Материал: Утверждена приказом ау

4. 
   Категория нарушителя определяется исходя из следующих принципов:
   

• 
  внешний нарушитель – если нарушитель не имеет прав доступа в контролируемую (охраняемую) зону (территорию) и (или) полномочий по доступу к информационным ресурсам и компонентам ИСПДна «Бухгалтерский и кадровый учет», требующим авторизации;
  
• 
  внутренний нарушитель – если нарушитель имеет права доступа в контролируемую (охраняемую) зону (территорию) и (или) полномочия по автоматизированному доступу к информационным ресурсам и компонентам ИСПДна «Бухгалтерский и кадровый учет». К внутренним нарушителям относятся пользователи, имеющие как непривилегированные (пользовательские), так и привилегированные (административные) права доступа к информационным ресурсам и компонентам ИСПДна «Бухгалтерский и кадровый учет».
  

5. 
   Внешние нарушители реализуют угрозы безопасности информации преднамеренно (преднамеренные угрозы безопасности информации) с использованием программных, программно-аппаратных средств или без использования таковых. Внутренние нарушители реализуют угрозы безопасности информации преднамеренно (преднамеренные угрозы безопасности информации) с использованием программных, программно-аппаратных средств или без использования таковых или непреднамеренно (непреднамеренные угрозы безопасности информации) без использования программных, программно-аппаратных средств.
   
6. 
   Нарушители имеют разные уровни компетентности, оснащенности ресурсами и мотивации для реализации угроз безопасности информации. Совокупность данных
   

7. 
   Уровень возможности нарушителя определяется исходя из следующих принципов:
   

• 
  нарушитель, обладающий базовыми возможностями по реализации угроз безопасности информации – если нарушитель имеет возможность реализовывать только известные угрозы, направленные на известные (документированные) уязвимости, с использованием общедоступных инструментов;
  
• 
  нарушитель, обладающий базовыми повышенными возможностями по реализации угроз безопасности информации – если нарушитель имеет возможность реализовывать угрозы, в том числе направленные на неизвестные (недокументированные) уязвимости, с использованием специально созданных для этого инструментов, свободно распространяемых в сети «Интернет». Не имеет возможностей реализации угроз на физически изолированные сегменты систем и сетей;
  
• 
  нарушитель, обладающий средними возможностями по реализации угроз безопасности информации – если нарушитель имеет возможность реализовывать угрозы, в том числе на выявленные им неизвестные уязвимости, с использованием самостоятельно разработанных для этого инструментов. Не имеет возможностей реализации угроз на физически изолированные сегменты систем и сетей;
  
• 
  нарушитель, обладающий высокими возможностями по реализации угроз безопасности информации – если имеет практически неограниченные возможности реализовывать угрозы, в том числе с использованием недекларированных возможностей, программных, программно-аппаратных закладок, встроенных в компоненты систем и сетей.
  

7. 1   ...   31   32   33   34   35   36   37   38   ...   88

СПОСОБЫ РЕАЛИЗАЦИИ (ВОЗНИКНОВЕНИЯ) УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ

1. 
   В ходе оценки угроз безопасности информации определяются возможные способы реализации (возникновения) угроз безопасности информации, за счет использования которых актуальными нарушителями могут быть реализованы угрозы безопасности информации в ИСПДне «Бухгалтерский и кадровый учет», – актуальные способы реализации (возникновения) угроз безопасности информации.
   
2. 
   Процесс определения актуальных способов реализации (возникновения) угроз безопасности информации включал:
   
   1. 
      Составление перечня рассматриваемых (возможных) способов реализации угроз безопасности. Перечень возможных способов реализации угроз безопасности информации представлен в таблице 10.
      

2. 
   Определение интерфейсов объектов воздействия, определенных в соответствии с разделом 5 настоящей Модели угроз. Интерфейсы объектов воздействия определялись на основе изучения и анализа данных:
   

• 
  об архитектуре, составе и условиях функционирования ИСПДна «Бухгалтерский и кадровый учет»;
  
• 
  о группах пользователей ИСПДна «Бухгалтерский и кадровый учет», их типов доступа и уровней полномочий.
  

1. 
   Определение наличия у актуальных нарушителей возможности доступа к интерфейсам объектов воздействия.
   
2. 
   Определение актуальных способов реализации (возникновения) угроз безопасности информации актуальным нарушителем через доступные ему интерфейсы объектов воздействия.
   
1. 
   Результаты процесса определения актуальных способов реализации (возникновения) угроз безопасности информации, включающие описание способов реализации (возникновения) угроз безопасности информации, которые могут быть использованы актуальными нарушителями, и описание интерфейсов объектов воздействия, доступных для использования актуальным нарушителям, представлены в таблице 11.