уничтожение,копирование, перемещение, форматирование носителей информации и т.п.)операционной системы, прикладного программного обеспечения (далее – ПО),специально созданных для выполнения НСД программ (программ просмотра имодификации реестра, поиска текстов в текстовых файлах и т.п.),

угрозы внедрения вредоносныхпрограмм с отчуждаемых носителей,

несанкционированноеподключение модемов;

б) угрозы, реализуемые сиспользованием протоколов межсетевого взаимодействия из внешних сетей (в томчисле по каналам подвижной сотовой связи):

угрозы анализа сетевоготрафика с перехватом передаваемой из ИСПДн и принимаемой в ИСПДн из внешнихсетей информации,

угрозы сканирования,направленные на выявление типа или типов используемых операционных систем,сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб,открытых соединений и др.,

угрозы внедрения ложногообъекта как в ИСПДн, так и во внешних сетях,

угрозы подмены доверенногообъекта,

угрозы навязывания ложногомаршрута путем несанкцио- нированного изменения маршрутно-адресных данных каквнутри сети, так и во внешних сетях,

несанкционированноеподключение средств удаленного администрирования,

угрозы выявления паролей,

угрозы типа "Отказ вобслуживании",

угрозы удаленного запускаприложений,

угрозы внедрения вредоносныхпрограмм по сети;

в)угрозы, связанные с использованием технологии виртуализации:

угрозаатаки на активное и/или пассивное виртуальное и/или физическое сетевоеоборудование из физической и/или виртуальной сети,

угрозаатаки на виртуальные каналы передачи,

угрозаатаки на гипервизор из виртуальной машины и/или физической сети,

угрозаатаки на защищаемые виртуальные устройства из виртуальной и/или физическойсети,

угрозаатаки на защищаемые виртуальные машины из виртуальной и/или физической сети,

угрозаатаки на систему хранения данных из виртуальной и/или физической сети,

угрозавыхода процесса за пределы виртуальной машины,

угрозанесанкционированного доступа к данным за пределами зарезервированного адресногопространства, в том числе выделенного под виртуальное аппаратное обеспечение,

угрозанарушения изоляции пользовательских данных внутри виртуальной машины,

угрозанарушения процедуры аутентификации субъектов виртуального информационноговзаимодействия,

угрозаперехвата управления гипервизором,

угрозаперехвата управления средой виртуализации,

угрозанеконтролируемого роста числа виртуальных машин,

угрозанеконтролируемого роста числа зарезервированных вычислительных ресурсов,

угрозанарушения технологии обработки информации путем несанкционированного внесенияизменений в образы виртуальных машин,

угрозанесанкционированного доступа к хранимой в виртуальном пространстве защищаемойинформации,

угрозаошибок обновления гипервизора;

г)угрозы, связанные с использованием средств защиты информации:

угрозанарушения технологического/производственного процесса из-за задержек, вносимыхсредством защиты,

угрозанесанкционированного изменения параметров настройки средств защиты информации,

угрозанесанкционированного воздействия на средство защиты информации.

3.3. Совокупность предположений о возможностях,которые могут использоваться при создании способов, подготовке и проведениицеленаправленных действий с использованием аппаратных и (или) программныхсредств с целью нарушения безопасности защищаемых средствами криптографическойзащиты информации (далее – СКЗИ) персональных данных или создания условий дляэтого

Совокупностьпредположений о возможностях, которые могут использоваться при созданииспособов, подготовке и проведении атак, содержит систему взглядов напотенциальных нарушителей безопасности информации, обрабатываемой винформационных системах, причины и мотивацию их действий, преследуемые ими целии общий характер действий в процессе подготовки и совершения воздействия наинформацию.

Вкачестве обобщенных возможностей источников атак на информационные системырассматриваются:

возможностьсамостоятельно осуществлять создание способов атак, подготовку и проведениеатак только за пределами контролируемой зоны;

возможностьсамостоятельно осуществлять создание способов атак, подготовку и проведениеатак в пределах контролируемой зоны, но без физического доступа к аппаратнымсредствам, на которых реализованы СКЗИ и среда их функционирования;

возможностьсамостоятельно осуществлять создание способов атак, подготовку и проведениеатак в пределах контролируемой зоны с физическим доступом к аппаратнымсредствам, на которых реализованы СКЗИ и среда их функционирования;

возможность привлекатьспециалистов, имеющих опыт разработки и анализа СКЗИ (включая специалистов вобласти использования для реализации атак недокументированных возможностейприкладного программного обеспечения).

При выборе СКЗИ дляинформационных систем рассматриваются следующие возможности создания способовподготовки и проведения атак:

а)создание способов, подготовка и проведение атак без привлечения специалистов вобласти разработки и анализа СКЗИ;

б)создание способов, подготовка и проведение атак на различных этапах жизненногоцикла СКЗИ;

в)проведение атаки, находясь вне контролируемой зоны;

г)проведение на этапах разработки (модернизации), производства, хранения,транспортировки СКЗИ и на этапе ввода в эксплуатацию СКЗИ (пусконаладочныеработы) следующих атак:

внесениенесанкционированных изменений в СКЗИ и (или) в компоненты аппаратных ипрограммных средств, совместно с которыми штатно функционируют СКЗИ, и всовокупности представляющие среду функционирования СКЗИ (далее – компонентыСФ), которые способны повлиять на выполнение предъявляемых к СКЗИ требований, втом числе с использованием вредоносных программ,

внесениенесанкционированных изменений в документацию на СКЗИ и компоненты СФ;

д)проведение атак на этапе эксплуатации СКЗИ на:

персональныеданные,

ключевую,аутентифицирующую и парольную информацию СКЗИ,

программныекомпоненты СКЗИ,

аппаратныекомпоненты СКЗИ,

программныекомпоненты СФ, включая программное обеспечение BIOS ,

аппаратныекомпоненты СФ,

данные,передаваемые по каналам связи,

иныеобъекты, которые установлены при формировании совокупности предположений овозможностях, которые могут использоваться при создании способов, подготовке ипроведении атак с учетом применяемых в информационной системе информационныхтехнологий, аппаратных средств и программного обеспечения;

е)получение из находящихся в свободном доступе источников (включаяинформационно-телекоммуникационные сети, доступ к которым не ограниченопределенным кругом лиц, в том числе информационно-телекоммуникационную сеть"Интернет") информации об информа-ционной системе, в которойиспользуется СКЗИ. При этом может быть получена следующая информация:

общиесведения об информационной системе, в которой используется СКЗИ (назначение,состав, оператор, объекты, в которых размещены ресурсы информационной системы),

сведенияоб информационных технологиях, базах данных, аппаратных средствах, ПО,используемых в ИСПДн совместно с СКЗИ, за исключением сведений, содержащихсятолько в конструкторской документации на информационные технологии, базыданных, аппаратные средства, ПО, используемые в информационной системесовместно с СКЗИ,

содержаниеконструкторской документации на СКЗИ,

содержаниенаходящейся в свободном доступе документации на аппаратные и программныекомпоненты СКЗИ и СФ,

общиесведения о защищаемой информации, используемой в процессе эксплуатации СКЗИ,

сведенияо каналах связи, по которым передаются защищаемые СКЗИ персональные данные(далее – канал связи),

всевозможные данные, передаваемые в открытом виде по каналам связи, не защищеннымот несанкционированного доступа к информации организационными и техническимимерами,

сведенияобо всех проявляющихся в каналах связи, не защищенных от несанкционированногодоступа к информации организационными и техническими мерами, нарушениях правилэксплуатации СКЗИ и СФ,

сведенияобо всех проявляющихся в каналах связи, не защищенных от несанкционированногодоступа к информации организационными и техническими мерами, неисправностях исбоях аппаратных компонентов СКЗИ и СФ,

сведения,получаемые в результате анализа любых сигналов от аппаратных компонентов СКЗИ иСФ;

ж)применение:

находящихсяв свободном доступе или используемых за пределами контролируемой зоныаппаратных средств и ПО, включая аппаратные и программные компоненты СКЗИ и СФ,

специальноразработанных аппаратных средств и ПО;

з)использование на этапе эксплуатации в качестве среды переноса от субъекта кобъекту (от объекта к субъекту) атаки действий, осуществляемых при подготовке и(или) проведении атаки:

каналовсвязи, не защищенных от несанкционированного доступа к информацииорганизационными и техническими мерами,

каналовраспространения сигналов, сопровождающих функцио-нирование СКЗИ и СФ;

и)проведение на этапе эксплуатации атаки из информационно-телекоммуникационныхсетей, доступ к которым не ограничен определенным кругом лиц, еслиинформационные системы, в которых используются СКЗИ, имеют выход в эти сети;

к)использование на этапе эксплуатации находящихся за пределами контролируемойзоны аппаратных средств и ПО из состава средств информационной системы,применяемых на местах эксплуатации СКЗИ (далее – штатные средства);

л)проведение атаки при нахождении в пределах контроли- руемой зоны;

м)проведение атак на этапе эксплуатации СКЗИ на следующие объекты:

документациюна СКЗИ и компоненты СФ,

служебныепомещения, в которых находится совокупность программных и технических элементовсистем обработки данных, способных функционировать самостоятельно или в составедругих систем, на которых реализованы СКЗИ и компоненты СФ (далее – СВТ);

н)получение в рамках предоставленных полномочий, а также в результате наблюденийследующей информации:

сведенийо физических мерах защиты объектов, в которых размещены ресурсы информационнойсистемы,

сведенийо мерах по обеспечению контролируемой зоны объектов, в которых размещеныресурсы информационной системы,

сведенийо мерах по разграничению доступа в служебные помещения, в которых находятсяСВТ, на которых реализованы СКЗИ и СФ;

о)использование штатных средств, ограниченное мерами, реализованными винформационной системе, в которой используется СКЗИ, и направленными напредотвращение и пресечение несанкционированных действий;

п)физический доступ к СВТ, на которых реализованы СКЗИ и СФ;

р)возможность располагать аппаратными компонентами СКЗИ;

с)создание способов, подготовка и проведение атак с привлечением специалистов вобласти анализа сигналов, сопровождающих

функционированиеСКЗИ и СФ, и в области использования для реализации атак НДВ прикладного ПО;

т)проведение лабораторных исследований СКЗИ, используемых вне контролируемойзоны, ограниченное мерами, реализованными в информационной системе, в которойиспользуется СКЗИ, и направленными на предотвращение и пресечение несанкционированныхдействий;

у)проведение работ по созданию способов и средств атак в научно-исследовательскихцентрах, специализирующихся в области разработки и анализа СКЗИ и СФ, в томчисле с использованием исходных текстов входящего в СФ прикладного ПО, непосредственноиспользующего вызовы программных функций СКЗИ.

3.4. Иные угрозы безопасности информации

Возникновение угроз утечки акустической (речевой)информации, содержащейся непосредственно в произносимой речи, нерассматривается в связи с отсутствием необходимости голосового вводаперсональных данных в информационные системы и функций воспроизведенияперсональных данных акустическими средствами.

Реализацияугрозы утечки видовой информации возможна за счет просмотра информации спомощью оптических (оптоэлектронных) средств с экранов дисплеев и другихсредств отображения средств вычислительной техники,информационно-вычислительных комплексов, технических средств обработкиграфической, видео- и буквенно-цифровой информации информационных систем.

Угрозыутечки информации по каналам побочных электромагнитных излучений и наводок втехнических средствах, проводах, кабелях и иных токопроводящих коммуникациях иконструкциях информационных систем, вызванные побочными и/или паразитнымиэлектромагнитными излучениями, несущими информацию, не рассматриваются в связис необоснованными затратами применения таких способов по отношению к ихэффективности.

Угрозы пер сональных данных, связанныес наличием НДВ в системном программном обеспечении, также не рассматриваются в силуследующих причин:

информация,обрабатываемая в информационных системах Ленинградской области, не представляетценности для разработчиков программного обеспечения (стоимость информации несопоставима с потерями разработчиков программного обеспечения, в случаереализации такой угрозы);

закупкапрограммного обеспечения осуществляется для информа-ционных системЛенинградской области таким образом, что разработчикам программного обеспеченияневозможно определить, в каких именно информационных системах будетиспользоваться

закупаемоепрограммное обеспечение, а следовательно, и внедрить в программное обеспечениесоответствующие НДВ;

длязащиты информации в информационных системах используются средства защиты,прошедшие в установленном порядке, в соответствии с законодательствомРоссийской Федерации, процедуру оценки соответствия требованиям безопасностиинформации.

 

4. Моделирование угроз безопасности информации

 

Дляинформационных систем Ленинградской области разрабатываются частные моделиугроз безопасности информации с учетом обязательных требований законодательстваРоссийской Федерации, руководящих документов и рекомендаций уполномоченных вданной сфере органов исполнительной власти.

Взависимости от характера и условий обработки персональных данных в информационныхсистемах перечисленные угрозы могут быть дополнены или урезаны, при условииналичия факторов, обеспечивающих их нейтрализацию.

 

5. Меры по защите информации

 

Организационныемеры по обеспечению безопасности информации направлены на исключение илисущественное затруднение физического доступа посторонних лиц к носителяминформации и техническим средствам ее обработки с целью предотвращения иххищения, нарушения функционирования или разрушения, а также предусматриваютмероприятия по предупреждению и ликвидации последствий объективных внутреннихугроз, связанных с пожарами, затоплениями, иными авариями на территорииразмещения объекта защиты.

Длязащиты от объективных внутренних угроз применяются противопожарные системы,системы бесперебойной подачи электроэнергии, иные аналогичные системы, а такжепредусматривается резервирование технических средств, выход из строя которыхбудет являться критичным для выполняемых информационных процессов.

Предотвращениефизического доступа посторонних лиц к объектам информатизации обеспечиваетсяустановкой прочных дверей, надежных замков, при необходимости – решеток наокнах, устройством пропускных пунктов, применением систем охраннойсигнализации, систем видеонаблюдения, автоматизированных систем контроляуправлением доступа в здание, в помещения.

Организационно-техническиемеры по обеспечению безопасности информации направлены на предотвращениедоступа к ней посторонних лиц и предупреждение преднамеренных программных итехнических воздействий с целью неправомерного искажения, блокирования илиуничтожения в процессе ее производства, сбора, хранения, обработки, передачи сиспользованием средств вычислительной техники, а также предотвращение нарушенияфункционирования технических средств.

Выполнениеорганизационно-технических мер по безопасности информации реализуется с помощьюприменения технических средств ее защиты.

Ктехническим средствам защиты информации относятся средства и системыантивирусной защиты информации, разграничения доступа, обнаружения вторжений,анализа защищенности, анализа уязвимостей, резервного копирования, межсетевыеэкраны, виртуальные вычислительные сети, иные.

Длянейтрализации возможных угроз безопасности информации с помощью техническихсредств выполняются следующие мероприятия:

идентификацияи аутентификация субъектов доступа и объектов доступа;

управлениедоступом субъектов доступа к объектам доступа;

ограничениепрограммной среды;

защитамашинных носителей информации;

регистрациясобытий безопасности;

обнаружение(предотвращение) вторжений;

контроль(анализ) защищенности информации;

обеспечениецелостности информационной системы и информации;

обеспечениедоступности информации;

защитасреды виртуализации;

защитатехнических средств;

защитаинформационной системы, ее средств, систем связи и передачи данных;

проведениеработ по подбору персонала;

доступв контролируемую зону, где располагаются СВТ, документация на СКЗИ и компонентыСФ, обеспечивается в соответствии с контрольно-пропускным режимом;

представителитехнических, обслуживающих и других вспомогательных служб при работе впомещениях (стойках), где расположены СВТ, и сотрудники, не являющиесяпользователями СКЗИ, находятся в этих помещениях только в присутствиисотрудников по эксплуатации;

сотрудники,являющиеся пользователями информационных систем, но не являющиесяпользователями СКЗИ, информированы о правилах работы в информационных системахи ответственности за несоблюдение правил обеспечения безопасности информации;

пользователиСКЗИ информированы о правилах работы в информационных системах, правилах работыс СКЗИ и ответственности за несоблюдение правил обеспечения безопасностиинформации;

утвержденыправила доступа в помещения, где располагаются СВТ, документация на СКЗИ икомпоненты СФ, в рабочее и нерабочее время, а также в нештатных ситуациях;

осуществляетсярегистрация и учет действий пользователей с персональными данными;

осуществляетсяконтроль целостности средств защиты; на автоматизированных рабочих местах исерверах, на которых установлены СКЗИ:

используютсясертифицированные средства антивирусной защиты информации;

документацияна СКЗИ хранится у ответственного за СКЗИ в металлическом сейфе;

служебныепомещения, в которых располагаются СВТ, документация на СКЗИ и компоненты СФ,оснащены входными дверьми с замками, обеспечивается постоянное закрытие дверейпомещений на замок и их открытие только для санкционированного прохода;

утвержденперечень лиц, имеющих право доступа в служебные помещения, в которыхрасполагаются СВТ, документация на СКЗИ и компоненты СФ;

осуществляетсяразграничение и контроль доступа пользователей к защищаемым ресурсам;

расположениесредств визуализации информационных систем существенно затрудняющее илиисключающее просмотр информации не допущенным к ней лицам.

Уточненныемеры по обеспечению безопасности информации формируются в зависимости от угроз,рассматриваемых для конкретных информационных систем, и отражаются вовнутренних организационно-распорядительных документах операторов персональныхданных.