к которой осуществляется с использованием средств вычислительной техники.
Информационные ресурсы – информация, данные, представленные в форме, предназначенной для хранения и обработки в системах и сетях.
Компонент – программное, программно-аппаратное или техническое средство, входящее в состав ИС «Сайт».
Контролируемая зона – пространство, в котором исключено неконтролируемое пребывание сотрудников и посетителей оператора и посторонних транспортных, технических и иных материальных средств.
Недокументированные (недекларированные) возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.
Несанкционированный доступ, несанкционированные действия – доступ к информации или действия с информацией, осуществляемые с нарушением установленных прав и (или) правил доступа к информации или действий с ней с применением штатных средств информационной системы или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам.
Обеспечивающие системы – инженерные системы, включающие системы электроснабжения, вентиляции, охлаждения, кондиционирования, охраны и другие инженерные системы, а также средства, каналы и системы, предназначенные для оказания услуг связи, других услуг и сервисов,
предоставляемых сторонними организациями, от которых зависит функционирование систем и сетей.
Обработка информации – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с информацией, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение информации. Основные (критические) процессы (бизнес-процессы) – управленческие, организационные, технологические, производственные, финансово-экономические и иные основные процессы (бизнес-процессы), выполняемые обладателем информации, оператором в рамках реализации функций (полномочий) или осуществления основных видов деятельности, нарушение и (или) прекращение которых может привести к возникновению
рисков (ущербу).
Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Побочные электромагнитные излучения и наводки (ПЭМИН) – электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания.
Пользователь – лицо, которому разрешено выполнять некоторые действия (операции)
по обработке информации в системе или сети и использующее результаты ее функционирования.
Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа.
Программная закладка – скрытно внесенный в программное обеспечение функциональный объект, который при определенных условиях способен обеспечить
несанкционированное программное воздействие. Программная закладка может быть реализована в виде вредоносной программы или программного кода.
Программно-аппаратное средство – устройство, состоящее из аппаратного обеспечения и функционирующего на нем программного обеспечения, участвующее в формировании, обработке, передаче или приеме информации.
Программное обеспечение – совокупность программ системы обработки информации и программных документов, необходимых для эксплуатации этих программ.
Сеть электросвязи – сеть связи, предназначенная для электросвязи (передача и прием сигналов, отображающих звуки, изображения, письменный текст, знаки или сообщения любого рода по электромагнитным системам).
Средства криптографической защиты информации (шифровальные (криптографические) средства, криптосредства, СКЗИ) – аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации при передаче по каналам связи и (или)
для
защиты
информации
от
несанкционированного
доступа
при ее
обработке
и хранении.
Средство защиты информации (СЗИ) – техническое, программное, программно-
техническое средство, вещество и (или) материал, предназначенные или используемые для
защиты
информации.
Средства вычислительной техники (СВТ) –
совокупность
программных
и
технических
элементов
систем
обработки
данных,
способных
функционировать
самостоятельно
или
в
составе
других
систем.
Технический канал утечки информации (ТКЗИ) –
совокупность
носителя
информации
(средства
обработки),
физической
среды
распространения
информативного
сигнала
и средств, которыми
добывается защищаемая информация.
Угроза безопасности информации (УБИ) –
совокупность
условий
и
факторов,
создающих потенциальную или реально существующую опасность нарушения безопасности
информации.
Уничтожение информации –
действия,
в
результате
которых
становится
невозможным восстановить содержание информации в информационной системе и (или) в
результате
которых
уничтожаются
материальные
носители
информации.
Утечка (защищаемой) информации по техническим каналам – неконтролируемое
распространение
информации
от
носителя
защищаемой
информации
через
физическую
среду
до
технического средства,
осуществляющего
перехват информации.
Уязвимость –
недостаток
(слабость)
программного
(программно-технического)
средства
или
системы
и
сети
в
целом,
который(ая)
может
быть
использован(а)
для
реализации
угроз
безопасности
информации.
-
1 ... 54 55 56 57 58 59 60 61 ... 88
ОБЩИЕ ПОЛОЖЕНИЯ
-
Введение
-
Настоящая модель угроз безопасности информации (далее – Модель угроз) содержит результаты оценки угроз безопасности информации.
-
Оценка угроз проводится в целях определения угроз безопасности информации, реализация (возникновение) которых возможна в информационной системе «Сайт» (далее – ИС «Сайт») (с учетом архитектуры и условий его функционирования) и может привести к нарушению безопасности обрабатываемой в ИС «Сайт» информации (нарушению конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации и (или) средств ее обработки) и (или) к нарушению, прекращению функционирования ИС «Сайт» актуальных угроз безопасности информации.
-
В соответствии с постановлением Правительства РФ от 1 ноября 2012 г. № 1119
«Об утверждении
требований
к
защите
персональных
данных
при
их
обработке
в
информационных
системах
персональных
данных»
настоящая
Модель
угроз
подлежит
использованию
при
формировании
требований
к
системе
защиты
ПДн,
обрабатываемых
в ИС
«Сайт».
-
Источники разработки
-
Настоящая Модель угроз сформирована в соответствии с методическими документами ФСТЭК России и ФСБ России с учетом следующих принципов:
-
в случае обеспечения безопасности информации без использования СКЗИ при формировании Модели угроз используются методические документы ФСТЭК России;
-
в случае определения АУ «Нефтеюганский политехнический колледж» (далее – АУ