Постановление Правительства Нижегородской области от 27.12.2016 № 910

Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных

ПРАВИТЕЛЬСТВО НИЖЕГОРОДСКОЙ ОБЛАСТИ

ПРАВИТЕЛЬСТВО НИЖЕГОРОДСКОЙОБЛАСТИ

ПОСТАНОВЛЕНИЕ

от 27 декабря 2016 года №910

Об определении угрозбезопасности персональных данных,

актуальных при обработкеперсональных данных

в информационных системахперсональных данных

В соответствии счастью 5 статьи 19 Федерального закона от 27 июля 2006 года № 152-ФЗ "Оперсональных данных", в целях обеспечения единого подхода к определениюугроз безопасности персональных данных, актуальных при обработке персональныхданных в информационных системах персональных данных, ПравительствоНижегородской области постановляет:

1. Определить угрозыбезопасности персональных данных, актуальные при обработке персональных данныхв информационных системах персональных данных (приложение).

2. Органамисполнительной власти Нижегородской области и подведомственным им организациям:

2.1. Определить угрозыбезопасности персональных данных, актуальные при обработке персональных данныхв используемых ими информационных системах персональных данных.

2.2. При определенииугроз безопасности персональных данных, актуальных при обработке персональныхданных в используемых ими информационных системах персональных данных,руководствоваться настоящимпостановлением.

3. Рекомендоватьорганам местного самоуправления муниципальных районов и городских округов Нижегородской области,подведомственным им организациям, и организациям, в уставном (складочном)капитале которых доля (вклад) Нижегородской области и (или) муниципальныхобразований Нижегородской области составляет 50% (пятьдесят процентов) и более,и расположенным на территории Нижегородской области:

3.1. Определить угрозыбезопасности персональных данных, актуальные при обработке персональных данныхв используемых ими информационных системах персональных данных.

3.2. При определенииугроз безопасности персональных данных, актуальных при обработке персональныхданных в используемых ими информационных системах персональных данных,руководствоваться настоящимпостановлением.

4. АппаратуПравительства Нижегородской области обеспечить опубликование настоящегопостановления.

И.о.Губернатора Е.Б.Люлин

ПРИЛОЖЕНИЕ

к постановлению Правительства

Нижегородской области

от 27 декабря 2016 года № 910

УГРОЗЫ БЕЗОПАСНОСТИПЕРСОНАЛЬНЫХ ДАННЫХ,

АКТУАЛЬНЫЕ ПРИ ОБРАБОТКЕПЕРСОНАЛЬНЫХ ДАННЫХ

В ИНФОРМАЦИОННЫХ СИСТЕМАХПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящийдокумент определяет перечень угроз безопасности персональных данных (далее - УБПДн), актуальных при обработке персональных данных (далее - ПДн) винформационных системах персональных данных (далее - ИСПДн), эксплуатируемыхорганами исполнительной власти и (или) органами местного самоуправлениямуниципальных районов (городских округов) Нижегородской области, и (или) подведомственнымиим организациями, и (или) организациями, в уставном (складочном) капиталекоторых доля (вклад) Нижегородской области и (или) муниципальных образованийНижегородской области составляет 50% (пятьдесят процентов) и более, ирасположенными на территории Нижегородской области (далее - соответственноОрганы, Организации), при осуществлении ими соответствующих видов деятельности,с учетом содержания ПДн, характера и способов их обработки.

1.2. В настоящемдокументе не рассматриваются вопросы обеспечения безопасности ПДн, отнесенные вустановленном порядке к сведениям, составляющим государственную тайну.

1.3. Настоящийдокумент предназначен для Органов и Организаций при решении ими следующихзадач:

- определение УБ ПДн,актуальных при обработке ПДн в ИСПДн;

- анализ защищенностиИСПДн от актуальных УБ ПДн в ходе выполнения мероприятий по информационнойбезопасности (защите информации);

- модернизация системызащиты ПДн в Органах и Организациях;

- проведениемероприятий по минимизации и (или) нейтрализации УБ ПДн;

- предотвращениенесанкционированного воздействия на технические средства ИСПДн;

- контроль заобеспечением уровня защищенности ПДн.

1.4. При определенииУБ ПДн, актуальных при обработке ПДн в используемых ИСПДн, и совокупностипредположений о возможностях нарушителя, которые могут использоваться присоздании, подготовке и проведении атак, Органы и Организации применяют с учетомкатегории ИСПДн, условий и особенностей функционирования ИСПДн, характера испособов обработки ПДн в ИСПДн:

1) типовые возможностинарушителей безопасности информации и направления атак, приведенные вприложении 2 к настоящему документу;

2) группы актуальныхУБ ПДн в ИСПДн, приведенные в разделе 6 настоящего документа;

3) расширенныйперечень УБ ПДн в ИСПДн, приведенный в приложении 1 к настоящем документу,

и согласно действующимметодикам определения актуальных угроз безопасности информации осуществляютопределение актуальных УБ ПДн.

1.5. Определениетребований к системе защиты информации ИСПДн в зависимости от выявленногокласса (уровня) защищенности ПДн в ИСПДн и УБ ПДн, определенных в качествеактуальных при обработке ПДн в ИСПДн, и осуществление выбора средств защитыинформации для системы защиты ПДн проводится в соответствии с нормативнымиправовыми актами, принятыми Федеральной службой безопасности РоссийскойФедерации (далее - ФСБ России) и Федеральной службой по техническому иэкспортному контролю Российской Федерации (далее - ФСТЭК России) во исполнениечасти 4 статьи 19 Федерального закона от 27 июля 2006 года № 152-ФЗ "Оперсональных данных".

1.6. В настоящем документе дано описание:

- категорий ИСПДн, какобъектов защиты;

- объектов, защищаемыхпри определении УБ ПДн в ИСПДн;

- возможных источниковУБ ПДн, обрабатываемых в ИСПДн;

- возможных видовнеправомерных действий и деструктивных воздействий на ПДн в ИСПДн;

- основных способовреализации УБ ПДн.

1.7. В настоящемдокументе используются термины и понятия, установленные Федеральным законом от27 июля 2006 года № 152-ФЗ "О персональных данных", Требованиями кзащите персональных данных при их обработке в информационных системахперсональных данных, утвержденными постановлением Правительства РоссийскойФедерации от 1 ноября 2012 года № 1119, Методикой определения актуальных угрозбезопасности персональных данных при их обработке в информационных системахперсональных данных, утвержденной заместителем директора ФСТЭК России 14февраля 2008 года, а также:

"КСПД" -корпоративная сеть передачи данных, функционирующая в соответствии спостановлением Правительства Нижегородской области от 29 августа 2008 года №365 "О корпоративной сети передачи данных". Подключение к данной сетиее участников осуществляется с применением аппаратно-программного комплексашифрования, обеспечивающего идентификацию и аутентификацию пользователей,доверенную загрузку, контроль целостности программной среды, ведение журналарегистрации событий, ведение системного журнала безопасности. Данный комплекс:имеет сертификат соответствия ФСТЭК России, подтверждающий соответствиетребованиям руководящих документов по 3 уровню контроля на отсутствиенедекларированных возможностей и 3классу защищенности для межсетевых экранов; может использоваться для созданияавтоматизированных систем до класса защищенности 1В включительно и при созданииИСПДн до 1 класса включительно (сертификат соответствия ФСБ России,подтверждающий соответствие требованиям ФСБ России к средствамкриптографической защиты информации класса КС3 и возможность применения длякриптографической защиты информации, не содержащей сведений, составляющихгосударственную тайну). Данная сеть позволяет обеспечить защиту ИСПДн всехуровней и классов защищенности уже на стадии создания;

"СВТ" -средства вычислительной техники;

"АРМ" -автоматизированное рабочее место пользователя;

"НСД" -несанкционированный доступ;

"НДВ" -недекларированные возможности;

"СПО" -системное программное обеспечение;

"ППО" -прикладное программное обеспечение;

"СЗИ" -средства защиты информации;

"СКЗИ" -средства криптографической защиты информации;

"УЗ" - уровеньзащищенности ПДн в ИСПДн, устанавливаемый в соответствии с постановлениемПравительства Российской Федерации от 1 ноября 2012 года № 1119 "Обутверждении требований к защите персональных данных при их обработке винформационных системах персональных данных".

2. Владельцы и операторыИСПДн, сети передачи данных

2.1. Владельцами ИСПДни их операторами являются федеральные органы или Органы, или Организации.

2.2. Владельцы ИСПДн иих операторы расположены в пределах территории Российской Федерации.

2.3. Контролируемойзоной ИСПДн, функционирующих в Органах (Организациях), являются здания иотдельные помещения, принадлежащие им или арендуемые ими. Все СВТ, участвующиев обработке ПДн, располагаются в пределах контролируемой зоны Органа(Организации). Вне контролируемой зоны находятся линии передачи данных ителекоммуникационное оборудование оператора связи (провайдера), используемоедля информационного обмена по сетям связи общего пользования (сетяммеждународного информационного обмена) и расположенное за пределами территорииОргана (Организации).

2.4. Локальныевычислительные сети передачи данных в Органах и Организациях организованы потопологии "звезда" и имеют подключения к следующим сетям:

2.4.1. Внешним сетям(сетям провайдера). Подключение к внешним сетям организовано посредствомследующих типов каналов связи:

- оптоволоконныеканалы связи операторов связи (провайдеров);

- проводные каналысвязи операторов связи (провайдеров).

2.4.2. Сетям Органов,Организаций и организаций (предприятий, учреждений), расположенных натерритории Российской Федерации. Подключение к данным сетям осуществляется всоответствии с разработанными регламентами взаимодействия. Органыисполнительной власти Нижегородской области и администрации муниципальныхрайонов (городских округов) Нижегородской области имеют подключение к КСПДпосредством защищенных каналов связи.

2.4.3. Иным сетям,взаимодействие с которыми организовано Органами и Организациями с цельюосуществления своих полномочий.

2.5. Подключение ксетям связи общего пользования осуществляется Органами и Организациями приусловии соблюдения ими мер по защите передаваемой информации, в том числе мерпо защите подключения для передачи данных.

3. Объекты защиты итехнологии обработки ПДн в ИСПДн

3.1. При определенииОрганами и Организациями УБ ПДн в конкретной ИСПДн защите подлежат следующиеобъекты, входящие в ИСПДн:

- ПДн, обрабатываемыев ИСПДн;

- информационныересурсы ИСПДн (файлы, базы данных и т.п.);

- СВТ, участвующие вобработке ПДн посредством ИСПДн;

- СКЗИ;

- средафункционирования СКЗИ;

- информация,относящаяся к криптографической защите ПДн, включая ключевую, парольную иаутентифицирующую информацию СКЗИ;

- документы, дела,журналы, картотеки, издания, технические документы, видео-, кино- и фотоматериалы,рабочие материалы и т.п., в которых отражена защищаемая информация, относящаясяк ИСПДн и их криптографической защите, включая документацию на СКЗИ и натехнические и программные компоненты среды функционирования СКЗИ;

- носители защищаемойинформации, используемые в ИСПДн в том числе в процессе криптографическойзащиты ПДн, носители ключевой, парольной и аутентифицирующей информации СКЗИ ипорядок доступа к ним;

- используемые ИСПДнканалы (линии) связи, включая кабельные системы;

- сети передачи данных,не выходящие за пределы контролируемой зоны ИСПДн;

- помещения, в которыхобрабатываются ПДн посредством ИСПДн и располагаются компоненты ИСПДн;

- помещения, в которыхнаходятся ресурсы ИСПДн, имеющие отношение к криптографической защите ПДн.

3.2. В состав СВТ,участвующих в обработке ПДн посредством ИСПДн, входят:

3.2.1. АРМ сразличными уровнями доступа (правами).

АРМ представляет собойпрограммно-аппаратный комплекс, позволяющий осуществлять доступ пользователей кИСПДн и предназначенный для локальной обработки информации.

3.2.2. Терминальнаястанция.

Терминальная станцияпредставляет собой программно-аппаратный комплекс, позволяющий осуществлятьдоступ пользователей к ИСПДн, но не предназначенный для локальной обработкиинформации.

3.2.3. Серверноеоборудование.

Серверное оборудованиепредставляет собой программно-аппаратный комплекс в совокупности с программными информационным обеспечением для его управления (СПО (операционные системыфизических серверов, виртуальных серверов, АРМ и т.п.), ППО (системы управлениябазами данных и т.п.)), предназначенный для обработки и консолидированногохранения данных ИСПДн.

Серверное оборудованиеможет быть представлено АРМ, выполняющими функции сервера.

3.2.4. Сетевое ителекоммуникационное оборудование.

Сетевое ителекоммуникационное оборудование представляет собой оборудование, используемоедля информационного обмена между серверным оборудованием, АРМ, терминальнымистанциями (коммутаторы, маршрутизаторы и т.п.).

3.2.5. СПО(операционные системы физических серверов, виртуальных серверов, АРМ и т.п.).

3.3. Ввод ПДн в ИСПДнв Органах и Организациях осуществляется как с бумажных носителей, так и сэлектронных носителей информации. ПДн выводятся из ИСПДн как в электронном, таки в бумажном виде с целью их хранения и (или) передачи третьим лицам.

4. ИСПДн

1. С цельюосуществления своих полномочий Органами и Организациями обрабатываются всекатегории ПДн. Состав ПДн, подлежащих обработке в конкретной ИСПДн, целиобработки, действия (операции), совершаемые с ПДн в ИСПДн, определяются Органом(Организацией), являющимся оператором ИСПДн.

2. Обработка ПДн вИСПДн осуществляется с соблюдением принципов и правил, предусмотренныхФедеральным законом от 27 июля 2006 года № 152-ФЗ "О персональныхданных". Перечень обрабатываемых ПДн в ИСПДн соответствует целям ихобработки.

3. ИСПДнподразделяются на:

- ИСПДн, операторомкоторых является сам Орган (Организация);

- ИСПДн,эксплуатируемые Органом (Организацией), но не в качестве ее оператора.

4. ИСПДн и еекомпоненты расположены в пределах Российской Федерации.

5. ИСПДнподразделяются в зависимости от технологии обработки ПДн, целей и состава ПДнна следующие категории:

-информационно-справочные;

- сегментные;

- внутриобластные;

- ведомственные;

- служебные.

6. Для всех категорийПДн вышеуказанных категорий ИСПДн необходимо обеспечивать следующиехарактеристики безопасности: конфиденциальность, целостность, доступность,подлинность.

7. В рамках ИСПДнвозможна модификация и передача ПДн.

4.1. Информационно-справочныеИСПДн

4.1.1.Информационно-справочные ИСПДн используются для официального доведения любойинформации до определенного или неопределенного круга лиц.

4.1.2. К основныминформационно-справочным ИСПДн относятся:

- официальные порталы(сайты) Органов и Организаций;

- информационныепорталы (сайты), которые ведутся конкретным Органом (Организацией) ипосвящаются определенному проекту и (или) мероприятию, проводимому натерритории Нижегородской области (далее - информационные порталы (сайты));

- закрытые порталы длянескольких групп участников Органов и Организаций;

- интернет-порталгосударственных и муниципальных услуг Нижегородской области.

4.1.3. Официальныепорталы (сайты) Органов и Организаций.

4.1.3.1. Данные ИСПДнсодержат сведения о деятельности Органов и Организаций, в том числе сведения,подлежащие обязательному опубликованию в данных ИСПДн в соответствии сдействующим законодательством.

4.1.3.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- иные;

- общедоступные.

4.1.3.3. Режим обработкиПДн в ИСПДн: многопользовательский, ИСПДн предусматривает разграничениедоступа. Обработка ПДн осуществляется посредством Веб-интерфейса сотрудникамиОргана (Организации), являющегося оператором ИСПДн, гражданами РоссийскойФедерации и иностранными гражданами. ПДн хранятся в базе данных ИСПДн иотображаются по запросу соответствующей страницы ИСПДн пользователям всоответствии с предоставленными правами.

4.1.3.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн, граждане Российской Федерации(далее - РФ) и иностранные граждане.

4.1.3.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации), и(или) на серверном оборудовании иного Органа (Организации) в пределах егоконтролируемой зоны, и (или) на вычислительных ресурсах облачного провайдера.

4.1.3.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

4.1.3.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.1.3.8. ХарактерныеУЗ: УЗ 4 - УЗ 3.

4.1.4. Информационныепорталы (сайты).

4.1.4.1. Данные ИСПДнсодержат сведения о мероприятиях, проводимых Органами (Организациями) всоответствии с функциями и полномочиями Органов (Организаций).

4.1.4.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- иные;

- общедоступные.

4.1.4.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется посредством Веб-интерфейсасотрудниками Органа (Организации), являющегося оператором ИСПДн, гражданами РФи иностранными гражданами. ПДн хранятся в базе данных ИСПДн и отображаются позапросу соответствующей страницы ИСПДн пользователям в соответствии спредоставленными правами.

4.1.4.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн, граждане РФ и иностранные граждане.

4.1.4.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации), и(или) на серверном оборудовании иного Органа (Организации) в пределах его контролируемойзоны, и (или) на вычислительных ресурсах облачного провайдера.

4.1.4.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

4.1.4.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.1.4.8. ХарактерныеУЗ: УЗ 4.

4.1.5. Закрытыепорталы для нескольких групп участников Органов и (или) Организаций.

4.1.5.1. Данные ИСПДнсодержат сведения, предоставляемые ограниченному круг лиц из числа Органов и(или) Организаций в соответствии с функциями и полномочиями Органов(Организаций).

4.1.5.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- иные;

- общедоступные.

4.1.5.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов и(или) Организаций посредством Веб-интерфейса в соответствии с предоставленнымиправами. ПДн хранятся в базе данных ИСПДн и отображаются по запросусоответствующей страницы ИСПДн пользователям в соответствии с предоставленнымиправами.

4.1.5.4. Типысубъектов, ПД которых могут подлежать обработке в ИСПДн: сотрудники Органов и(или) Организаций.

4.1.5.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации), и(или) на серверном оборудовании иного Органа (Организации) в пределах егоконтролируемой зоны, и (или) на вычислительных ресурсах облачного провайдера.

4.1.5.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

4.1.5.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.1.5.8. ХарактерныеУЗ: УЗ 4 - УЗ 3.

4.1.6. Интернет-порталгосударственных и муниципальных услуг Нижегородской области.

4.1.6.1. Данная ИСПДнсодержит социально значимую информацию и сведения, необходимые для получениягражданами государственных и муниципальных услуг в электронном виде.

4.1.6.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- иные;

- общедоступные.

4.1.6.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется в соответствии спредоставленными правами сотрудниками Органов (Организаций) и гражданами РФ и иностранными гражданами в режиме Веб-интерфейса.

ПДн обрабатываются вдеперсонифицированном (обезличенном) виде. Запрашиваемые данные не позволяютоднозначно идентифицировать субъекта ПДн без использования сторонних базданных. После получения запрашиваемых данных ИСПДн для получения ответа назапрос субъекта ПДн передает его данные по закрытым каналам связи в ИСПДн иныхОрганов (Организаций), в чью компетенцию входит предоставление информации позапросу субъекта. Ответ на запрос (сведения о ходе исполнения запроса) субъектаотображается в данной ИСПДн.

4.1.6.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн, граждане РФ и иностранные граждане.

4.1.6.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации), и(или) на серверном оборудовании иного Органа (Организации) в пределах егоконтролируемой зоны, и (или) на вычислительных ресурсах облачного провайдера.

4.1.6.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

4.1.6.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.1.6.8. ХарактерныеУЗ: УЗ 4.

4.2. Сегментные ИСПДн

4.2.1. СегментныеИСПДн представляют собой сегменты федеральных ИСПДн, создаются иэксплуатируются на уровне Нижегородской области в соответствии с рекомендациямифедеральных органов исполнительной власти и используются для сбора, обработки,свода данных на уровне Нижегородской области и передачи их на федеральныйуровень, и обратно, при этом цели и задачи создания (модернизации),эксплуатации данных ИСПДн определяются на федеральном уровне. Данные ИСПДнпредназначены для реализации полномочий федеральных органов власти и исполненияфункций Органов (Организаций).

4.2.2. К основнымсегментным ИСПДн относятся:

- региональный сегментЕдиной государственной информационной системы в сфере здравоохраненияНижегородской области;

- информационнаясистема отдела социально-правовой защиты детей министерства образованияНижегородской области, обеспечивающая автоматизацию процессов получения,обработки, хранения и передачи информации о детях, оставшихся без попеченияродителей, и граждан, желающих принять ребенка на опеку (попечительство) иусыновление;

- АИСТ(автоматизированная информационная система трансфузиологии, обеспечивающаяинформационное взаимодействие с единым информационным центром и ведение единойинформационной базы данных службы крови России).

4.2.3. Обработке вИСПДн могут подлежать все категории ПДн.

4.2.4. Режим обработкиПДн в ИСПДн: многопользовательский, ИСПДн предусматривает разграничениедоступа. Обработка ПДн осуществляется в соответствии с предоставленными правамисотрудниками Органов (Организаций) в специализированных программах и (или)посредством Веб-интерфейса, и в отдельных случаях гражданами РФ и иностранными гражданами в режиме Веб-интерфейса(с ограниченными правами доступа).

4.2.5. Типы субъектовПДн, которые могут подлежать обработке в ИСПДн: граждане РФ и иностранные граждане.

4.2.6. СтруктураИСПДн: распределенная или локальная, функционирующая в контролируемой зонеОргана (Организации).

4.2.7. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

Обмен ПДн с центральным сегментом, находящимся внеконтролируемой зоны Органа (Организации) и принадлежащим органу власти(организации) федерального уровня, между региональными сегментами ИСПДн (приналичии) и с иными ИСПДн осуществляется в зависимости от технологии подключенияк сетям связи общего пользования (сетям международного информационного обмена):

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- посредством КСПД;

- с использованиеминых СЗИ для передачи информации по открытым каналам связи.

4.2.8. СВТ, участвующиев обработке: АРМ, терминальная станция, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.2.9. По технологииобработки ИСПДн подразделяются на:

- построенные потехнологии "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее подключение ксерверному сегменту, располагающемуся в пределах контролируемой зоны Органа(Организации) и передающему данные на центральный сегмент, или напрямую кцентральному сегменту в целях передачи данных;

- построенные потехнологии "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее выгрузкуданных на локальный носитель и последующую передачу выгруженных данных посредствомзащищенного канала связи или нарочно;

- построенные потехнологии "тонкого клиента": на рабочие места пользователей ИСПДнпередается только графическая информация, сама обработка данных осуществляетсяна удаленном серверном сегменте, располагающемся в пределах контролируемой зоныОргана (Организации) и передающем данные на центральный сегмент, или нацентральном сегменте.

ИСПДн, реализованныепо технологии "тонкого клиента", подразделяются на:

- реализованныепосредством Веб-интерфейса с применением Веб-браузера и с авторизацией спомощью логина и пароля, и (или) электронного сертификата, и (или) сертификатаэлектронной подписи в соответствии с Федеральным законом от 6 апреля 2011 года№ 63-ФЗ "Об электронной подписи";

- реализованные сиспользованием терминального доступа с авторизацией с помощью логина и пароля,и (или) электронного сертификата, и (или) сертификата электронной подписи всоответствии с Федеральным законом от 06.04.2011 № 63-ФЗ "Об электроннойподписи".

4.2.10. ХарактерныеУЗ: УЗ 3 - УЗ 1.

4.3. Внутриобластные ИСПДн

4.3.1. ВнутриобластныеИСПДн создаются и эксплуатируются по решению органов государственной властиНижегородской области (органов местного самоуправления муниципальныхобразований, городских округов области) или Органа (Организации) в интересахнескольких Органов (Организаций), при этом цели и задачи создания(модернизации), эксплуатации данных ИСПДн, а также требования к нимопределяются на уровне Нижегородской области (муниципальных образований,городских округов) или Органа (Организации), соответственно.

4.3.2. По выполняемымфункциям ИСПДн подразделяются на:

- интеграционные(система межведомственного электронного взаимодействия Нижегородской области(РСМЭВ));

- многопрофильные(например, единая система электронного документооборота и делопроизводстваорганов исполнительной власти Нижегородской области и органов местногосамоуправления Нижегородской области (ЕСЭДД); автоматизированная информационнаясистема поддержки деятельности многофункциональных центров предоставлениягосударственных и муниципальных услуг Нижегородской области (АИС МФЦ));

- ИСПДн для Органов иОрганизаций, и иных организаций Нижегородской области.

4.3.3. ИСПДн интеграционные.

4.3.3.1. Данные ИСПДнхарактеризуются отсутствием пользователей (кроме администраторов ИСПДн иадминистраторов безопасности ИСПДн) и функционируют исключительно в целяхинтеграции и передачи данных между ИСПДн иных категорий.

4.3.3.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- специальные;

- иные;

- общедоступные.

4.3.3.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных программах и (или) посредствомВеб-интерфейса в соответствии с предоставленными правами.

4.3.3.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: граждане РФ и иностранные граждане.

4.3.3.5. СтруктураИСПДн: локальная или распределенная, функционирующая в контролируемой зонеОргана (Организации).

4.3.3.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

Обмен (передача и получение)ПДн с федеральным уровнем и с иными ИСПДн осуществляется в зависимости оттехнологии подключения к сетям связи общего пользования (сетям международногоинформационного обмена):

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- посредством КСПД;

- с использованиеминых СЗИ для передачи информации по открытым каналам связи.

4.3.3.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.3.3.8. ХарактерныеУЗ: УЗ 3 - УЗ 1.

4.3.4. ИСПДн многопрофильные.

4.3.4.1. Данная ИСПДнпредназначена для централизованной автоматизации делопроизводства идокументооборота, учета корреспонденции, обращений граждан, обеспечения доступак электронным документам и т.п. в Органах.

4.3.4.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- специальные;

- иные;

- общедоступные.

4.3.4.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных программах в соответствии с предоставленнымиправами.

4.3.4.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: граждане РФ и иностранные граждане.

4.3.4.5. СтруктураИСПДн: локальная или распределенная, функционирующая в контролируемой зонеОргана (Организации).

4.3.4.6. ИСПДнподключена к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

Обмен (передача иполучение) ПДн с иными ИСПДн осуществляется в зависимости от технологииподключения к сетям связи общего пользования (сетям международногоинформационного обмена):

- посредством КСПД;

- с использованиемсторонних СКЗИ.

4.3.4.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.3.4.8. ХарактерныеУЗ: УЗ 3 - УЗ 2.

4.3.5. ИСПДн дляОрганов и Организаций, и иных организаций Нижегородской области.

4.3.5.1. Данные ИСПДнпредназначены для автоматизации совместной деятельности Органов, Организаций ииных организаций Нижегородской области.

4.3.5.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- иные;

- общедоступные.

4.3.5.3. Режим обработкиПДн в ИСПДн: многопользовательский, ИСПДн предусматривает разграничениедоступа. Обработка ПДн осуществляется в соответствии с предоставленными правамисотрудниками Органов (Организаций) и организациями Нижегородской области вспециализированных программах в режиме Веб-интерфейса.

4.3.5.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органов(Организаций) и организаций Нижегородской области.

4.3.5.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации).

4.3.5.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- посредством КСПД;

- с использованиемсторонних СКЗИ.

4.3.5.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.3.5.8. ХарактерныеУЗ: УЗ 3 - УЗ 2.

4.3.6. По архитектуревнутриобластные ИСПДн подразделяются на:

- сегментированные;

- централизованные;

- смешанные.

4.3.6.1.Сегментированные ИСПДн делятся на сегменты (центральный и периферийный),функционирующие независимо.

Центральный сегментявляется единой точкой консолидации информации, получаемой от периферийныхсегментов.

Периферийные сегментыявляются непосредственно точками, которые отвечают за наполнение ипервоначальную обработку информации. В состав периферийных сегментов входятАРМ, а также АРМ, выполняющий функции сервера, или серверное оборудование.Пользователи периферийных сегментов подключаются к расположенному в пределахконтролируемой зоны АРМ, выполняющему функции сервера, или серверному оборудованию,осуществляющему консолидацию сведений на уровне периферийного сегмента, которыйв свою очередь передает полученные данные в центральный сегмент.

По технологииобработки ИСПДн подразделяются на:

- построенные потехнологии "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее подключение кАРМ, выполняющему функции сервера, или серверному сегменту, располагающемуся впределах контролируемой зоны Органа (Организации) и передающему данные нацентральный сегмент;

- построенные потехнологии "тонкого клиента": на рабочие места пользователей ИСПДнпередается только графическая информация, сама обработка данных осуществляетсяна серверном сегменте, располагающемся в пределах контролируемой зоны Органа(Организации) и передающем данные на центральный сегмент.

ИСПДн, реализованныепо технологии "тонкого клиента", подразделяются на:

- реализованныепосредством Веб-интерфейса с применением Веб-браузера и с авторизацией спомощью логина и пароля, и (или) сертификата электронной подписи в соответствиис Федеральным законом от 6 апреля 2011 года № 63-ФЗ "Об электроннойподписи";

- реализованные сиспользованием терминального доступа с авторизацией с помощью логина и пароля,и (или) сертификата электронной подписи в соответствии с Федеральным законом от6. апреля 2011 года № 63-ФЗ "Об электронной подписи".

4.3.6.2.Централизованные ИСПДн делятся на сегменты (центральный и периферийный).

Центральный сегментявляется единой точкой консолидации информации, получаемой от периферийныхсегментов.

В состав периферийныхсегментов входят только АРМ, которые являются непосредственно точками, которыеотвечают за наполнение и первоначальную обработку информации. Пользователипериферийных сегментов подключаются напрямую к центральному сегменту иосуществляют обработку данных непосредственно на нем.

По технологииобработки ИСПДн подразделяются на:

- построенные потехнологии "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее подключение кцентральному сегменту;

- построенные потехнологии "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее выгрузкуданных на локальный носитель и последующую передачу выгруженных данныхпосредством защищенного канала связи или нарочно;

- построенные потехнологии "тонкого клиента": на рабочие места пользователей ИСПДнпередается только графическая информация, сама обработка данных осуществляетсяна центральном сегменте.

ИСПДн, реализованныепо технологии тонкого клиента, подразделяются на:

- реализованные сиспользованием терминального доступа с авторизацией с помощью логина и пароля,и (или) сертификата электронной подписи в соответствии с Федеральным законом от6 апреля 2011 года № 63-ФЗ "Об электронной подписи".

4.3.6.3. СмешанныеИСПДн построены с одновременным применением сегментированных и централизованныхархитектур. Данные ИСПДн могут объединять в себе технологии обработки,характерные как для сегментированных ИСПДн, так и для централизованных ИСПДн.

4.4. Ведомственные ИСПДн

4.4.1. ВедомственныеИСПДн создаются (эксплуатируются) по решению Органа (Организации) в ихинтересах и интересах подведомственных им организаций, цели и задачи создания(модернизации), эксплуатации которых определяются Органом (Организацией).Ведомственные ИСПДн предназначены для осуществления функций Органов(Организаций).

4.4.2. К основнымведомственным ИСПДн относятся:

- 1С: Свод отчетов;

- АИС ЗАГС.

4.4.3. Категории ПДн,которые могут подлежать обработке в ИСПДн:

- специальные;

- иные.

4.4.4. Режим обработкиПДн в ИСПДн: многопользовательский, ИСПДн предусматривает разграничениедоступа. Обработка ПДн осуществляется сотрудниками Органов (Организаций) вспециализированных программах и (или) посредством Веб-интерфейса в соответствиис предоставленными правами.

4.4.5. Типы субъектов,ПДн которых могут подлежать обработке в ИСПДн: сотрудники оператора ИСПДн ииных Органов (Организаций), а также сторонние граждане.

4.4.6. СтруктураИСПДн: распределенная или локальная, функционирующая в контролируемой зонеОргана (Организации).

4.4.7. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

Обмен (передача иполучение) ПДн между сегментами ИСПДн (при наличии) и с иными ИСПДн осуществляетсяв зависимости от технологии подключения к сетям связи общего пользования (сетяммеждународного информационного обмена):

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- посредством КСПД;

- с использованием стороннихСКЗИ.

Также обмен ПДн междусегментами ИСПДн (при наличии) и с иными ИСПДн может осуществляться посредствомсобственных корпоративных сетей Органа (Организации).

4.4.8. СВТ,участвующие в обработке: АРМ, терминальная станция, серверное оборудование,сетевое и телекоммуникационное оборудование.

4.4.9. Характерные УЗ:УЗ 3 - УЗ 1.

4.4.10. По архитектуреведомственные ИСПДн подразделяются на:

- сегментированные;

- централизованные;

- смешанные.

4.4.10.1.Сегментированные ИСПДн делятся на сегменты (центральный и периферийный),функционирующие независимо.

Центральный сегментявляется единой точкой консолидации информации, получаемой от периферийныхсегментов.

Периферийные сегментыявляются непосредственно точками, которые отвечают за наполнение и первоначальнуюобработку информации. В состав периферийных сегментов входят АРМ, а также АРМ,выполняющий функции сервера, или серверное оборудование. Пользователипериферийных сегментов подключаются к расположенному в пределах контролируемойзоны АРМ, выполняющему функции сервера, или серверному оборудованию,осуществляющему консолидацию сведений на уровне периферийного сегмента, которыйв свою очередь передает полученные данные в центральный сегмент.

По технологииобработки ИСПДн подразделяются на:

ИСПДн, реализованныепо технологии "тонкого клиента", подразделяются на:

- реализованные сиспользованием терминального доступа с авторизацией с помощью логина и пароля,и (или) сертификата электронной подписи в соответствии с Федеральным законом от6 апреля 2011 года № 63-ФЗ "Об электронной подписи".

4.4.10.2.Централизованные ИСПДн делятся на сегменты (центральный и периферийный).

Центральный сегментявляется единой точкой консолидации информации, получаемой от периферийныхсегментов.

По технологииобработки ИСПДн подразделяются на:

- построенные потехнологии толстого клиента: на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее выгрузкуданных на локальный носитель и последующую передачу выгруженных данныхпосредством защищенного канала связи или нарочно;

ИСПДн, реализованныепо технологии "тонкого клиента", подразделяются на:

- реализованныепосредством Веб-интерфейса с применением Веб-браузера и с авторизацией спомощью логина и пароля, и (или) сертификата электронной подписи в соответствиис Федеральным законом от 06.04.2011 № 63-ФЗ "Об электронной подписи";

- реализованные сиспользованием терминального доступа с авторизацией с помощью логина и пароля,и (или) сертификата электронной подписи в соответствии с Федеральным законом от06.04.2011 № 63-ФЗ "Об электронной подписи".

4.4.10.3. СмешанныеИСПДн построены с одновременным применением сегментированных и централизованныхархитектур. Данные ИСПДн могут объединять в себе технологии обработки,характерные как для сегментированных ИСПДн, так и для централизованных ИСПДн.

4.5. Служебные ИСПДн

4.5.1. Служебные ИСПДнсоздаются (эксплуатируются) по решению Органа (Организации) и в их интересах, цели и задачи создания(модернизации), эксплуатации служебных ИСПДн определяются Органом(Организацией), и используются для автоматизации определённой областидеятельности или типовой деятельности, неспецифичной относительно полномочийконкретного Органа (Организации).

4.5.2. К основным служебнымИСПДн относятся:

- ИСПДн бухгалтерскогоучета и управления финансами;

- ИСПДн кадровогоучета и управления персоналом;

- ИСПДн пенсионногофонда и налоговых служб;

- ИСПДндокументооборота и делопроизводства;

- ИСПДнподдерживающие.

4.5.3. ИСПДн бухгалтерскогоучета и управления финансами.

4.5.3.1. Данные ИСПДнпредназначены для автоматизации деятельности Органа (Организации), связанной сведением бухгалтерского учета и управлением финансами.

4.5.3.2. Обработке вИСПДн подлежат иные категории ПДн.

4.5.3.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных программах и (или) посредствомВеб-интерфейса в соответствии с предоставленными правами.

4.5.3.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн.

4.5.3.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации).

4.5.3.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

Передача ПДн в иныеИСПДн осуществляется в зависимости от технологии подключения к сетям связиобщего пользования (сетям международного информационного обмена):

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- с использованиемсторонних СКЗИ.

4.5.3.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.5.3.8. По технологииобработки ИСПДн подразделяются на:

- построенные потехнологии "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее подключение кбазе данных, которая хранится на серверном сегменте (сервере / АРМ, выполняющемфункцию сервера), располагающемся в пределах контролируемой зоны Органа(Организации);

- построенные потехнологии "тонкого клиента": на рабочие места пользователей ИСПДнпередается только графическая информация, сама обработка данных осуществляетсяна удаленном серверном сегменте (сервере / АРМ, выполняющем функцию сервера),располагающемся в пределах контролируемой зоны Органа (Организации).

Доступ к ПДн в ИСПДнпредоставляется пользователю после ввода логина и пароля (предъявленияидентификатора).

4.5.3.9. ХарактерныеУЗ: УЗ 4 - УЗ 3.

4.5.4. ИСПДн кадровогоучета и управления персоналом.

4.5.4.1. Данные ИСПДнпредназначены для автоматизации деятельности Органа (Организации), связанной сведением кадрового учета и управления персоналом.

4.5.4.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- специальные;

- иные.

4.5.4.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных и (или) стандартных офисных программах, и(или) посредством Веб-интерфейса в соответствии с предоставленными правами.

4.5.4.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн, граждане Российской Федерации,устанавливающие (имеющие) трудовые отношения с Органом (Организацией).

4.5.4.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации).

4.5.4.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- с использованиемсторонних СКЗИ.

4.5.4.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.5.4.8. Технологияобработки ПДн в ИСПДн построена по принципу "толстого клиента": нарабочие места пользователей ИСПДн устанавливается специальное клиентскоеприложение, осуществляющее подключение к базе данных, которая хранится насерверном сегменте (сервере / АРМ, выполняющем функцию сервера),располагающемся в пределах контролируемой зоны Органа (Организации). Доступ кПДн в ИСПДн предоставляется пользователю после ввода логина и пароля(предъявления идентификатора).

4.5.4.9. ХарактерныеУЗ: УЗ 4 - УЗ 2.

4.5.5. ИСПДнпенсионного фонда и налоговых служб.

4.5.5.1. Данные ИСПДнпредназначены для автоматизации деятельности Органа (Организации), связанной сосуществлением пенсионных отчислений и уплатой налогов.

4.5.5.2. Обработке вИСПДн подлежат иные категории ПДн.

4.5.5.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных программах и (или) посредствомВеб-интерфейса в соответствии с предоставленными правами.

4.5.5.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн.

4.5.5.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации).

4.5.5.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- с использованиемсторонних СКЗИ.

4.5.5.7. СВТ, участвующиев обработке: АРМ, серверное оборудование, сетевое и телекоммуникационноеоборудование.

4.5.5.8. Технологияобработки ПДн в ИСПДн построена по принципу "толстого клиента": нарабочие места пользователей ИСПДн устанавливается специальное клиентское приложение,осуществляющее подключение к серверному сегменту (серверу / АРМ, выполняющемуфункцию сервера), располагающемуся вне контролируемой зоны Органа(Организации). Доступ к ПДн в ИСПДн предоставляется пользователю после вводалогина и пароля (предъявления идентификатора).

4.5.5.9. ХарактерныеУЗ: УЗ 4 - УЗ 3.

4.5.6. ИСПДндокументооборота и делопроизводства.

4.5.6.1. Данные ИСПДнпредназначены для автоматизации деятельности Органа (Организации), связанной сосуществлением документооборота и делопроизводства.

4.5.6.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- специальные;

- иные;

- общедоступные.

4.5.6.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных программах в соответствии с предоставленнымиправами.

4.5.6.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн, граждане РФ и иностранныеграждане.

4.5.6.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа (Организации).

4.5.6.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенные сиспользованием иных каналов связи.

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- посредством КСПД;

- с использованиемсторонних СКЗИ.

4.5.6.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.5.6.8. Технологияобработки ПДн в ИСПДн построена по принципу "толстого клиента": нарабочие места пользователей ИСПДн устанавливается специальное клиентскоеприложение, осуществляющее подключение к базе данных, которая хранится насерверном сегменте (сервере / АРМ, выполняющем функцию сервера),располагающемся в пределах контролируемой зоны Органа (Организации). Доступ кПДн в ИСПДн предоставляется пользователю после ввода логина и пароля(предъявления идентификатора).

4.5.6.9. ХарактерныеУЗ: УЗ 4 - УЗ 2.

4.5.7. ИСПДнподдерживающие.

4.5.7.1. Данные ИСПДнпредназначены для автоматизации деятельности Органа (Организации), связанной сосуществлением им (его сотрудниками) своих функций, полномочий и задач.

4.5.7.2. КатегорииПДн, которые могут подлежать обработке в ИСПДн:

- специальные;

- иные;

- общедоступные.

4.5.7.3. Режимобработки ПДн в ИСПДн: многопользовательский, ИСПДн предусматриваетразграничение доступа. Обработка ПДн осуществляется сотрудниками Органов(Организаций) в специализированных и (или) стандартных офисных программах, и(или) посредством Веб-интерфейса в соответствии с предоставленными правами.

4.5.7.4. Типысубъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники Органа(Организации), являющегося оператором ИСПДн, граждане РФ и иностранныеграждане.

4.5.7.5. СтруктураИСПДн: локальная, функционирующая в контролируемой зоне Органа(Организации).

4.5.7.6. ИСПДнподключены к сетям связи общего пользования (сетям международногоинформационного обмена). По типу подключения ИСПДн делятся на:

- без подключения(передача ПДн осуществляется с использованием машинных носителей);

- подключенныепосредством КСПД;

- подключенные сиспользованием иных каналов связи.

Передача ПДн в иные ИСПДнне осуществляется.

4.5.7.7. СВТ,участвующие в обработке: АРМ, серверное оборудование, сетевое ителекоммуникационное оборудование.

4.5.7.8. По технологииобработки ИСПДн подразделяются на:

- построенные попринципу "толстого клиента": на рабочие места пользователей ИСПДнустанавливается специальное клиентское приложение, осуществляющее подключение ксерверному сегменту (серверу / АРМ, выполняющему функцию сервера),располагающемуся в пределах контролируемой зоны Органа (Организации);

- построенные на базестандартного офисного программного обеспечения: ИСПДн представляет собой базуданных в формате стандартного офисного приложения, обрабатываемую и хранящуюсяна АРМ;

- построенные поВеб-технологии: пользователи работают в ИСПДн посредством Веб-интерфейса,подключающегося к локальному Веб-серверу, располагающемуся в пределахконтролируемой зоны Органа (Организации).

Доступ к ПДн в ИСПДнпредоставляется пользователю после ввода логина и пароля (предъявленияидентификатора).

4.5.7.9. ХарактерныеУЗ: УЗ 4 - УЗ 2.

5. УБ ПДн, выявленные прифункционировании ИСПДн

5.1. Источники УБ ПДн.

Источниками УБ ПДн вИСПДн выступают:

- носитель вредоноснойпрограммы;

- аппаратная закладка;

- нарушитель.

5.1.1. Носительвредоносной программы.

Носителем вредоноснойпрограммы может быть аппаратный элемент компьютера или программный контейнер.Если вредоносная программа не ассоциируется с какой-либо прикладной программой,то в качестве ее носителя рассматриваются:

- отчуждаемыйноситель, то есть дискета, оптический диск (CD-R, CD-RW и т.п.), флэш-память,отчуждаемый винчестер и т.п.;

- встроенные носителиинформации (винчестеры, микросхемы оперативной памяти, процессор, микросхемысистемной платы, микросхемы устройств, встраиваемых в системный блок, -видеоадаптера, сетевой платы, звуковой платы, модема, устройств ввода/выводамагнитных жестких и оптических дисков, блока питания и т.п., микросхемы прямогодоступа к памяти, шин передачи данных, портов ввода/вывода;

- микросхемы внешнихустройств (монитора, клавиатуры, принтера, модема, сканера и т.п.).

Если вредоноснаяпрограмма ассоциируется с какой-либо прикладной программой, с файлами, имеющимиопределенные расширения или иные атрибуты, с сообщениями, передаваемыми посети, то ее носителями являются:

- пакеты передаваемыхпо компьютерной сети сообщений;

- файлы (текстовые,графические, исполняемые и т.д.).

5.1.2. Аппаратнаязакладка.

Потенциально можетрассматриваться возможность применения аппаратных средств, предназначенных длярегистрации информации (ПДн), вводимой в ИСПДн с клавиатуры АРМ, например:

- аппаратная закладкавнутри клавиатуры;

- считывание данных скабеля клавиатуры бесконтактным методом;

- включение устройствав разрыв кабеля;

- аппаратная закладкавнутри системного блока и др.

Однако, в видуотсутствия возможности неконтролируемого пребывания физических лиц в служебныхпомещениях, в которых размещены технические средства ИСПДн, или внепосредственной близости от них, соответственно отсутствует возможностьустановки аппаратных закладок посторонними лицами.

Существование данногоисточника маловероятно также из-за несоответствия стоимости аппаратныхзакладок, сложности их скрытой установки и полученной в результате информации.

5.1.3. Нарушитель.

Под нарушителембезопасности информации понимается физическое лицо, случайно или преднамеренносовершающее действия, следствием которых является нарушение безопасности ПДнпри их обработке в ИСПДн.

По наличию правапостоянного или разового доступа в ИСПДн нарушители подразделяются на три типа:

- Внешний нарушитель. Данныйтип нарушителя не имеет права постоянного или имеет право разового(контролируемого) доступа в контролируемую зону, а также не имеет доступа ктехническим средствам и ресурсам ИСПДн, расположенным в пределах контролируемойзоны, или он ограничен и контролируется. Данный тип нарушителя можетреализовывать угрозы из внешних сетей связи общего пользования и (или) сетеймеждународного информационного обмена;

- Внутренний нарушитель, имеющий доступ кИСПДн. Данный тип нарушителя имеет право постоянного (периодического) доступа вконтролируемую зону, а также доступ к техническим средствам и ресурсам ИСПДн,расположенным в пределах контролируемой зоны. Данный тип нарушителя можетпроводить атаки с использованием внутренней (локальной) сети передачи данных инепосредственно в ИСПДн;

- Внутренний нарушитель, не имеющий доступ кИСПДн. Данный тип нарушителя имеет право постоянного (периодического) доступа вконтролируемую зону, но не имеет доступ к техническим средствам и ресурсамИСПДн, расположенным в пределах контролируемой зоны. Данный тип нарушителяможет проводить атаки с использованием внутренней (локальной) сети передачиданных.

5.2. Основные УБ ПДн вИСПДн.

Основными группами УБПДн в ИСПДн являются:

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозы НСД,создающие предпосылки для реализации НСД в результате нарушения процедурыавторизации и аутентификации;

- угрозы НСД кинформации в результате слабости процедур разграничения ролей и полномочий,правил управления доступом;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием облачных услуг;

- угрозы, связанные сиспользованием суперкомпьютерных технологий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы эксплуатацииуязвимостей в СПО, ППО, СЗИ, СКЗИ, аппаратных компонентах ИСПДн,микропрограммном обеспечении;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6. Актуальные УБ ПДн в ИСПДн

В настоящем разделедокумента приведены группы актуальных УБ ПДн в ИСПДн из групп, указанных впункте 5.2 настоящего документа, исходя из содержания ПДн, характера и способових обработки.

6.1.Информационно-справочные ИСПДн.

6.1.1. Официальныепорталы (сайты) Органов и Организаций.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

-угрозы НСД, создающиепредпосылки для реализации НСД в результате нарушения процедуры авторизации иаутентификации;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием облачных услуг;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.1.2. Информационныепорталы (сайты).

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием облачных услуг;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы эксплуатацииуязвимостей в СПО, ППО, СЗИ, СКЗИ, аппаратных компонентах ИСПДн, микропрограммномобеспечении;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.1.3. Закрытыепорталы для нескольких групп участников Органов и (или) Организаций.

- угрозы утечкиинформации по техническим каналам;

- Угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием облачных услуг;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.1.4. Интернет-порталгосударственных и муниципальных услуг Нижегородской области.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- грозы, не являющиесяатаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием облачных услуг;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.2. Служебные ИСПДн.

6.2.1. ИСПДнбухгалтерского учета и управления финансами.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.2.2. ИСПДн кадровогоучета и управления персоналом.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные с отсутствиемсистемы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.2.3. ИСПДнпенсионного фонда и налоговых служб.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.2.4. ИСПДндокументооборота и делопроизводства.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.2.5. ИСПДнподдерживающие.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

-угрозы НСД, создающиепредпосылки для реализации НСД в результате нарушения процедуры авторизации иаутентификации;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.3. ВедомственныеИСПДн.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.4. ВнутриобластныеИСПДн.

6.4.1. ИСПДнинтеграционные.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

-угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.4.2. ИСПДнмногопрофильные.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.4.3. ИСПДн дляОрганов и Организаций, и иных организаций (предприятий, учреждений)Нижегородской области.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

6.5. Сегментные ИСПДн.

- угрозы утечкиинформации по техническим каналам;

- угрозы использованияштатных средств ИСПДн с целью совершения НСД к информации;

- угрозы нарушениядоступности информации;

- угрозы нарушенияцелостности информации;

- угрозы НДВ в СПО иППО;

- угрозы, неявляющиеся атаками;

- угрозыошибок/внесения уязвимостей при проектировании, внедрении ИСПДн/системы защитыИСПДн;

- угрозыошибочных/деструктивных действий лиц;

- угрозы нарушенияконфиденциальности;

- угрозыпрограммно-математических воздействий;

- угрозы, связанные сиспользованием технологий виртуализации;

- угрозы, связанные снарушением правил эксплуатации машинных носителей;

- угрозы, связанные снарушением процедур установки/обновления программного обеспечения иоборудования;

- угрозы физическогодоступа к компонентам ИСПДн;

- угрозы, связанные сиспользованием сетевых технологий;

- угрозы инженернойинфраструктуры;

- угрозы, связанные сотсутствием системы регистрации событий информационной безопасности;

- угрозы, связанные сконтролем защищенности ИСПДн;

- угрозы, связанные сперехватом защищаемой информации при ее передаче по каналам связи.

7. Меры, направленные наминимизацию УБ ПДн в ИСПДн

При обработке ПДн вИСПДн Органы (Организации) применяют правовые, организационные и техническиемеры, установленные Концепцией информационной безопасности Нижегородскойобласти, утвержденной постановлением Правительства Нижегородской области от 31декабря 2015 года № 920, и действующим законодательством, а такжеруководствуются положениями следующих нормативных правовых актов:

- Федеральный законРоссийской Федерации от 27 июля 2006 года № 152-ФЗ "О персональныхданных";

- постановлениеПравительства Российской Федерации от 1 ноября 2012 года № 1119 "Обутверждении требований к защите персональных данных при их обработке в информационныхсистемах персональных данных";

- постановлениеПравительства Российской Федерации от 21 марта 2012 года № 211 "Обутверждении перечня мер, направленных на обеспечение выполнения обязанностей,предусмотренных Федеральным законом "О персональных данных" ипринятыми в соответствии с ним нормативными правовыми актами, операторами,являющимися государственными или муниципальными органами";

- приказ ФСТЭК Россииот 18 февраля 2013 года № 21 "Об утверждении Состава и содержанияорганизационных и технических мер по обеспечению безопасности персональныхданных при их обработке в информационных системах персональных данных";

- приказ ФСТЭК Россииот 11 февраля 2013 года № 17 "Об утверждении Требований о защитеинформации, не составляющей государственную тайну, содержащейся вгосударственных информационных системах";

- приказ ФСБ России от10 июля 2014 года № 378 "Об утверждении Состава и содержанияорганизационных и технических мер по обеспечению безопасности персональныхданных при их обработке в информационных системах персональных данных сиспользованием средств криптографической защиты информации, необходимых длявыполнения установленных Правительством Российской Федерации требований кзащите персональных данных для каждого из уровней защищенности";

- Базовая модель угрозбезопасности персональных данных при их обработке в информационных системахперсональных данных, утвержденная заместителем директора ФСТЭК России 15февраля 2008 года;

- Методика определенияактуальных угроз безопасности персональных данных при их обработке винформационных системах персональных данных, утвержденная заместителемдиректора ФСТЭК России 14 февраля 2008 года;

- Методическиерекомендации по составлению Частной модели угроз безопасности персональныхданных при их обработке в информационных системах персональных данныхучреждений здравоохранения, социальной сферы, труда и занятости,Минздравсоцразвития России, согласованные с ФСТЭК России 22 декабря 2009 года;

- Модель угроз типовоймедицинской информационной системы (МИС) типового лечебного профилактическогоучреждения (ЛПУ), Минздравсоцразвития России, согласованная с ФСТЭК России 27ноября 2009 года;

- Модель угроз инарушителя безопасности персональных данных, обрабатываемых в типовыхинформационных системах персональных данных отрасли, согласованная с ФСТЭКРоссии, ФСБ России и одобренная Решением секции № 1 Научно-технического советаМинкомсвязи России "Научно-техническое и стратегическое развитиеотрасли" от 21 апреля 2010 года №2;

- Руководящий документ"Автоматизированные системы. Защита от несанкционированного доступа кинформации. Классификация информационных систем и требования по защитеинформации", утвержденный решением Государственной технической комиссиипри Президенте Российской Федерации от 30 марта 1992 года;

- "Специальныетребования и рекомендации по технической защите конфиденциальной информации(СТР-К)", утвержденные решением Коллегии Гостехкомиссии России№7.2/02.03.01;

- Методическиерекомендации по разработке нормативных правовых актов, определяющих угрозыбезопасности персональных данных, актуальные при обработке персональных данныхв информационных системах персональных данных, эксплуатируемых приосуществлении соответствующих видов деятельности, утвержденные руководством 8Центра ФСБ России (№149/7/2/6-432 от 31 марта 2015 года).

Реализация правовых,организационных и технических мер, направленных на минимизацию УБ ПДн в ИСПДн,осуществляется специалистами по информационной безопасности (специалистами позащите (технической защите) информации) Органов (Организаций), ответственнымиза планирование, организацию и реализацию мероприятий по обеспечениюинформационной безопасности в Органе (Организации).

ПРИЛОЖЕНИЕ 1

к Угрозам безопасностиперсональных данных,

актуальным при обработкеперсональных данных

в информационных системахперсональных данных

РАСШИРЕННЫЙ ПЕРЕЧЕНЬ УГРОЗБЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В ИНФОРМАЦИОННОЙ СИСТЕМЕПЕРСОНАЛЬНЫХ ДАННЫХ

№ п/п	Наименование УБ ПДн в ИСПДн	Источники УБ ПДн	Объект воздействия
1.	Угрозы утечки информации по техническим каналам
1.1	Угрозы утечки акустической информации
1.1.1	Использование направленных (ненаправленных) микрофонов воздушной проводимости для съема акустического излучения информативного речевого сигнала	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.1.2	Использование "контактных микрофонов" для съема виброакустических сигналов	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.1.3	Использование "лазерных микрофонов" для съема виброакустических сигналов	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.1.4	Использование средств ВЧ-навязывания для съема электрических сигналов, возникающих за счет "микрофонного эффекта" в ТС обработки информации и ВТСС (распространяются по проводам и линиям, выходящим за пределы служебных помещений)	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.1.5	Применение средств ВЧ-облучения для съема радиоизлучения, модулированного информативным сигналом, возникающего при непосредственном облучении ТС обработки информации и ВТСС ВЧ-сигналом	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.1.6	Применение акустооптических модуляторов на базе волоконно-оптической, находящихся в поле акустического сигнала ("оптических микрофонов")	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.2	Угрозы утечки видовой информации
1.2.1	Визуальный просмотр на экранах дисплеев и других средств отображения СВТ, ИВК, входящих в состав ИC	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.2.2	Визуальный просмотр с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и других средств отображения СВТ, ИВК, входящих в состав ИС	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.2.3	Использование специальных электронных устройств съема видовой информации (видеозакладки)	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.3	Угрозы утечки информации по каналам ПЭМИН
1.3.1	Применение специальных средств регистрации ПЭМИН, от ТС и линий передачи информации (программно-аппаратный комплекс (далее - ПАК), сканерные приемники, цифровые анализаторы спектра, селективные микровольтметры)	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.3.2	Применение токосъемников для регистрации наводок информативного сигналов, обрабатываемых ТС, на цепи электропитания и линии связи, выходящие за пределы служебных помещений	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.3.3	Применение специальных средств регистрации радиоизлучений, модулированных информативным сигналом, возникающих при работе различных генераторов, входящих в состав ТС ИС, или при наличии паразитной генерации в узлах ТС	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
1.3.4	Применение специальных средств регистрации радиоизлучений, формируемых в результате ВЧ-облучения ТС ИС, в которых проводится обработка информативных сигналов - параметрических каналов утечки	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с высоким потенциалом	Файлы БД системы, файлы сканов документов в виде электромагнитного излучения
2	Угрозы использования штатных средств ИС с целью совершения НСД к информации
2.1	Угроза некорректного использования функционала программного обеспечения	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение, аппаратное обеспечение
2.2	Угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение, реестр
2.3	Угроза несанкционированного изменения аутентификационной информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, объекты файловой системы, учётные данные пользователя, реестр
2.4	Угроза несанкционированного использования привилегированных функций BIOS	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с низким потенциалом	Аппаратное обеспечение, микропрограммное обеспечение BIOS/UEFI
2.5	Доступ в операционную среду (локальную ОС отдельного ТС ИС) с возможностью выполнения НСД вызовом штатных процедур или запуска специально разработанных программ
3.	Угрозы нарушения доступности информации
3.1	Угроза длительного удержания вычислительных ресурсов пользователями	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	ИС, сетевой узел, носитель информации, СПО, сетевое ПО, сетевой трафик
3.2	Угроза нарушения работоспособности грид-системы при нетипичной сетевой нагрузке	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Грид-система, сетевой трафик
3.3	Угроза несанкционированного доступа к гипервизору из виртуальной машины и (или) физической сети	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Гипервизор
3.4	Угроза отказа в загрузке входных данных неизвестного формата хранилищем больших данных	Внутренний нарушитель с низким потенциалом	Хранилище больших данных, метаданные
3.5	Угроза отказа в обслуживании системой хранения данных суперкомпьютера	Внутренний нарушитель с низким потенциалом	Система хранения данных суперкомпьютера
3.6	Угроза перегрузки грид-системы вычислительными заданиями	Внутренний нарушитель с низким потенциалом	Ресурсные центры грид-системы
3.7	Угроза повреждения системного реестра	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Объекты файловой системы, реестр
3.8	Угроза приведения системы в состояние "отказ в обслуживании"	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	ИС, сетевой узел, СПО, сетевое ПО, сетевой трафик
3.9	Угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	ИС, сетевой узел, СПО, сетевое ПО
3.10	Угроза утраты вычислительных ресурсов	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	ИС, сетевой узел, носитель информации, СПО, сетевое ПО, сетевой трафик
3.11	Угроза вывода из строя/выхода из строя отдельных ТС*
3.12	Угроза вывода из строя незарезервированных ТС/программных средств/каналов связи
3.13	Угроза отсутствия актуальных резервных копий информации*
3.14	Угроза потери информации в процессе ее обработки технически и(или) программными средствами и при передаче по каналам связи*
3.15	Угроза переполнения канала связи вследствие множества параллельных попыток авторизации*
3.16	Угроза нехватки ресурсов ИС для выполнения штатных задач в результате обработки множества параллельных задач, выполняемых одной учетной записью*
3.17	Угроза вывода из строя ИС при подаче на интерфейсы информационного обмена "неожидаемой" информации*
4.	Угрозы нарушения целостности информации
4.1	Угроза нарушения целостности данных кеша	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Сетевое ПО
4.2	Угроза некорректного задания структуры данных транзакции	Внутренний нарушитель со средним потенциалом	Сетевой трафик, база данных, сетевое ПО
4.3	Угроза переполнения целочисленных переменных	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО
4.4	Угроза подмены содержимого сетевых ресурсов	Внешний нарушитель с низким потенциалом	ППО, сетевое ПО, сетевой трафик
4.5	Угроза потери информации вследствие несогласованности работы узлов хранилища больших данных	Внутренний нарушитель с низким потенциалом	ИС, узлы хранилища больших данных
4.6	Угроза сбоя обработки специальным образом изменённых файлов	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Метаданные, объекты файловой системы, СПО
4.7	Угроза отсутствия контроля целостности обрабатываемой в ИС информации, применяемого программного обеспечения, в том числе СЗИ*
4.8	Угроза отсутствия целостных резервных копий информации, программного обеспечения, СЗИ в случае реализации угроз информационной безопасности*
4.9	Угроза отсутствия контроля за поступающими в информационную систему данными, в том числе незапрашиваемыми*
4.10	Отсутствие средств централизованного управления за поступающими в информационную систему данными, в том числе незапрашиваемыми
4.11	Отсутствие автоматизированных фильтров, осуществляющих обработку поступающей в ИС информации
4.12	Угроза доступа в ИС информации от неаутентифицированных серверов/пользователей
4.13	Угроза отсутствия контроля за данными, передаваемыми из ИС*
4.14	Отсутствие резервного копирования информации, передаваемой из ИС
4.15	Угроза передачи из ИС недопустимой информации
4.16	Угроза отсутствия контроля за данными вводимыми в систему пользователями*
4.17	Угроза ввода/передачи недостоверных/ошибочных данных*
4.18	Угроза подмены используемых ИС файлов*
4.19	Угроза модификации/удаления файлов журналов системного, прикладного ПО, средств защиты*
4.20	Угроза установки/запуска модифицированного программного обеспечения и (или) модифицированных обновлений программного обеспечения
4.21	Угроза модификации/стирания/удаления данных системы регистрации событий информационной безопасности
4.22	Отсутствие регламента/графика проведения контроля целостности применяемых программных средств, в том числе СЗИ
4.23	Угроза отсутствия контроля целостности информации, обрабатываемой ИС, и ее структуры
5.	Угрозы НДВ в СПО и ППО
5.1	Угроза перебора всех настроек и параметров приложения	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение, реестр
5.2	Угроза возникновения ошибок функционирования СПО, реализация недекларированных возможностей системного ПО
5.3	Угроза использования встроенных недекларированных возможностей для получения несанкционированного доступа к ИС
6.	Угрозы, не являющиеся атаками
6.1	Угроза исчерпания вычислительных ресурсов хранилища больших данных	Внутренний нарушитель с низким потенциалом	ИС
6.2	Угроза неверного определения формата входных данных, поступающих в хранилище больших данных	Внутренний нарушитель с низким потенциалом	Хранилище больших данных, метаданные
6.3	Угроза невозможности восстановления сессии работы на ПЭВМ при выводе из промежуточных состояний питания	Внутренний нарушитель с низким потенциалом	Рабочая станция, носитель информации, СПО, метаданные, объекты файловой системы, реестр
6.4	Угроза неконтролируемого копирования данных внутри хранилища больших данных	Внутренний нарушитель с низким потенциалом	Хранилище больших данных, метаданные, защищаемые данные
6.5	Угроза неконтролируемого уничтожения информации хранилищем больших данных	Внутренний нарушитель с низким потенциалом	Хранилище больших данных, метаданные, защищаемые данные
6.6	Угроза выхода из строя/отказа отдельных ТС, программных средств, каналов связи
7.	Угрозы НСД, создающие предпосылки для реализации НСД в результате нарушения процедуры авторизации и аутентификации
7.1	Угроза аппаратного сброса пароля BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
7.2	Угроза нарушения процедуры аутентификации субъектов виртуального информационного взаимодействия	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, метаданные, учётные данные пользователя
7.3	Угроза обхода некорректно настроенных механизмов аутентификации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, сетевое ПО
7.4	Угроза программного сброса пароля BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное обеспечение BIOS/UEFI, СПО
7.5	Угроза "кражи" учётной записи доступа к сетевым сервисам	Внешний нарушитель с низким потенциалом	Сетевое ПО
7.6	Угроза получения доступа к ИС, компонентам ИС, информации, обрабатываемой ИС без прохождения процедуры идентификации и аутентификации*
7.7	Угроза получения доступа к ИС вследствие ошибок подсистемы идентификации и аутентификации*
7.8	Угроза получения несанкционированного доступа в результате сбоев/ошибок подсистемы идентификация и аутентификация*
7.9	Угроза получения несанкционированного доступа сторонними лицами, устройствами*
7.10	Угроза отсутствия/слабости процедур аутентификации при доступе пользователей/устройств к ресурсам ИС
7.11	Угрозы авторизации с использованием устаревших, но не отключённых учетных записей*
7.12	Угроза использования "слабых" методов идентификации и аутентификации пользователей, в том числе при использовании удаленного доступа
7.13	Угроза применения только программных методов двухфакторной аутентификации
7.14	Угроза использования долговременных паролей для подключения к ИС посредством удаленного доступа
7.15	Угроза передачи аутентифицирующей информации по открытым каналам связи без использования криптографических СЗИ
7.16	Угроза доступа к ИС неаутентифицированных устройств и пользователей
7.17	Угроза повторного использования идентификаторов в течение как минимум 1 года
7.18	Угроза использования идентификаторов, неиспользуемых более 45 дней
7.19	Угроза раскрытия используемых идентификаторов пользователя в публичном доступе
7.20	Отсутствие управления идентификаторами внешних пользователей
7.21	Угроза использования "слабых"/предсказуемых паролей
7.22	Отсутствие отказоустойчивой централизованной системы идентификации и аутентификации
7.23	Угроза использования пользователями идентичных идентификаторов в разных информационных системах
7.24	Угроза использования неподписанных программных средств
7.25	Угроза запуска несанкционированных процессов и служб от имени системных пользователей
7.26	Угроза отсутствия регламента работы с персональными идентификаторами
7.27	Отсутствие в централизованной системе идентификации и аутентификации атрибутов, позволяющих однозначно определить внешних и внутренних пользователей
7.28	Угроза бесконтрольного доступа пользователей к процессу загрузки
7.29	Угроза подмены/модификации базовой системы ввода-вывода, программного обеспечения телекоммуникационного оборудования
8.	Угрозы НСД к информации в результате слабости процедур разграничения ролей и полномочий, правил управления доступом
8.1	Угроза воздействия на программы с высокими привилегиями	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	ИС, виртуальная машина, сетевое ПО, сетевой трафик
8.2	Угроза доступа к защищаемым файлам с использованием обходного пути	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Объекты файловой системы
8.3	Угроза доступа к локальным файлам сервера при помощи URL	Внешний нарушитель со средним потенциалом	Сетевое ПО
8.4	Угроза загрузки нештатной ОС	Внутренний нарушитель с низким потенциалом	Микропрограммное обеспечение BIOS/UEFI
8.5	Угроза изменения режимов работы аппаратных элементов компьютера	Внутренний нарушитель с высоким потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
8.6	Угроза изменения системных и глобальных переменных	Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО
8.7	Угроза использования альтернативных путей доступа к ресурсам	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Сетевой узел, объекты файловой системы, ППО, СПО
8.8	Угроза использования информации идентификации/аутентификации, заданной по умолчанию	Внешний нарушитель со средним потенциалом, Внутренний нарушитель с низким потенциалом	СЗИ, СПО, сетевое ПО, микропрограммное обеспечение, программно- аппаратные средства со встроенными функциями защиты
8.9	Угроза использования механизмов авторизации для повышения привилегий	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО
8.10	Угроза нарушения изоляции среды исполнения BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
8.11	Угроза невозможности управления правами пользователей BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное обеспечение BIOS/UEFI
8.12	Угроза некорректного использования прозрачного прокси-сервера за счёт плагинов браузера	Внешний нарушитель с низким потенциалом	Сетевое ПО
8.13	Угроза неправомерного ознакомления с защищаемой информацией	Внутренний нарушитель с низким потенциалом	Аппаратное обеспечение, носители информации, объекты файловой системы
8.14	Угроза несанкционированного доступа к аутентификационной информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, объекты файловой системы, учётные данные пользователя, реестр, машинные носители информации
8.15	Угроза несанкционированного доступа к системе по беспроводным каналам	Внешний нарушитель с низким потенциалом	Сетевой узел, учётные данные пользователя, сетевой трафик, аппаратное обеспечение
8.16	Угроза несанкционированного копирования защищаемой информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Объекты файловой системы, машинный носитель информации
8.17	Угроза несанкционированного редактирования реестра	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, использующее реестр, реестр
8.18	Угроза несанкционированного создания учётной записи пользователя	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО
8.19	Угроза несанкционированного управления буфером	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО
8.20	Угроза несанкционированного управления синхронизацией и состоянием	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение
8.21	Угроза несанкционированного управления указателями	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО
8.22	Угроза передачи запрещённых команд на оборудование с числовым программным управлением	Внутренний нарушитель с низким потенциалом	СПО, ППО
8.23	Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, аппаратное обеспечение
8.24	Угроза перехвата привилегированного потока	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО
8.25	Угроза перехвата привилегированного процесса	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО
8.26	Угроза повышения привилегий	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, сетевое ПО, ИС
8.27	Угроза подбора пароля BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное обеспечение BIOS/UEFI
8.28	Угроза подделки записей журнала регистрации событий	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО
8.29	Угроза сбоя автоматического управления системой разграничения доступа хранилища больших данных		ИС, система разграничения доступа хранилища больших данных
8.30	Угроза удаления аутентификационной информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, микропрограммное обеспечение, учётные данные пользователя
8.31	Угроза "форсированного веб-браузинга"	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО
8.32	Угроза эксплуатации цифровой подписи программного кода	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО
8.33	Угроза доступа к информации и командам, хранящимся в BIOS, с возможностью перехвата управления загрузкой ОС и получения прав доверенного пользователя*
8.34	Угроза получения несанкционированного доступа к средствам управления персональными идентификаторов/учетными записями, в том числе с повышенными правами доступа*
8.35	Угроза получения доступа к данным в обход механизмов разграничения доступа, в том числе с повышенными правами доступа*
8.36	Угроза бесконтрольной передачи данных как внутри ИС, так и между ИС*
8.37	Угроза получения дополнительных данных, не предусмотренных технологией обработки*
8.38	Угроза получения разными пользователей, лицами, обеспечивающими функционирование, доступа к данным и полномочиям, не предназначенными для данных лиц в связи с их должностными обязанностями*
8.39	Угроза предоставления прав доступа, не необходимых для исполнения должностных обязанностей и функционирования ИС, для совершения деструктивных действий*
8.40	Отсутствие ограничения на количество неудачных попыток входа в информационную систему*
8.41	Угроза использования (подключения) к открытому(незаблокированному) сеансу пользователя*
8.42	Угроза использования ресурсов ИС до прохождения процедур идентификации и авторизации*
8.43	Угрозы несанкционированного подключения к ИС с использованием санкционированной сессии удаленного доступа*
8.44	Угроза подбора идентификационных данных для удаленного доступа к ИС*
8.45	Угроза использования слабостей/уязвимостей защиты протоколов удаленного доступа*
8.46	Угроза бесконтрольного использования технологий беспроводного доступа, в том числе с мобильных устройств*
8.47	Угроза получения доступа к ИС с использованием технологий беспроводного доступа, в том числе мобильных устройств без прохождения процедуры идентификации и авторизации*
8.48	Угроза получения доступа к ИС с использованием технологий беспроводного доступа, с неконтролируемых устройств*
8.49	Угроза несанкционированной автоматической передачи конфиденциальной информации на запросы сторонних информационных систем*
8.50	Угроза получения несанкционированного доступа к средствам управления персональными идентификаторов/учетными записями, в том числе с повышенными правами доступа*
8.51	Угроза получения несанкционированного доступа к средствам управления средствами идентификации и аутентификации*
8.52	Угроза перехвата идентифицирующих и аутентифицирующих данных в процессе идентификации и аутентификации пользователей*
8.53	Угроза бесконтрольного доступа к информации неопределенным кругом лиц*
8.54	Угроза получения доступа к данным, не предназначенным для пользователя*
8.55	Угроза удаленного управления и использования периферийных устройств для получения информации или выполнения иных деструктивных целей*
8.56	Угроза модификации, подмены, удаления атрибутов безопасности (меток безопасности) при взаимодействии с иными информационными системами*
8.57	Угроза использования технологий мобильного кода для совершения попыток несанкционированного доступа к ИС при использовании в ИС мобильных устройств*
8.58	Угроза использования встроенных в информационную систему недекларированных возможностей, скрытых каналов передачи информации в обход реализованных мер защиты
8.59	Отсутствие отказоустойчивых централизованных средств управления учетными записями
8.60	Отсутствие автоматического блокирования учетных записей по истечении их срока действия, в результате исчерпания попыток доступа к ИС, выявления попыток НСД
8.61	Угроза отсутствия необходимых методов управления доступом для разграничения прав доступа в соответствии с технологией обработки и угрозами безопасности информации
8.62	Угроза передачи информации разной степени конфиденциальности без разграничения информационных потоков
8.63	Угроза передачи информации без соблюдения атрибутов(меток) безопасности, связанных с передаваемой информацией
8.64	Отсутствие динамического анализа и управления информационными потоками в зависимости от состояния ИС, условий ее функционирования, изменений в технологии обработки, передаваемых данных
8.65	Угроза обхода правил управления информационными потоками за счет манипуляций с передаваемыми данными
8.66	Угроза несанкционированного доступа к средствам управления информационными потоками
8.67	Угроза возложения функционально различных должностных обязанностей/ролей на одно должностное лицо
8.68	Угроза предоставления расширенных прав и привилегий пользователям, в том числе внешним
8.69	Отсутствие информирования пользователя о применении СЗИ и необходимости соблюдения установленных оператором правил и ограничений на работу с информацией, о предыдущем успешном доступе к ИС, о количестве успешных/неуспешных попыток доступа, об изменении сведений об учетной записи пользователя, о превышении числа параллельных сеансов доступа
8.70	Отсутствие информирования администратора о превышении числа параллельных сеансов доступа пользователями
8.71	Угроза использования одних и тех же учетных записей для параллельного доступа к ИС (с 2 и более) различных устройств
8.72	Отсутствие блокирования сеанса пользователя (на мониторе пользователя не должна отображаться информация сеанса пользователя) после времени бездействия 5 минут
8.73	Угроза использования незавершенных сеансов пользователей
8.74	Угроза наличия удаленного доступа от имени привилегированных пользователей для администрирования ИС, системы защиты, в том числе с использованием технологий беспроводного доступа
8.75	Отсутствие автоматизированного мониторинга и контроля удаленного доступа
8.76	Угроза использования уязвимых/незащищенных технологий удаленного доступа
8.77	Угроза взаимодействия с иными информационными системами, не обеспеченными системой защиты
8.78	Отсутствие механизмов автоматизированного контроля параметров настройки компонентов программного обеспечения, влияющих на безопасность информации
8.79	Отсутствие механизмов автоматизированного реагирования на несанкционированное изменение параметров настройки компонентов программного обеспечения, влияющих на безопасность информации
8.80	Отсутствие контроля за используемыми интерфейсами ввода/вывода
9.	Угрозы ошибок/внесения уязвимостей при проектировании, внедрении ИС/системы защиты ИС
9.1	Угроза передачи данных по скрытым каналам	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
9.2	Угроза включения в проект не испытанных достоверно компонентов	Внутренний нарушитель со средним потенциалом	ПО, ТС, ИС, ключевая система информационной инфраструктуры
9.3	Угроза внедрения системной избыточности	Внутренний нарушитель со средним потенциалом	ПО, ИС, ключевая система информационной инфраструктуры
9.4	Угроза ошибок при моделировании угроз и нарушителей информационной безопасности*
9.5	Угроза внедрения системы защиты, не обеспечивающей нивелирования актуальных угроз и нарушителей информационной безопасности*
10.	Угрозы ошибочных/деструктивных действий лиц
10.1	Угроза подмены действия пользователя путём обмана	Внешний нарушитель со средним потенциалом	ППО, сетевое ПО
10.2	Угроза "фишинга"	Внешний нарушитель с низким потенциалом	Рабочая станция, сетевое ПО, сетевой трафик
10.3	Реализация угроз с использованием возможности по непосредственному доступу к техническим и части программных средств ИС, СЗИ и СКЗИ, в соответствии с установленными для них административными полномочиями*
10.4	Внесение изменений в конфигурацию программных средств и ТС, приводящими к отключению/частичному отключению ИС/модулей/компонентов/сегментов ИС, СЗИ (в случае сговора с внешними нарушителями безопасности информации) *
10.5	Создание неконтролируемых точек доступа (лазейки) в систему, для удаленного доступа к ИС*
10.6	Переконфигурирование СЗИ и СКЗИ для реализации угроз ИС*
10.7	Осуществление угроз с использованием локальных линий связи, систем электропитания и заземления*
10.8	Хищение ключей шифрования, идентификаторов и известных паролей*
10.9	Внесение программно-аппаратных закладок в программного - аппаратные средства ИС, обеспечивающих съем информации, используя непосредственное подключение к техническим средствам обработки информации*
10.10	Создание методов и средств реализации атак, а также самостоятельное проведение атаки
10.11	Ошибки при конфигурировании и обслуживании модулей/компонентов ИС
10.12	Создание ситуаций, препятствующих функционированию сети (остановка, сбой серверов; уничтожение и/или модификация программного обеспечения; создание множественных, ложных информационных сообщений).
10.13	Несанкционированный съем информации, блокирование работы отдельных пользователей, перестройка планов маршрутизации и политик доступа сети.
10.14	Непреднамеренное разглашение ПДн лицам, не имеющим права доступа к ним
10.15	Нарушение правил хранения ключевой информации
10.16	Передача защищаемой информации по открытым каналам связи
10.17	Несанкционированная модификация/уничтожение информации легитимным пользователем
10.18	Копирование информации на незарегистрированный носитель информации, в том числе печать
10.19	Несанкционированное отключение средств защиты
10.20	Угрозы вербовки (социальной инженерии)
11.	Угрозы нарушения конфиденциальности
11.1	Угроза исследования механизмов работы программы	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение
11.2	Угроза исследования приложения через отчёты об ошибках	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение
11.3	Угроза обнаружения открытых портов и идентификации привязанных к нему сетевых служб	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
11.4	Угроза обнаружения хостов	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
11.5	Угроза определения типов объектов защиты	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
11.6	Угроза определения топологии вычислительной сети	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
11.7	Угроза получения предварительной информации об объекте защиты	Внешний нарушитель со средним потенциалом	Сетевой узел, сетевое ПО, сетевой трафик, ППО
11.8	Угроза получения сведений о владельце беспроводного устройства	Внешний нарушитель с низким потенциалом	Сетевой узел, метаданные
11.9	Угроза сканирования веб-сервисов, разработанных на основе языка описания WSDL	Внешний нарушитель с низким потенциалом	Сетевое ПО, сетевой узел
11.10	Сканирование сети для изучения логики работы ИС, выявления протоколов, портов*
11.11	Анализ сетевого трафика для изучения логики работы ИС, выявления протоколов, портов, перехвата служебных данных (в том числе, идентификаторов и паролей), их подмены*
11.12	Применение специальных программ для выявления пароля (IP-спуффинг, разные виды перебора) *
11.13	Угроза получения нарушителем сведений о структуре, конфигурации и настройках ИС и ее системы защиты
11.14	Угроза получения нарушителем конфиденциальных сведений, обрабатываемых в ИС
11.15	Угроза получения нарушителем идентификационных данных легальных пользователей ИС
11.16	Разглашение сведений конфиденциального характера
12	Угрозы программно-математических воздействий
12.1	Угроза автоматического распространения вредоносного кода в грид-системе	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Ресурсные центры грид-системы
12.2	Угроза внедрения кода или данных	Внешний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО
12.3	Угроза восстановления аутентификационной информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, микропрограммное обеспечение, учётные данные пользователя
12.4	Угроза деструктивного изменения конфигурации/среды окружения программ	Внутренний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение, метаданные, объекты файловой системы, реестр
12.5	Угроза избыточного выделения оперативной памяти	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Аппаратное обеспечение, СПО, сетевое ПО
12.6	Угроза искажения XML-схемы	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
12.7	Угроза искажения вводимой и выводимой на периферийные устройства информации	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО, аппаратное обеспечение
12.8	Угроза использования слабостей кодирования входных данных	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, ППО, сетевое ПО, микропрограммное обеспечение, реестр
12.9	Угроза межсайтового скриптинга	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО
12.10	Угроза межсайтовой подделки запроса	Внешний нарушитель со средним потенциалом	Сетевой узел, сетевое ПО
12.11	Угроза несанкционированного выключения или обхода механизма защиты от записи в BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
12.12	Угроза перехвата вводимой и выводимой на периферийные устройства информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО, аппаратное обеспечение
12.13	Угроза подмены резервной копии программного обеспечения BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
12.14	Угроза пропуска проверки целостности программного обеспечения	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО
12.15	Угроза заражения компьютера при посещении неблагонадёжных сайтов	Внутренний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО
12.16	Угроза неправомерного шифрования информации	Внешний нарушитель с низким потенциалом	Объект файловой системы
12.17	Угроза скрытного включения вычислительного устройства в состав бот-сети	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО
12.18	Угроза распространения "почтовых червей"	Внешний нарушитель с низким потенциалом	Сетевое ПО
12.19	Внедрение программных закладок/закладок*
12.20	Угроза внедрения в ИС вредоносного программного обеспечения с устройств, подключаемых с использованием технологий беспроводного доступа*
12.21	Применение специально созданных программных продуктов для НСД*
12.22	Угроза внедрения через легитимные схемы информационного обмена между информационными системами вредоносного программного обеспечения*
12.23	Отсутствие централизованной системы управления средствами антивирусной защиты
13	Угрозы, связанные с использованием облачных услуг
13.1	Угроза злоупотребления возможностями, предоставленными потребителям облачных услуг	Внутренний нарушитель с низким потенциалом	Облачная система, виртуальная машина
13.2	Угроза злоупотребления доверием потребителей облачных услуг	Внешний нарушитель с низким потенциалом	Облачная система
13.3	Угроза конфликта юрисдикций различных стран	Внешний нарушитель с низким потенциалом	Облачная система
13.4	Угроза нарушения доступности облачного сервера	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Облачная система, облачный сервер
13.5	Угроза невозможности миграции образов виртуальных машин из-за несовместимости аппаратного и программного обеспечения	Внешний нарушитель с низким потенциалом	Облачная инфраструктура, виртуальная машина, аппаратное обеспечение, СПО
13.6	Угроза недобросовестного исполнения обязательств поставщиками облачных услуг	Внешний нарушитель с низким потенциалом	ИС, сервер, носитель информации, метаданные, объекты файловой системы
13.7	Угроза незащищённого администрирования облачных услуг	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Облачная система, рабочая станция, сетевое ПО
13.8	Угроза некачественного переноса инфраструктуры в облако	Внешний нарушитель с низким потенциалом	ИС, иммигрированная в облако, облачная система
13.9	Угроза неконтролируемого роста числа виртуальных машин	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Облачная система, консоль управления облачной инфраструктурой, облачная инфраструктура
13.10	Угроза некорректной реализации политики лицензирования в облаке	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, ППО, сетевое ПО
13.11	Угроза неопределённости в распределении ответственности между ролями в облаке	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО
13.12	Угроза неопределённости ответственности за обеспечение безопасности облака	Внешний нарушитель с низким потенциалом	Облачная система
13.13	Угроза непрерывной модернизации облачной инфраструктуры	Внутренний нарушитель со средним потенциалом	Облачная инфраструктура
13.14	Угроза несогласованности политик безопасности элементов облачной инфраструктуры	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, облачная система
13.15	Угроза общедоступности облачной инфраструктуры	Внешний нарушитель со средним потенциалом	Объекты файловой системы, аппаратное обеспечение, облачный сервер
13.16	Угроза потери доверия к поставщику облачных услуг	Внутренний нарушитель со средним потенциалом	Объекты файловой системы, ИС, иммигрированная в облако
13.17	Угроза потери и утечки данных, обрабатываемых в облаке	Внутренний нарушитель с низким потенциалом	СПО, метаданные, объекты файловой системы
13.18	Угроза потери управления облачными ресурсами	Внешний нарушитель с высоким потенциалом	Сетевой трафик, объекты файловой системы
13.19	Угроза потери управления собственной инфраструктурой при переносе её в облако	Внутренний нарушитель со средним потенциалом	ИС, иммигрированная в облако, СПО, ППО, сетевое ПО
13.20	Угроза привязки к поставщику облачных услуг	Внутренний нарушитель с низким потенциалом	ИС, иммигрированная в облако, СПО, сетевое ПО, сетевой трафик, объекты файловой системы
13.21	Угроза приостановки оказания облачных услуг вследствие технических сбоев		СПО, аппаратное обеспечение, канал связи
13.22	Угроза распространения состояния "отказ в обслуживании" в облачной инфраструктуре	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Облачная инфраструктура, созданная с использованием технологий виртуализации
14.	Угрозы, связанные с использованием суперкомпьютерных технологий
14.1	Угроза использования вычислительных ресурсов суперкомпьютера "паразитными" процессами	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Вычислительные узлы суперкомпьютера
14.2	Угроза несанкционированного доступа к сегментам вычислительного поля	Внутренний нарушитель со средним потенциалом	Вычислительный узел суперкомпьютера
14.3	Угроза прямого обращения к памяти вычислительного поля суперкомпьютера	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Вычислительные узлы суперкомпьютера, каналы передачи данных суперкомпьютера, СПО
14.4	Угроза чрезмерного использования вычислительных ресурсов суперкомпьютера в ходе интенсивного обмена межпроцессорными сообщениями	Внутренний нарушитель с низким потенциалом	Вычислительные узлы суперкомпьютера
15.	Угрозы, связанные с использованием технологий виртуализации
15.1	Угроза выхода процесса за пределы виртуальной машины	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	ИС, сетевой узел, носитель информации, объекты файловой системы, учётные данные пользователя, образ виртуальной машины
15.2	Угроза нарушения изоляции пользовательских данных внутри виртуальной машины	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Виртуальная машина, гипервизор
15.3	Угроза нарушения технологии обработки информации путём несанкционированного внесения изменений в образы виртуальных машин	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Образ виртуальной машины, сетевой узел, сетевое ПО, виртуальная машина
15.4	Угроза неконтролируемого роста числа зарезервированных вычислительных ресурсов	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	ИС, сервер
15.5	Угроза несанкционированного доступа к виртуальным каналам передачи	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Сетевое ПО, сетевой трафик, виртуальные устройства
15.6	Угроза несанкционированного доступа к данным за пределами зарезервированного адресного пространства, в том числе выделенного под виртуальное аппаратное обеспечение	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Сервер, рабочая станция, виртуальная машина, гипервизор, машинный носитель информации, метаданные
15.7	Угроза несанкционированного доступа к защищаемым виртуальным машинам из виртуальной и (или) физической сети	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Виртуальная машина
15.8	Угроза несанкционированного доступа к защищаемым виртуальным машинам со стороны других виртуальных машин	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Виртуальная машина
15.9	Угроза несанкционированного доступа к защищаемым виртуальным устройствам из виртуальной и (или) физической сети	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Виртуальные устройства хранения, обработки и передачи данных
15.10	Угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Виртуальные устройства хранения данных, виртуальные диски
15.11	Угроза несанкционированного доступа к хранимой в виртуальном пространстве защищаемой информации	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Носитель информации, объекты файловой системы
15.12	Угроза ошибки обновления гипервизора	Внутренний нарушитель с низким потенциалом	СПО, гипервизор
15.13	Угроза перехвата управления гипервизором	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО, гипервизор, консоль управления гипервизором
15.14	Угроза перехвата управления средой виртуализации	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	ИС, СПО
15.15	Нарушение доверенной загрузки виртуальных серверов ИС, перехват загрузки*
15.16	Нарушение целостности конфигурации виртуальных серверов - подмена/искажение образов (данных и оперативной памяти) *
15.17	Несанкционированный доступ к консоли управления виртуальной инфраструктурой*
15.18	Несанкционированный доступ к виртуальному серверу ИС, в т.ч. - несанкционированное сетевое подключение и проведение сетевых атак на виртуальный сервер ИС*
15.19	Несанкционированный удаленный доступ к ресурсам гипервизора вследствие сетевых атак типа "переполнение буфера"*
15.20	Угроза несанкционированного доступа к объектам виртуальной инфраструктуры без прохождения процедуры идентификации и аутентификации*
15.21	Угроза несанкционированного доступа к виртуальной инфраструктуре/компонентам виртуальной инфраструктуры/виртуальным машинам/объектам внутри виртуальных машин*
15.22	Угроза отсутствия средств регистрации событий в виртуальной инфраструктуре*
16.	Угрозы, связанные с нарушением правил эксплуатации машинных носителей
16.1	Угроза несанкционированного восстановления удалённой защищаемой информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Машинный носитель информации
16.2	Угроза несанкционированного удаления защищаемой информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Метаданные, объекты файловой системы, реестр
16.3	Угроза утраты носителей информации	Внутренний нарушитель с низким потенциалом	Носитель информации
16.4	Угроза форматирования носителей информации	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Носитель информации
16.5	Повреждение носителя информации
16.6	Доступ к снятым с эксплуатации носителям информации (содержащим остаточные данные)
16.7	Угроза подключения к ИС неучтенных машинных носителей*
16.8	Угроза подключения к ИС неперсонифицированных машинных носителей
16.9	Угроза несанкционированного копирования информации на машинные носители*
16.10	Угроза несанкционированной модификации/удаления информации на машинных носителях*
16.11	Угроза хищения машинных носителей*
16.12	Угроза подмены машинных носителей*
16.13	Угроза встраивания программно-аппаратных закладок в машинные носители*
16.14	Угроза несанкционированного доступа к информации, хранящейся на машинном носителе*
16.15	Угроза использования машинных носителей для хранения информации разных уровней конфиденциальности и целей обработки
16.16	Угроза использования неконтролируемых портом СВТ для вывода информации на сторонние машинные носители*
16.17	Угроза передачи информации/фрагментов информации между пользователями, сторонними организациями при неполном уничтожении/стирании информации с машинных носителей*
16.18	Угроза несанкционированного использования машинных носителей
16.19	Угроза несанкционированного выноса машинных носителей за пределы контролируемой зоны
17	Угрозы, связанные с нарушением процедур установки/обновления программного обеспечения и оборудования
17.1	Угроза внедрения вредоносного кода в BIOS	Внутренний нарушитель с высоким потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
17.2	Угроза изменения компонентов системы	Внутренний нарушитель с низким потенциалом	ИС, сервер, рабочая станция, виртуальная машина, СПО, ППО, аппаратное обеспечение
17.3	Угроза исчерпания запаса ключей, необходимых для обновления BIOS	Внешний нарушитель со средним потенциалом	Микропрограммное обеспечение BIOS/UEFI
17.4	Угроза установки на мобильные устройства вредоносных/уязвимых программных продуктов*
17.5	Угроза запуска/установки вредоносного/шпионского/неразрешенного программного обеспечения и(или) обновлений программного обеспечения*
17.6	Установка программного обеспечения, содержащего известные уязвимости*
17.7	Установка нелицензионного программного обеспечения*
17.8	Угроза ошибочного запуска/установки программного обеспечения*
17.9	Угроза неправильной установки программного обеспечения*
17.10	Угроза автоматического запуска вредоносного/шпионского/неразрешенного программного обеспечения при запуске ОС и(или) обновлений программного обеспечения
17.11	Угроза удаленного запуска/установки вредоносного/шпионского/неразрешенного программного обеспечения
17.12	Угроза несанкционированного запуска программного обеспечения в нерабочее время
18.	Угрозы физического доступа к компонентам ИС
18.1	Угроза преодоления физической защиты	Внешний нарушитель со средним потенциалом	Сервер, рабочая станция, носитель информации, аппаратное обеспечение
18.2	Угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации	Внешний нарушитель с низким потенциалом	Сервер, рабочая станция, носитель информации, аппаратное обеспечение
18.3	Угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи информации	Внешний нарушитель с низким потенциалом	Сервер, рабочая станция, носитель информации, аппаратное обеспечение
18.4	Угроза несанкционированного доступа к системам криптографической защиты информации (СКЗИ)*
18.5	Угроза нарушение функционирования НЖМД и других систем хранения данных*
18.6	Угроза доступа к системам обеспечения, их повреждение*
18.7	Угроза нарушения функционирования кабельных линий связи, ТС*
18.8	Угроза несанкционированного доступа в контролируемую зону*
18.9	Отсутствие средств автоматизированного контроля доступа
19.	Угрозы эксплуатации уязвимостей в СПО, ППО, СЗИ, СКЗИ, аппаратных компонентах ИС, микропрограммном обеспечении
19.1	Угроза анализа криптографических алгоритмов и их реализации	Внешний нарушитель со средним потенциалом	Метаданные, СПО
19.2	Угроза восстановления предыдущей уязвимой версии BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное обеспечение BIOS/UEFI
19.3	Угроза деструктивного использования декларированного функционала BIOS	Внутренний нарушитель с низким потенциалом	Микропрограммное обеспечение BIOS/UEFI
19.4	Угроза использования поддельных цифровых подписей BIOS	Внешний нарушитель со средним потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI
19.5	Угроза использования слабых криптографических алгоритмов BIOS	Внешний нарушитель с высоким потенциалом	Микропрограммное обеспечение BIOS/UEFI
19.6	Угроза несанкционированного доступа к активному и (или) пассивному виртуальному и (или) физическому сетевому оборудованию из физической и (или) виртуальной сети	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Сетевое оборудование, микропрограммное обеспечение, сетевое ПО, виртуальные устройства
19.7	Угроза несанкционированного доступа к локальному компьютеру через клиента грид-системы	Внешний нарушитель со средним потенциалом	Узлы грид-системы
19.8	Угроза отключения контрольных датчиков	Внешний нарушитель с высоким потенциалом, Внутренний нарушитель с низким потенциалом	СПО
19.9	Угроза программного выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Носитель информации, микропрограммное обеспечение, аппаратное обеспечение
19.10	Угроза распространения несанкционированно повышенных прав на всю грид-систему	Внутренний нарушитель со средним потенциалом	Ресурсные центры грид-системы, узлы грид-системы, грид-система, сетевое ПО
19.11	Угроза сбоя процесса обновления BIOS	Внутренний нарушитель со средним потенциалом	Микропрограммное и аппаратное обеспечение BIOS/UEFI, каналы связи
19.12	Угроза установки уязвимых версий обновления программного обеспечения BIOS	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	Микропрограммное обеспечение BIOS/UEFI
19.13	Угроза перехвата исключения/сигнала из привилегированного блока функций	Внешний нарушитель со средним потенциалом, Внутренний нарушитель со средним потенциалом	СПО
19.14	Угроза наличия механизмов разработчика	Внутренний нарушитель со средним потенциалом	ПО, ТС
19.15	Угроза "спама" веб-сервера	Внешний нарушитель с низким потенциалом	Сетевое ПО
20	Угрозы, связанные с использованием сетевых технологий
20.1	Угроза деавторизации санкционированного клиента беспроводной сети	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	Сетевой узел
20.2	Угроза заражения DNS-кеша	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, сетевой трафик
20.3	Угроза использования слабостей протоколов сетевого/локального обмена данными	Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом	СПО, сетевое ПО, сетевой трафик
20.4	Угроза неправомерных действий в каналах связи	Внешний нарушитель с низким потенциалом	Сетевой трафик
20.5	Угроза несанкционированного удалённого внеполосного доступа к аппаратным средствам	Внешний нарушитель с высоким потенциалом	ИС, аппаратное обеспечение
20.6	Угроза подключения к беспроводной сети в обход процедуры идентификации/аутентификации	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО
20.7	Угроза подмены беспроводного клиента или точки доступа	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО, аппаратное обеспечение, точка беспроводного доступа
20.8	Угроза подмены доверенного пользователя	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевое ПО
20.9	Угроза подмены субъекта сетевого доступа	Внешний нарушитель со средним потенциалом	ППО, сетевое ПО, сетевой трафик
20.10	Угроза "фарминга"	Внешний нарушитель с низким потенциалом	Рабочая станция, сетевое ПО, сетевой трафик
20.11	Угроза агрегирования данных, передаваемых в грид-системе	Внешний нарушитель со средним потенциалом	Сетевой трафик
20.12	Угроза удаленного запуска приложений
20.13	Угроза навязывания ложных маршрутов*
20.14	Угроза внедрения ложных объектов сети*
20.15	Угроза проведения атак/попыток несанкционированного доступа на ИС с использованием протоколов сетевого доступа*
20.16	Угроза отсутствия механизмов реагирования (блокирования) атак/вторжений*
20.17	Угроза отсутствия системы анализа сетевого трафика при обмене данными между информационными системами на наличие атак/вторжений*
20.18	Угроза отсутствия системы анализа сетевого трафика между сегментами ИС на наличие атак/вторжений*
20.19	Угроза использования неактуальных версий сигнатур обнаружения атак*
20.20	Угроза отсутствия централизованной системы управления средствами защиты от атак/вторжений
20.21	Угроза использования слабостей/уязвимостей защиты протоколов удаленного доступа*
20.22	Угроза бесконтрольного использования технологий беспроводного доступа, в том числе с мобильных устройств *
20.23	Угроза подмены устройств, подключаемых к ИС с использованием технологии удаленного доступа*
20.24	Угроза использования неконтролируемых сетевых протоколов для модификации/перехвата управления ИС*
20.25	Угроза перехвата, искажения, модификации, подмены, перенаправления трафика между разными категориями пользователей и СЗИ*
20.26	Угроза подмены сетевых адресов, определяемых по сетевым именам*
20.27	Угроза отсутствия проверки подлинности сетевых соединений*
20.28	Отсутствие подтверждения факта отправки/получения информации конкретными пользователями*
20.29	Угроза получения несанкционированного доступа при двунаправленной передаче информации между сегментами, информационными системами
20.30	Отсутствие контроля соединений между СВТ ИС
20.31	Угроза несанкционированного доступа к средствам управления информационными потоками
20.32	Угроза отсутствия/неиспользования средств разделения информационных потоков, содержащих различные виды (категории) информации, а также отделение информации управления от пользовательской информации
20.33	Отсутствие средств анализа сетевого трафика на наличие вредоносного программного обеспечения
20.34	Угроза доступа к ИС с использованием беспроводного доступа из-за границ контролируемой зоны
21	Угрозы инженерной инфраструктуре
21.1	Угрозы сбоев в сети электропитания
21.2	Угроза выхода из строя ТС в результате нарушения климатических параметров работы
21.3	Угрозы нарушения схем электропитания*
21.4	Угрозы связанные с отсутствием заземления/неправильным заземлением *
22.	Угрозы, связанные с отсутствием системы регистрации событий информационной безопасности
22.1	Угроза отсутствия системы регистрации событий информационной безопасности*
22.2	Угроза автоматического удаления/затирания событий информационной безопасности новыми события*
22.3	Угроза переполнения журналов информационной безопасности*
22.4	Угроза отсутствия централизованного подсистемы централизованного сбора событий информационной безопасности от различных программных и аппаратных продуктов, СЗИ*
22.5	Угроза неправильного отнесения событий, к событиям информационной безопасности*
22.6	Угроза отсутствия централизованной системы анализа журналов информационной безопасности от различных программных и аппаратных продуктов, средсСЗИ*
22.7	Угроза отключения журналов информационной безопасности*
22.8	Угроза модификации/удаления журнала информационной безопасности*
22.9	Угроза задержек при получении журналов информационной безопасности
22.10	Угроза ошибок ведения журнала регистрации событий информационной безопасности, в том числе связанных с неправильными настройками времени
22.11	Угроза отсутствия необходимых сведений в журналах информационной безопасности для проведения проверки/расследования/анализа событий информационной безопасности*
22.12	Угроза отключения/отказа системы регистрации событий информационной безопасности
22.13	Угроза несанкционированного изменения правил ведения журнала регистрации событий
22.14	Отсутствие оповещений (предупреждений) администратора о сбоях, критических событиях в работе системы регистрации событий информационной безопасности
23.	Угрозы, связанные с контролем защищенности ИС
23.1	Угроза отсутствия контроля за уязвимостями ИС, компонентов ИС, наличием неразрешенного программного обеспечения *
23.2	Угроза использования неактуальных версий баз данных уязвимостей средств анализа защищенности*
23.3	Угроза установки программного обеспечения/обновлений без проведения анализа уязвимостей
23.4	Угроза отсутствия регулярного контроля за защищенностью ИС, в том числе СЗИ с учетом новых угроз безопасности информации
23.5	Угроза отсутствия анализа изменения настроек ИС, компонентов ИС, в том числе СЗИ на предмет появления уязвимостей*
23.6	Отсутствие журнала анализа защищенности
24.	Угрозы, связанные с перехватом защищаемой информации при ее передаче по каналам связи
24.1	Угроза перехвата данных, передаваемых по вычислительной сети	Внешний нарушитель с низким потенциалом	Сетевой узел, сетевой трафик
24.2	Угроза доступа/перехвата/изменения HTTP cookies	Внешний нарушитель с низким потенциалом	ППО, сетевое ПО
24.3	Угроза перехвата данных *
24.4	Угроза перехвата данных, передаваемых по сетям внешнего и международного информационного обмена
24.5	Угроза перехвата данных с сетевых портов
24.6	Угроза перехвата данных, передаваемых с использованием технологий беспроводного доступа*

Примечание: незаполненные ячейкивышеуказанной таблицы определяются в частных моделях угроз и нарушителябезопасности информации для каждой ИСПДн

* - базовые УБ ПДн в ИСПДн

"ИС" - ИСПДн

"ВЧ" - высокочастотное

"ТС" - технические средства

"БД" - базы данных

"реестр" - стандартный реестроперационной системы

"ВТСС" - вспомогательныетехнические средства и системы

"СВТ" - средства вычислительнойтехники

"НСД" - несанкционированныйдоступ

"НДВ" - недекларированныевозможности

"СПО" - системное программноеобеспечение

"ППО" - прикладное программноеобеспечение

"СЗИ" - средства защитыинформации

"СКЗИ" - средствакриптографической защиты информации

"ИВК" -измерительно-вычислительный комплекс

"ПЭМИН" - побочныеэлектромагнитные излучения и наводки

"ПО" - программное обеспечение

"ОС" - операционная система

"ПЭВМ" - персональная электронно-вычислительнаямашина (АРМ)

"НЖМД" - накопитель на жёсткихмагнитных дисках

ПРИЛОЖЕНИЕ 2

к Угрозам безопасностиперсональных

данных, актуальным приобработке

персональных данных винформационных

системах персональных данных

ТИПОВЫЕ ВОЗМОЖНОСТИНАРУШИТЕЛЕЙ БЕЗОПАСНОСТИ

ИНФОРМАЦИИ И НАПРАВЛЕНИЯ АТАК

№ п/п

Возможности нарушителей безопасности информации и направления атак

(соответствующие актуальные угрозы)

Актуальность использования (применения) для построения и реализации атак

Обоснование отсутствия

(при наличии)

Проведение атаки при нахождении за пределами контролируемой зоны.

Проведение атаки при нахождении в пределах контролируемой зоны.

Проведение атак на этапе эксплуатации СКЗИ на следующие объекты:

- документацию на СКЗИ и компоненты СФ;

- помещения, в которых находится совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем, на которых реализованы СКЗИ и СФ.

Получение в рамках предоставленных полномочий, а также в результате наблюдений следующей информации:

- сведений о физических мерах защиты объектов, в которых размещены ресурсы ИС;

- сведений о мерах по обеспечению контролируемой зоны объектов, в которых размещены ресурсы ИС;

- сведений о мерах по разграничению доступа в Помещения, в которых находятся СВТ, на которых реализованы СКЗИ и СФ.

использование штатных средств ИС, ограниченное мерами, реализованными в ИС, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

Физический доступ к СВТ, на которых реализованы СКЗИ и СФ.

Возможность воздействовать на аппаратные компоненты СКЗИ и СФ, ограниченная мерами, реализованными в ИС, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

Создание способов, подготовка и проведение атак с привлечением специалистов в области анализа сигналов, сопровождающих функционирование СКЗИ и СФ, и в области использования для реализации атак недокументированных (недекларированных) возможностей прикладного ПО.

Проведение лабораторных исследований СКЗИ, используемых вне контролируемой зоны, ограниченное мерами, реализованными в ИС, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

Проведение работ по созданию способов и средств атак в научно-исследовательских центрах, специализирующихся в области разработки и анализа СКЗИ и СФ, в том числе с использованием исходных текстов входящего в СФ прикладного ПО, непосредственно использующего вызовы программных функций СКЗИ.

Создание способов, подготовка и проведение атак с привлечением специалистов в области использования для реализации атак недокументированных (недекларированных) возможностей системного ПО.

возможность располагать сведениями, содержащимися в конструкторской документации на аппаратные и программные компоненты СФ.

возможность воздействовать на любые компоненты СКЗИ и СФ.

"СКЗИ" - средствакриптографической защиты информации

"СФ" - среда функционированиясредства криптографической защиты информации

"ПО" - программное обеспечение

"ИС" - информационная система

"СВТ" - средства вычислительнойтехники

_______________________