Разработка документов по обработке персональных данных районной налоговой инспекции

№  
п/п

Описание  угрозы

Источник  угрозы

Нарушаемые  свойства

Объекты воздействия

Уязвимость

1 Угрозы для общедоступных ПДн клиентов районной налоговой инспекции

1

Кражи, модификацииуничтожение информации

Персонал, имеющий доступ к защищаемой информации.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы персональных данных.

Несанкционированное неумышленные действия пользователей, приводящие к возникновению уязвимостей.

2

Действия вредоносных программ (вирусов);

Лица, не имеющие доступа к информационной системе персональных данных (внешние  нарушители), к которым могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы  персональных данных.

Внедрение вредоносных программ, создающих  уязвимости в программном и программно-аппаратном обеспечении.

3

Непреднамеренная модификация (уничтожение) информации сотрудниками.

Персонал, осуществляющий администрирование  информационных систем и средств защиты.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей.

4

Выход из строя аппаратно-программных средств.

Поставщики аутсорсинговых услуг. Персонал, имеющий доступ в контролируемую зону, но не имеющий доступа к  защищаемой информации.

Целостность, конфиденциальность, доступность

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к  возникновению уязвимостей. Неправильные настройки программного обеспечения, неправомерное изменение режимов  работы устройств и программ.

5

Сбой системы электроснабжения.

Система энергоснабжения.

Целостность, доступность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные  сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).

6

Стихийное бедствие.

Угроза, не связанная  с деятельностью человека.

Целостность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные  сбоями в электропитании, выходом  из строя аппаратных элементов в  результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.)

7

Угрозы внедрения по сети вредоносных  программ.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым  могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность, целостность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Внедрение вредоносных  программ, создающих уязвимости в  программном и программно-аппаратном обеспечении.

№  
п/п

Описание  угрозы

Источник  угрозы

Нарушаемые  свойства

Объекты воздействия

Уязвимость

2 Угрозы иным ПДн клиентов районной налоговой инспекции

1

Кража носителей информации

Персонал, имеющий доступ к защищаемой информации

Конфиденциальность.

Информация, содержащаяся на электронном или бумажном носителе информации

Неумышленные действия пользователей, приводящие к возникновению уязвимостей

2

Кражи, модификацииуничтожение информации

Персонал, имеющий доступ к защищаемой информации.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы персональных данных.

Несанкционированное неумышленные действия пользователей, приводящие к возникновению уязвимостей.

3

Несанкционированное отключение средств  защиты;

Персонал, осуществляющий администрирование  информационных систем и средств  защиты

Конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей.

4

Действия вредоносных программ (вирусов);

Лица, не имеющие доступа к информационной системе персональных данных (внешние нарушители), к которым могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы  персональных данных.

Внедрение вредоносных программ, создающих  уязвимости в программном и программно-аппаратном обеспечении.

5

Не декларированные возможности  системного ПО и ПО для обработки  персональных данных.

Лица, не имеющие доступа к информационной системе персональных данных (внешние  нарушители), к которым могут относиться разведывательные службы иностранных  государств. криминальные структуры, конкурирующие  организации, недобросовестные партнеры, иные физические лица.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на мобильных устройствах информационной системы персональных данных.

Ошибки при проектировании, разработке и установке ПО.

6

Установка ПО не связанного с исполнением служебных обязанностей.

Персонал, осуществляющий администрирование  информационных систем и средств  защиты.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей

7

Утрата ключей и атрибутов доступа.

Персонал.

Конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей.

8

Непреднамеренная модификация (уничтожение) информации сотрудниками.

Персонал, осуществляющий администрирование  информационных систем и средств  защиты.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей.

9

Непреднамеренное отключение средств  защиты.

Персонал, осуществляющий администрирование  информационных систем и средств  защиты.

Целостность, конфиденциальность, доступность

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей.

10

Выход из строя аппаратно-программных  средств.

Поставщики аутсорсинговых услуг. Персонал, имеющий доступ в контролируемую зону, но не имеющий доступа к  защищаемой информации.

Целостность, конфиденциальность, доступность

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей. Неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ.

11

Сбой системы электроснабжения.

Система энергоснабжения.

Целостность, доступность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные  сбоями в электропитании, выходом  из строя аппаратных элементов в  результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).

12

Стихийное бедствие.

Угроза, не связанная  с деятельностью человека.

Целостность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные  сбоями в электропитании, выходом  из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.)

13

Разглашение информации, модификация, уничтожение сотрудниками допущенными  к ее обработке

Сотрудники допущенные к обработке

информации.

Доступность, конфиденциальность.

Информация, обрабатываемая на АРМ информационной системы персональных данных и на серверах ИСПДн.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей. Сотрудники – злоумышленники.

14

Угрозы выявления паролей по сети.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители).

Конфиденциальность, целостность, доступность.

Информация, передаваемая по каналу связи.

Неправомерное изменение режимов работы устройств и программ.

15

Угрозы подмены доверенного  объекта в сети.

Поставщики аутсорсинговых услуг. Внешние нарушители.

Конфиденциальность, целостность.

Информация, передаваемая по каналу связи.

Неправомерное изменение  режимов работы устройств и программ.

16

Угрозы типа «Отказ в обслуживании».

Поставщики аутсортинговых услуг.

Доступность.

Информация, передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к  возникновению уязвимостей.

17

Угрозы внедрения по сети вредоносных  программ.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым  могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность, целостность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных, передаваемая по каналам связи, обрабатываемая на серверах ИСПДн.

Внедрение вредоносных  программ, создающих уязвимости в  программном и программно-аппаратном обеспечении.

18

Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым  могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность, целостность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных, передаваемая по каналам связи, обрабатываемая на серверах ИСПДн.

Внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении.

19

Кража ключей и атрибутов доступа.

Лица, не имеющие доступа к информационной системе персональных данных (внешние  нарушители).

Конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Преднамеренные действия по внесению уязвимостей путем не законного получения доступа к информации.

20

Угрозы утечки видовой информации.

Лица, не имеющие доступа к информационной системе персональных данных (внешние нарушители).

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ  информационной системы персональных данных.

Преднамеренные действия по внесению уязвимостей путем не законного получения доступа к информации.

21

Перехват в пределах контролируемой зоны внешними нарушителями.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым  могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность.

Информация, передаваемая по каналу связи.

Внедрение вредоносных программ, создающих  уязвимости в программном и программно-аппаратном обеспечении.

3 Угрозы для общедоступных ПДн сотрудников  районной налоговой инспекции

1

Кражи, модификацииуничтожение информации

Персонал, имеющий доступ к защищаемой информации.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы персональных данных.

Несанкционированное неумышленные действия пользователей, приводящие к возникновению уязвимостей.

2

Действия вредоносных программ (вирусов);

Лица, не имеющие доступа к информационной системе персональных данных (внешние нарушители), к которым могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы  персональных данных.

Внедрение вредоносных программ, создающих  уязвимости в программном и программно-аппаратном обеспечении.

3

Непреднамеренная модификация (уничтожение) информации сотрудниками.

Персонал, осуществляющий администрирование  информационных систем и средств  защиты.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей.

4

Выход из строя аппаратно-программных  средств.

Поставщики аутсорсинговых услуг. Персонал, имеющий доступ в контролируемую зону, но не имеющий доступа к  защищаемой информации.

Целостность, конфиденциальность, доступность

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей. Неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ.

5

Сбой системы электроснабжения.

Система энергоснабжения.

Целостность, доступность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).

6

Стихийное бедствие.

Угроза, не связанная с деятельностью человека.

Целостность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные  сбоями в электропитании, выходом  из строя аппаратных элементов в  результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.)

7

Угрозы внедрения по сети вредоносных  программ.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность, целостность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Внедрение вредоносных  программ, создающих уязвимости в  программном и программно-аппаратном обеспечении.

№  
п/п

Описание  угрозы

Источник  угрозы

Нарушаемые  свойства

Объекты воздействия

Уязвимость

4 Угрозы иным ПДн сотрудников районной налоговой инспекции

1

Кража носителей информации

Персонал, имеющий доступ к защищаемой информации

Конфиденциальность.

Информация, содержащаяся на электронном или бумажном носителе информации

Неумышленные действия пользователей, приводящие к возникновению уязвимостей 

2

Кражи, модификацииуничтожение информации

Персонал, имеющий доступ к защищаемой информации.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы персональных данных.

Несанкционированное неумышленные действия пользователей, приводящие к возникновению уязвимостей.

3

Несанкционированное отключение средств  защиты;

Персонал, осуществляющий администрирование  информационных систем и средств защиты

Конфиденциальность, доступность.

Информация, обрабатываемая на АРМ  информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей.

4

Действия вредоносных программ (вирусов);

Лица, не имеющие доступа к информационной системе персональных данных (внешние  нарушители), к которым могут относиться разведывательные службы иностранных  государств, криминальные структуры, конкурирующие  организации, недобросовестные партнеры, иные физические лица.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на серверах информационной системы  персональных данных.

Внедрение вредоносных программ, создающих  уязвимости в программном и программно-аппаратном обеспечении.

5

Не декларированные возможности  системного ПО и ПО для обработки  персональных данных.

Лица, не имеющие доступа к информационной системе персональных данных (внешние  нарушители), к которым могут относиться разведывательные службы иностранных  государств. криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на мобильных устройствах информационной системы персональных данных.

Ошибки при проектировании, разработке и установке ПО.

6

Установка ПО не связанного с исполнением  служебных обязанностей.

Персонал, осуществляющий администрирование  информационных систем и средств  защиты.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей

7

Утрата ключей и атрибутов доступа.

Персонал.

Конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей.

8

Непреднамеренная модификация (уничтожение) информации сотрудниками.

Персонал, осуществляющий администрирование информационных систем и средств защиты.

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей.

9

Непреднамеренное отключение средств  защиты.

Персонал, осуществляющий администрирование  информационных систем и средств  защиты.

Целостность, конфиденциальность, доступность

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению  уязвимостей.

10

Выход из строя аппаратно-программных  средств.

Поставщики аутсорсинговых услуг. Персонал, имеющий доступ в контролируемую зону, но не имеющий доступа к защищаемой информации.

Целостность, конфиденциальность, доступность

Информация, обрабатываемая на АРМ информационной системы персональных данных, информация передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей. Неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ.

11

Сбой системы электроснабжения.

Система энергоснабжения.

Целостность, доступность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные  сбоями в электропитании, выходом  из строя аппаратных элементов в  результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).

12

Стихийное бедствие.

Угроза, не связанная  с деятельностью человека.

Целостность.

Информация, обрабатываемая, как на АРМ, так и на серверах.

Сбои в работе аппаратного и  программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.)

13

Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке

Сотрудники допущенные к обработке

информации.

Доступность, конфиденциальность.

Информация, обрабатываемая на АРМ информационной системы персональных данных и на серверах ИСПДн.

Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей. Сотрудники – злоумышленники.

14

Угрозы выявления паролей по сети.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители).

Конфиденциальность, целостность, доступность.

Информация, передаваемая по каналу связи.

Неправомерное изменение  режимов работы устройств и программ.

15

Угрозы подмены доверенного  объекта в сети.

Поставщики аутсорсинговых услуг. Внешние нарушители.

Конфиденциальность, целостность.

Информация, передаваемая по каналу связи.

Неправомерное изменение  режимов работы устройств и программ.

16

Угрозы типа «Отказ в обслуживании».

Поставщики аутсортинговых услуг.

Доступность.

Информация, передаваемая по каналу связи.

Несанкционированные неумышленные действия пользователей, приводящие к  возникновению уязвимостей.

17

Угрозы внедрения по сети вредоносных  программ.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность, целостность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных, передаваемая по каналам связи, обрабатываемая на серверах ИСПДн.

Внедрение вредоносных  программ, создающих уязвимости в  программном и программно-аппаратном обеспечении.

18

Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.

Лица, не имеющие доступа  к информационной системе персональных данных (внешние нарушители), к которым могут относиться разведывательные службы иностранных государств, криминальные структуры, конкурирующие организации, недобросовестные партнеры, иные физические лица.

Конфиденциальность, целостность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных, передаваемая по каналам связи, обрабатываемая на серверах ИСПДн.

Внедрение вредоносных  программ, создающих уязвимости в  программном и программно-аппаратном обеспечении.

19

Кража ключей и атрибутов доступа.

Лица, не имеющие доступа к информационной системе персональных данных (внешние нарушители).

Конфиденциальность, доступность.

Информация, обрабатываемая на АРМ информационной системы персональных данных.

Преднамеренные действия по внесению уязвимостей путем не законного  получения доступа к информации.

20

Угрозы утечки видовой информации.

Лица, не имеющие доступа к информационной системе персональных данных (внешние  нарушители).

Целостность, конфиденциальность, доступность.

Информация, обрабатываемая на АРМ  информационной системы персональных данных.

Преднамеренные действия по внесению уязвимостей путем не законного получения доступа к информации.

Технические и эксплуатационные характеристики ИСПДн

Уровень защищенности

Высокий

Средний

Низкий

Локальная ИСПДн, развернутая  в пределах одного здания

+

-

-

ИСПДн, имеющая одноточечный выход в сеть общего пользования

-

+

-

Чтение, поиск;

Модификация, передача

Запись, удаление, сортировка;

+

-

-

-

-

+

-

+

-

ИСПДн, к которой имеет  доступ определенный перечень сотрудников  организации, являющейся владельцем ИСПДн, либо субъект ПДн

-

+

-

ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной ИСПДн

+

-

-

ИСПДн, в которой предоставляемые  пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн).

-

-

+

ИСПДн, предоставляющая  всю базу данных с ПДн.

-

-

+

Технические и эксплуатационные характеристики ИСПДн

Уровень защищенности

Высокий

Средний

Низкий

Локальная ИСПДн, развернутая в пределах одного здания

+

-

-

ИСПДн, имеющая одноточечный выход в сеть общего пользования

-

+

-

Чтение, поиск;

Модификация, передача

Запись, удаление, сортировка;

+

-

-

-

-

+

-

+

-

ИСПДн, к которой имеет  доступ определенный перечень сотрудников организации, являющейся владельцем ИСПДн, либо субъект ПДн

-

+

-

ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной ИСПДн

+

-

-

ИСПДн, в которой предоставляемые  пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн).

-

-

+

ИСПДн, предоставляющая  часть ПДн.

-

+

-

Технические и эксплуатационные характеристики ИСПДн

Уровень защищенности

Высокий

Средний

Низкий

Локальная ИСПДн, развернутая в пределах одного здания.

+

-

-

ИСПДн, имеющая одноточечный выход в сеть общего пользования;

-

+

-

Чтение, поиск;

Модификация, передача

Запись, удаление, сортировка;

+

-

-

-

-

+

-

+

-

ИСПДн, к которой имеет  доступ определенный перечень сотрудников  организации, являющейся владельцем ИСПДн, либо субъект ПДн

-

+

-

ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной ИСПДн

+

-

-

ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн).

-

-

+

ИСПДн, предоставляющая  всю базу данных с ПДн.

-

-

+