17 апреля 2013

Определение актуальности угроз информационным системам персональных данных

Введение

Тема защиты персональных данных в свете принятого закона «О персональных данных» от 27.07.2006 № 152 периодически «бурно» обсуждается специалистами по информационной безопасности. За прошедшее время было «сломано не мало копий», «наломано не мало дров». В частности, разработаны, прошли сертификационные испытания средства защиты, операторы проводили различные мероприятия по защите персональных данных, а регуляторы их контролировали и оповещали заинтересованное сообщество о проделанной работе. Периоды «возбуждения» по теме защиты «персданных» сменялись затишьем, а потом словно по предсказанию «классиков» повторялись по спирали. Вот и сейчас регулятор в лице ФСТЭК России поставил всех в состояние ожидания нового, непознанного - на регистрации в Минюсте России находятся два приказа, которые регламентируют порядок защиты персональных данных:

Приказ № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
Приказ «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».

По заверению экспертов, которые озвучили эту информацию пару недель назад – ждать не долго. Было проведено несколько мероприятий, на которых, в частности, озвучены основные положения Приказа ФСТЭК России № 21¹. В нем регулятор указывает, каким образом необходимо обеспечить защиту персональных данных, исходя из их уровня защищенности, определенных Постановлением Правительства России от 01.11.2012 № 1119.

В основу определения уровней защищенности положены типы угроз, актуальные для конкретной информационной системы персональных данных. Их актуальность определяется самим же оператором².

В рамках данной публикации вспомним классификацию угроз информационным системам персональных данных, от чего они зависят и постараемся выяснить, а на сколько они актуальны в реальных информационных системах (как можно слышать - наличие потенциальной угрозы совсем же не означает её практическую реализуемость). Материал ориентирован на категорию читателей, которым необходимо ознакомиться с основными требованиями по организации защиты персональных данных. Там где нет ссылок на конкретный источник информации – автор приводит своё частное мнение.

Общие замечания

Итак, что же у нас имеется, исходя из Постановления Правительства РФ №1119? Для начала обратим внимание, что в рамках данного Постановления Правительства под информационной системой понимается информационная система персональных данных³.

Далее. Озаботиться обеспечением безопасности персональных данных должен Оператор (или тот, с кем Оператор официально «договорится» о предоставлении данной услуги). В любом случае создается система защиты персональных данных, представляющая собой совокупность организационных и / или технических мер. Целью реализации данных мер является нейтрализация актуальных угроз безопасности персональных данных. А вот определяют нам эти угрозы в рамках своих полномочий такие субъекты как⁴:

федеральные органы исполнительной власти;
органы исполнительной власти субъектов РФ;
Банк России;
органы государственных внебюджетных фондов
и разумеется всеобъемлющий государственный орган, именуемый «иным».

Определяя эти угрозы, в соответствии с ФЗ-152, указанные органы должны учитывать:

содержание персональных данных;
характер обработки персональных данных;
способы обработки персональных данных.

Ну а чтобы все эти документы были сделаны в верном направлении – они должны пройти согласование в ФСБ и ФСТЭК России⁵.

Что именно понимают наши регуляторы под «угрозой» можно узнать из соответствующего стандарта, а именно: под угрозой безопасности информации понимается «…совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации»⁶.

В свою очередь, там же указано, что под «фактором», воздействующим на защищаемую информацию, следует понимать «…явление, действие или процесс, результатом которого могут быть утечка, искажение, уничтожение защищаемой информации, блокирование доступа к ней». Указанное определение достаточно хорошо стыкуется с аналогичным разъяснением, приведенным в п.6 рассматриваемого Постановления Правительства.

Классификация угроз безопасности

Рассмотрим приведенную в Постановлении Правительства классификацию угроз по типам в зависимости от наличия недекларированных возможностей (НДВ) в программном обеспечении ИСПД.

Для начала отметим, что само определение НДВ можно увидеть в Руководящем документе ФСТЭК⁷. В данном документе термин «НДВ» определяется как «…функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации».

Там же уточняется, что «…Реализацией недекларированных возможностей, в частности, являются программные закладки … - преднамеренно внесенные в ПО функциональные объекты, которые при определенных условиях (входных данных) инициируют выполнение не описанных в документации функций ПО, приводящих к нарушению конфиденциальности, доступности или целостности обрабатываемой информации».

Получаем следующую схему:

Т.о. следует обратить внимание на то, что внедренный злоумышленником программный код в программное обеспечение информационное системы является только частным случаем НДВ. Поэтому, при рассмотрении актуальности угроз ИСПД нельзя уделять внимание только лишь возможности внедрения программных закладок! Всё гораздо сложнее!

В отношении актуальных угроз регулятор разбивает их на 3 типа: «наименее страшный» из них – третий, поскольку характеризуется возможностью несанкционированного доступа в отсутствии НДВ в программном обеспечении системы.

Как известно, под «несанкционированным доступом» понимается доступ, нарушающий правила разграничения доступа, с использованием штатных средств. Также регулятор уточняет, что штатные средства представляют собой «…совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем»⁸.

Результат наших словесных рассуждений сведен в представленном ниже рисунке.

Конечно, посмотрев на схему, хотелось бы «свести» всё к угрозам 3-го типа, указав в модели угроз, что все остальные неактуальны. Но к чему такой подход может привести? Посмотрим на информационную ленту.

Так, из отчета «InfoWatch» по анализу известных случаев утечек информации из «мировой паутины» известно, что в прошедшем году произошло почти два миллиарда указанных событий⁹. Кроме того, указывается, что процент умышленных утечек растет (в 2012 г. – 46 %), а наиболее востребованными объектами для воровства остаются личные данные (оценивается в 89.5 %). Больше всего случаев краж зарегистрировано в коммерческих компаниях (около 46 % случаев). Кстати, одной из проблем аналитики называют увеличение использования мобильных средств для выхода в сеть. Статистика – это хорошо, а что на деле?

Один из «свежих» случаев - размещение в свободном доступе в интернете конфиденциальной информации американских политиков и знаменитостей: данных с кредитных карт и карточек социального страхования¹⁰. Среди пострадавших - директор ФБР Роберт Мюллер, шеф полиции Лос-Анджелеса Чарли Бек, певицы Бейонсе и Бритни Спирс, миллиардер Дональд Трамп, актеры Мел Гибсон и Эштон Катчер, бывший госсекретарь США Хилари Клинтон и вице-президент Джозеф Байден. Т.е. целью злоумышленников может быть как эстрадный певец, так и чиновник высокого ранга.

С аналогичными проблемами сталкиваются и «хозяева» интернет-сервисов. Например, онлайн-сервис для хранения личных заметок Evernote, чтобы обезопасить личные данные 50 млн своих пользователей «сбросил» их старые пароли, предложив создать новые¹¹.

И эта проблема не знает границ! Так, 19.03.2013 г. на основании материалов Роскомнадзора прекращена деятельность 3-х интернет-сайтов через которые незаконно распространялись персональные данные граждан РФ¹². Только за одну неделю февраля по представлению Роскомнадзора прекращена деятельность 28 сайтов, распространявших персональные данные¹³. В каких-то случаях распространение персональных данных происходило, по причине «человеческого фактора» - не получив разрешение делалась публикация: это и размещение на официальных сайтах школ списков учеников, развешивание управляющими компаниями на лестничных клетках жилых домов и публикация на собственных веб-страницах списков должников. Но также, личные данные оказывались доступны и по причине уязвимостей программного обеспечения¹⁴. Примеры реального хищения денег в системах «банк-клиент» также имеются¹⁵. Вот и получается, что далеко не везде актуальными будут только лишь угрозы 3-го типа.

Заключение

К анализу актуальности угроз безопасности ИСПД требуется подходить всесторонне и судя по тенденциям – формализм опасен! Как делать правильно? Например, для оценки защищенности своих ИТ-ресурсов, содержащих персональные данные, определения перечня работ по защите информации, периодического контроля защищенности применять автоматизированные средства анализа защищенности. Кроме того, можно привлекать различные внешние компании, специализирующиеся в «ручной» проверке систем, оказывающих услуги по тестированию информационных систем на проникновение (что и рекомендуют эксперты по ИБ, например, см. здесь¹⁶), благо такие возможности теперь доступны и отечественному потребителю.

¹ http://risspa.ru/news/new_fstek_order

² П. 7 «Требований к защите персональных данных при их обработке в информационных системах персональных данных», утвержденных Постановлением Правительства от 01.11.2012 № 1119 (далее – ПП1119).

³ ПП1119, п.1.

⁴ Федеральный закон № 152-ФЗ, ст.19, ч.5.

⁵ Федеральный закон № 152-ФЗ, ст.19, ч.7.

⁶ ГОСТ Р 50922-2006. Защита информации. Основные термины и определения.

⁷ Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей. Утверждено решением председателя Гостехкомиссии России при Президенте Российской Федерации от 04.07.1999 № 114.

⁸ Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения. Утверждено решением председателя Гостехкомиссии России при Президенте Российской Федерации от 30.03.1992.

⁹ http://www.pd.rsoc.ru/press-service/subject1/news1690/

¹⁰ http://www.pd.rsoc.ru/press-service/subject1/news1651/

¹¹ http://www.pd.rsoc.ru/press-service/subject1/news1604/

¹² http://www.rsoc.ru/news/rsoc/news19111.htm

¹³ http://www.rsoc.ru/news/rsoc/news18849.htm

¹⁴ http://www.securitylab.ru/news/436083.php

¹⁵http://www.cnews.ru/top/2012/09/13/rossiya_hakery_ukravshie_milliony_iz_banka_vtb_24_poluchili_uslovnyy_srok_502852

¹⁶ http://lukatsky.blogspot.ru/2013/02/blog-post_8.html

Просмотров: 8913

Мнения экспертов

Панасенко С.П.
АНКАД
Зам. директора по науке и системной интеграции

Актуальная и интересная статья на неисчерпаемую тему защиты персональных данных. На основе руководящих документов ФСТЭК автор классифицирует угрозы безопасности персональных данных, очень наглядно представляя в виде схем недекларированные возможности программного обеспечения и типы угроз персональным данным. Невозможно не согласиться с выводом автора о том, что нельзя свести все возможные угрозы только к угрозам третьего типа, подразумевающего отсутствие НДВ в используемом программном обеспечении. Думаю, что статья А. А. Веретенникова будет полезна широкому кругу читателей: как профессионально занимающихся защитой информации, так и тех, кому данная тема просто небезразлична.

Лукьянов В.В.

Статья является весьма актуальной. Материал изложен кратко, ясно, без “воды”. Автором четко определен круг читателей этой статьи – читатели, “которым необходимо ознакомиться с основными требованиями по организации защиты персональных данных”. Т.е. статья предназначена для тех, кто только начинает заниматься вопросами защиты персональных данных. К несомненным достоинствам статьи следует отнести наличие схем по классификации угроз безопасности, которые дают полное представление о сущности вопроса. Статья, конечно, должна быть опубликована. И желательно, чтобы автор продолжил в следующих статьях дальнейшее развитие этой тематики.

Коробанов В.А.
ООО "Альманах"
ведущий специалист

Статья поднимает актуальную тему защиты персональных данных. Данная тема весьма болезненна особенно для крупных организация ввиду весьма динамично меняющихся требований к защите в нормативно-законодательной базе. Сама статья, однако, выглядит незавершенной. Явно не хватает практического примера классификации угроз безопасности.

Тележко А.Л.
ООО "ПС Яндекс.Деньги"
Начальник отдела

В соответствие п.6 ПП 1119 указано «Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.» При этом хотелось, что бы автор при определении актуальности угроз переходил от категорий нарушителей к типам актуальных угроз, сопоставляя типы угроз с категорией нарушителя, это на мой взгляд было бы логично. Также хотелось бы отметить, что в соответствие с п.7 ПП 1119 «Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится оператором с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18 Федерального закона «О персональных данных», и в соответствии с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона «О персональных данных». При этом, оценка возможного вреда производится самостоятельно. С моей точки зрения Приказ № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» устанавливает в принципе иной подход к защите персональных данных, и при этом основывается на лучших практиках (как известно он имел обсуждение в интернете в среде экспертов по информационной безопасности). И как ни странно данный приказ позволяет операторам персональных данных самостоятельно осуществлять оптимальный и адекватный перечень защитных мер. Автор в своей статье задал верный вектор. Тема актуальности угроз информационных систем персональных данных очень важна, ведь от правильно описанных угроз зависит насколько грамотно будет защищена система, а также сколько будет стоить защита для оператора персональных данных.