Продолжим тему угроз утечек информации и мер, их нейтрализующих, поднятую в предыдущей статье. Об угрозах утечек информации, о том, что утечки персональных данных и коммерческой тайны не обесценились, о мерах и средствах нейтрализации (противодействия), о стандартизации в сфере ИБ и о наказаниях поговорили на прошедшем BIS Summit-2023. Пора сформулировать угрозу утечки информации и меры защиты информации (обеспечения безопасности объектов КИИ), предложить добавить их в официальные документы. Написал свои предложения, представляю вам.
Источник утечки информации: автоматизированные (информационные) системы (терминах ГОСТ Р 59853-2021 и 149-ФЗ).
Объект воздействия (утечки): данные (информация, сведения), обрабатываемые в автоматизированных (информационных) системах, в т.ч. в терминах УК РФ — компьютерная информация, а также входящие и исходящие документы (вносимые в Аси распечатываемые, отправляемые по каналам связи, выгружаемые на машинные носители и т.п.).
Представление информации: воспринимаемый человеком и/или машиночитаемая информация.
Вид информации: информация ограниченного распространения.
Каналы утечки информации:
- Доступ к АС (ИС): несанкционированный (неправомерный) и санкционированный (правомерный, разрешенный) через штатное или специальное ПО.
- Доступ к АС (ИС) означает доступ к КСА и персоналу. *
Каналы утечки информации. Виды:
- Доступ к ПО (СПО, ППО) через штатные возможности или с применением специального ПО, непосредственный доступ или удаленный.
- Доступ к машинным носителям, СВТ, другим ТС (в помещения с носителями и техникой).
- Доступ к СВТ, ТС, на которых отображается информация (экраны и т.п., в помещения с носителями и техникой).
- Доступ к документам, которые предназначены для ввода в АС, которые распечатаны
- К персоналу — разглашение (устно), передача документов, аутентификационной информации для доступа к ПО и т.п.
Каналы утечки информации. Примечание: технические каналы утечек не входят в состав каналов утечки для данной угрозы, меры.
Умысел:
- Умышленная, в том числе совершенная лицом, имеющим санкционированный (правомерный) доступ.
- Неумышленная, совершенная лицом, имеющим санкционированный (правомерный) доступ.
- Неумышленная, совершенная лицом, не имеющим санкционированный (правомерный) доступ, вследствие ошибки прав доступа или отсутствия настроек прав доступа (независимо от наличия штатных возможностей системы или СЗИ).
По сути, здесь основной момент — выделить и подчеркнуть, что это не информация, «утекающая» по техническим каналам, например, ПЭМИН. По сути — полученная следствие доступа через ПО или документы. Думаю, что по этой причине, проект стандарта, представленного на секции «Стандартизация в ИБ» BISS-2023, называется «Защита информации от утечки из программной среды информационных и автоматизированных систем».
Представлю свои формулировки
Угроза (формулировка)
Угроза утечки информации ограниченного распространения из автоматизированной (информационной) системы за счет несанкционированного (неправомерного) доступа к АС (ресурсам АС).
Мера (формулировка)
Защита информации от утечек из автоматизированных (информационных) систем в результате доступа к автоматизированной (информационной) системе (не по техническим каналам).
И как вижу их официальное применение:
- Внести предложенные:
- угрозу утечки информации из АС (ИС) — в БДУ ФСТЭК России и проект стандарта по защите информации от утечек,
- меру по защите информации от утечек — в проект стандарта по защите информации от утечек.
- Заменить меры:
- «ЗИС.17 Защита информации от утечек» в приказе ФСТЭК России №239/2017.
- «ЗИС.17 Защита информации от утечек» в приказе ФСТЭК России №31/2014.
- на меру в новой формулировке.
- Предложенную меру внести в
- раздел «XIII. Защита информационной системы, ее средств, систем связи и передачи данных (3ИС)» в приказе ФСТЭК России № 21/2013;
- раздел «XIII. Защита информационной системы, ее средств, систем связи и передачи данных (3ИС)» в приказе ФСТЭК России № 17/2013.
- Установить, что предложенная мера будет обязательной:
- в приказе ФСТЭК России №239/2017 для объектов КИИ 1,2,3 категорий;
- в приказе ФСТЭК России №31/2014 для 1 и 2 классов защищенности автоматизированной системы управления;*
- в приказе ФСТЭК России № 21/2013 для ИСПДн 1,2,3,4 уровня защищенности персональных данных;
- в приказе ФСТЭК России № 17/2013 для ИС 1,2,3 класса защищенности.
Для какого класса защищенности АСУ необходима? Не включил 3 класс.
Ваше мнение, коллеги? Присылайте свои предложения, идёт работа!