Любой человек хотел бы рассчитывать на то, что доверенные им госорганам или провайдерам личные сведения окажутся в полной сохранности. Одной из важных составляющих защиты личности становится безопасность персональных данных. Неправомерный доступ к ним третьих лиц может повлечь за собой реальную опасность, которая может носить характер диффамации, умаления деловой репутации, хищения имущества, даже физического покушения. ФСТЭК России смог оценить степень и виды угроз персональным данным при их обработке в информационных системах персональных данных (ИСПД) и разработать рекомендации по их защите, а Роскомнадзор отвечает за то, чтобы все операторы данных, от социальных сетей до ГИБДД, отвечали за надежность их защиты.

Сохранность личной информации

Персональные данные – это любая информация, непосредственно связанная с человеком, гражданином, и доверяемая им третьим лицам. Их сохранность от любых угроз безопасности персональных данных должна гарантироваться всеми субъектами правоотношений, которые получают к ним доступ благодаря осуществлению ими государственных функций или предпринимательской деятельности. Основные нормы, регулирующие оборот таких сведений, указаны в законе «О персональных данных». Среди лиц, попадающих под его действие:

• работодатели, получающие доступ к данным граждан при заполнении ими анкет при трудоустройстве;
• государственные учреждения, которые обрабатывают указанные данные по долгу службы;
• налоговые инспекции;
• мобильные операторы;
• социальные сети;
• ГИБДД;
• учреждения, которые регистрируют права на имущество;
• медицинские учреждения;
• образовательные учреждения;
• учреждения, работающие с биометрическими параметрами.

В распоряжении каждого из этих субъектов оказывается огромный массив важных сведений, содержащихся в информационных системах персональных данных, которые при их попадании в руки недобросовестных третьих лиц могут стать инструментом для нанесения ущерба их владельцам. Например, при хищении базы ГИБДД можно получить опасные знания о владельцах транспортных средств, их местах жительства, зарегистрированных автомобилях, датах сделок. Обладание этими данными будет крайне интересным представителям преступного мира для планирования хищений.

Если любой из операторов предполагает какие-то действия, связанные с возможностью использования этих сведений, он должен получить письменное и осознанное согласие на их обработку. Это не помогает избегать большинства угроз, но частично снимает с оператора ответственность за попадание информации к третьим лицам и ее использование различными, иногда и причиняющими ущерб, способами. Так, банк, передавая данные клиента-неплательщика коллекторским агентствам, при предварительном получении согласия на обработку персональных данных, устраняет риск его преследования за разглашение банковской тайны.

Нормативная документация

Любые персональные данные должны обрабатываться на условиях обеспечения информационной безопасности и исключения утечек. Сейчас в этой сфере работает Постановление Правительства РФ от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Оно широко применяется на разных уровнях.

В рамках постановления госоргану поручается разработка и утверждение документов, которыми регламентируется обеспечение защиты этой сферы правоотношений. Помимо ФСТЭК РФ нормативную документацию, имеющую регламентирующее значение, утверждает Роскомнадзор РФ. Так, им принят приказ от 05.09.2013 г. № 996 о порядке обезличивания информации при ее обработке. В свою очередь, служба по техническому контролю разработала нормативную документацию, позволяющую определить степень угроз, которым подвергаются защищаемые массивы информации. Основным документом, опосредующим отношения в этой сфере, стал документ, названный «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах». Он был утвержден в 2008 году.

Основные параметры модели угроз

Деятельность всех лиц, имеющих доступ к охраняемым законом массивам личной информации, должна опираться на нормы, введенные «Моделью». Модель видит четыре вида субъектов, которые могут нанести ущерб охраняемым законом интересам:

• российские граждане, преследующие собственные цели;
• иностранные спецслужбы;
• иные иностранные организации, террористические или коммерческие;
• криминальные группировки.

Их шаги, посягающие на сохранность и целостность защищенных массивов сведений, могут принести ущерб интересам личности, общества, государства.

Государственное учреждение разработало модель действий этих типов субъектов. Посягательства, по версии документа, могут совершаться следующими путями:

• перехват или съем информации, которая направляется по каналам связи, для ее копирования или распространения с любыми целями, противоречащими законодательству;
• получение неправомерного доступа к базам, в которых хранятся номера паспортов, адреса, медицинские истории. Доступ используется не только для копирования или неправомерного распространения сведений, но и для их изменения, уничтожения, внесения искажений в важные параметры. Для деструктивных воздействий используются специальные программные и технические средства, при этом операторы зачастую не имеют готовых ответов на вызовы, созданные с использованием современных технологий.

ФСТЭК, разрабатывая свою модель угроз, была уверена в том, что с ее помощью каждый конкретный оператор сможет разработать собственные методики защиты от угроз персональным данным при их обработке в информационных системах персональных данных. Для этого требуется грамотно использовать материальные средства хранения и передачи, среди которых ведомство называет:

• компьютеры;
• информационные комплексы;
• сети;
• системы и средства передачи, приема и обработки информации, среди них устройства звукопередачи, звукоусиления, средства создания телевизионного изображения;
• средства тиражирования и копирования;
• программные средства (операционные системы, программы по управлению базами и массивами информации);
• ПО, обеспечивающее безопасность информационных систем персональных данных.

Ответственность за работоспособность и защищенность оборудования и сетей несут их владельцы.

Задачи, решаемые «Моделью угроз»

Любой субъект рынка, попавший в реестр, должен не только в любой момент быть готовым пройти проверку Роскомнадзора, но и решать задачи, не предусмотренные действующей на текущий момент нормативной документацией, становящиеся новыми вызовами. К таким задачам относятся:

• разработка собственных моделей угроз, актуальных для каждого конкретного лица, осуществляющего обработку персональных данных. Совершенно разные цели могут быть у лиц, посягающих на информацию, связанную с личностями государственных служащих, и тех преступников, которые интересуются медицинскими картами пенсионеров;
• анализ и мониторинг текущей ситуации с защитой баз персональных данных от внешнего проникновения;
• разработка собственной системы защиты баз данных и нейтрализации потенциальных угроз, основанной на предлагаемых для каждой отдельной системы методах и рекомендациях;
• систематическое проведение мероприятий, которые должны исключить несанкционированное проникновение к базам данных нарушителей – третьих лиц, которым не оформлен допуск к изучению и обработке этой информации;
• организация технической системы защиты средств обработки данных, которая должна исключить любое воздействие на них, могущее повлечь их повреждение или разрушение;
• постоянный контроль качества защиты.

Модель предлагает изучить основные уязвимые точки систем защиты, актуальные виды угроз, доступные способы обеспечения информационной безопасности. Федеральная служба проводит постоянный мониторинг вновь появляющихся видов угроз, внося изменения в свои рекомендации.

Классификация угроз

Невозможно бороться с любыми угрозами, если не понимать их происхождения, степени серьезности, иных параметров. Решению этой задачи поможет предложенная ФСТЭК классификация угроз. Ведомство в модели предлагает следующее определение угрозы: это совокупность внешних и внутренних факторов или условий, которые позволяют злоумышленникам намеренно или ненамеренно получить доступ к охраняемой информации, благодаря чему становится возможным ее несанкционированное:

• уничтожение (стирание из памяти компьютера);
• блокирование доступа к ней;
• распространение среди ограниченного или широкого круга лиц;
• изменение;
• копирование;
• любые иные действия, не предусмотренные установленными правилами обработки сведений в информационных системах персональных данных.

Риски могут носить как личностный, связанный с умыслом третьих лиц, так и обезличенный, техногенный, характер, связанный с ошибками или неосторожностью обслуживающего персонала. Совокупность факторов и условий для каждой отдельной системы будет иметь индивидуальный характер, который складывается из характеристик конкретной ИСПД, среды и путей распространения информационных сигналов, технических и иных возможностей, имеющихся у источников потенциальных угроз.

Характеристики ИСПД, которые влияют на появление новых угроз и рисков:

• объем и содержание сведений, имеющихся в базе;
• структура и конфигурация системы;
• наличие подключения системы к сетям передачи информации общего пользования или сетям, по которым производится трансграничное общение;
• наличие и качество систем защиты;
• режим, в котором обрабатываются персональные данные;
• наличие разноуровневой системы доступа лиц с разным объемом полномочий и задач к данным;
• физическое местонахождение технических устройств, режим их защиты от противоправного посягательства.

При этом свойства среды распространения сигналов учитываются с различных точек зрения, часто получить доступ к охраняемым сведениям можно, используя линии подключения к электрическим сетям, путем съема информации об изменении электромагнитного излучения.

Полностью до сих пор не исключена возможность подслушивания и сохранения звуковой информации при помощи устройств звукозаписи.
При анализе источников угроз необходимо изучить такие их типы, как возможности, возникающие в связи с использованием служебного положения, технические, программные, физические. Любая угроза получает свою реализацию на практике в тот момент, когда между субъектом, намеренным совершить противоправное действие, и охраняемым объектом возникает канал доступа, что приводит к возможности возникновения несанкционированного, осознанного или случайного доступа к объекту.

Анализируя угрозы, возникающие при обработке персональных данных, опираясь на многогранность возможностей получения доступа к информации, модель выделяет следующие их классы:

Все эти типы угроз требуют серьезного анализа личностей сотрудников, имеющих доступ к базам, и повышенного внимания к технической защищенности средств хранения и обработки данных с использованием специализированных программных средств, DLP-систем и SIEM-систем.

Также в модели дается классификация, основанная на различных типах используемого оборудования:

• угрозы безопасности тем персональным данным, которые обрабатываются сотрудником на его рабочем месте (АРМ), не подключенном к сетям Интернет;
• угрозы сведениям, которые обрабатываются сотрудником на его рабочем месте, подключенном к сетям Интернет;
• угрозы тем информационным массивам, которые обрабатываются в локальных сетях, не подключенных к сетям Интернет;
• угрозы тем массивам, с которыми работают в локальных сетях предприятий и организаций, имеющих выход в Интернет;
• угрозы безопасности тем персональным данным, которые обрабатываются в распределенных сетях операторов и подключенных, и не подключенных к сетям международного информационного обмена (Интернет).

Также в модели угроз безопасности предлагается классификация, связанная с различными типами технических средств, благодаря которым осуществляется доступ к охраняемым массивам информации:

• использования вредоносных программ, вирусов, червей и аналогичных, создаваемых с заведомо противоправными целями;
• утраты данных по техническим и физическим каналам утечки;
• иных специальных воздействий.

По типам уязвимости средств защиты и технических средств, установленных у конкретного оператора, модель угроз выделяет следующие:

• связанные с уязвимостью системного программного обеспечения;
• связанные с использованием недостатков прикладного ПО;
• связанные с возможностями применения аппаратных закладок;
• связанные с использованием средств связи и протоколов передачи информации;
• связанные с применением технических каналов передачи данных (например, телефонных сетей, сетей электропитания).

Для выявления этих точек уязвимости необходимо проведение регулярного аудита безопасности и систем защиты информации. Помимо анализа возможностей доступа предполагаемых нарушителей режима конфиденциальности к средствам компьютерной обработки сведений, необходимо иметь в виду, что практически любое офисное техническое средство может стать потенциальным источником угрозы. Модель безопасности классифицирует их так:

• АРМ;
• выделенные средства обработки (принтеры, копировальные аппараты, звукозаписывающая аппаратура, средства видеонаблюдения;
• сети связи.

Технические каналы утечки

Практика показывает, что большая часть охраняемой информации утекает по техническим каналам передачи данных. Сигнал распространяется в определенной физической среде, он может быть акустическим или электромагнитным, его перехват осуществляется при помощи закладных устройств и другими путями. Устройства могут перехватывать данные электромагнитного излучения, акустическую и визуальную информацию. Защита от этого способа перехвата осуществляется путем ограничения доступа на охраняемый объект.

Несанкционированный доступ

Редкая организация может полностью защитить персональные данные от действий собственных сотрудников. Для причинения ущерба данным могут использоваться:

• штатное программное обеспечение, позволяющее попасть в операционную среду;
• создание нештатных условий работы, позволяющее использовать получаемые искажения для модификации данных;
• вредоносные программы;
• угрозы, связанные с удаленным доступом;
• комбинированные угрозы.

Для борьбы с ними необходимы установка защитного ПО, регулярный мониторинг функционирования рабочих станций. Кроме того, Роскомнадзор проводит проверки соответствия готовности технических систем операторов и выдает предписания, позволяющие увеличить степень защищенности. Не всегда для этого требуются серьезные финансовые средства. Стандартные меры безопасности и соблюдение инструкций помогают обеспечить до 90 % сохранности данных.

Любая из перечисленных угроз может нести за собой различные по уровню негативные последствия – от незначительных до чрезвычайных. В обязанности оператора персональных данных входит обеспечение таких условий их обработки, при которых причинение ущерба интересам конкретных лиц или всего общества было бы невозможным.