Файл: Модель угроз безопасности информации испдн Студенты Содержание.docx

УТВЕРЖДАЮ

Ректор СГУ им. Питирима Сорокина

_______ «___» ______________20__г.


Модель угроз безопасности информации

«ИСПДН «Студенты»

Содержание

Общие положения

Модель угроз ИСПДн «Студенты» безопасности ПДн составляет основу для планирования и осуществления мероприятий, направленных на обеспечение безопасности ПДн при их обработке в информационных системах персональных данных и определения уровня защищенности ПДн в ИСПДн.

Модель угроз учитывает требования следующих законодательных актов и нормативно-методических документов:

1. 
   Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
   
2. 
   Постановление Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
   
3. 
   Приказ ФСТЭК России от 11 февраля 2013 г. N 17
   
4. 
   Методика оценки угроз безопасности информации. Утвержден ФСТЭК России 5 февраля 2021 г.
   

Обладателями защищаемой информации являются студенты СГУ им. Питирима Сорокина. Операторами систем и сетей назначаются наиболее ответственные из числа сотрудников университета.

Обеспечение защиты информации (безопасности) систем и сетей обеспечивает подразделение защиты персональных данных, в частности должностные лица:

• 
  Начальник отдела защиты информации – Петров П.П.
  
• 
  Заместитель начальника отдела защиты информации – Сидоров С.С.
  
• 
  Старший сотрудник отдела защиты информации – Иванов И.И.
  

Для разработки модели угроз безопасности информации привлекалась компания ООО «Рыжий лис».

5. 
   
   

Описание систем и сетей и их характеристика как объектов защиты

---

ИСПДн «Студенты» является кампусной многопользовательской системой с разграничением прав доступа пользователей, состоящей из множества АРМ, предназначенных как для локальной работы, так и для удаленного доступа к централизованным системам. С АРМ пользователей есть ограниченный доступ в сеть Интернет.

АРМ пользователей включены в домен (локальный домен ОО или поддомен общего домена Департамента образования и науки Республики Коми, в других используются локальные персонифицированные учетные записи. Заведение локальных учетных записей и учетных записей домена ОО осуществляет работник ОО (инженер по автоматизации, техник).

Аутентификация и авторизация пользователей при входе в АРМ осуществляется локально или на уровне домена. Пароль устанавливается новым пользователем АРМ при входе в операционную систему (далее  ОС) под созданной для него учетной записью. При первичном входе в ОС пользователям необходимо поменять пароль. Пароль, как правило, должен отвечать требованиям сложности (не менее 6 буквенно-цифровых символов).

Для доступа к централизованным системам используются учетные записи систем, предоставленные организациями, осуществляющими администрирование соответствующих систем.

Защита АРМ пользователей осуществляется штатными средствами ОС и средствами антивирусной защиты (как правило, но не на всех АРМ).

К программным средствам относятся средства антивирусной защиты, программные межсетевые экраны, контент-фильтры. Используются лицензионные средства защиты, предоставленные Департаментом образования и науки города Москвы, или свободно распространяемые программы.

Журналирование событий на АРМ не регламентировано.

Пароль на внесение изменений в базовую систему ввода/вывода (далее  BIOS)
ИСПДн «Студенты» пользователей состоит из пользовательских рабочих станций, которые имеют доступ к обработке ПДн в следующих ИС:

6. 
   АИС «Зачисление в образовательную организацию»;
   
7. 
   АИС «Зачисление в Профтех»;
   
8. 
   УАИС «Бюджетный учет»;
   
9. 
   Единый сервис записи;
   
10. 
    ИС «Проход и питание»;
    
11. 
    ИАС МРКО ЭЖД;
    
12. 
    Электронный журнал;
    
13. 
    АИС «Олимпиада»;
    
14. 
    ведомственная электронная почта;
    
15. 
    официальный сайт ОО.
    

АРМ используются для исполнения должностных обязанностей персоналом ОО и контрактных обязательств работниками подрядных организаций. АРМ пользователей расположены во всех отделениях (корпусах) ОО.

---

Для внутренних целей в ОО могут использоваться различные локальные ИС, например, файловый сервер и сервер службы каталогов. Серверы локальных ИС могут располагаться как в одном из отделений (корпусов) ОО, так и во всех отделениях (корпусах) ОО.

Возможные негативные последствия от реализации (возникновения) угроз безопасности информации

Описание видов рисков (ущербов), актуальных для обладателя информации, оператора, которые могут наступить от нарушения или прекращения основных процессов, а также описание негативных последствий представлены в таблице 1:

Таблица 1. Виды риска и возможные негативные последствия.

№	Виды риска (ущерба)	Причины возникновения риска	Возможные негативные последствия
1	Ущерб физическому лицу	Несанкционированный доступа к средствам обработки ПДн студентов Негласное получение информации с помощью специальных технических средств Вредоносное программное обеспечение	Нарушение конфиденциальности (утечка) персональных данных. Угроза жизни или здоровью. Унижение достоинства личности. Нарушение свободы, личной неприкосновенности. Нарушение неприкосновенности частной жизни. Нарушение личной, семейной тайны, утрата чести и доброго имени
2	Риски университета.	Физическое уничтожение или порча имущества университета. Отказ в обслуживании веб-приложения Модификация информации и отправка электронных писем с недостоверной информацией Несанкционированный доступа к средствам обработки ПДн студентов Негласное получение информации с помощью специальных технических средств Вредоносное программное обеспечение	Необходимость дополнительных (незапланированных) затрат на выплаты штрафов (неустоек) или компенсаций. Необходимость дополнительных (незапланированных) затрат на закупку товаров, работ или услуг (в том числе закупка программного обеспечения, технических средств, вышедших из строя, замена, настройка, ремонт указанных средств). Необходимость дополнительных (незапланированных) затрат на восстановление деятельности. Неспособность выполнения договорных обязательств. Снижение престижа. Дискредитация работников. Простой информационной системы или сети
3	Ущерб государству	Использование средств оповещения института с целью создания паники. Получение доступа к веб-ресурсам университета и последующая дискредитация власти. Вывод из строя всей информационной системы института. Физическое уничтожение информационной инфраструктуры.	Публикация недостоверной социально значимой информации на веб-ресурсах, которая может привести к социальной напряженности, панике среди населения и др. Прекращение или нарушение функционирования университета в части невыполнения возложенной на него функции. Возникновение ущерба бюджетам Российской Федерации.

---

Возможные объекты воздействия угроз безопасности информации

К возможным объектам воздействия угроз безопасности относятся:

1. 
   Веб-приложение университета- предназначена для предоставления информации гражданам.
   
2. 
   Сервер баз данных портала- хранение логинов и паролей студентов университета, администраторов приложения и другой необходимой информации.
   
3. 
   АРМ оператора- предназначена для выполнения должностных обязательств, в частности обработка ПДн студентов.
   
4. 
   АРМ пользователя- рабочие станции для обучения студентов.
   
5. 
   Локальная сеть оператора института- предназначена для оптимизации работы в рамках одного института, объединяет рабочие кабинеты операторов.
   
6. 
   Локальная сеть института, предназначенная для студентов- необходима для оптимизации обучения в рамках одного института, объединяет учебные аудитории.
   
7. 
   Централизованная сеть университета- связывает институты в единую информационную систему.
   

Виды воздействия относительно объектов представлены в таблице 2:
Таблица 2. Объекты воздействия и виды воздействия на них.

Объекты воздействия	Виды воздействия
Веб-приложение университета	Отказ в обслуживании веб-приложения Внедрение вредоносного программного обеспечения Несанкционированный доступ посторонних лиц и последующая модификация или удаление информации информации
Сервер баз данных портала	Отказ в обслуживании веб-приложения Подмена информации в базах данных на недостоверную Утечка персональных данных студентов
АРМ оператора	Модификация информации и отправка электронных писем с недостоверной информацией Кража персональных данных Физические повреждения
АРМ пользователя	Внедрение вредоносного кода с целью проникновения во внутреннюю сеть оператора Физические повреждения Оставление технических устройств негласного получения информации Физические повреждения
Локальная сеть оператора института	Модификация информации Внедрение вредоносного программного обеспечения Оставление технических устройств негласного получения информации Кража персональных данных Физические повреждения
Локальная сеть института предназначенная для студентов	Внедрение вредоносного кода с целью проникновения во внутреннюю сеть оператора Оставление технических устройств негласного получения информации Физические повреждения
Централизованная сеть университета	Модификация информации Внедрение вредоносного программного обеспечения Физические повреждения

---

Источники угроз безопасности информации

В таблице 3 представлены виды нарушителей (их категория и уровень возможностей), которые могут являться источниками угроз безопасности информации, и возможные цели реализации ими угроз безопасности информации, также описаны возможности нарушителей.
Таблица 3. Источники угроз безопасности информации

Вид нарушителя	Категории нарушителя	Уровень возможностей	Возможные цели реализации угроз безопасности информации	Возможности нарушителей применительно к назначению, составу и архитектуре систем и сетей
Специальные службы иностранных государств	Внешний	4	Получение ПДн студентов и направления их подготовки Срыв заключения международных договоров Публикация недостоверной социально значимой информации на веб-ресурсах Получение ПДн студентов и направление их подготовки	Возможность внедрения вредоносного кода, технических устройств негласного получения информации, Несанкциони-рованный доступ Подкуп сотрудника
Преступные группы (криминальные структуры)	Внешний	3	Получение финансовой или иной материальной выгоды Желание самореализации (подтверждение статуса)	Кража средств обработки ПДн, Несанкциониро-ванный доступ Подкуп сотрудника
Отдельные физические лица (хакеры)	Внешний	2	Получение финансовой или иной материальной выгоды. Любопытство или желание самореализации	Внедрения вредоносного кода Эксплуатация уязвимостей информационной системы
Разработчики программных, аппаратных средств	Внешний	3	Внедрение дополнительных функциональных возможностей на этапе разработки. Получение финансовой или иной материальной выгоды. Непреднамеренные, неосторожные или неквалифицированные действия	Дистанционный доступ к ИСПДн
Лица, привлекаемые для установки, настройки, испытаний	Внутренний	2	Получение финансовой или иной материальной выгоды. Непреднамеренные, неосторожные или неквалифицированные действия.	Кража\ Модификация информации в ИСПДн Оставление возможности дистанционного доступа Выдача прав, не соответствующих должностным обязанностям
Лица, обеспечивающие функционирование систем и сетей или обеспечивающие системы оператора (администрация, охрана, уборщики и т.д.)	Внутренний	2	Получение финансовой или иной материальной выгоды. Непреднамеренные, неосторожные или неквалифицированные действия	Кража\ Модификация информации в ИСПДн Оставление возможности дистанционного доступа Выдача прав, не соответствующих должностным обязанностям Несанкциониро-ванный доступ к ИСПДн
Студенты\ Работники	Внутренний	1	Получение финансовой или иной материальной выгоды. Любопытство или желание самореализации (подтверждение статуса). Месть за ранее совершенные действия.	Внедрения вредоносного кода, технических устройств негласного получения информации Выдача дополнительных прав
Бывшие работники	Внешний	1	Получение финансовой или иной материальной выгоды. Месть за ранее совершенные действия	Возможность воспользоваться остаточными связями

---