Основы информационной безопасности

Лекция 5 . Нормативно-правовое поле ИБ.

Лектор: А.С. Лысяк E-mail: [email protected]

http://inforsec.ru/ По материалам лекций Пермякова Р. А.

Федеральный закон «О персональных данных»

ФЗ № 152 от 26 июля 2006

Структура законодательства

• Европейская конвенция • Конституция РФ • ФЗ № 160 от 19.12.05 и ФЗ № 152 от 26.07.06

• №781 от 17.11.2007

• №687 от 15.09.2008

• «Приказ трех» от 13.02.2008

• Приказ № 58 ФСТЭК • 2 открытых документа ФСБ

Структура нормативных документов

ФЗ-152 «О персональных данных» ФСТЭК ФСБ

© Пермяков Р.А.

ФЗ «О персональных данных» Целью настоящего

Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Персональные данные

 любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация

Принципы обработки ПД

   соблюдение законности целей и способов обработки персональных данных и добросовестности; соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора; соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;

Специальные категории ПД

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных федеральным закнодательством.

   

Категории ПД

категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни; категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1; категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных; категория 4 - обезличенные и (или) общедоступные персональные данные.

Значения

X КПД

   1 - в информационной системе одновременно обрабатываются персональные данные более чем 100.000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом; 2 - в информационной системе одновременно обрабатываются персональные данные от 1000 до 100.000 субъектов персональных.данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования; 3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.

Классы

X КПД X ПД

Категория 4 Категория 3 Категория 2 Категория 1

3

К4 К3 К3 К1

2

К4 К3 К2 К1

1

К4 К2 К1 К1

Классы ИСПДн

   Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных.

Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности:  защищенность от уничтожения,    изменения, блокирования, НСД.

К специальным информационным системам должны быть отнесены:  информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;  информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Характеристические классы ИСПДн

       По территориальному размещению.

По наличию соединений с сетями общего пользования.

По встроенным (легальным) операциям с записями баз персональных данных.

По разграничению доступа к персональным данным.

По наличию соединений с другими базами ПДн иных ИСПДн.

По уровню обобщения (обезличивания) ПДн.

По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки.

Проблемы и риски нормативно правовой базы

   Отсутствие рациональности некоторых нормативных актов. Угроза – отсутствие обеспечения требуемого реального уровня информационной безопасности при растратах трудовых и материальных ресурсов впустую.

Противоречия в законодательстве. Угроза неправильного понимания и соответственно – исполнения.

Проблема недостаточности описания некоторых областей в IT исполнения.

. Угроза недостаточного понимания закона и соответственно нарушение его

Проблемы и риски нормативно правовой базы

  Проблема низкой квалификации регуляторов. Угроза натолкнуться на некачественную работу проверяющих при соответствии всех действий нормативным документам. Угроза выполнения действий (построение системы), которые регуляторами признаются «не соответствующими…» (угроза потери средств на проектирование СЗИ).

Огромная динамика законодательства.

Лицензирование

В области ИБ, в частности.

Структура требований ФЗ-128 ПП РФ № 504 Приказ ФСТЭК № 181

ФЗ-128

 Статья 17. Перечень видов деятельности…:     деятельность по распространению шифровальных (криптографических) средств; деятельность по техническому обслуживанию шифровальных (криптографических) средств; предоставление услуг в области шифрования информации разработка, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем;    деятельность по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя); деятельность по разработке и (или) производству средств защиты конфиденциальной информации; деятельность по технической защите конфиденциальной информации;

  

Условия лицензирования

наличие в штате соискателя лицензии (лицензиата) Тема: Лицензирование специалистов, имеющих высшее профессиональное образование в области технической защиты информации либо высшее или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации; наличие у соискателя лицензии (лицензиата) помещений для осуществления лицензируемой деятельности, соответствующих техническим нормам и требованиям по технической защите информации, установленным нормативными правовыми актами Российской Федерации, и принадлежащих ему на праве собственности или на ином законном основании; наличие на любом законном основании производственного, испытательного и контрольно-измерительного оборудования, прошедшего в соответствии с законодательством Российской Федерации метрологическую поверку (калибровку), маркирование и сертификацию;

  

Условия лицензирования

Тема: Лицензирование использование автоматизированных систем, обрабатывающих конфиденциальную информацию, а также средств защиты такой информации, прошедших процедуру оценки соответствия (аттестованных и (или) сертифицированных по требованиям безопасности информации) в соответствии с законодательством Российской Федерации; использование предназначенных для осуществления лицензируемой деятельности программ для электронно-вычислительных машин и баз данных на основании договора с их правообладателем; наличие нормативных правовых актов, нормативно методических и методических документов по вопросам технической защиты информации в соответствии с перечнем, установленным Федеральной службой по техническому и экспортному контролю.

Контролирующие органы

 

ФСБ

Обеспечение безопасности информации криптографическими методами.

Лицензирующий орган в области защиты информации криптографическими методами.

  

ФСТЭК

обеспечения безопасности (некриптографическими методами) информации противодействия техническим разведкам Лицензирующий орган в области защиты информации некриптографическими методами

Угрозы

Основные определения.

Базовая модель угроз в ИСПДн.

 

Угроза

совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных Можно выделить:   Активная угроза безопасности - угроза намеренного несанкционированного изменения состояния автоматизированной системы. Пассивная угроза безопасности - угроза несанкционированного раскрытия информации без изменения состояния автоматизированной системы.

Виды угроз

    Угрозы конфиденциальности Угрозы доступности Угрозы целостности Угрозы раскрытия параметров защищенной компьютерной системы

         

Примеры угроз

наблюдение за источниками информации; подслушивание конфиденциальных разговоров и акустических сигналов работающих механизмов; перехват электрических, магнитных и электромагнитных полей, электрических сигналов и радиоактивных излучений; несанкционированное распространение материальных носителей за пределами организации; разглашение информации компетентными людьми; утеря носителей информации; несанкционированное распространение информации через поля и электрические сигналы случайно возникшие в аппаратуре; воздействие стихийных сил; сбои в аппаратуре сбора, обработки и передачи информации; воздействие мощных электромагнитных и электрических помех промышленных и природных.

Пример списка угроз

   Угрозы обусловленные действиями субъекта (антропогенные угрозы).

Угрозы, обусловленные техническими средствами (техногенные угрозы).

Угрозы, обусловленные стихийными источниками (стихийные угрозы).

Антропогенные угрозы

  Внешние: 1.

Криминальные структуры.

2.

3.

4.

5.

Рецидивисты и потенциальные преступники.

Недобросовестные партнёры.

Конкуренты.

Политические противники.

Внутренние: 1.

Персонал учреждения.

2.

3.

Персонал филиалов.

Специально внедрённые агенты.

Техногенные угрозы

 1.

Внутренние: Некачественные технические, средства обработки информации - некачественные программное средства.

2.

3.

4.

Некачественные программные средства обработки.

Вспомогательные средства.

Другие технические средства.

 1.

2.

3.

4.

Внешние: Средства связи.

Близко расположенные опасные производства.

Сети инженерных коммуникаций (канализация, энерго-, тепло и водоснабжение).

Транспорт.

Стихийные источники

       Пожары, молнии, включая шаровые.

Землетрясения.

Ураганы.

Наводнения.

Другие форс-мажорные обстоятельства.

Различные непредвиденные обстоятельства.

Необъяснимые явления.

Возможные реализации

 1.

Внутренние: Некачественные технические, средства обработки информации - некачественные программное средства.

2.

3.

4.

Некачественные программные средства обработки.

Вспомогательные средства.

Другие технические средства.

 1.

2.

3.

4.

Внешние: Средства связи.

Близко расположенные опасные производства.

Сети инженерных коммуникаций (канализация, энерго-, тепло и водоснабжение).

Транспорт.

Компьютерная атака

 Целенаправленное несанкционированное воздействие на информацию, на ресурс автоматизированной информационной системы или получение несанкционированного доступа к ним с применением программных или программно аппаратных средств.

Виды атак

          Mailbombing Переполнение буфера Вирусы, троянские кони, почтовые черви, снифферы, Rootkit-ы и другие специальные программы Сетевая разведка Сниффинг пакетов IP спуфинг Man-in-the-Middle Инъекция Социальная инженерия Отказ в обслуживании

Классификация угроз

Зачем нужна классификация

   Позволяет сократить количество рассматриваемых одновременно объектов Упорядочить процесс рассмотрения объектов Выделить общие характеристики

Базовая модель угроз безопасности ПДн

 В качестве примера рассмотрим классификацию приведенную в руководящем документе ФСТЭК РФ.

Основные понятия



Состав угроз

Состав и содержание угроз определяется совокупностью условий и факторов, создающих опасность несанкционированного , в том числе случайного, доступа к данным.

      

Характеристики

категорию и объем данных структуру ИС, наличие подключений ИС к сетям связи общего пользования характеристики подсистемы безопасности, режимы обработки данных, режимы разграничения прав доступа пользователей местонахождение и условия размещения технических средств ИС

     

Основные элементы ИС

Данные, содержащиеся в БД, как совокупность информации и ее носителей, используемых в ИС; информационные технологии, применяемые при обработке данных; технические средства, осуществляющие обработку данных (     средства вычислительной техники информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки данных, средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации); программные средства (операционные системы, системы управления базами данных и т.п.); средства защиты информации; вспомогательные технические средства и системы.

Условия реализации угрозы

 Угроза безопасности реализуется в результате образования канала реализации угрозы между источником угрозы и носителем (источником) защищаемых данных, что создает условия для нарушения безопасности данных (несанкционированный или случайный доступ).

Основные элементы канала

Источник    угрозы Среда распространения Носитель данных источник– субъект, материальный объект или физическое явление, создающие угрозу; среда распространения, в которой физическое поле, сигнал, данные или программы могут распространяться и воздействовать на защищаемые свойства; Носитель – физическое лицо или материальный объект, в том числе физическое поле, в котором данные находят свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

   

Классификация по виду носителя

акустическая (речевая) информация (РИ), содержащаяся непосредственно в произносимой речи пользователя ИС при осуществлении им функции голосового ввода данных в ИС, либо воспроизводимая акустическими средствами ИС , а также содержащаяся в электромагнитных полях и электрических сигналах, которые возникают за счет преобразований акустической информации; видовая информация (ВИ), представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИС; информация, обрабатываемая (циркулирующая) в ИС, в виде электрических, электромагнитных, оптических сигналов; информация, обрабатываемая в ИС, представленная в виде бит, байт, файлов и других логических структур.

Классификационные признаки

       по виду защищаемой от угроз информации; по видам возможных источников угроз; по типу ИС, на которые направлена реализация угроз; по способу реализации угроз; по виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с данными); по используемой уязвимости; по объекту воздействия.

Возможные источники угроз

   угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющих доступ к ИС, включая пользователей ИС, реализующих угрозы непосредственно в ИС (внутренний нарушитель); угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИС, реализующих угрозы из внешних сетей связи общего пользования (внешний нарушитель).

угрозы возникающие в результате внедрения аппаратных закладок и вредоносных программ.

     

Классификация по типу ИС

угрозы безопасности данных, обрабатываемых в ИС на базе автономного (АРМ); угрозы безопасности данных, обрабатываемых в ИС на базе АРМ, подключенного к сети общего пользования; угрозы безопасности данных, обрабатываемых в ИС на базе локальных информационных систем без подключения к сети общего пользования; угрозы безопасности данных, обрабатываемых в ИС на базе локальных информационных систем с подключением к сети общего пользования; угрозы безопасности данных, обрабатываемых в ИС на базе распределенных информационных систем без подключения к сети общего пользования; угрозы безопасности данных, обрабатываемых в ИС на базе распределенных информационных систем с подключением к сети общего пользования

Способы реализации угроз

   угрозы, связанные с НСД к данным (в том числе угрозы внедрения вредоносных программ); угрозы утечки данных по техническим каналам утечки информации; угрозы специальных воздействий на ИС.

Классификация по виду воздействия

   угрозы, приводящие к нарушению конфиденциальности (копированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации; угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется ее изменение или уничтожение; угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы ИС, в результате которого осуществляется блокирование системы.

Классификация по используемой уязвимости

       угрозы, реализуемые с использованием уязвимости системного ПО; угрозы, реализуемые с использованием уязвимости прикладного ПО; угрозы, реализуемые наличием в ИС аппаратной закладки; угрозы, реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных; угрозы, возникающие в результате использования уязвимости, вызванной недостатками организации ТЗИ от НСД; угрозы, реализуемые с использованием уязвимостей, обусловливающих наличие технических каналов утечки информации; угрозы, реализуемые с использованием уязвимостей СЗИ.

Классификация по объекту воздействия

     угрозы безопасности , обрабатываемых на АРМ; угрозы безопасности ПДн, обрабатываемых в выделенных средствах обработки (принтерах, плоттерах, графопостроителях, вынесенных мониторах, видеопроекторах, средствах звуковоспроизведения и т.п.); угрозы безопасности ПДн, передаваемых по сетям связи; угрозы прикладным программам, с помощью которых обрабатываются ПДн; угрозы системному ПО, обеспечивающему функционирование ИСПДн

Наиболее часто реализуемые угрозы

Анализ сетевого траффика

Хост 1 Хост 2 Маршрутизатор 1 Маршрутизатор 2 Прослушивание канала связи Хост нарушителя Хост N Хост 1 Хост 2 Хост M

Сканирование сети

  Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов и анализе ответов от них.

Цель – выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.

  

Угроза выявления пароля

Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, например:  простой перебор,     перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IP spoofing ) и перехват пакетов ( sniffing ). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя «проход» для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

Подмена доверенного объекта сети

1. Хост Х ведет наблюдение за хостами А и В и определяет нумерацию пакетов сообщений, идущую от хоста В Хост Х - хост нарушителя Хост А - доверенный хост 2. Хост Х посылает на хост A серию TCP-запросов на создание соединения, заполняя тем самым очередь запросов с целью вывести из строя на некоторое время хост A Хост B Хост Х Хост Х SYN, ISSx Хост B Хост А SYN, ISSx TCP-запрос на открытие соединения от имени хоста А SYN-бит синхронизации номера последовательности ISSx-произвольный номер последовательности хост А выведен из строя Хост B Хост А

Подмена доверенного объекта сети

Хост Х Ответ хоста В на TCP-запрос SYN, ACK, ISSb ACK(ISSx+1) Хост B Хост А SYN-бит синхронизации номера последовательности ISSb-произвольный номер последовательности хоста B ACK(ISSx+1)-номер подтверждения приема TCP-пакета от хоста A, равный ISSx+1 ASK(ISSb+1)-номер подтверждения приема TCP-пакета от хоста В, в котором атакующий указывает подобранный номер ISSb+1 ACK, ISSx+1 ACK(ISSb+1) Хост Х Хост А RST ASK(ISSx+1)-номер следующего TCP-пакета Отсутствует сообщение о разрыве TCP-соединения от выведенного из строя хоста А (пакет с заполненным служебным заголовком RST) Хост B

Спасибо за внимание!