Федеральное государственное образовательное учреждение

высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №1

Определение перечня угроз безопасности персональных данных при их

обработке в информационных системах персональных данных.

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
Моя гипотетическая организация – университет. Так как в университете
несколько институтов, а значит и несколько учебных корпусов, ИСПДн здесь
корпоративная распределенная, охватывающая многие подразделения одной
организации. В ИСПДн университета хранятся персональные данные
студентов, такие как ФИО, номер телефона, паспортные данные, данные о
месте жительства, СНИЛС, также хранятся копии всех документов.
Категория ПДн – ПДн-О.

Модель вероятного нарушителя.

Катего- Перечень лиц Описание категории нарушителя
рия
наруши-
теля

Работники  Имеет доступ к фрагментам информации,

предприятия, не содержащей ПДн и распространяющейся
имеющие по внутренним каналам связи ИСПДн;
санкционированного  Располагает фрагментами информации о
доступа к ИСПДн топологии ИСПДн (коммуникационной
части подсети) и об используемых
коммуникационных протоколах и их
сервисах;
1
 Располагает именами и возможностью
выявления паролей зарегистрированных
пользователей;
 Изменяет конфигурацию ТС ИСПДн,
вносит в нее программно-аппаратные
закладки и обеспечивает съем
информации, используя непосредственное
подключение к ТС ИСПДн.

2 Пользователи ИСПДн  Обладает всеми возможностями лиц

первой категории;
 Знает, по меньшей мере, одно легальное
имя доступа;
 Обладает всеми необходимыми
атрибутами, обеспечивающими доступ к
некоторому подмножеству ПДн;
 Располагает конфиденциальными
данными, к которым имеет доступ.

3 Администраторы ППО  Обладает всеми возможностями лиц

ИСПДн первой и второй категорий;
 Располагает информацией о топологии
 ИСПДн на базе локальной и (или)
распределенной ИС, через которую
осуществляется доступ, и о составе
технических средств ИСПДн;
 Имеет возможность прямого
(физического) доступа к фрагментам ТС
ИСПДн.

4 Администраторы  Обладает всеми возможностями лиц

локальной сети предыдущих категорий;
 Обладает полной информацией о
системном и ППО, используемом в
сегменте (фрагменте) ИСПДн;
 Обладает полной информацией о ТС и
конфигурации сегмента (фрагмента)
ИСПДн;
 Имеет доступ к средствам защиты
информации и протоколирования, а также
к отдельным элементам, используемым в
сегменте (фрагменте) ИСПДн;
 Имеет доступ ко всем ТС сегмента
(фрагмента) ИСПДн;
 Обладает правами конфигурирования и
административной настройки некоторого
подмножества ТС сегмента (фрагмента)
ИСПДн.

5 Зарегистрированные  Обладает всеми возможностями лиц

пользователи с предыдущих категорий;
полномочиями  Обладает полной информацией о
системного системном и прикладном ПО ИСПДн;
администратора  Обладает полной информацией о ТС и
ИСПДн, конфигурации ИСПДн;
администраторы  Имеет доступ ко всем ТС обработки
информационной информации и данным ИСПДн;
безопасности  Обладает правами конфигурирования и
административной настройки ТС ИСПДн.

6 Программисты-  Обладает информацией об алгоритмах и

разработчики программах обработки информации на
(поставщики) ППО и ИСПДн;
лица, обеспечивающие  Обладает возможностями внесения
его сопровождение на ошибок, НДВ, программных закладок
защищаемом объекте вредоносных программ в ПО ИСПДн на
стадии ее разработки, внедрения и
 сопровождения;
 Может располагать любыми фрагментами
информации о топологии ИСПДн и ТС
обработки и защиты ПДн,
обрабатываемых в ИСПДн.

Перечень угроз безопасности

Возможные угрозы безопасности ПДн

1. Угрозы от утечки по техническим каналам

1.1. Угрозы утечки акустической информации

1.2. Угрозы утечки видовой информации

1.3. Угрозы утечки информации по каналам ПЭМИН

2. Угрозы несанкционированного доступа к информации
2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации
путем физического доступа к элементам ИСПДн
2.1.1. Кража ПЭВМ
2.1.2. Кража носителей информации
2.1.3. Кража ключей и атрибутов доступа
2.1.4. Кражи, модификации, уничтожения информации
2.1.5. Вывод из строя узлов ПЭВМ, каналов связи
2.1.6. Несанкционированный доступ к информации при техническом обслуживании
(ремонте, уничтожении) узлов ПЭВМ
2.1.7. Несанкционированное отключение средств защиты
2.2. Угрозы хищения, несанкционированной модификации или блокирования
информации за счет несанкционированного доступа (НСД) с применением программно-
аппаратных и
программных средств (в том числе программно-математических воздействий)
2.2.1. Действия вредоносных программ (вирусов)
2.2.2. Недекларированные возможности системного ПО и ПО для обработки
персональных данных
2.2.3. Установка ПО, не связанного с исполнением служебных обязанностей
2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности
функционирования ИСПДн и систем защиты ПДн в ее составе из-за сбоев в
программном обеспечении, а также от сбоев аппаратуры, из-за ненадежности
элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и
т. п.) характера
2.3.1. Утрата ключей и атрибутов доступа
2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками
2.3.3. Непреднамеренное отключение средств защиты
2.3.4. Выход из строя аппаратно-программных средств
2.3.5. Сбой системы электроснабжения
2.3.6. Стихийное бедствие
 2.4. Угрозы преднамеренных действий внутренних нарушителей
2.4.1. Доступ к информации, копирование, модификация, уничтожение, лицами, не
допущенными к ее обработке
2.4.2. Разглашение информации, копирование, модификация, уничтожение
сотрудниками,
допущенными к ее обработке
2.5.Угрозы несанкционированного доступа по каналам связи
2.5.1.Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и
принимаемой из внешних сетей информации:
2.5.1.1. Перехват за переделами с контролируемой зоны
2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями
2.5.1.3.Перехват в пределах контролируемой зоны внутренними нарушителями.
2.5.2.Угрозы сканирования, направленные на выявление типа или типов используемых
операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети,
открытых
портов и служб, открытых соединений и др.
2.5.3.Угрозы выявления паролей по сети
2.5.4.Угрозы навязывание ложного маршрута сети
2.5.5.Угрозы подмены доверенного объекта в сети
2.5.6.Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях
2.5.7.Угрозы типа «Отказ в обслуживании»
2.5.8.Угрозы удаленного запуска приложений
2.5.9.Угрозы внедрения по сети вредоносных программ

Вопросы для защиты работы

1) Перечислите Источники угроз НСД в ИСПДн

Ответ:

Источниками угрозы НСД в ИСПДн являются:

 Внешние нарушители;
 Внутренние нарушители (лица, имеющие санкционированный доступ в
контролируемую зону, но не имеющие доступа к ПДн;
зарегистрированный пользователь информационных ресурсов,
имеющий ограниченные права доступа к ПДн ИСПДн с рабочего
места; пользователи информационных ресурсов, осуществляющие
удаленный доступ к ПДн по ЛВС; зарегистрированный пользователь с
полномочиями системного администратора ИСПДн;
зарегистрированный пользователь с полномочиями администратора
безопасности ИСПДн; программисты-разработчики прикладного ПО и
лица, обеспечивающие его сопровождение в ИСПДн; разработчики и
лица, обеспечивающие поставку, сопровождение в ИСПДн; другие
категории лиц в соответствии с оргштатной структурой ИСПДн);
  Программно-аппаратные закладки (конструктивно-встроенные,
автономные);
 Вредоносные программы (программные закладки; программные
вирусы; вредоносные программы, распространяющиеся по сети
(черви); другие вредоносные программы).

2) По режиму обработки персональных данных в информационной системе

информационные системы подразделяются на два вида. Назовите, какие.

Ответ:

Однопользовательские и многопользовательские.

3) К каким видам нарушения безопасности информации может привести

реализация угроз НСД?

Ответ:

Реализация угроз НСД к информации может приводить к следующим видам

нарушения ее безопасности:

 нарушению конфиденциальности (копирование, неправомерное

распространение);
 нарушению целостности (уничтожение, изменение);
 нарушению доступности (блокирование).
 Федеральное государственное образовательное учреждение
высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №2

Определение уровня исходной защищённости (Y1).

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
Показатели исходной защищенности ИСПДн.
Технические и Уровень защищенности
эксплуатационные
характеристики Высокий Средний Низкий
ИСПДн

По территориальному резмещению

Корпоративная - + -
распределенная ИСПДн,
охватывающая многие
подразделения одной
организации

По наличию соединения с сетями общего пользования

ИСПДн, имеющая - + -
одноточечный выход в
сеть общего пользования

По встроенным (легальным) операциям с записями баз персональных данных

Запись, удаление, - + -
сортировка

По разграничению доступа к персональным данным

ИСПДн, к которой - + -
имеют доступ
определенные перечнем
сотрудники организации,
являющейся владельцем
ИСПДн, либо субъект
ПДн;

По наличию соединений с другими базами ПДн иных ИСПДн

ИСПДн, в которой + - -
используется одна база
ПДн, принадлежащая
одной организации –
владельцу данной
ИСПДн

По уровню обобщения (обезличивания) ПДн

ИСПДн, в которой - + -
данные обезличиваются
только при передаче в
другие организации и не
обезличены при
предоставлении
пользователю в
организации

По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без

предварительной обработки

ИСПДн, - + -
предоставляющая часть
ПДн

Количество «+» в 1 6 0
колонках

Результат (Y1) 5

ИСПДн имеет средний уровень исходной защищенности.

Вопросы для защиты работы

1) Что понимается под угрозами безопасности ПДн при их обработке в

ИСПДн?
Ответ:
Под угрозами безопасности ПДн при их обработке в ИСПДн понимается
совокупность условий и факторов, создающих опасность
несанкционированного, в том числе случайного, доступа к персональным
данным, результатом которого может стать уничтожение, изменение,
блокирование, копирование, распространение персональных данных, а также
иных несанкционированных действий при их обработке в информационной
системе персональных данных.

2) Как могут быть реализованы угрозы безопасности ПДн?

Ответ:
Угрозы безопасности ПДн могут быть реализованы за счет утечки ПДн по
техническим каналам (технические каналы утечки информации,
обрабатываемой в технических средствах ИСПДн, технические каналы
перехвата информации при ее передаче по каналам связи, технические
каналы утечки акустической (речевой) информации) либо за счет
несанкционированного доступа с использованием соответствующего
программного обеспечения.

3) Перечислите источники угроз, реализуемые за счет несанкционированного

доступа к базам данных с использованием штатного или специально
разработанного программного обеспечения.
Ответ:
Источниками угроз, реализуемых за счет несанкционированного доступа к
базам данных с использованием штатного или специально разработанного
программного обеспечения, являются субъекты, действия которых нарушают
регламентируемые в ИСПДн правила разграничения доступа к информации.
Этими субъектами могут быть: нарушитель, носитель вредоносной
программы, аппаратная закладка.

4) Какая угроза считается актуальной?

Ответ:
Актуальной считается угроза, которая может быть реализована в ИСПДн и
представляет опасность для ПДн.
 Федеральное государственное образовательное учреждение
высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №3

Определение частоты (вероятности) реализации рассматриваемой

угрозы (Y2).

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
Коэффициент вероятности реализации (Y2) и Оценка опасности угрозы
Возможные угрозы Коэффициент вероятности реализации Оценка
безопасности ПДн нарушителем категории n опасности
угрозы
1 2 3 4 5 6 Внешние Итог
(Y2)

1. Угрозы от утечки по техническим каналам.

1.1. Угрозы утечки 0 0 0 0 0 0 0 0 Маловероятная

акустической
информации

1.2. Угрозы утечки 0 0 2 0 0 0 0 2 Низкая

видовой информации вероятность

1.3. Угрозы утечки 0 0 0 0 0 0 2 2 Низкая

информации по вероятность
каналам ПЭМИН

2. Угрозы несанкционированного доступа к информации

2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн, носителей

информации путем физического доступа к элементам ИСПДн

2.1.1. Кража ПЭВМ 0 0 0 0 0 2 0 2 Низкая

вероятность

2.1.2. Кража 0 0 0 0 0 2 0 2 Низкая

носителей вероятность
информации

2.1.3. Кража ключей и 0 0 0 2 0 0 2 2 Низкая

атрибутов доступа вероятность

2.1.4. Кражи, 0 0 0 0 0 2 0 2 Низкая

модификации, вероятность
уничтожения
информации

2.1.5. Вывод из строя 0 0 0 0 0 0 0 0 Маловероятная

узлов ПЭВМ, каналов
связи

2.1.6. 0 0 0 2 2 2 2 2 Низкая
Несанкционирован- вероятность
ный доступ к
информации при
техническом
обслуживании
(ремонте,
уничтожении) узлов
ПЭВМ

2.1.7. 0 0 0 0 0 0 2 2 Низкая
Несанкционированно вероятность
е отключение средств
защиты

2.2. Угрозы хищения, несанкционированной модификации или блокирования

информации за счет несанкционированного доступа (НСД) с применением программно-
аппаратных и программных средств (в том числе и программно-математических
воздействий)

2.2.1. Действия 2 2 2 0 2 0 2 2 Низкая

вредоносных вероятность
программ (вирусов)

2.2.2. Недеклариро- 2 2 5 0 2 2 0 2 Низкая

ванные возможности вероятность
системного ПО и ПО
для обработки
персональных данных

2.2.3. Установка ПО, 0 0 2 0 0 0 0 2 Низкая

не связанного с вероятность
исполнением
служебных
обязанностей

2.3. Угрозы непреднамеренных действий пользователей и нарушений безопасности

функционирования ИСПДн и системы защиты ПДн в ее составе из-за сбоев в
программном обеспечении, а так же от сбоев аппаратуры, из-за ненадежности
элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и
т.п.) характера

2.3.1. Утрата ключей 2 2 2 0 0 0 0 2 Низкая

и атрибутов доступа вероятность

2.3.2. Непреднамерен- 0 2 0 0 0 0 0 2 Низкая

ная модификация вероятность
(уничтожение)
информации
сотрудниками

2.3.3. Непреднамерен- 0 0 0 0 0 0 0 0 Маловероятная

ное отключение
средств защиты

2.3.4. Выход из строя 0 0 0 0 0 0 0 0 Маловероятная

аппаратно-
программных средств

2.3.5. Сбой системы 0 0 0 0 0 0 0 0 Маловероятная

электроснабжения

2.3.6. Стихийное 0 0 0 0 0 0 0 0 Маловероятная

бедствие

2.4. Угрозы преднамеренных действий внутреннего нарушителя

2.4.1. Доступ к 2 0 0 2 2 2 0 2 Низкая

информации, вероятность
копирование,
модификация,
уничтожение, лицами,
не допущенными к ее
обработке

2.4.2 Разглашение 2 2 2 2 2 0 0 2 Низкая

информации, вероятность
копирование,
модификация,
уничтожение
сотрудниками,
допущенными к ее
обработке

2.5. Угрозы несанкционированного доступа по каналам связи

2.5.1. Угроза «Анализ 2 2 0 0 0 0 5 5 Средняя

сетевого трафика» с вероятность
перехватом
передаваемой из
ИСПДн и
принимаемой из
внешних сетей
информации:

2.5.1.1. Перехват за 0 0 0 0 0 0 2 2 Низкая

пределами с вероятность
контролируемой зоны

2.5.1.2. Перехват в 0 0 0 0 0 0 2 2 Низкая

пределах вероятность
контролируемой зоны
внешними
нарушителями

2.5.1.3. Перехват в 0 0 0 0 2 0 0 2 Низкая

пределах вероятность
контролируемой зоны
внутренними
нарушителями

2.5.2. Угрозы 2 2 2 0 0 0 0 2 Низкая

сканирования, вероятность
направленные на
выявление типа или
типов используемых
операционных
систем, сетевых
адресов рабочих
инстанций ИСПДн,
топологии сети,
открытых портов и
служб, открытых
соединений и др.

2.5.3. Угрозы 0 0 0 0 0 0 0 0 Маловероятная

выявления паролей по
сети

2.5.4. Угрозы 0 0 0 0 0 0 0 0 Маловероятная

навязывание ложного
маршрута сети

2.5.5. Угрозы 0 0 0 0 0 0 0 0 Маловероятная

подмены доверенного
объекта в сети

2.5.6. Угрозы 2 0 0 0 0 0 0 2 Низкая

внедрения ложного вероятность
объекта как в ИСПДн,
так и во внешних
сетях

2.5.7. Угрозы типа 2 0 0 0 0 0 0 2 Низкая

«Отказ в вероятность
обслуживании»
2.5.8. Угрозы 2 2 2 0 0 0 0 2 Низкая
удаленного запуска вероятность
приложений

2.5.9. Угрозы 2 0 2 0 0 0 10 10 Высокая

внедрения по сети вероятность
вредоносных
программ

Контрольные вопросы

1) Какие показатели применяются для оценки возможности реализации

угрозы?
Ответ:

Для оценки возможности реализации угрозы применяются два показателя:

уровень исходной защищенности ИСПДн и частота (вероятность) реализации
рассматриваемой угрозы.

2) Что понимается под уровнем исходной защищенности ИСПДн?

Ответ:

Под уровнем исходной защищенности ИСПДн понимается обобщенный

показатель, зависящий от технических и эксплуатационных характеристик
ИСПДн.

3) Что понимается под частотой (вероятностью) реализации угрозы?

Ответ:

Под частотой (вероятностью) реализации угрозы понимается определяемый

экспертным путем показатель, характеризующий, насколько вероятным
является реализация конкретной угрозы безопасности ПДн для данной
ИСПДн в складывающихся условиях обстановки.
 Федеральное государственное образовательное учреждение
высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №4

Определение коэффициента реализуемости угрозы (Y) и возможности

реализации.

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
Расчет реализуемости и возможности реализации.
Тип угроз безопасности ПДн Коэффициент Возможность
реализуемости реализации
угрозы (Y)

1. Угрозы от утечки по техническим каналам

1.1. Угрозы утечки акустической информации 0,25 Низкая

1.2. Угрозы утечки видовой информации 0,35 Средняя

1.3. Угрозы утечки информации по каналам 0,35 Средняя

ПЭМИН

2. Угрозы несанкционированного доступа к информации

2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн, носителей

информации путем физического доступа к элементам ИСПДн

2.1.1. Кража ПЭВМ 0,35 Средняя

2.1.2. Кража носителей информации 0,35 Средняя

2.1.3. Кража ключей и атрибутов доступа 0,35 Средняя

2.1.4. Кражи, модификации, уничтожения 0,35 Средняя

информации

2.1.5. Вывод из строя узлов ПЭВМ, каналов 0,25 Низкая

связи

2.1.6. Несанкционирован-ный доступ к 0,35 Средняя

информации при техническом обслуживании
(ремонте, уничтожении) узлов ПЭВМ

2.1.7. Несанкционированное отключение 0,35 Средняя

средств защиты

2.2. Угрозы хищения, несанкционированной модификации или блокирования

информации за счет несанкционированного доступа (НСД) с применением программно-
аппаратных и программных средств (в том числе и программно-математических
воздействий)

2.2.1. Действия вредоносных программ 0,35 Средняя

(вирусов)

2.2.2. Недеклариро- 0,35 Средняя

ванные возможности системного ПО и ПО для
обработки персональных данных
2.2.3. Установка ПО, не связанного с 0,35 Средняя
исполнением служебных обязанностей

2.3. Угрозы непреднамеренных действий пользователей и нарушений безопасности

функционирования ИСПДн и системы защиты ПДн в ее составе из-за сбоев в
программном обеспечении, а так же от сбоев аппаратуры, из-за ненадежности
элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и
т.п.) характера

2.3.1. Утрата ключей и атрибутов доступа 0,35 Средняя

2.3.2. Непреднамерен- 0,35 Средняя

ная модификация (уничтожение) информации
сотрудниками

2.3.3. Непреднамерен- 0,25 Низкая

ное отключение средств защиты

2.3.4. Выход из строя аппаратно-программных 0,25 Низкая

средств

2.3.5. Сбой системы электроснабжения 0,25 Низкая

2.3.6. Стихийное бедствие 0,25 Низкая

2.4. Угрозы преднамеренных действий внутреннего нарушителя

2.4.1. Доступ к информации, копирование, 0,35 Средняя

модификация, уничтожение, лицами, не
допущенными к ее обработке

2.4.2 Разглашение информации, копирование, 0,35 Средняя

модификация, уничтожение сотрудниками,
допущенными к ее обработке

2.5. Угрозы несанкционированного доступа по каналам связи

2.5.1. Угроза «Анализ сетевого трафика» с 0,5 Средняя

перехватом передаваемой из ИСПДн и
принимаемой из внешних сетей информации:

2.5.1.1. Перехват за пределами с 0,35 Средняя

контролируемой зоны

2.5.1.2. Перехват в пределах контролируемой 0,35 Средняя

зоны внешними нарушителями

2.5.1.3. Перехват в пределах контролируемой 0,35 Средняя

зоны внутренними нарушителями

2.5.2. Угрозы сканирования, направленные на 0,35 Средняя

выявление типа или типов используемых
операционных систем, сетевых адресов рабочих
инстанций ИСПДн, топологии сети, открытых
портов и служб, открытых соединений и др.

2.5.3. Угрозы выявления паролей по сети 0,25 Низкая

2.5.4. Угрозы навязывание ложного маршрута 0,25 Низкая

сети

2.5.5. Угрозы подмены доверенного объекта в 0,25 Низкая

сети

2.5.6. Угрозы внедрения ложного объекта как в 0,35 Средняя

ИСПДн, так и во внешних сетях

2.5.7. Угрозы типа «Отказ в обслуживании» 0,35 Средняя

2.5.8. Угрозы удаленного запуска приложений 0,35 Средняя

2.5.9. Угрозы внедрения по сети вредоносных 0,75 Высокая

программ

Контрольные вопросы

1) Как определяется коэффициент реализуемости угрозы Y?

Ответ:

Коэффициент реализуемости угрозы определяется по формуле

Y=(Y1+Y2)/20

2) Перечислите вербальные показатели опасности для рассматриваемой

ИСПДн.
Ответ:

Вводятся четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления
угрозы (например, угроза хищения носителей информации лицами, не
имеющими легального доступа в помещение, где последние хранятся);
низкая вероятность – объективные предпосылки для реализации угрозы
существуют, но принятые меры существенно затрудняют ее реализацию
(например, использованы соответствующие средства защиты информации);
средняя вероятность - объективные предпосылки для реализации угрозы
существуют, но принятые меры обеспечения безопасности ПДн
недостаточны;
высокая вероятность - объективные предпосылки для реализации угрозы
существуют и меры по обеспечению безопасности ПДн не приняты.

3) Какое значение имеет вербальный показатель, если реализация угрозы

может привести к значительным негативным последствиям для субъектов
персональных данных?
Ответ:

Высокая опасность.
 Федеральное государственное образовательное учреждение
высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №5

Определение актуальных угроз безопасности персональных данных при

их обработке в информационных системах персональных данных

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
Перечень актуальных угроз.
Тип угроз безопасности ПДн Опасность
угрозы

1. Угрозы от утечки по техническим каналам

1.1. Угрозы утечки акустической информации Неактуальная

1.2. Угрозы утечки видовой информации Неактуальная

1.3. Угрозы утечки информации по каналам ПЭМИН Неактуальная

2. Угрозы несанкционированного доступа к информации

2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн, носителей

информации путем физического доступа к элементам ИСПДн

2.1.1. Кража ПЭВМ Неактуальная

2.1.2. Кража носителей информации Неактуальная

2.1.3. Кража ключей и атрибутов доступа Неактуальная

2.1.4. Кражи, модификации, уничтожения информации Неактуальная

2.1.5. Вывод из строя узлов ПЭВМ, каналов связи Неактуальная

2.1.6. Несанкционирован-ный доступ к информации при техническом Неактуальная

обслуживании (ремонте, уничтожении) узлов ПЭВМ

2.1.7. Несанкционированное отключение средств защиты Неактуальная

2.2. Угрозы хищения, несанкционированной модификации или блокирования

информации за счет несанкционированного доступа (НСД) с применением программно-
аппаратных и программных средств (в том числе и программно-математических
воздействий)

2.2.1. Действия вредоносных программ (вирусов) Неактуальная

2.2.2. Недеклариро- Неактуальная

ванные возможности системного ПО и ПО для обработки
персональных данных

2.2.3. Установка ПО, не связанного с исполнением служебных Неактуальная

обязанностей

2.3. Угрозы непреднамеренных действий пользователей и нарушений безопасности

функционирования ИСПДн и системы защиты ПДн в ее составе из-за сбоев в
программном обеспечении, а так же от сбоев аппаратуры, из-за ненадежности
элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и
 т.п.) характера

2.3.1. Утрата ключей и атрибутов доступа Неактуальная

2.3.2. Непреднамерен- Неактуальная

ная модификация (уничтожение) информации сотрудниками

2.3.3. Непреднамерен- Неактуальная

ное отключение средств защиты

2.3.4. Выход из строя аппаратно-программных средств Неактуальная

2.3.5. Сбой системы электроснабжения Неактуальная

2.3.6. Стихийное бедствие Неактуальная

2.4. Угрозы преднамеренных действий внутреннего нарушителя

2.4.1. Доступ к информации, копирование, модификация, Неактуальная

уничтожение, лицами, не допущенными к ее обработке

2.4.2 Разглашение информации, копирование, модификация, Неактуальная

уничтожение сотрудниками, допущенными к ее обработке

2.5. Угрозы несанкционированного доступа по каналам связи

2.5.1. Угроза «Анализ сетевого трафика» с перехватом передаваемой Актуальная

из ИСПДн и принимаемой из внешних сетей информации:

2.5.1.1. Перехват за пределами с контролируемой зоны Неактуальная

2.5.1.2. Перехват в пределах контролируемой зоны внешними Неактуальная

нарушителями

2.5.1.3. Перехват в пределах контролируемой зоны внутренними Неактуальная

нарушителями

2.5.2. Угрозы сканирования, направленные на выявление типа или Неактуальная

типов используемых операционных систем, сетевых адресов рабочих
инстанций ИСПДн, топологии сети, открытых портов и служб,
открытых соединений и др.

2.5.3. Угрозы выявления паролей по сети Неактуальная

2.5.4. Угрозы навязывание ложного маршрута сети Неактуальная

2.5.5. Угрозы подмены доверенного объекта в сети Неактуальная

2.5.6. Угрозы внедрения ложного объекта как в ИСПДн, так и во Неактуальная

внешних сетях

2.5.7. Угрозы типа «Отказ в обслуживании» Неактуальная

2.5.8. Угрозы удаленного запуска приложений Неактуальная

2.5.9. Угрозы внедрения по сети вредоносных программ Актуальная

Вывод: актуальными угрозами безопасности ПДн в ИСПДн являются:

 Угроза «Анализ сетевого трафика» с перехватом передаваемой из

ИСПДн и принимаемой из внешних сетей информации;
 Угрозы внедрения по сети вредоносных программ.

Контрольные вопросы

1) Каковы правила выбора из общего (предварительного) перечня угроз

безопасности тех, которые относятся к актуальным для данной ИСПДн?

Ответ:

Правила отнесения угрозы безопасности ПДн к актуальной

Возможност Показатель опасности угрозы

ь реализации
Низкая Средняя Высокая
угрозы

Низкая неактуальная неактуальная актуальная

Средняя неактуальная актуальная актуальная

Высокая актуальная актуальная актуальная

Очень актуальная актуальная актуальная

высокая

2) Перечислите показатели опасности угрозы.

Ответ:

Низкая, средняя, высокая.

3) Для каких дальнейших действий необходимо составление перечня

актуальных угроз?
Ответ:

С использованием данных о классе ИСПДн и составленного перечня

актуальных угроз формулируются конкретные организационно-технические
требования по защите ИСПДн от утечки информации по техническим
каналам, от несанкционированного доступа и осуществляется выбор
программных и технических средств защиты информации, которые могут
быть использованы при создании и дальнейшей эксплуатации ИСПДн.
 Федеральное государственное образовательное учреждение
высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №6

Определение типа актуальной угрозы.

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
Так как моя гипотетическая организация – университет, то есть
государственное учреждение, там должно использоваться
сертифицированное программное обеспечение как системное, так и
прикладное.

Вывод - тип актуальной угрозы безопасности персональных данных в моей

гипотетической организации – угрозы 3-го типа.

Контрольные вопросы.

1) Какие меры включает в себя система защиты персональных данных?

Ответ:

Организационные и технические.

2) Кто обеспечивает безопасность персональных данных при их обработке в

информационной системе?

Ответ:

Безопасность персональных данных при их обработке в информационной

системе обеспечивает оператор этой системы, который обрабатывает
персональные данные, или лицо, осуществляющее обработку персональных
данных по поручению оператора на основании заключаемого с этим лицом
договора.

3) Продолжите предложение: Информационная система является

информационной системой, обрабатывающей специальные категории
персональных данных, если…

Ответ:

… в ней обрабатываются персональные данные, касающиеся расовой,

национальной принадлежности, политических взглядов, религиозных или
философских убеждений, состояния здоровья, интимной жизни субъектов
персональных данных.
 Федеральное государственное образовательное учреждение
высшего образование
«Тамбовский государственный университет имени Г.Р.Державина»

Институт математики, физики и информационных технологий

Кафедра математического моделирования и информационных технологий

Ряжских Родион Николаевич

Отчёт по практической работе №7

Определение уровня защищенности ПДн.

Выполнил: студент 2 курса

направления подготовки 10.03.01

«Информационная безопасность»

Проверил(а):

ст.преподаватель Анурьева М.С.

Тамбов

2023
В моей гипотетической организации устанавливается необходимость
обеспечения 4-го уровня защищенности персональных данных при их
обработке в информационной системе, так как для информационной системы
персональных данных моей гипотетической организации актуальны угрозы
3-го типа и информационная система персональных данных обрабатывает
общедоступные персональные данные.

Контрольные вопросы.

1) При наличии каких условий необходим 3-й уровень защищенности

персональных данных?

Ответ:

Необходимость обеспечения 3-го уровня защищенности персональных

данных при их обработке в информационной системе устанавливается при
наличии хотя бы одного из следующих условий:
а) для информационной системы актуальны угрозы 2-го типа и
информационная система обрабатывает общедоступные персональные
данные сотрудников оператора или общедоступные персональные данные
менее чем 100000 субъектов персональных данных, не являющихся
сотрудниками оператора;
б) для информационной системы актуальны угрозы 2-го типа и
информационная система обрабатывает иные категории персональных
данных сотрудников оператора или иные категории персональных данных
менее чем 100000 субъектов персональных данных, не являющихся
сотрудниками оператора;
в) для информационной системы актуальны угрозы 3-го типа и
информационная система обрабатывает специальные категории
персональных данных сотрудников оператора или специальные категории
персональных данных менее чем 100000 субъектов персональных данных, не
являющихся сотрудниками оператора;
г) для информационной системы актуальны угрозы 3-го типа и
информационная система обрабатывает биометрические персональные
данные;
д) для информационной системы актуальны угрозы 3-го типа и
информационная система обрабатывает иные категории персональных
данных более чем 100000 субъектов персональных данных, не являющихся
сотрудниками оператора.
2) При наличии каких условий необходим 4-й уровень защищенности
персональных данных?

Ответ:

Необходимость обеспечения 4-го уровня защищенности персональных

данных при их обработке в информационной системе устанавливается при
наличии хотя бы одного из следующих условий:
а) для информационной системы актуальны угрозы 3-го типа и
информационная система обрабатывает общедоступные персональные
данные;
б) для информационной системы актуальны угрозы 3-го типа и
информационная система обрабатывает иные категории персональных
данных сотрудников оператора или иные категории персональных данных
менее чем 100000 субъектов персональных данных, не являющихся
сотрудниками оператора.

3) При наличии каких условий необходим 2-й уровень защищенности

персональных данных?

Ответ:

Необходимость обеспечения 2-го уровня защищенности персональных

данных при их обработке в информационной системе устанавливается при
наличии хотя бы одного из следующих условий:
а) для информационной системы актуальны угрозы 1-го типа и
информационная система обрабатывает общедоступные персональные
данные;
б) для информационной системы актуальны угрозы 2-го типа и
информационная система обрабатывает специальные категории
персональных данных сотрудников оператора или специальные категории
персональных данных менее чем 100000 субъектов персональных данных, не
являющихся сотрудниками оператора;
в) для информационной системы актуальны угрозы 2-го типа и
информационная система обрабатывает биометрические персональные
данные;
г) для информационной системы актуальны угрозы 2-го типа и
информационная система обрабатывает общедоступные персональные
данные более чем 100000 субъектов персональных данных, не являющихся
сотрудниками оператора;
д) для информационной системы актуальны угрозы 2-го типа и
информационная система обрабатывает иные категории персональных
данных более чем 100000 субъектов персональных данных, не являющихся
сотрудниками оператора;
е) для информационной системы актуальны угрозы 3-го типа и
информационная система обрабатывает специальные категории
персональных данных более чем 100000 субъектов персональных данных, не
являющихся сотрудниками оператора.