Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры


Методические документы ФСТЭК России по обеспечению безопасности информации в ключевых системах информационной инфраструктуры

  • Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры;
  • Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры;
  • Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры;
  • Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры;
  • Положение о реестре ключевых систем информационной инфраструктуры.

Указанные документы имеют гриф «Для служебного пользования» и распространяются, в основном, среди лицензиатов.

В соответствии с указанными методическими документам к ключевым системам информационной инфраструктуры относятся системы, обеспечивающие управление потенциально опасными производствами или технологическими процессами на объектах, а также обеспечивающие функционирование информационно-опасных объектов, осуществляющих управление (или информационное обеспечение управления) чувствительными (важными) для государства процессами (за исключением процессов на потенциально опасных объектах).

Автоматизированные системы управления производственными и технологическими процессами подлежат отнесению к соответствующему уровню важности в соответствии с утвержденной системой признаков и включаются в реестр ключевых систем информационной инфраструктуры в порядке, установленном Положением о реестре ключевых систем 3 информационной инфраструктуры (приказ ФСТЭК России от 4 марта 2009 г. № 74).

Для определения угроз безопасности информации в автоматизированных системах управления производственными и технологическими процессами применяются методические документы ФСТЭК России «Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры» и «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры»

Методические документы ФСТЭК России «Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры» и «Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры» могут применяться при защите автоматизированных систем управления производственными и технологическими процессами в качестве дополнительного методического материала, в части не противоречащей Требованиям, утвержденным приказом ФСТЭК России от 14 марта 2014 г. № 31.

iswiki.ru

Защита КСИИ – ключевых систем информационной инфраструктуры

Другими словами, КСИИ – это информационная система, расположенная на критически важных объектах, и работа которой может повлиять на их функционирование и вызвать техногенную, экологическую или финансовую катастрофу. Перечень таких объектов был утвержден постановлением Правительства РФ от 23.03.2006 №411-рс (Гриф секретно) и включает в себя более 2000 объектов следующих категорий:

  • Ядерно- и/или радиационно-опасные
  • Химически-опасные
  • Взрыво- и пожароопасные объекты

  • Биологически опасные
  • Опасные технические сооружения
  • Объекты государственного управления, финансово-кредитной, информационной и телекоммуникационной инфраструктуры

Несмотря на то, что в 2016 году было уделено особое внимание вопросам информационной безопасности и были приняты новые федеральные законы, регламентирующие защиту КИИ, с точки зрения реализации средств защиты основополагающими являются следующие документы (ДСП):

  • «Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007)
  • «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007)

  • «Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007)
  • «Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 19.11.2007)

digdes.ru

Дать определение ключевой системе информационной инфраструктуры (КСИИ). Какие существуют уровни важности КСИИ.

Ключевая система информационной инфраструктуры – это информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление критически важным объектом (процессом), или информационное обеспечение управления таким объектом (процессом), или официальное информирование граждан, в результате деструктивных информационных воздействий на которую может сложиться чрезвычайная ситуация или будут нарушены выполняемые системой функции управления со значительными негативными последствиями.

Таким образом, понятие ключевой системы информационной инфраструктуры обобщает в себе множество различных классов информационных, автоматизированных систем и информационно-телекоммуникационных сетей. Например:

 транспортная инфраструктура  инфраструктура газонефтяного комплекса  инфраструктура водоснабжения  инфраструктура служб экстренной помощи  инфраструктура органов власти банковская и финансовая инфраструктура  инфраструктура электроэнергетики  географические и навигационные системы

В настоящее время в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры разработана и утверждена система методических документов, основными из которых являются:

а) Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий

б) Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры

в) Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры

г) Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры

д) Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры

е) Положение о реестре ключевых систем информационной инфраструктуры

Существуют 3 уровня важности (1 – самый высший; 3 – самый низший) КСИИ, каждый из которых рассчитывается по системе 4-х показателей, оцениваемых по 10-ти бальной системе:

 К1 – показатель влияния функционирования системы на информатизируемый процесс;

 К2 – показатель величины возможного ущерба, вызванного нарушением функционирования системы;

 К3 – показатель влияния открытости доступа к сетевым ресурсам на возможность нанесения ущерба;

 К4 – показатель влияния топологии системы на возможность нанесения ущерба.

1 показатель

 Если информатизируемый процесс полностью зависит от функционирования системы, то К1=10.

 Если информатизируемый процесс лишь частично зависит от функционирования системы, то значения показателя К1 устанавливаются в зависимости от наличия следующих условий:

имеется альтернативная система, позволяющая осуществлять управление процессом или верификацию данных и снизить риск его прерывания или неконтролируемого развития – К1=2;

отсутствует альтернативная система, но имеется возможность управления процессом без средств автоматизации с риском его прерывания или неконтролируемого развития – К1=5;

отсутствует возможность управления процессом без средств автоматизации, имеется риск подмены данных и возможность блокирования неконтролируемого развития процесса – К1=8.

2 показатель

10 балл. – Федеральный уровень. Пострадало более 500 чел., нарушены условия жизнедеятельности более 1000 чел., материальный ущерб составил более 5 млн. МРОТ, зона ЧС вышла за пределы 2-х субъектов федерации.

8 балл. – Региональный уровень. Пострадало более 500 чел., нарушены условия жизнедеятельности от 500 до 1000 чел., материальный ущерб составил от 0,5 до 5 млн. МРОТ, зона ЧС в пределах 2-х субъектов федерации.

6 балл. – Территориальный уровень. Пострадало от 50 до 500 чел., нарушены условия жизнедеятельности от 300 до 500чел., материальный ущерб составил от 5 000 до 0,5 млн. МРОТ, зона ЧС в пределах субъекта федерации.

4 балл. – Местный уровень. Пострадало от 10 до 100 чел., нарушены условия жизнедеятельности от 100 до 300чел., материальный ущерб составил от 1 000 до 5 000. МРОТ, зона ЧС в пределах НП, города, района..

2 балл. – Объектовый (локальный) уровень. Пострадало до 10 чел., нарушены условия жизнедеятельности до 100чел., материальный ущерб составил до 1 000. МРОТ, зона ЧС в пределах территории производственного и социального назначения

3 показатель

10 балл. – Система подключена к сетям общего пользования;

5 балл. – Корпоративная система без подключения к сетям общего пользования и в ней для передачи информации используются выделенные каналы;

2 балл. – Многопользовательская ЛВС с доступом к общим сетевым ресурсам без подключения к сетям общего пользования.

4 показатель

10 балл. – Система построена по схеме «Шина» или «Многопоточное включение»

8 балл. – Система построена по схеме «Многопользовательская звезда»;

6 балл. – Система построена по схеме «Кольцо»;

4 балл. – Система построена по схеме «Звезда» (имеется центральный узел, соединенный с периферийными узлами);

2 балл. – ИТКС представляет собой полносвязную сеть;

1 балл. – Наличие альтернативной системы связи.

Определение уровня критически важных систем информ. инфраструктуры страны (Ккр.)

Ккрит.=К1*К2*К3*К4.

если Ккрит.

cyberpedia.su

Защита ключевых систем информационной инфраструктуры

Что такое ключевая система информационной инфраструктуры?

Ключевая система информационной инфраструктуры (КСИИ) - это информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление критически важным объектом (процессом), или информационное обеспечение управления таким объектом (процессом), или официальное информирование граждан, и в результате деструктивных информационных воздействий на которую может сложиться чрезвычайная ситуация, или будут нарушены выполняемые системой функции управления со значительными негативными последствиями.

Критически важный объект - объект, нарушение (или прекращение) функционирования которого приводит к потере управления, разрушению инфраструктуры, необратимому негативному изменению (или разрушению) экономики страны, субъекта Российской Федерации либо административно-территориальной единицы или существенному ухудшению безопасности жизнедеятельности населения, проживающего на этих территориях, на длительный срок.

Критически важная информация - это закрепленная в документации на КСИИ информация, уничтожение, блокирование или искажение которой может привести к нарушению функционирования КСИИ, а также информация о КСИИ (о ее составе, характеристиках управляемого процесса, характеристиках программного и программно-аппаратного обеспечения, размещении, коммуникациях), которая в случае ее хищения (ознакомления с ней) может быть непосредственно использована для деструктивных информационных воздействий на КСИИ.

Перечни критически важных объектов и критически важных систем составляются специально создаваемой группой экспертов, состав которой утверждается соответствующим руководителем федерального органа исполнительной власти (организации).

Основным признаком принадлежности объекта к критически важным является наличие на объекте экологически опасного или социально значимого производства или технологического процесса, нарушение штатного режима которого приводит к чрезвычайной ситуации определенного уровня и масштаба, а также наличие на объекте информационной системы (элементов системы), которая осуществляет функции управления чувствительными (важными) для Российской Федерации процессами и нарушение функционирования которой приводит к значительным негативным для страны последствиям.

Почему должны защищаться ключевые системы информационной инфраструктуры?

Многие зарубежные государства, а также террористические и криминальные структуры интенсивно совершенствуют методы и способы использования информационных технологий и средств для деструктивных информационных воздействий на информационные ресурсы информационно- телекоммуникационных систем и сетей государственных и негосударственных организаций. Такое применение информационных технологий и среде придает им свойства так называемого информационного оружия. Для нанесения значительного ущерба интересам государства и общества информационное оружие может быть применено и в мирное время, особенно террористическими организациями.

Нарушение функционирования критически важных информационно - телекоммуникационных систем и сетей (ключевых систем информационной инфраструктуры Российской Федерации) может привести к развитию чрезвычайных ситуаций, связанных с гибелью людей, экологическими катастрофами, нанесением крупного материальна финансового, экономического ущерба или крупномасштабными нарушениями жизнедеятельности городов и населенных пунктов и т.п.

Чем руководствоваться при организации защиты информации в ключевых системах информационной инфраструктуры?

При построении комплексной системы защиты критически важной информации в ключевых системах информационной инфраструктуры необходимо руководствоваться следующими документами:

  • «Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007);
  • «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007);
  • «Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007);
  • «Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 19.11.2007);
  • Гостехкомиссия России. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации (утв. 30.03.1992);
  • Гостехкомиссия России. Руководящий документ. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. (утв. 25.07.1997);
  • Гостехкомиссия России. Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей (утв. 4.06.1999).

В случае возникновения дополнительных вопросов по защите ключевых систем Вы можете воспользоваться контактной информацией.

centr.expert


Смотрите также