Постановление Кабинета Министров Чувашской Республики от 27.12.2017 № 543

____________                   

    *          Идентификаторы угроз приведены в соответствии с банком данных угроз безопасности информации, размещенным на официальном сайте Федеральной службы по техническому и экспортному контролю в информационно-телекоммуникационной сети «Интернет».

  **          Данные по незаполненным ячейкам таблицы заполняются при разработке частной модели угроз безопасности персональных данных и определении угроз безопасности персональных данных, актуальных при обработке персональных данных в соответствующей информационной системе персональных данных, эксплуатируемой органом исполнительной власти Чувашской Республики или подведомственной ему организацией.

*** Базовые угрозы безопасности персональных данных при обработке персональных данных в информационных системах персональных данных.

_____________

Приложение № 2

к угрозам безопасности персональных

 данных, актуальным при обработке

персональных данных в информационных

системах персональных данных, эксплуатируемых

 в органах исполнительной власти

Чувашской Республики и подведомственных

им организациях

Типовые возможности

нарушителей безопасности информации и направления атак

№ пп	Возможности нарушителей безопасности информации и направления атак (соответствующие актуальные угрозы)	Актуальность использования (применения) для построения и реализации атак*	Обоснование отсутствия (при наличии)*
1	2	3	4
1.	Проведение атаки при нахождении за пределами контролируемой зоны
2.	Проведение атаки при нахождении в пределах контролируемой зоны
3.	Проведение атак на этапе эксплуатации средств криптографической защиты информации (далее – СКЗИ) на: документацию на СКЗИ и компоненты среды их функционирования; помещения, в которых находится совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем, на которых реализованы СКЗИ и среда их функционирования
4.	Получение в рамках предоставленных полномочий, а также в результате наблюдений: сведений о физических мерах защиты объектов, в которых размещены ресурсы информационной системы персональных данных (далее также – информационная система); сведений о мерах по обеспечению контролируемой зоны объектов, в которых размещены ресурсы информационной системы; сведений о мерах по разграничению доступа в помещения, в которых находятся средства вычислительной техники, на которых реализованы СКЗИ и среда их функционирования
5.	Использование штатных средств информационной системы, ограниченное мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий
	Физический доступ к средствам вычислительной техники, на которых реализованы СКЗИ и среда их функционирования
6.	Возможность воздействовать на аппаратные компоненты СКЗИ и среду их функционирования, ограниченная мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий
7.	Создание способов, подготовка и проведение атак с привлечением специалистов в области анализа сигналов, сопровождающих функционирование СКЗИ и среды их функционирования, и в области использования для реализации атак недокументированных (недекларированных) возможностей прикладного программного обеспечения
8.	Проведение лабораторных исследований СКЗИ, используемых вне контролируемой зоны, ограниченное мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий
9.	Проведение работ по созданию способов и средств атак в научно-исследовательских центрах, специализирующихся в области разработки и анализа СКЗИ и среды их функционирования, в том числе с использованием исходных текстов входящего в среду функционирования прикладного программного обеспечения, непосредственно использующего вызовы программных функций СКЗИ
10.	Создание способов, подготовка и проведение атак с привлечением специалистов в области использования недокументированных (недекларированных) возможностей системного программного обеспечения для реализации атак
11.	Возможность располагать сведениями, содержащимися в конструкторской документации на аппаратные и программные компоненты среды функционирования СКЗИ
12.	Возможность воздействовать на любые компоненты СКЗИ и среду их функционирования

____________

*              Данные по незаполненным ячейкам таблицы заполняются при разработке органами исполнительной власти Чувашской Республики или подведомственными им организациями частной модели угроз безопасности персональных данных и определении угроз безопасности персональных данных, актуальных при обработке персональных данных в соответствующей информационной системе персональных данных, эксплуатируемой органом исполнительной власти Чувашской Республики или подведомственной ему организацией.

_____________