Модель нарушителя ИСПДн

Модель нарушителя ИСПДн - это документ, в котором описаны возможные угрозы безопасности персональных данных (ПДн), а также характеристики и потенциальные возможности субъектов, которые могут эти угрозы реализовать. Модель нарушителя для ИСПДн является обязательным элементом системы защиты персональных данных, который помогает определить возможные опасности и способы их нейтрализации. Данный документ является ключевым звеном в системе защиты персональных данных. Он разрабатывается в рамках реализации требований российского законодательства, прежде всего ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», которая обязывает оператора принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. Модель нарушителя служит практическим инструментом реализации этих законодательных требований на методическом уровне.

Основная цель модели нарушителя - обоснованный выбор мер защиты. Она связана с моделью угроз (МУБИ): первая описывает как нарушаются свойства информации, вторая - кто, почему и чем это делает. Вместе они обеспечивают выбор адекватных мер.

По методике ФСТЭК модель нарушителя обязательна для любой ИСПДн, её разработка предусмотрена Приказом ФСТЭК №21 от 18.02.2013. Отсутствие отдельного документа не делает эксплуатацию незаконной - незаконность возникает при отсутствии мер защиты. Но при проверках ФСТЭК модель запрашивают в первую очередь как подтверждение оценки угроз. Формальная или неактуальная модель ИСПДн грозит предписаниями и штрафами до 700 000 руб. по ст. 13.11 КоАП РФ.

Кто такой нарушитель в контексте ИСПДн

Нарушитель в ИСПДн - это физическое лицо (субъект), которое случайно или преднамеренно совершает действия, приводящие к нарушению безопасности информации при её обработке в информационной системе. Категории нарушителей ИСПДн 152-ФЗ включают как внутренних сотрудников организации, так и внешних лиц, потенциально способных получить несанкционированный доступ к персональным данным.

Важно понимать разницу между нарушителем и источником угрозы. Источник риска- широкое понятие (природа, сбои, лица без доступа),нарушитель- всегда конкретное лицо или группа. Ключевая характеристика - потенциал(знания, навыки, ресурсы). Порядок оценки закреплён в «Методике оценки угроз» ФСТЭК от 05.02.2021. Уровни: низкий (базовый), средний (профессиональный), высокий (экспертный).

По классификации ФСТЭК:

• Внешний - не имеет доступа, действует от имени созданного/существующего субъекта.

• Внутренний- имеет легитимный доступ (инсайдер), действует самостоятельно или по инструкции извне.

Учитывают мотивы: финансы, разведка, саботаж, личное, идеология, любопытство. Их понимание помогает предвидеть действия и усилить защиту.

Классификация нарушителей

Для практической работы все возможные нарушители классифицируются по нескольким признакам. Наиболее важными являются принадлежность к ИСПДн (внешний/внутренний) и уровень полномочий внутри системы. Категории нарушителей ИСПДн 152-ФЗ классифицируются по уровню доступа, потенциальным возможностям и мотивам совершения противоправных действий.

Внутренние нарушители по уровню прав:

• Рядовые сотрудники - минимум прав, низкий потенциал, опасны из-за неосторожности или социнженерии.

• Привилегированные пользователи(администраторы, DevOps, админы БД) - широкие права, высокий потенциал, наиболее опасны.

• Руководство- доступ к критичной информации, но без тех.навыков; риск - неправомерные распоряжения.

Внешние нарушители:

• Хакеры и группы - от базового до высокого уровня, цель - кража или вымогательство.

• Конкуренты - интерес к коммерческой тайне.

• Спецслужбы - наивысший потенциал, изощрённые методы.

• Бывшие сотрудники - знают архитектуру и уязвимости, опасны даже без доступа.

Детальная классификация помогает прогнозировать действия и выбирать контрмеры.

Потенциал и мотивы нарушителей

Уровень потенциала нарушителя - основа оценки риска. Методика ФСТЭК (05.02.2021) выделяет три уровня, влияющих на выбор мер:

• Низкий - общедоступные инструменты, известные уязвимости; нарушения наименее вероятны, но игнорировать нельзя.
• Средний - профессиональные знания, спецПО, самостоятельный поиск уязвимостей; реальный риск для большинства ИСПДн.
• Высокий - эксперты с ресурсами, создают собственные средства, находят zero-day, обходят защиту.

Оценка потенциала неотделима отмотивации: высокий потенциал без цели бесполезен, низкий - с сильным мотивом (обида, выгода) может привести к инциденту. Поэтому модель включает сценарии для каждой категории с учётом целей.

Порядок разработки модели нарушителя

Разработка модели нарушителя - это строго регламентированный процесс, основанный на нормативных документах ФСТЭК России. Разработка модели нарушителя ИСПДн требует тщательного анализа инфраструктуры системы, определения актуальных угроз и оценки возможностей потенциальных нарушителей. В настоящее время действует «Методика оценки угроз безопасности информации» ФСТЭК от 05.02.2021, заменившая базовую модель 2008 года. Требования к модели нарушителя 152-ФЗпредусматривают соответствие нормативным актам и методикам регулятора.

Основные источники:Банк данных угроз (БДУ ФСТЭК)иПриказ ФСТЭК №21 от 18.02.2013. БДУ регулярно обновляется, поэтому важно использовать актуальную версию.

Этапы разработки:

1. Анализ инфраструктуры- изучаются серверы, ПО, сеть, облака, точки доступа, физическая защита, каналы связи, места хранения ПДн.

2. Определение актуальных рисков- на основе инфраструктуры и БДУ формируется перечень реальных опасностей с учётом технических и организационных слабостей.

3. Классификация нарушителей- выделяются все категории (внешние/внутренние) с оценкой полномочий и потенциала.

4. Оценка вероятности реализации- для каждой пары «нарушитель–угроза» оценивается вероятность с учётом потенциала и существующих мер, расставляются приоритеты.

5. Разработка сценариев и мер- описываются конкретные атаки (SQL-инъекция, злоупотребления админа) и обосновываются организационно-технические меры.

Результат- логически обоснованный документ, служащий базой для системы защиты информации.

Связь модели нарушителя с архитектурой системы

Модель нарушителя не может быть абстрактной. Она должна учитывать архитектурные особенности конкретной ИСПДн. При создании модели нарушителя для ИСПДн необходимо учитывать специфику конкретной информационной системы и особенности обрабатываемых персональных данных. Документ, разработанный для локальной сети офиса, будет кардинально отличаться от модели для системы, использующей облачные сервисы или имеющей распределённую структуру.

При построении модели обязательно учитываются:

• Облачные сервисы и SaaS- меняется модель ответственности, новые векторы атак (компрометация учётных записей, уязвимости API), риск от недобросовестного сотрудника провайдера.

• Веб-приложения- основная цель внешних атак: SQLi, XSS, IDOR, атаки на аутентификацию и сессии.

• Сетевая инфраструктура- точки несанкционированного подключения, слабые настройки WAF и маршрутизаторов, риски перехвата трафика.

• Физический периметр и точки доступа- надёжность защиты серверных и рабочих мест, возможность физического доступа посторонних.

• Интеграции с внешними системами- интерфейсы обмена данными как потенциальные точки входа.

Учёт этих факторов делает модель практически применимой, позволяя оценивать реальные риски и выстраивать защиту.

Частые ошибки и практические рекомендации

При разработке модели нарушителя специалисты часто допускают типовые ошибки, которые сводят на нет всю её ценность.

1. Формальный подход и использование шаблонов: Самая распространённая ошибка - скачивание готового шаблона из интернета и подстановка названия организации. Такой документ не отражает специфику системы и не может служить обоснованием для выбора мер защиты. Методика ФСТЭК не допускает шаблонного подхода.

2. Неактуальность данных: Инфраструктура и угрозы постоянно меняются. Модель, разработанная год назад и не пересматривавшаяся с тех пор, быстро устаревает. БДУ ФСТЭК регулярно обновляется, поэтому при разработке и актуализации модели важно использовать свежие данные из банка угроз. Игнорирование обновлений делает модель неактуальной.

3. Отсутствие обоснований: часто в документе перечислены нарушители, но нет логической связи между ними, не поясняется, почему те или иные угрозы признаны актуальными, а другие - нет. Это лишает модель доказательной силы.

4. Игнорирование внутренних нарушителей: Многие организации фокусируются исключительно на защите от внешних хакеров, забывая, что значительная часть утечек происходит по вине или при участии инсайдеров.

Чтобы избежать этих ошибок, следуйте практическим рекомендациям:

• Разрабатывайте модель на основе реального анализа, а не формальных шаблонов. Привлекайте к работе не только ИТ-специалистов, но и сотрудников, отвечающих за бизнес-процессы.

• Регулярно пересматривайте и актуализируйте документ. Это необходимо делать при любых существенных изменениях: миграции в облако, внедрении нового ПО, расширении функциональности, изменении штатного расписания или обновлении нормативных требований. Требования к модели нарушителя 152-ФЗ обязывают регулярно пересматривать документ при изменении условий эксплуатации системы или появлении новых угроз безопасности.

• Обосновывайте каждый пункт. Ваша модель должна чётко отвечать на вопрос, почему вы выбрали именно эти меры защиты и почему вы считаете их достаточными.

• Обеспечьте связь с моделью угроз. Эти два документа должны разрабатываться совместно и логически дополнять друг друга.

Корректно разработанная и своевременно актуализируемая модель нарушителя - это не просто бумажка для регулятора, а мощный инструмент кибербезопасности. Она позволяет минимизировать риски несанкционированного доступа, эффективно защищать персональные данные и быть готовым к проверкам со стороны контролирующих органов.

Специалисты НПЦФМ помогут разработать модель нарушителя с учётом специфики вашей информационной системы и актуальных требований ФСТЭК. Обращайтесь по телефону 8 (800) 511-48-82 или оставьте заявку на сайте - мы подберём оптимальное решение для вашего бизнеса.