Частная модель угроз безопасности персональных данных

Для выявления вероятных каналов утечки информации в ИСПДн ГКУЗ «ЯНОСДР», нужно разработать частную модель угроз безопасности ПДн при их обработке в ИСПДн. Данный документ дает возможность определить актуальные угрозы безопасности ПДн, оценить вероятность их осуществления и последствия их влияния.

Частная модель угроз предназначена для анализа защищенности ИСПДн от угроз безопасности ПДн в процессе организации и осуществления работ по обеспечению безопасности ПДн, созданию системы защиты ПДн, обеспечивающей нейтрализацию возможных угроз с применением методов и способов защиты ПДн, установленных для соответствующего уровня защищенности ИСПДн. Также, при осуществлении мероприятий, ориентированных на устранение несанкционированного доступа к ПДн и (или) передачи их лицам, не имеющим права доступа к такой информации и воспрепятствование воздействия на технические средства ИСПДн, в следствие которого может произойти сбой в их функционировании, применяется разрабатываемый документ.

Моделирование процессов нарушения информационной безопасности стоит проводить на основе рассмотрения логической цепочки: «угроза-источник угрозы-метод реализации-уязвимость-последствия».

В ходе анализа требуется удостовериться, что все вероятные источники угроз определены, все возможные уязвимости определены и соотнесены с определенными источниками угроз, всем определенным источникам угроз и уязвимостям (факторам) сопоставлены методы реализации.

При этом имеет большое значение возможность, при необходимости, не меняя самого методического инструментария, устанавливать новые виды источников угроз, методов реализации, уязвимостей, которые смогут быть известны в результате развития знаний в этой области.

Отсюда следует, что анализ отрицательных последствий реализации угроз подразумевает обязательную идентификацию (например, присвоение уникального кода) вероятных источников угроз, уязвимостей, способствующих их проявлению и методов реализации, то есть классификацию.

Подобная классификация для информационных систем персональных данных уже осуществлена ФСТЭК России и обозначена в документе Базовая модель угроз безопасности ПДн при их обработке в ИСПДн.

Базируясь на предоставленную в данном документе классификацию угроз была составлена Частная модель угроз (далее – ЧМУ) для ИСПДн ГКУЗ «ЯНОСДР».

При анализе возможных угроз в ИСПДн использовался полный перечень вероятных угроз безопасности ПДн, применяющийся в Базовой модели угроз.

К параметрам ИСПДн, обуславливающим возникновение угроз безопасности ПДн. Можно отнести категорию и объем обрабатываемых в ИСПДн персональных данных, структуру ИСПДн, наличие подключений ИСПДн к сетям международного информационного обмена и (или) сетям связи общего пользования, характеристики подсистемы безопасности ПДн, обрабатываемых в ИСПДн режимы разграничения прав доступа пользователей ИСПДн, режимы обработки ПДн, месторасположение и условия размещения технических средств ИСПДн. Это все складывается в так называемую «исходную защищенность» ИСПДн, для которой существует отдельная методика оценки.