Разработка политики информационной безопасности в Министерстве здравоохранения РФ

В разделе 2 проведен анализ характеристик ИСПДн ИАС ЦА МЗР.

Из проведенного анализа следует, что в соответствии с требованиями п.8, п.16 «Порядка проведения классификации информационных систем персональных данных» [9] даннаяИСПДн является распределенной ИСПДн, имеющей подключения к сетям связи общего пользования.

В ИАС ЦА МЗР возможна реализация следующихУБПДн:

­ угрозы утечки информации по техническим каналам (п.4 настоящей модели);

­ угрозы НСД к ПДн, обрабатываемых в распределенных сетях.

Угрозы НСД для ИСПДн ИАС ЦА МЗР связаны с действиями нарушителей, имеющих доступ к ИСПДн, включая пользователей ИСПДн, реализующих угрозы непосредственно в ИСПДн (внутренний нарушитель), а также нарушителей, не имеющих доступа к ИСПДн и реализующих угрозы из внешних сетей связи общего пользования (внешний нарушитель).

Учитывая состав применяемых средств защиты, категории персональных данных, категории вероятных нарушителей и рекомендации «Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных», необходимо рассмотреть следующие угрозы безопасности для ИСПДн ИАС ЦА МЗР:

­ угрозы, реализуемые в ходе загрузки операционной системы;

­ угрозы, реализуемые после загрузки операционной системы;

­ угрозы внедрения вредоносных программ;

­ угроза «Анализ сетевого трафика» с перехватом передаваемой по сети информации;

­ угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.;

­ угроза выявления паролей;

­ угроза получения НСД путем подмены доверенного объекта сети;

­ угроза типа «Отказ в обслуживании»;

­ угроза удаленного запуска приложений;

­ угроза внедрения по сети вредоносных программ;

­ угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях;

­ угрозы навязывания ложного маршрута путем несанкционированного изменения маршрутно-адресных данных как внутри сети, так и во внешних сетях;

­ угрозы, реализуемые за счет уязвимостей сетевых протоколов при осуществлении терминального доступа.

Под уровнем исходной защищенности понимается обобщенный показатель Y₁, зависящий от технических и эксплуатационных характеристик ИСПДн [1].

В соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» [1] для нахождения уровня исходной защищенности ИСПДн, т.е. значения числового коэффициента Y₁, необходимо определить показатели исходной защищенности, которые представлены в Таблице 2.

Таблица 2

Из анализа результатов исходной защищенности (Таблица 2) следует, что менее 70% характеристик ИСПДн ИАС ЦА МЗРФ соответствуют уровню не ниже «средний». Следовательно, в соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» [1] ИСПДн ИАС ЦА МЗР имеет низкий уровень исходной защищенности и числовой коэффициент Y₁= 10.

Определение вероятности реализации угроз в ИСПДнИАС ЦА МЗР

Под вероятностью реализации угрозы поднимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализации конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки.

Числовой коэффициент (Y₂) для оценки вероятности возникновения угрозы определяется по четырем вербальным градациям этого показателя:

­ маловероятно - отсутствуют объективные предпосылки для осуществления угрозы (Y2 = 0);

­ низкая вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (Y2 = 2);

­ средняя вероятность - объектные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны (Y2 = 5);

­ высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты (Y2 = 10).

Оценка вероятности реализации угроз безопасности для ИСПДн ИАС ЦА МЗР выявленными категориями потенциальных нарушителей И0, И1,И2,И3, И7, И8 приведена в таблице 2.

Таблица 2

Определение возможности реализации угроз в ИСПДнИАС ЦА МЗР

По итогам оценки уровня исходной защищенности (Y1) и вероятности реализации угрозы (Y2) рассчитывается коэффициент реализуемости угрозы (Y) и определяется возможность реализации угрозы (Таблица 3).

Коэффициент реализуемости угрозы рассчитывается по формуле:

Y=(Y₁+Y₂)/20.

По значению коэффициента реализуемости угрозы Y формулируется вербальная интерпретация реализуемости угрозы следующим образом:

­ если 0Y0.3, то возможность угрозы признается низкой;

­ если 0.3Y0.6, то возможность угрозы признается средней;

­ если 0.6Y0.8, то возможность угрозы признается высокой;

­ если Y>0.8, то возможность угрозы признается очень высокой.

Таблица 3

Оценка опасности угроз в ИСПДнИАС ЦА МЗР

Оценка опасности угроз в ИСПДн производится на основе опроса специалистов по защите информации и определяется вербальным показателем опасности, который имеет три значения:

­ низкая опасность - если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

­ средняя опасность - если реализация угрозы может привести к негативным последствиям для субъектов персональных данных; высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных. Оценка опасности угроз в ИСПДн ИАС ЦА МЗР приведена в таблице 4.

Таблица 4

Правила отнесения угрозы безопасности к актуальной приведены в таблице 5 [1].

Таблица 5

В соответствии с правилами отнесения угрозы безопасности к актуальной для ИСПДн ИАС ЦА МЗР определены угрозы, представленные в таблице 6.

Таблица 6

Таким образом, актуальными угрозами безопасности ПДн в ИСПДн ИАС ЦА МЗР являются:

- угрозы, реализуемые в ходе загрузки операционной системы;

- угрозы, реализуемые после загрузки операционной системы;

- угрозы внедрения вредоносных программ;

- угрозы «Анализ сетевого трафика» с перехватом передаваемой по сети информации; угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.;

- угрозы выявления паролей;

- угрозы удаленного запуска приложений;

- угрозы внедрения по сети вредоносных программ;

- угрозы навязывания ложного маршрута путем несанкционированного изменения маршрутно-адресных данных как внутри сети, так и во внешних сетях;

- угрозы, реализуемые за счет уязвимостей сетевых протоколов при осуществлении терминального доступа.

Администратором безопасности ИСПДн выполняются следующие мероприятия:

- результатов работы средств мониторинга ИБ, результаты проверок и аудита (внутреннего или внешнего);

- обращения пользователей ИСПДн;

- обращения субъектов персональных данных с указанием Инцидента ИБ;

- запросы и предписания органов надзора за соблюдением прав субъектов ПДн;

- другие источники информации.

- Администратор безопасности ИСПДн после получения информации о предполагаемом Инциденте ИБ незамедлительно проводит первоначальный анализ полученных данных. В процессе анализа проводится проверка наличия в выявленном факте нарушений;

- по усмотрению руководителя Департамента информатизации единичный Инцидент ИБ, не приведший к негативным последствиям и совершенный сотрудником Минздравсоцразвития впервые, фиксируется Администратором безопасностиИСПДн в карточке данных «Инциденты ИБ» (Приложение №1) с присвоением статуса «Разбирательство не требуется»;

- в случае нарушения прав субъекта персональных данных разбирательство и реагирование происходит в порядке и сроки, предусмотренные внутренними регламентами Минздравсоцразвития.

- в случае наличия признаков Инцидента ИБ в полученной информации, Администратор безопасности определяет предварительную степень важности Инцидента ИБ и принимает решение о необходимости проведения разбирательства, информирует руководителя Департамента информатизации об Инциденте ИБ, инициирует формирование регистрационной карточки инцидента с присвоением ему статуса «В процессе разбирательства».

- в срок не более 3 (трех) рабочих дней с момента поступления информации об Инциденте ИБ, Администратор безопасности, по согласованию с руководителем Департамента информатизации, определяет и инициирует первоочередные меры, направленные на локализацию инцидента и на минимизацию его последствий.

Разбирательство Инцидента ИБ, состоит из следующих этапов:

- подтверждение/опровержение факта возникновения Инцидента ИБ;

- подтверждение/корректировка уровня значимости Инцидента ИБ;

- уточнение дополнительных обстоятельств (деталей) Инцидента ИБ;

- получение (сбор) доказательств возникновения Инцидента ИБ, обеспечение их сохранности и целостности;

- минимизация последствий Инцидента ИБ;

- информирование и консультирование персонала по действиям обнаружения, устранения последствий и предотвращения инцидентов ИБ;

- разработка мероприятий по обнаружению и/или предупреждению инцидентов ИБ. В процессе проведения разбирательства Инцидента ИБ обязательными для установления являются:

- дата и время совершения Инцидента ИБ;

- ФИО, должность и подразделение Нарушителя ИБ;

- уровень критичности Инцидента ИБ;

- обстоятельства и мотивы совершения Инцидента ИБ;

- информационные ресурсы, затронутые Инцидентом ИБ;

- характер и размер реального и потенциального ущерба;

- обстоятельства, способствовавшие совершению Инцидента ИБ.

После получения необходимой информации по Инциденту ИБ Администратор безопасности проводит анализ полученных данных,

В течение 5 (пяти) рабочих дней Администратор безопасности запрашивает у руководителя структурного подразделения объяснительную записку Нарушителя ИБ. Объяснительная записка должна быть составлена, подписана Нарушителем ИБ в течение (двух) рабочих дней и представлена его непосредственным руководителем осуществляющему разбирательство сотруднику в течение 3 (трех) рабочих дней с момента поступления запроса. В случае отказа Нарушителя ИБ предоставить объяснительную записку Администратором безопасности предоставляется акт, составленный в соответствии с установленным в Минздравсоцразвития России порядке.

С целью минимизации последствий Инцидента ИБ возможно временное отключение прав доступа сотрудника к ресурсам ИСПДн, на время проведения расследования, предварительно сделав заявку. Подобное отключение инициируется с обязательным предварительным устным согласованием с руководителем сотрудника.

Восстановление временно отключенных у Нарушителя ИБ прав доступа к ИСПДн (разблокировка пользователя) может производиться только по заявке руководителя Нарушителя ИБ или осуществляющего разбирательство Администратора безопасности.

??????????

На основании вышеизложенного можно сделать следующие выводы относительно характеристик ИСПДн ИАС ЦА МЗР.

1. ИСПДн ИАС ЦА МЗР является распределенной многопользовательской специальной ИС с разграничением прав доступа пользователей, имеющей подключения к сетям связи общего пользования.

2. В рамках проведения классификации и в соответствии с «Порядком проведения классификации информационных систем персональных данных» [9], утвержденным приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. № 55/86/20, определены следующие характеристики ИСПДн входящих в качестве подсистем в ИСПДн ИАС ЦА МЗР:

- ИСПДн ИС «Информационно-аналитическая система Минздравсоцразвития России» - специальная ИСПДн класса К1;

- ИСПДн ИС «Единая информационная система государственной гражданской службы Минздравсоцразвития России» - специальная ИСПДн класса К2;

- ИСПДн «АИС «Учет кадров» - специальная ИСПДн класса К2;

- ИСПДн ИС «Удостоверяющий центр электронной цифровой подписи автоматизированных информационных систем единого информационного пространства Министерства здравоохранения и социального развития Российской Федерации» - специальная ИСПДн класса К2;

- ИСПДн ИС «Учет и контроль исполнения документов» - специальная ИСПДн класса К2;

- ИСПДн АИС «1С Зарплата и Кадры» - специальная ИСПДн класса К2;

- ИСПДн АС «ИНВИТА» - специальная ИСПДн класса К2.

Согласно п.17 «Порядка проведения классификации информационных систем персональных данных» [9], в случае выделения в составе информационной системы подсистем, каждая из которых является информационной системой, информационной системе в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем. В соответствии с этими требованиями данная специальная ИСПДн ИАС ЦА МЗР соответствует классу К1- информационная система, для которой нарушение заданной характеристики безопасности персональных данных, обрабатываемых в ней, может привести к значительным негативным последствиям для субъектов персональных данных.

3. В соответствии с уровнем исходной защищенности ИСПДн ИАС ЦА МЗР, условиями функционирования и технологиями обработки и хранения информации угрозы утечки по техническим каналам, включающие в себя угрозы утечки акустической (речевой) информации, угрозы утечки видовой информации и угрозы утечки по каналу ПЭМИН являются неактуальными.

4. Актуальные угрозы безопасности ПДн, установленные в ходе изучения ИСПДн ИАС ЦА МЗР, представляют собой условия и факторы, создающие реальную опасность несанкционированного доступа к ПДн с целью нарушения их конфиденциальности, целостности и доступности. К таким угрозам относятся:

­ угрозы, реализуемые в ходе загрузки операционной системы;

­ угрозы, реализуемые после загрузки операционной системы;

­ угрозы внедрения вредоносных программ;

­ угрозы «Анализ сетевого трафика» с перехватом передаваемой по сети информации; угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.; угрозы выявления паролей;

­ угрозы удаленного запуска приложений;

­ угрозы внедрения по сети вредоносных программ;

­ угрозы навязывания ложного маршрута путем несанкционированного изменения маршрутно-адресных данных как внутри сети, так и во внешних сетях;

­ угрозы, реализуемые за счет уязвимостей сетевых протоколов при осуществлении терминального доступа.

5. Угрозы, связанные:

- с внедрением вредоносных программ (включая их внедрение по сети),

- со сканированием, направленным на выявление открытых портов и служб, открытых соединений,

- с внедрением ложного объекта сети,

с удаленным запуском приложений, нейтрализуются установленными в ИСПДн ИАС ЦА МЗР средствами антивирусной защиты, средствами защиты от несанкционированного доступа, в том числе средствами межсетевого экранирования, а также организационными мерами, обеспечивающими безопасное функционирование ИСПДн ИАС ЦА МЗР в штатном режиме. Однако, тот факт, что перечисленные средства защиты не проходили процедуру оценки соответствия не позволяет сделать вывод о неактуальности данных угроз.

?????????, ?????????????? ??? ??????????

1. «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Утверждена Заместителем директора ФСТЭК России 14 февраля 2008 года.

2. «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Утверждена Заместителем директора ФСТЭК России 15 февраля 2008 года.

3. «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации». Утверждена руководством 8 Центра ФСБ России 21 февраля 2008 года, № 149/54-144.

4. Федеральный закон Российской Федерации от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

5. Федеральный закон Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

6. Постановление Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

7. «Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К)», одобренные решением коллегии Гостехкомиссии России № 7.2 от 2 марта 2001 г.

8. «Отчет об обследовании информационно-аналитической системы Центрального аппарата Министерства здравоохранения и социального развития Российской Федерации».

9. «Порядок проведения классификации информационных систем персональных данных». Утвержден приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. № 55/86/20.

10. «Положение о методах и способах защиты информации в информационных системах персональных данных» приложение к приказу ФСТЭК России от 05.02.2010 г. № 58.

11. «Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации» (Положение ПКЗ-2005), утвержденное приказом ФСБ России от 9 февраля 2005 года № 66 (зарегистрирован Минюстом России 3 марта 2005 года, регистрационный № 6382).

12. «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», Утверждены руководством 8 Центра ФСБ России 21 февраля 2008 года, № 149/6/6-622.

13. «Модель угроз безопасности ПДн для информационно - аналитической системы Центрального аппарата Министерства здравоохранения и социального развития Российской Федерации (ИАС ЦА МЗРФ)»

14. Федеральный закон Российской Федерации 2006 года № 152-ФЗ «О персональных данных».

15. Указ Президента Российской Федерации 1997 года № 188 «Об утверждении перечня сведений конфиденциального характера».

16. Регламент распределения и инсталляции ключевых дистрибутивов в ИАС ЦА МЗРФ.

17. Руководство администратора безопасности ИАС ЦА МЗРФ.

18. Положение о методах и способах защиты информации в информационных системах персональных данных». Приложение к приказу ФСТЭК России от 05.02.2010 г. № 58

19. Руководящий документ ФСТЭК России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (в тексте, для краткости, - РД «МЭ»)

Размещено на Allbest.ru