Постановление От 04. 10. 2017 №3 г. Ростов-на-Дону Об определении угроз безопасности персональных данных

от 04.10.2017 № 3

г. Ростов-на-Дону
Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных управления записи актов гражданского состояния Ростовской области
В соответствии с частью 5 статьи 19 Федерального закона от
27.07.2006 № 152-ФЗ «О персональных данных», управление записи актов гражданского состояния Ростовской области постановляет:

1. 
   Определить угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных управления записи актов гражданского состояния Ростовской области и органах ЗАГС Ростовской области согласно приложению.
   
2. 
   Специалисту отдела архивной работы, автоматизации и информатики, ответственному за обеспечение защиты информации при эксплуатации информационных систем персональных данных управления записи актов гражданского состояния Ростовской области и обработке персональных данных, руководствоваться настоящим постановлением.
   
3. 
   Рекомендовать отделам ЗАГС муниципальных образований Ростовской области при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при регистрации актов гражданского состояния, использовать настоящее постановление.
   
4. 
   Настоящее постановление вступает в силу со дня его официального опубликования.
   
5. 
   Контроль за выполнением настоящего постановления возложить на начальника отдела архивной работы, автоматизации и информатики.
   

Постановление вносит отдел архивной

работы, автоматизации и информатики
Приложение

к постановлению

управления ЗАГС

Ростовской области

от 04.10.2017 № 3
Угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных управления записи актов гражданского состояния Ростовской области

1. 
   Угрозы безопасности персональных данных,
   

по техническому и экспортному контролю Российской Федерации

1. 
   Для информационной системы персональных данных управления ЗАГС Ростовской области:
   
   1. 
      угроза аппаратного сброса пароля BIOS;
      
   2. 
      угроза внедрения кода или данных;
      
   3. 
      угроза восстановления аутентификационной информации;
      
   4. 
      угроза восстановления предыдущей уязвимой версии BIOS;
      
   5. 
      угроза деструктивного изменения конфигурации/среды окружения программ;
      
   6. 
      угроза деструктивного использования декларированного функционала BIOS;
      
   7. 
      угроза длительного удержания вычислительных ресурсов пользователями;
      
   8. 
      угроза доступа к защищаемым файлам с использованием обходного пути;
      
   9. 
      угроза доступа/перехвата/изменения HTTP cookies;
      
   10. 
       угроза загрузки нештатной операционной системы;
       
   11. 
       угроза заражения DNS-кеша;
       
   12. 
       угроза избыточного выделения оперативной памяти;
       
   13. 
       угроза изменения компонентов системы;
       
   14. 
       угроза искажения вводимой и выводимой на периферийные устройства информации;
       
   15. 
       угроза использования альтернативных путей доступа к ресурсам;
       
   16. 
       угроза использования информации идентификации/аутентификации, заданной по умолчанию;
       
   17. 
       угроза использования механизмов авторизации для повышения привилегий;
       
   18. 
       угроза использования слабостей протоколов сетевого/локального обмена данными;
       
   19. 
       угроза межсайтового скриптинга;
       
   20. 
       угроза нарушения изоляции среды исполнения BIOS;
       
   21. 
       угроза нарушения целостности данных кеша;
       
   22. 
       угроза невозможности восстановления сессии работы на ПЭВМ при выводе из промежуточных состояний питания;
       
   23. 
       угроза невозможности управления правами пользователей BIOS;
       
   24. 
       угроза некорректного использования прозрачного прокси-сервера за счёт плагинов браузера;
       
   25. 
       угроза неправомерного ознакомления с защищаемой информацией;
       
   26. 
       угроза неправомерных действий в каналах связи;
       
   27. 
       угроза несанкционированного восстановления удалённой защищаемой информации;
       
   28. 
       угроза несанкционированного выключения или обхода механизма защиты от записи в BIOS;
       
   29. 
       угроза несанкционированного доступа к аутентификационной информации;
       
   30. 
       угроза несанкционированного изменения аутентификационной информации;
       
   31. 
       угроза несанкционированного использования привилегированных функций BIOS;
       
   32. 
       угроза несанкционированного копирования защищаемой информации;
       
   33. 
       угроза несанкционированного редактирования реестра;
       
   34. 
       угроза несанкционированного создания учётной записи пользователя;
       
   35. 
       угроза несанкционированного удаления защищаемой информации;
       
   36. 
       угроза несанкционированного управления буфером;
       
   37. 
       угроза обнаружения открытых портов и идентификации привязанных к нему сетевых служб;
       
   38. 
       угроза обнаружения хостов;
       
   39. 
       угроза обхода некорректно настроенных механизмов аутентификации;
       
   40. 
       угроза определения типов объектов защиты;
       
   41. 
       угроза определения топологии вычислительной сети;
       
   42. 
       угроза отключения контрольных датчиков;
       
   43. 
       угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники;
       
   44. 
       угроза перехвата вводимой и выводимой на периферийные устройства информации;
       
   45. 
       угроза перехвата данных, передаваемых по вычислительной сети;
       
   46. 
       угроза повреждения системного реестра;
       
   47. 
       угроза подбора пароля BIOS;
       
   48. 
       угроза подделки записей журнала регистрации событий;
       
   49. 
       угроза подмены доверенного пользователя;
       
   50. 
       угроза подмены резервной копии программного обеспечения BIOS;
       
   51. 
       угроза подмены содержимого сетевых ресурсов;
       
   52. 
       угроза приведения системы в состояние «отказ в обслуживании»;
       
   53. 
       угроза программного сброса пароля BIOS;
       
   54. 
       угроза пропуска проверки целостности программного обеспечения;
       
   55. 
       угроза удаления аутентификационной информации;
       
   56. 
       угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов;
       
   57. 
       угроза утраты вычислительных ресурсов;
       
   58. 
       угроза утраты носителей информации;
       
   59. 
       угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации;
       
   60. 
       угроза форматирования носителей информации;
       
   61. 
       угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи информации;
       
   62. 
       угроза эксплуатации цифровой подписи программного кода;
       
   63. 
       угроза заражения компьютера при посещении неблагонадёжных сайтов;
       
   64. 
       угроза «кражи» учётной записи доступа к сетевым сервисам;
       
   65. 
       угроза неправомерного шифрования информации;
       
   66. 
       угроза скрытного включения вычислительного устройства в состав бот-сети;
       
   67. 
       угроза распространения «почтовых червей»;
       
   68. 
       угроза «фарминга»;
       
   69. 
       угроза «фишинга»;
       
   70. 
       угроза нарушения технологического/производственного процесса из-за временных задержек, вносимых средством защиты;
       
   71. 
       угроза неподтверждённого ввода данных оператором в систему, связанную с безопасностью;
       
   72. 
       угроза несанкционированного использования системных и сетевых утилит;
       
   73. 
       угроза несанкционированной модификации защищаемой информации;
       
   74. 
       угроза отказа подсистемы обеспечения температурного режима;
       
   75. 
       угроза физического устаревания аппаратных компонентов;
       
   76. 
       угроза несанкционированного изменения параметров настройки средств защиты информации;
       
   77. 
       угроза внедрения вредоносного кода через рекламу, сервисы и контент;
       
   78. 
       угроза внедрения вредоносного кода в дистрибутив программного обеспечения;
       
   79. 
       угроза использования уязвимых версий программного обеспечения.
       

2. 
   Для информационной системы персональных данных отдела архивной работы, автоматизации и информатики управления ЗАГС Ростовской области:
   
   1. 
      угроза анализа криптографических алгоритмов и их реализации;
      
   2. 
      угроза аппаратного сброса пароля BIOS;
      
   3. 
      угроза внедрения вредоносного кода в BIOS;
      
   4. 
      угроза внедрения кода или данных;
      
   5. 
      угроза воздействия на программы с высокими привилегиями;
      
   6. 
      угроза восстановления аутентификационной информации;
      
   7. 
      угроза восстановления предыдущей уязвимой версии BIOS;
      
   8. 
      угроза выхода процесса за пределы виртуальной машины;
      
   9. 
      угроза деструктивного изменения конфигурации/среды окружения программ;
      
   10. 
       угроза деструктивного использования декларированного функционала BIOS;
       
   11. 
       угроза длительного удержания вычислительных ресурсов пользователями;
       
   12. 
       угроза доступа к защищаемым файлам с использованием обходного пути;
       
   13. 
       угроза доступа к локальным файлам сервера при помощи URL;
       
   14. 
       угроза доступа/перехвата/изменения HTTP cookies;
       
   15. 
       угроза загрузки нештатной операционной системы;
       
   16. 
       угроза заражения DNS-кеша;
       
   17. 
       угроза несанкционированного редактирования реестра;
       
   18. 
       угроза заражения компьютера при посещении неблагонадёжных сайтов;
       
   19. 
       угроза избыточного выделения оперативной памяти;
       
   20. 
       угроза изменения компонентов системы;
       
   21. 
       угроза изменения режимов работы аппаратных элементов компьютера;
       
   22. 
       угроза изменения системных и глобальных переменных;
       
   23. 
       угроза искажения XML-схемы;
       
   24. 
       угроза искажения вводимой и выводимой на периферийные устройства информации;
       
   25. 
       угроза использования альтернативных путей доступа к ресурсам;
       
   26. 
       угроза использования информации идентификации/аутентификации, заданной по умолчанию;
       
   27. 
       угроза использования механизмов авторизации для повышения привилегий;
       
   28. 
       угроза использования поддельных цифровых подписей BIOS;
       
   29. 
       угроза использования слабостей кодирования входных данных;
       
   30. 
       угроза использования слабостей протоколов сетевого/локального обмена данными;
       
   31. 
       угроза использования слабых криптографических алгоритмов BIOS;
       
   32. 
       угроза исследования механизмов работы программы;
       
   33. 
       угроза исследования приложения через отчёты об ошибках;
       
   34. 
       угроза исчерпания запаса ключей, необходимых для обновления BIOS;
       
   35. 
       угроза «кражи» учётной записи доступа к сетевым сервисам;
       
   36. 
       угроза нарушения изоляции пользовательских данных внутри виртуальной машины;
       
   37. 
       угроза нарушения изоляции среды исполнения BIOS;
       
   38. 
       угроза нарушения процедуры аутентификации субъектов виртуального информационного взаимодействия;
       
   39. 
       угроза нарушения технологии обработки информации путём несанкционированного внесения изменений в образы виртуальных машин;
       
   40. 
       угроза нарушения целостности данных кеша;
       
   41. 
       угроза невозможности восстановления сессии работы на ПЭВМ при выводе из промежуточных состояний питания;
       
   42. 
       угроза невозможности миграции образов виртуальных машин из-за несовместимости аппаратного и программного обеспечения;
       
   43. 
       угроза невозможности управления правами пользователей BIOS;
       
   44. 
       угроза скрытного включения вычислительного устройства в состав бот-сети;
       
   45. 
       угроза распространения «почтовых червей»;
       
   46. 
       угроза неконтролируемого роста числа виртуальных машин;
       
   47. 
       угроза неконтролируемого роста числа зарезервированных вычислительных ресурсов;
       
   48. 
       угроза некорректного задания структуры данных транзакции;
       
   49. 
       угроза некорректного использования прозрачного прокси-сервера за счёт плагинов браузера;
       
   50. 
       угроза некорректного использования функционала программного обеспечения;
       
   51. 
       угроза «фарминга»;
       
   52. 
       угроза «фишинга»;
       
   53. 
       угроза внедрения вредоносного кода через рекламу, сервисы и контент;
       
   54. 
       угроза неправомерного ознакомления с защищаемой информацией;
       
   55. 
       угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением;
       
   56. 
       угроза неправомерных действий в каналах связи;
       
   57. 
       угроза внедрения вредоносного кода за счет посещения зараженных сайтов в информационно-телекоммуникационной сети Интернет;
       
   58. 
       угроза несанкционированного восстановления удалённой защищаемой информации;
       
   59. 
       угроза несанкционированного выключения или обхода механизма защиты от записи в BIOS;
       
   60. 
       угроза несанкционированного доступа к активному и (или) пассивному виртуальному и (или) физическому сетевому оборудованию из физической и (или) виртуальной сети;
       
   61. 
       угроза несанкционированного доступа к аутентификационной информации;
       
   62. 
       угроза несанкционированного доступа к виртуальным каналам передачи;
       
   63. 
       угроза несанкционированного доступа к гипервизору из виртуальной машины и (или) физической сети;
       
   64. 
       угроза несанкционированного доступа к данным за пределами зарезервированного адресного пространства, в том числе выделенного под виртуальное аппаратное обеспечение;
       
   65. 
       угроза несанкционированного доступа к защищаемым виртуальным машинам из виртуальной и (или) физической сети;
       
   66. 
       угроза несанкционированного доступа к защищаемым виртуальным машинам со стороны других виртуальных машин;
       
   67. 
       угроза несанкционированного доступа к защищаемым виртуальным устройствам из виртуальной и (или) физической сети;
       
   68. 
       угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети;
       
   69. 
       угроза несанкционированного доступа к хранимой в виртуальном пространстве защищаемой информации;
       
   70. 
       угроза несанкционированного изменения аутентификационной информации;
       
   71. 
       угроза несанкционированного использования привилегированных функций BIOS;
       
   72. 
       угроза несанкционированного копирования защищаемой информации;
       
   73. 
       угроза несанкционированного создания учётной записи пользователя;
       
   74. 
       угроза несанкционированного удаления защищаемой информации;
       
   75. 
       угроза несанкционированного удалённого внеполосного доступа к аппаратным средствам;
       
   76. 
       угроза несанкционированного управления буфером;
       
   77. 
       угроза несанкционированного управления синхронизацией и состоянием;
       
   78. 
       угроза несанкционированного управления указателями;
       
   79. 
       угроза обнаружения открытых портов и идентификации привязанных к нему сетевых служб;
       
   80. 
       угроза обнаружения хостов;
       
   81. 
       угроза обхода некорректно настроенных механизмов аутентификации;
       
   82. 
       угроза опосредованного управления группой программ через совместно используемые данные;
       
   83. 
       угроза определения типов объектов защиты;
       
   84. 
       угроза определения топологии вычислительной сети;
       
   85. 
       угроза отключения контрольных датчиков;
       
   86. 
       угроза ошибки обновления гипервизора;
       
   87. 
       угроза перебора всех настроек и параметров приложения;
       
   88. 
       угроза передачи данных по скрытым каналам;
       
   89. 
       угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники;
       
   90. 
       угроза переполнения целочисленных переменных;
       
   91. 
       угроза перехвата вводимой и выводимой на периферийные устройства информации;
       
   92. 
       угроза перехвата данных, передаваемых по вычислительной сети;
       
   93. 
       угроза перехвата привилегированного потока;
       
   94. 
       угроза перехвата привилегированного процесса;
       
   95. 
       угроза перехвата управления гипервизором;
       
   96. 
       угроза перехвата управления средой виртуализации;
       
   97. 
       угроза повреждения системного реестра;
       
   98. 
       угроза повышения привилегий;
       
   99. 
       угроза подбора пароля BIOS;
       
   100. 
        угроза подделки записей журнала регистрации событий;
        
   101. 
        угроза подмены действия пользователя путём обмана;
        
   102. 
        угроза подмены доверенного пользователя;
        
   103. 
        угроза подмены резервной копии программного обеспечения BIOS;
        
   104. 
        угроза подмены содержимого сетевых ресурсов;
        
   105. 
        угроза подмены субъекта сетевого доступа;
        
   106. 
        угроза получения предварительной информации об объекте защиты;
        
   107. 
        угроза преодоления физической защиты;
        
   108. 
        угроза приведения системы в состояние «отказ в обслуживании»;
        
   109. 
        угроза программного выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации;
        
   110. 
        угроза программного сброса пароля BIOS;
        
   111. 
        угроза пропуска проверки целостности программного обеспечения;
        
   112. 
        угроза сбоя обработки специальным образом изменённых файлов;
        
   113. 
        угроза сбоя процесса обновления BIOS;
        
   114. 
        угроза удаления аутентификационной информации;
        
   115. 
        угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов;
        
   116. 
        угроза установки уязвимых версий обновления программного обеспечения BIOS;
        
   117. 
        угроза утраты вычислительных ресурсов;
        
   118. 
        угроза утраты носителей информации;
        
   119. 
        угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации;
        
   120. 
        угроза форматирования носителей информации;
        
   121. 
        угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи информации;
        
   122. 
        угроза эксплуатации цифровой подписи программного кода;
        
   123. 
        угроза перехвата исключения/сигнала из привилегированного блока функций;
        
   124. 
        угроза включения в проект не достоверно испытанных компонентов;
        
   125. 
        угроза внедрения системной избыточности;
        
   126. 
        угроза наличия механизмов разработчика;
        
   127. 
        угроза неправомерного шифрования информации;
        
   128. 
        угроза нарушения технологического/производственного процесса из-за временных задержек, вносимых средством защиты;
        
   129. 
        угроза неподтверждённого ввода данных оператором в систему, связанную с безопасностью;
        
   130. 
        угроза несанкционированного использования системных и сетевых утилит;
        
   131. 
        угроза несанкционированной модификации защищаемой информации;
        
   132. 
        угроза отказа подсистемы обеспечения температурного режима;
        
   133. 
        угроза физического устаревания аппаратных компонентов;
        
   134. 
        угроза несанкционированного изменения параметров настройки средств защиты информации;
        
   135. 
        угроза несанкционированного воздействия на средство защиты информации;
        
   136. 
        угроза подмены программного обеспечения;
        
   137. 
        угроза маскирования действий вредоносного кода;
        
   138. 
        угроза внедрения вредоносного кода в дистрибутив программного обеспечения;
        
   139. 
        угроза использования уязвимых версий программного обеспечения;
        
   140. 
        угроза утечки информации за счет применения вредоносным программным обеспечением алгоритмов шифрования трафика.
        

2. 
   Угрозы безопасности персональных данных,
   

1. 
   Для информационной системы персональных данных управления ЗАГС Ростовской области:
   

1. 
   возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак только за пределами контролируемой зоны;
   
2. 
   возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак в пределах контролируемой зоны, но без физического доступа к аппаратным средствам, на которых реализованы средства криптографической защиты информации (далее – СКЗИ) и среда их функционирования (далее – СФ);
   
3. 
   получение в рамках предоставленных полномочий, а также в результате наблюдений следующей информации:
   

- сведений о мерах по обеспечению контролируемой зоны объектов, в которых размещены ресурсы информационной системы;

- сведений о мерах по разграничению доступа в помещения, в которых находятся средства вычислительной техники, на которых реализованы СКЗИ и СФ.

2. 
   Для информационной системы персональных данных отдела архивной работы, автоматизации и информатики управления ЗАГС Ростовской области:
   
   1. 
      возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак только за пределами контролируемой зоны;
      
   2. 
      возможность самостоятельно осуществлять создание способов атак, подготовку и проведение атак в пределах контролируемой зоны, но без физического доступа к аппаратным средствам, на которых реализованы средства криптографической защиты информации (далее – СКЗИ) и среда их функционирования (далее – СФ);
      
   3. 
      получение в рамках предоставленных полномочий, а также в результате наблюдений следующей информации:
      

- сведений о мерах по обеспечению контролируемой зоны объектов, в которых размещены ресурсы информационной системы;

- сведений о мерах по разграничению доступа в помещения, в которых находятся средства вычислительной техники, на которых реализованы СКЗИ и СФ.