Материал: Утверждена приказом ау

№	Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)	Актуальность ис- пользования (приме- нения) для построения и реали- зации атак	Обоснование
1.4	Использование штатных средств ИС, ограниченное ме- рами, реализованными в информационной системе, в ко- торой используется СКЗИ, и направленными на предот- вращение и пресечение несанкционированных действий	Да	Работа пользователей ИСПДн «Бухгалтерский и кадро- вый учет» регламентирована; Ответственный за обеспечение безопасности ПДн, ад- министраторы ИСПДн «Бухгалтерский и кадровый учет» назначаются из числа особо доверенных лиц; Ремонт, обслуживание и сопровождение программных, технических и программно-технических средств ИСПДн «Бухгалтерский и кадровый учет», в том числе СЗИ, вы- полняется доверенными лицами, с выполнением мер по обеспечению безопасности ПДн; Проводится обучение пользователей ИСПДн «Бух- галтерский и кадровый учет» мерам по обеспечению бе- зопасности ПДн и предупреждение об ответственности за их несоблюдение; Не используются сертифицированные средства защиты информации от НСД; Используются сертифицированные средства антивирус- ной защиты, базы вирусных сигнатур регулярно обновля- ются; Пользователи ИСПДн «Бухгалтерский и кадровый учет» имеют возможности запуска стороннего или установки, изменения настроек имеющегося программного обеспе- чения без контроля со стороны ответственного за обеспе- чение безопасности ПДн;

№	Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)	Актуальность ис- пользования (приме- нения) для построения и реали- зации атак	Обоснование
			– Программные, технические, программно-технические средства, в том числе и СЗИ, настроены доверенными ли- цами и соответствуют требованиям по обеспечению бе- зопасности персональных данных
2.1	Физический доступ к СВТ, на которых реализованы СКЗИ и СФ	Да	Обслуживающий персонал и лица, обеспечивающие функционирование ИСПДн «Бухгалтерский и кадровый учет», не имеют возможности находиться в помещениях, где расположена ИСПДн «Бухгалтерский и кадровый учет», в отсутствие пользователей ИСПДн «Бухгалтер- ский и кадровый учет»; В помещениях, в которых происходит обработка ПДн, невозможно нахождение посторонних лиц; Помещения, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, не оснащены входными дверьми с замками; Не обеспечивается постоянное закрытие дверей по- мещений, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, на замок и их открытие только для санкционированного прохода
2.2	Возможность воздействовать на аппаратные компоненты СКЗИ и СФ, ограниченная мерами, реализованными в ин- формационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несан- кционированных действий	Да	В помещениях, в которых происходит обработка ПДн, невозможно нахождение посторонних лиц; Помещения, в которых располагаются документация на СКЗИ, СКЗИ и компоненты СФК, не оснащены входными дверьми с замками; Не обеспечивается постоянное закрытие дверей по- мещений, в которых располагаются документация на

№	Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)	Актуальность ис- пользования (приме- нения) для построения и реали- зации атак	Обоснование
			СКЗИ, СКЗИ и компоненты СФК, на замок и их открытие только для санкционированного прохода; – Корпуса системных блоков не защищены от вскрытия (не опечатаны/не опломбированы)
3.1	Создание способов, подготовка и проведение атак с прив- лечением специалистов в области анализа сигналов, соп- ровождающих функционирование СКЗИ и СФ, и в об- ласти использования для реализации атак недокументи- рованных (недекларированных) возможностей прик- ладного ПО	Нет	Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
3.2	Проведение лабораторных исследований СКЗИ, исполь- зуемых вне контролируемой зоны, ограниченное мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий	Нет	Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
3.3	Проведение работ по созданию способов и средств атак в научно-исследовательских центрах, специализирующих- ся в области разработки и анализа СКЗИ и СФ, в том числе с использованием исходных текстов входящего в СФ прикладного ПО, непосредственно использующего вы- зовы программных функций СКЗИ	Нет	Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности. Высокая стоимость и сложность подготовки реализации возможности
4.1	Создание способов, подготовка и проведение атак с прив- лечением специалистов в области использования для ре- ализации атак недокументированных (недекларирован- ных) возможностей системного ПО	Нет	Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности.

№	Уточнённые возможности нарушителей и направле- ния атак (соответствующие актуальные угрозы)	Актуальность ис- пользования (приме- нения) для построения и реали- зации атак	Обоснование
			Высокая стоимость и сложность подготовки реализации возможности
4.2	Возможность располагать сведениями, содержащимися в конструкторской документации на аппаратные и програм- мные компоненты СФ	Нет	Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности
4.3	Возможность воздействовать на любые компоненты СКЗИ и СФ	Нет	Не осуществляется обработка сведений, составляющих государственную тайну, а также иных сведений, которые могут представлять интерес для реализации возможности

Утверждена приказом АУ

«Нефтеюганский политехнический колледж» от 18.11.2022 № 01-01-06/567

МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Информационная система «Сайт»

г. Нефтеюганск 2022

1. 
   ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ Автоматизированная система (АС) – система, состоящая из персонала и комплекса
   

средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.

Автоматизированное рабочее место (АРМ) – программно-технический комплекс АС, предназначенный для автоматизации деятельности определенного вида.

Архитектура – совокупность основных структурно-функциональных характеристик, свойств, компонентов ИС «Сайт», воплощенных в информационных ресурсах и компонентах, правилах их взаимодействия, режимах обработки информации.

Безопасность информации – состояние защищенности информации, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность информации при ее обработке в информационных системах.

Взаимодействующая (смежная) система – система или сеть, которая в рамках установленных функций имеет взаимодействие посредством сетевых интерфейсов с ИС

«Сайт» и не включена оператором системы или сети в границу процесса оценки угроз безопасности информации.

Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не

всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.

Возможности нарушителя – мера усилий нарушителя для реализации угрозы безопасности информации, выраженная в показателях компетентности, оснащенности ресурсами и мотивации нарушителя.

Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на информацию или ресурсы информационной системы.

Вспомогательные технические средства и системы (ВТСС) – технические средства и системы, не предназначенные для передачи, обработки и хранения информации, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки информации или в помещениях, в которых установлены информационные системы. Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями,

устанавливаемыми собственником информации.

Информация – данные, содержащиеся в системах и сетях (в том числе защищаемая информация, персональные данные, информация о конфигурации систем и сетей, данные телеметрии, сведения о событиях безопасности и др.).

Информационная система (ИС) – совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.

Информационно-телекоммуникационная сеть (ИТКС) – технологическая система, предназначенная для передачи по линиям связи информации, доступ