36. Классификация угроз безопасности персональных данных.

Угрозы безопасности — это некая совокупность условий или воздействующих факторов, которые создают опасность в отношении персональных данных, заключающуюся в ознакомлении посторонних лиц с защищаемыми персональными данными, несанкционированном изменении, уничтожении, распространении, а также других неправомерных действий с персональными данными.

Источниками угроз безопасности персональных данных могут являться как внутренние нарушители, то есть собственные сотрудники, так и внешние нарушители, использующие в качестве реализации угрозы каналы связи, компьютерные сети и Интернет. Кроме того, угрозы безопасности могут возникать при внедрении в информационную систему вредоносных программ и вирусов.

Способами реализации угроз безопасности могут быть несанкционированный доступ к информации, утечка по техническим каналам, а также специальные воздействия на персональные данные либо информационную систему.

Угрозы несанкционированного доступа к персональным данным, обрабатываемым в информационной системе, могут осуществляться при помощи программных и аппаратно-программных средств. При этом происходит нарушение режима конфиденциальности в отношении персональных данных путем их неправомерного копирования и/или распространения. Также защищаемые персональные данные могут быть изменены или уничтожены нарушителем, что может также повлечь собой значительные последствия. В ходе реализации угрозы несанкционированного доступа могут быть созданы нештатные режимы работы операционной среды или программного обеспечения, которые возможно будут использованы нарушителем для кражи информации либо воздействия на нее извне.

При реализации угрозы безопасности злоумышленником могут использоваться различные уязвимости, в том числе недостаточный уровень защиты, несовершенство системного и прикладного программного обеспечения, а также протоколов сетевого взаимодействия информационной системы.

Другим видом угроз безопасности персональных данных являются угрозы, реализуемые при помощи технических каналов, таких как утечка речевой, видовой информации, содержащей персональные данные, утечка персональных данных, обрабатываемых в информационных системах, по каналу электромагнитных излучений и наводок. Такие угрозы целесообразно рассматривать в отношении информационных систем высшего класса, в которых обрабатываются специальные категории персональных данных, касающиеся национальной и расовой принадлежности человека, его религиозных либо философских убеждений, здоровья и интимной жизни. Для таких систем разрабатывается специальная модель угроз, при составлении которой анализируются отдельные уязвимости и угрозы, вычисляется их актуальность, определяется достаточность существующих и необходимость дополнительных методов защиты.

Базовая модель угроз безопасности персональных данных (утв. Приказом ФСТЭК от 15 февраля 2008г.)

37. Угрозы утечки информации по техническим каналам.

Технический канал утечки информации представляет собой совокупность объекта технической разведки, физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация. Техническая защита конфиденциальной информации – защита информации некриптографическими методами, направленными на предотвращение утечки защищаемой информации по техническим каналам, от несанкционированного доступа к ней и от специальных воздействий на информацию в целях ее уничтожения, искажения или блокирования.

Источником информации (объектом разведки) являются технические средства обработки информации (ОТСС, ВТСС), средства вычислительной техники, линии связи и человеческая речь. Любой вид перечисленной информации распространяется в какой - либо среде (воздушная среда, инженерные коммуникации, линии связи, ограждающие конструкции), при этом на среду распространения воздействуют различные помехи (например, излишняя зашумленность помещения, электромагнитные помехи и т.д.). В итоге конечным пунктом будет являться приемник сигнала (разведка ПЭМИН, акустическая речевая разведка, разведка электрических сигналов речевого диапазона частот). Выяснив данные составляющие, можно представить путь информативного сигнала от источника по среде распространения к приемнику данного сигнала.

К техническим каналам утечки информации относят акустический (непредномеренное прослушивание, виброакустический канал, электроакустический канал), канал утечки за счет побочных электромагнитных излучений, а так же использование различных закладных устройств и средств разведки.

Основные угрозы утечки информации по техническим каналам:

снятие информации, передаваемой по телефонным, радио и пейджинговым линиям;

снятие речевой информации с последующей передачей ее по радиоканалам («жучки», закладки), по проводным линиям (по цепям электропитания, заземления, сигнализации);

снятие речевой информации через конструкции зданий (стетоскопы), с оконных проемов (направленные или лазерные микрофоны);

запись переговоров в шумных местах (направленный микрофон);

снятие и дешифрирование ПЭМИН с оргтехники;

запись на диктофон переговоров.