Утвержден приказом Агентства 

от 19 декабря 2022 года № 13-П

1. Общие положения

1. Настоящая Методика устанавливает механизмы определения угроз безопасности в информационных системах персональных данных и защиты персональных данных при их обработке в информационных системах, обрабатывающих персональные данные в зависимости от требуемого уровня защищенности персональных данных.
2. Меры по обеспечению безопасности персональных данных принимаются для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
3. Защита персональных данных включает в себя организационные и (или) технические меры, определяемые с учетом актуальных угроз безопасности персональных данных, а также используемых информационных технологий.
4. В настоящей методике используются следующие термины:
   • персональные данные - зафиксированная информация на материальном носителе о конкретном человеке, отождествленная с конкретным человеком или которая может быть отождествлена с конкретным человеком, позволяющая идентифицировать этого человека прямо или косвенно, посредством ссылки на один или несколько факторов, специфичных для его биологической, экономической, культурной, гражданской или социальной идентичности;
   • информационная система персональных данных –информационные системы, в которых хранятся или обрабатываются персональные данные (далее по тексту используется словосочетание “информационные системы”);
   • уровень защищенности персональных данных – один из четырех условных градаций по степени безопасности информационных систем, установленных требованиями к обеспечению безопасности и защите персональных данных;
   • угроза – совокупность условий и факторов, создающих опасность нарушения безопасности объекту или субъекту защиты. Под угрозами понимаются, потенциально возможные события, действия (воздействия), процессы или явления, которые могут привести к нанесению ущерба чьим-либо интересам;
   • внешние нарушители – нарушители, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;
   • внутренние нарушители – нарушители, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.
5. В настоящей методике используются следующая аббревиатура:
   • A - актуальность угрозы;
   • IST - угрозы безопасности информации (от англ. Information security thread);
   • V - потенциальные уязвимости (от англ. Vulnerability);
   • I - способы реализации угроз (от англ. Implementation);
   • O - объекты воздействия (от англ. Objects); 
   • C - негативные последствия (от англ. Consequence);
   • P - вероятность (возможность) (от англ. Probability);
   • D – ущерб (от англ. Damage);
   • Y - возможности реализации угрозы;
   • Y1 - уровень безопасности информационной системы;
   • Y2 - потенциала нарушителя;
   • Y_1П - уровень проектной безопасности;

2. Организация безопасности обработки информации в информационных системах персональных данных 

1. Держатель (обладатель) массива персональных данных и обработчик обязаны принимать необходимые правовые, организационные и технические меры и (или) обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
2. В соответствии с «Требованиями по обеспечению безопасности и защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных» (далее – Требования), утвержденным постановлением Правительства Кыргызской Республики от 21 ноября 2017 года № 760 по оценке актуальности угроз, возможности нанесения ущерба, объема обрабатываемых персональных данных, категории персональных данных и продолжительности обработки персональных данных, предусмотрены четыре уровня защищенности персональных данных информационных систем:
3. синий;
4. зеленый;
5. желтый;
6. красный.
7. для «синего» уровня защищенности необходимо:
   • принятие документа, определяющего политику держателя (обладателя) массива персональных данных в отношении обработки персональных данных, и доведение содержания данного документа до работников и контрагентов держателя (обладателя) массива персональных данных;
   • назначением лица (лиц), ответственного за обеспечение безопасности персональных данных при их обработке в информационных системах и проведением их инструктажа по требованиям Закона Кыргызской Республики "Об информации персонального характера" и Требований;
   • осуществлением внутреннего контроля соответствия обработки персональных данных требованиям Закона Кыргызской Республики "Об информации персонального характера", и Требований;
   • включением в трудовые договоры и должностные инструкции работников держателя (обладателя) массива персональных данных их обязанностей в отношении обработки персональных данных, положений о неукоснительном соблюдении требований Закона Кыргызской Республики "Об информации персонального характера", и Требований, иных документов, принятых по вопросам обработки персональных данных;
   • ведением (на бумажном носителе или в электронном виде) журнала учета машинных носителей персональных данных и списка лиц, в чьи должностные обязанности входит доступ к персональным данным;
   • при каждом вводе персональных данных в систему обработки данных, а также при изменении или уничтожении таких данных - указанием лица, осуществившего ввод (изменение, уничтожение) таких данных, даты и времени совершения операции;
   • созданием не реже одного раза в сутки резервной копии актуальных персональных данных, обрабатываемых в информационной системе;
8. для "зеленого" уровня защищенности - требований, установленных для "синего" уровня защищенности, и дополнительно следующих требований:
   • проектированием информационной системы и мер по ее развитию с учетом характера обрабатываемых в ней персональных данных и необходимости их защиты;
   • оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы и перед значительными обновлениями (расширениями) информационной системы, проводимой уполномоченным государственным органом по персональным данным и/или аккредитованными органами оценки соответствия в области обеспечения требований безопасности персональных данных;
   • применением шифровальных (криптографических) средств защиты информации, соответствующих техническим требованиям к таким средствам на уровне не жиже Технических требований к средствам криптографической защиты информации, утвержденных постановлением Правительства Кыргызской Республики «Об утверждении Требований к защите информации, содержащейся в базах данных государственных информационных систем» от 21 ноября 2017 года № 762, для исключения несанкционированного доступа к персональным данным, их преднамеренного или случайного изменения или уничтожения;
9. для "желтого" уровня защищенности - требований, установленных для "зеленого" уровня защищенности, и дополнительно следующих требований:
   • централизованным управлением системой защиты персональных данных, в том числе, путем создания структурного подразделения, ответственного за реализацию настоящих Требований;
   • установлением системы контроля помещений, в которых установлена информационная система, позволяющей ограничить физический доступ к техническим средствам информационной системы только теми лицами, которым предоставлены соответствующие полномочия;
   • ведением автоматического электронного журнала (лога), фиксирующего все операции с персональными данными, с обеспечением невозможности внесения изменений в данный журнал задним числом;
   • обеспечением резервирования и высокой доступности информационной системы хранения и обработки персональных данных в реальном времени и автоматического электронного журнала, предусмотренного абзацем четвертым настоящего подпункта;
   • наличием автоматической системы выявления и пресечения несанкционированного доступа к персональным данным, а также их случайного уничтожения или изменения;
10. для "красного" уровня защищенности - требований, установленных для "желтого" уровня защищенности, и дополнительно следующих требований:
    • использованием только защищенных каналов при передаче персональных данных и (или) доступе к ним;
    • защитой персональных данных от утечек по техническим каналам;
    • применением средств защиты информации и/или информационных систем, прошедших в установленном порядке процедуру оценки соответствия в уполномоченном государственном органе по персональным данным и/или аккредитованном органе оценки соответствия в области обеспечения требований безопасности персональных данных;
    • регулярным (не менее 1 раза в год) аудитом информационных систем держателя (обладателя) массива персональных данных автоматического электронного журнала (лога), фиксирующего все операции с персональными данными, уполномоченным государственным органом по персональным данным и/или аккредитованным органом оценки соответствия в области обеспечения требований безопасности персональных данных.
11. Определение уровня защищенности персональных данных осуществляется держателем (обладателем) массива персональных данных.
12. Договор между держателем и обработчиком должен включать обязанности обработчика по обеспечению безопасности персональных данных при их обработке в информационных систем.
13. Контроль исполнения требований по обеспечению безопасности персональных данных в информационных системах персональных данных организуется и проводится держателем (обладателем) массива персональных данных. При наличии обработчика или привлеченного на договорной основе юридического или физического лица, имеющего право на осуществление деятельности по защите информации (далее вместе – оператор), то контроль исполнения требований по обеспечению безопасности персональных данных в информационных системах персональных данных может быть возложен на оператора по решению держателя (обладателя) массива персональных данных. 
14. Контроль проводится на регулярной основе в сроки, определяемые держателем (обладателем) массива персональных данных либо оператором по согласованию с держателем (обладателем) массива персональных данных.
15. В настоящей методике не рассматриваются вопросы касающихся процессов обеспечения безопасности персональных данных, отнесенных в установленном порядке к государственным секретам.

3. Определение угроз безопасности информации

1. На этапе проектирования и разработки информационной системы персональных данных должны быть определены ее физические и логические границы, для которых принимаются и контролируются меры защиты персональных данных.
2. Для определения угроз безопасности персональных данных необходимо установить существующие или предполагаемые возможности нарушений свойств безопасности персональных данных (конфиденциальности, целостности или доступности) в информационных системах персональных данных, а также произвести оценку последствий нарушения в виде ущерба держателя, оператора информационной системы персональных данных или субъектов персональных данных.
3. Оценка угроз безопасности персональных данных проводится экспертным методом. Рекомендации по формированию экспертной группы и проведению экспертной оценки угроз безопасности информации приведены в Приложении 1.
4. При определении угроз безопасности информации оценке подлежат те угрозы, у которых источники имеют возможности и условия для реализации угрозы в рассматриваемой информационной системе. 
5. К основным типам источников угроз безопасности информации относятся: 
6. антропогенные источники (антропогенные угрозы); 
7. техногенные источники (техногенные угрозы); 
8. стихийные источники (угрозы стихийных бедствий и иных природных явлений). 
9. Особое внимание следует уделять оценке антропогенных угроз, связанных с несанкционированными действиями физических лиц, как преднамеренного, так и непреднамеренного характера.
10. Преднамеренные угрозы безопасности предполагают целенаправленные действия с целью получения доступа к определенной информации, нарушения функционирования информационной системы или нарушения функционирования обслуживающей инфраструктуры информационной системы.
11. Непреднамеренные угрозы безопасности информации возникают, когда лица, имеющие доступ к информационной системе, производят действия без определенного умысла, в результате которых могут нарушаться условия и сама безопасность информации.
12. Для информационной системы персональных данных, в которых критичными являются обеспечение целостности и доступности персональных данных, в обязательном порядке подлежат оценке техногенные угрозы. Источниками техногенных угроз являются отказы и сбои технических средств или программного обеспечения, обусловленные их низким качеством или надежностью оборудования или программных продуктов, сетей или услуг связи, систем резервирования или технического обслуживания и т.п.
13. Основные задачи оценки угроз безопасности информации:
14. определение негативных последствий, которые могут наступить от реализации (возникновения) угроз безопасности информации;
15. инвентаризация систем и сетей и определение возможных объектов воздействия угроз безопасности информации;
16. определение источников угроз безопасности информации и оценка возможностей нарушителей по реализации угроз безопасности информации;
17. оценка способов реализации (возникновения) угроз безопасности информации;
18. оценка возможности реализации (возникновения) угроз безопасности информации и определение актуальности угроз безопасности информации;
19. оценка сценариев реализации угроз безопасности информации в системах и сетях.
20. Угрозы безопасности информации (далее - IST) носят комплексный характер и требуют проведения оценки следующих факторов, влияющих на угрозу:
21. 3.1 источники и возможности вероятных нарушителей (далее - S), учитывая их потенциал, оснащенность и мотивацию;
22. 3.2 потенциальные уязвимости информационной системы (далее - V);
23. 3.3 вероятные способы реализации(возникновения) угроз безопасности информации (далее- I);
24. 3.4 объекты воздействия (далее - O) - объекты информационной системы, на которые направлена угроза безопасности информации; 
25. 3.5 негативные последствия от нарушения конфиденциальности, целостности, доступности информации: (далее - C).

Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) с учетом выявленных факторов влияния и условно записывается следующим образом:

IST_j = S + V + I + O + C 

Примечание: порядковый номер угрозы обозначается через букву - j - (1,2,3…).

1. Описанная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (далее IST^А_j). Актуальность обозначается как A. Угроза принимается актуальной для информационной системы, если существует вероятность (возможность Р_j-probability) реализации идентифицированной угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу D_j-damage):

IST^А_j = [(Р_j); (D_j)]

1. Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информационной системы персональных данных представляет собой формализованное описание угроз безопасности персональных данных конкретной информационной системы персональных данных в конкретных условиях ее функционирования. Модель угроз безопасности информации разрабатывается владельцем информационного ресурса с привлечением специалистов по информационной безопасности. Структура модели угроз безопасности информации приведена в Приложении 2.
2. При определении угроз безопасности информации следует учитывать структурные и функциональные характеристики информационной системы, применяемые технологии и особенности (условия) функционирования информационной системы.
3. Эффективность мер защиты персональных данных зависит от качества проведенных работ по выявлению угроз безопасности информации в конкретных условиях функционирования объекта защиты и составления адекватной модели угроз информационной системы персональных данных, а также от компетентности лиц, реализующих меры защиты.

3.1 Модель нарушителя

1. Оценка возможностей вероятных нарушителей безопасности информации должно основываться на предположении о типах и видах нарушителей, которые могут реализовать угрозы безопасности информации в информационных системах персональных данных с заданной структурой и функциональными характеристиками. При этом необходимо степень угрозы исходящей от этих нарушителей и возможных способов реализации угроз безопасности информации.
2. Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью модели угроз безопасности информации и должна отражать:
3. типы, виды и потенциал нарушителя, которые могут обеспечить реализацию угрозы безопасности информации;
4. цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;
5. возможные способы реализации угроз безопасности информации.
6. Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структуры построения, функциональных характеристик и особенностей функционирования информационной системы.
7. В зависимости от имеющихся прав доступа, нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) к содержащейся в них информации или не иметь такого доступа.
8. Анализ прав доступа проводится, как минимум, в отношении следующих компонентов информационной системы:
   • устройств ввода/вывода (отображения) информации;
   • беспроводных устройств;
   • программных, программно-технических и технических средств обработки информации;
   • съемных носителей информации; 
   • носителей информации, выведенных из эксплуатации;
   • активного (коммутационного) и пассивного оборудования каналов связи; 
   • каналов связи, выходящих за пределы контролируемой территории.
9. Основные виды нарушителей и возможных целей (мотивации) реализации угроз безопасности информации приведены в Таблице 1.

Таблица 1

При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.

1. Возможности реализации угрозы безопасности информации определяются потенциалом нарушителя по каждому виду нарушителя. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угрозы безопасности в информационной системе.
2.  Различают нарушителей обладающих:
3. базовым (низким) потенциалом нападения;
4. базовым повышенным (средним) потенциалом нападения;
5. высоким потенциалом нападения.

Вероятные возможности различных видов нарушителей в зависимости от потенциала приведены в Таблице 2.

Таблица 2

3.2 Определение актуальных угроз безопасности

1. Актуальность угрозы безопасности информации IST_j^А характеризуется двумя компонентами, первый из которых характеризует вероятность реализации угрозы Р_j, а второй – степень возможного ущерба D_j в случае реализации угрозы. 
2. Вероятность Р_j определяется на основе анализа статистических данных о частоте реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационных системах персональных данных и (или) однотипных информационных системах. 
3. Ущерб D_j определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.
4. При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационных системах персональных данных и (или) однотипных информационных системах, актуальность угрозы безопасности информации определяется оценкой возможности реализации угрозы (далее Y_j).

                                               IST_jА = [(Y_j); (D_j)])], где:

• Y_j определятся на основе оценки уровня безопасности информационной системы и потенциала нарушителя, требуемого для реализации угрозы безопасности; 
• Dj также определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.

1. Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что:
2. возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации;
3. в информационной системе могут иметься потенциальные уязвимости, которые могут быть использованы при реализации j-ой угрозы безопасности информации;
4. структурно-функциональные характеристики и особенности функционирования информационной системы не исключают возможности применения способов, необходимых для реализации j-ой угрозы безопасности информации (существует сценарий реализации угрозы безопасности);
5. реализация угрозы безопасности информации приведет к нарушению конфиденциальности, целостности или доступности информации, в результате которого возможно возникновение неприемлемых негативных последствий (ущерба).

3.3 Оценка вероятности (возможности) реализации угрозы безопасности

1. Под вероятностью реализации угрозы безопасности информации понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в информационных системах персональных данных. Вводятся три градации:
2. низкая вероятность, при которой отсутствуют объективные предпосылки к реализации угрозы безопасности информации. Статистика по фактам реализации данной угрозы и мотивации к ее реализации не превышает одного раза в пять лет;
3. средняя вероятность – существуют предпосылки к реализации угрозы безопасности информации, зафиксированы случаи реализации угрозы безопасности информации или имеется иная информация, указывающая на возможность реализации угрозы безопасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы. Возможная частота реализации угрозы не превышает одного раза в год;
4. высокая вероятность – существуют объективные предпосылки к реализации угрозы безопасности информации. Существует достоверная статистика реализации угрозы безопасности информации (возникновения инцидентов безопасности), имеется иная информация, указывающая на высокую возможность реализации угрозы безопасности информации, у нарушителя имеются мотивы для реализации угрозы. Возможная частота реализации угрозы – чаще чем один раз в год.
5. В случае отсутствия данных для оценки вероятности реализации угрозы или наличия сомнений в объективности экспертных оценок вероятности реализации угроз при определении градаций, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Y_j). Возможность реализации j-ой угрозы безопасности информации (Y_j) оценивается исходя из уровня безопасности информационной системы (Y1) и потенциала нарушителя (Y2), необходимого для реализации этой угрозы безопасности информации в информационных системах персональных данных :

(Y_j) = [(Y1); (Y2)]

При определении угроз безопасности информации на этапе создания информационной системы в случае, когда меры защиты информации не реализованы или не проведена оценка их достаточности и эффективности, оценка возможности реализации j-ой угрозы безопасности информации (Y_j)^p проводится относительно уровня проектной защищенности информационной системы (Y_1П):

(Y_j)^p= [(Y_1П); (Y2)]

Под уровнем проектной безопасности (Y_1П) понимается исходная безопасность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. (Y_1П) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в Таблице 3.

                                                                                              Таблица 3

1. В ходе создания информационной системы, уровень ее проектной безопасности Y_1П определяется следующим образом:

а) информационная система имеет высокий уровень проектной безопасности, если не менее 80% характеристик информационной системы соответствуют уровню «высокий», а остальные - среднему уровню безопасности;

б) информационная система имеет средний уровень проектной безопасности, если не выполняются условия по пункту а) и не менее 90% характеристик информационной системы соответствуют уровню не ниже «среднего» (берется отношение суммы положительных решений по столбцу «средний» к общему количеству решений), а остальные - низкому уровню безопасности;

в) информационная система имеет низкий уровень проектной безопасности, если не выполняются условия по пунктам а) и б).

1. В ходе эксплуатации информационной системы уровень ее безопасности (Y1) определяется следующим образом:

а) в информационной системе обеспечивается высокий уровень безопасности, если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появившихся дополнительных угроз безопасности информации оперативно могут быть приняты меры защиты информации, нейтрализующие эти угрозы;

б) в информационной системе обеспечивается средний уровень безопасности, если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них могут быть приняты меры защиты информации, нейтрализующие эти угрозы;

в) в информационной системе обеспечивается низкий уровень безопасности, если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них не могут быть приняты меры защиты информации, нейтрализующие эти угрозы.

1. Значение потенциала нарушителя (Y2) для j-ой угрозы безопасности информации определяется на основе общедоступных банков данных угроз безопасности информации или типовых моделях угроз безопасности информации для информационных систем различных классов и типов. В случае отсутствия информации о потенциале нарушителя для реализации j-ой угрозы безопасности значение потенциала (Y2) определяется в соответствии с Приложением 3.
2. Возможность реализации j-ой угрозы безопасности информации (Y_j) в зависимости от уровня безопасности информационной системы (Y1) или (Y_1П) и потенциала нарушителя (Y2) оценивается как высокая (Y_j)^в, средняя (Y_j)^с или низкая (Y_j)^н в соответствии с Таблицей 4.

Таблица 4

Вероятность (возможность) реализации угрозы безопасности информации(Y_j)

3.4 Определение возможных объектов воздействия угроз безопасности информации

1. В ходе оценки угроз безопасности информации должны быть определены информационные ресурсы и компоненты систем и сетей, несанкционированный доступ к которым или воздействие на которые в ходе реализации (возникновения) угроз безопасности информации может привести к негативным последствиям - объекты воздействия.
2. Исходными данными для определения возможных объектов воздействия являются:

а) общий перечень угроз безопасности информации;

б) описания векторов компьютерных атак, содержащиеся в базах данных и иных источниках, опубликованных в сети "Интернет" (CAPEC, ATT&CK, OWASP, WASC и др.);

в) документация на сети и системы (в части сведений о составе и архитектуре, о группах пользователей и уровне их полномочий и типах доступа, внешних и внутренних интерфейсах);

г) договоры, соглашения или иные документы, содержащие условия использования информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры поставщика услуг (в случае функционирования систем и сетей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры);

д) негативные последствия от реализации (возникновения) угроз безопасности информации, определенные в соответствии с настоящей Методикой.

Указанные исходные данные могут быть дополнены иными документами и сведениями с учетом особенностей области деятельности, в которой функционируют системы и сети.

1. На основе анализа исходных данных и результатов инвентаризации систем и сетей определяются следующие группы информационных ресурсов и компонентов систем и сетей, несанкционированный доступ к которым или воздействие на которые в ходе реализации (возникновения) угроз безопасности информации может привести к негативным последствиями, которые могут являться объектами воздействия:

а) информация (данные), содержащаяся в системах и сетях (в том числе защищаемая информация, персональные данные, информация о конфигурации систем и сетей, данные телеметрии, сведения о событиях безопасности и др.);

б) программно-аппаратные средства обработки и хранения информации (в том числе автоматизированные рабочие места, серверы, включая промышленные, средства отображения информации, программируемые логические контроллеры, производственное, технологическое оборудование (исполнительные устройства));

в) программные средства (в том числе системное и прикладное программное обеспечение, включая серверы приложений, веб-приложений, системы управления базами данных, системы виртуализации);

г) машинные носители информации, содержащие как защищаемую информацию, так и аутентификационную информацию;

д) телекоммуникационное оборудование (в том числе программное обеспечение для управления телекоммуникационным оборудованием);

е) средства защиты информации (в том числе программное обеспечение для централизованного администрирования средств защиты информации);

ж) привилегированные и непривилегированные пользователи систем и сетей, а также интерфейсы взаимодействия с ними;

з) обеспечивающие системы.

1. К основным информационным ресурсам и данным в них могут относиться системы хранения данных (базы данных), системы управления базами данных, веб-сайт, почтовый сервер, почтовый клиент, автоматизированное рабочее место пользователя, система управления и администрирования, контроллер домена, сетевые службы, проводные и беспроводные каналы передачи данных, телекоммуникационное оборудование и т.д.
2. В ходе эксплуатации систем и сетей, в том числе при развитии (модернизации) систем и сетей, объекты воздействия определяются для реальных архитектуры и условий функционирования систем и сетей, полученных по результатам анализа исходных данных и инвентаризации систем и сетей.

Инвентаризация систем и сетей проводится с использованием автоматизированных средств, которые позволяют определить компоненты систем и сетей, а также внешние и внутренние программно-аппаратные интерфейсы.

1. Для информационных ресурсов и компонентов систем и сетей должны быть определены виды воздействия на них, которые могут привести к негативным последствиям. Основными видами таких воздействий являются:

а) утечка (перехват) конфиденциальной информации или отдельных данных (нарушение конфиденциальности);

б) несанкционированный доступ к компонентам, защищаемой информации, системным, конфигурационным, иным служебным данным;

в) отказ в обслуживании компонентов (нарушение доступности);

г) несанкционированная модификация, подмена, искажение защищаемой информации, системных, конфигурационных, иных служебных данных (нарушение целостности);

д) несанкционированное использование вычислительных ресурсов систем и сетей в интересах решения несвойственных им задач;

е) нарушение функционирования (работоспособности) программно-аппаратных средств обработки, передачи и хранения информации.

1. Объекты воздействия определяются на аппаратном, системном и прикладном уровнях, на уровне сетевой модели взаимодействия, а также на уровне пользователей (рисунок 1).

Рисунок 1. Уровни архитектуры систем и сетей, на которых определяются объекты воздействия

1. В процессе эксплуатации систем и сетей объекты воздействия и виды воздействия на них могут дополняться и изменяться относительно их состава и видов воздействия, определенных на этапе создания данных систем и сетей. В этом случае учет изменений должен проводиться в рамках реализации мероприятий по управлению конфигурацией систем и сетей и анализу угроз безопасности информации в ходе их эксплуатации.
2. При оценке угроз безопасности информации в системах и сетях, функционирующих на базе информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры, объекты воздействия определяются с учетом состава и содержания услуг, предоставляемых поставщиком услуг (например, инфраструктура как услуга, платформа как сервис, программное обеспечение как сервис).

Арендуемые или используемые на ином законном основании программно-аппаратные средства и их интерфейсы, каналы связи, программное обеспечение (в том числе программное обеспечение виртуализации и построенных на его базе виртуальных машин, виртуальных серверов, систем управления виртуализацией, виртуальных каналов связи и т.д.) относятся к объектам воздействия, находящимся в границе оценки угроз безопасности информации оператора. В отношении остальной информационно-телекоммуникационной инфраструктуры центра обработки данных или облачной инфраструктуры угрозы безопасности информации оцениваются поставщиком услуг.

Пример распределения границ при оценке угроз безопасности информации между оператором и поставщиком услуг представлен на рисунке 2.

Рисунок 2. Пример распределения границ при оценке угроз безопасности информации в информационной инфраструктуре поставщика услуг.

1. Примеры определения объектов воздействия и видов воздействия на них приведены в Приложении 4 к настоящей Методике.

3.5 Оценка степени возможного ущерба от реализации угрозы безопасности

1. Для оценки степени возможного ущерба от реализации угрозы безопасности информации определяются:
2. возможный результат реализации угрозы безопасности информации в информационной системе; 
3. вид ущерба, к которому может привести реализация угрозы безопасности информации; 
4. степень последствий от реализации угрозы безопасности информации для каждого вида ущерба.
5. Результат реализации угрозы безопасности информации определяется воздействием угрозы на каждое свойство безопасности информации (конфиденциальность, целостность, доступность) в отдельности в соответствии с Таблицей 5.

Таблица 5

1. При определении степени возможного ущерба необходимо исходить из того, что:

зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, целостность или доступность каждого вида информации, содержащейся в информационных системах персональных данных, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба.

Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности информации, приведены в Таблице 6.

Указанные в Таблице 6 виды ущерба могут дополняться другими видами в зависимости от целей и задач, решаемых информационной системой, а также вида обрабатываемой в ней информации.

         Таблица 6

1. Степень негативных последствий (ущерба) от нарушения конфиденциальности,

целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационных системах персональных данных, и может иметь разные значения для разных держателей и операторов. В качестве шкалы измерения степени негативных последствий принимаются значения: «критический», «значительный», «неначительный» и «отсутствует». 

Степень возможного ущерба определяется экспертным методом в соответствии с Таблицей 7.

                                                                                                                                                                                                            Таблица 7

Определение актуальности угрозы безопасности информации

1. Решение об актуальности угрозы безопасности информации УгБИ_j^А для

информационной системы персональных данных с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с Таблицей 8, где: буква N обозначает не актуальность угроз, и соответственно буква A обозначает актуальность угрозы.

Таблица 8 

Состав мер по обеспечению безопасности персональных данных

1. В состав мер по обеспечению безопасности персональных данных, реализуемых системой защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:

а) идентификация и аутентификация субъектов доступа и объектов доступа;

б) управление доступом субъектов доступа к объектам доступа;

в) ограничение программной среды;

г) защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее - машинные носители              персональных данных);

д) регистрация событий безопасности;

е) антивирусная защита;

ж) обнаружение (предотвращение) вторжений;

з) контроль (анализ) защищенности персональных данных;

к) обеспечение целостности информационной системы и персональных данных;

л) обеспечение доступности персональных данных;

м) защита среды виртуализации;

н) защита технических средств;

о) выявление инцидентов (одного события или группы событий) в том числе посредством мониторинга средств защиты информации и защиты информационной системы, которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;

п) управление конфигурацией информационной системы и системы защиты персональных данных

р) белые/чёрные списки программного обеспечения, отслеживания поведения пользователей.

1. Содержание мер по обеспечению безопасности персональных данных приведены в Приложении 5 .
2. Для формирования мер по обеспечению безопасности персональных данных может использоваться ГОСТ ISO/IEC 29100-2021 Информационные технологии. Методы и средства обеспечения безопасности. Основные защиты персональных данных

Порядок действий по выбору мер защиты

1. Выбор мер защиты информации для каждого объекта защиты производится в следующей последовательности:

а) определение базового набора мер защиты информации для установленного уровня защищенности информационной системы персональных данных;

б) адаптация базового набора мер защиты информации к существующим структурным и функциональным характеристикам информационной системы;

в) уточнение адаптированного базового набора мер защиты информации с учетом недостающих мер защиты информации для нейтрализации угроз безопасности информации, включенных в модель угроз безопасности объекта;

г) дополнение уточненного адаптированного базового набора мер защиты информации мерами, обеспечивающими выполнение требований о защите информации, установленными иными нормативными правовыми актами в области защиты информации, в том числе в области защиты персональных данных.

1. Определение базового набора мер защиты персональных данных

а) Базовый набор мер защиты для информационной системы персональных

данных приведен в Приложении 5.

б) Первоначально выбирается один из четырех базовых наборов мер защиты

информации, соответствующих установленному уровню защищенности информационной системы персональных данных. Меры, обозначенные в таблице знаком «+», включаются в базовый набор мер защиты информации. Меры защиты информации, не обозначенные знаком «+», могут быть применены при последующих действиях выбора мер защиты (по адаптации, уточнению, дополнению мер защиты или разработке компенсирующих мер защиты информации).

в) Выбранный базовый набор мер защиты информации в дальнейшем подлежит

обязательной адаптации (привязке) с учетом структурно-функциональных характеристик и особенностей функционирования информационной системы персональных данных.

1. Адаптация базового набора мер защиты информации

а) С целью максимальной привязки выбранных мер защиты к существующей

структуре с учетом особенностей эксплуатации информационной системы персональных данных необходимо внести требуемые изменения в первоначально выбранный базовый набор мер защиты информации.

б) При адаптации, как правило, исключаются меры, не используемые в данной

информационной системе или обусловленные её структурно-функциональными различиями. Например, в случае если в информационной системе не применяется технология виртуализации, из базовых мер исключаются меры среды виртуализации, или если мобильные устройства не применяются, то исключаются меры по защите мобильных средств.

1. Уточнение адаптированного набора мер защиты информации

а) Исходными данными для уточнения адаптированного базового набора мер

защиты информации являются перечень угроз безопасности информации и их такие характеристики как потенциал, оснащенность и мотивация нарушителя, включенные в модель угроз безопасности.

б) При уточнении адаптированного базового набора мер защиты информации

для каждой угрозы безопасности информации сопоставляется мера защиты информации из адаптированного базового набора мер защиты информации, обеспечивающая нейтрализацию этой угрозы безопасности или снижающая вероятность ее реализации, исходя из условий функционирования информационной системы. 

в) В случае если адаптированный базовый набор мер защиты информации не

обеспечивает нейтрализацию всех угроз безопасности информации, в него дополнительно включаются другие меры защиты информации. Содержание дополнительных мер определяется с учетом уровня защищенности информационной системы персональных данных и потенциала нарушителя.

1. Дополнение уточненного адаптированного набора мер защиты информации

         а) Дополнение уточненного адаптированного базового набора мер защиты информации может потребоваться при необходимости учета требований других нормативных документов по защите информации.

1. Применение компенсирующих мер защиты информации

         а) Сформированный набор мер защиты информации может содержать меры защиты, которые по каким-либо причинам в данный момент в конкретной информационной системе не реализуемы (высокая стоимость, неприемлемо большие сроки реализации, отсутствие компетенции для эксплуатации и пр.). В таких случаях необходимо заменить соответствующие меры защиты информации на компенсирующие меры защиты информации. Выбор компенсирующих мер защиты информации должен быть аргументирован и подтвержден документально.

Содержание мер защиты персональных данных

1. Подробное описание базовых мер по обеспечению безопасности персональных

данных, в информационной системе с изложением требований по реализации меры, а также требований по их усилению при необходимости, приведены в Приложении 6. 

1. Обозначенные в таблице Приложения 5 меры знаком «+» обязательны для включения в базовый набор мер защиты информации. Меры, не обозначенные знаком «+», могут быть включены при последующих действиях при адаптации, уточнении, дополнения мер защиты или при разработке компенсирующих мер защиты информации.

Обозначения, приведенные ниже знака «+» в виде цифр и букв обозначают пункт и подпункт усиления меры, указанные в разделе «требования по усилению» данной меры (Приложение 6).

Приложение 1

Рекомендации по экспертной оценке определения угроз безопасности информации 

1. Общие положения

1. Формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате реализации угрозы безопасности информации. Завышение экспертами прогнозов может повлечь за собой неоправданные расходы на нейтрализацию угроз, являющихся неактуальными.

2. При формировании экспертной группы для оценки угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений человеком, что также может приводить как к занижению, так и к завышению экспертами прогнозов при определении угроз безопасности информации.

3. Любое решение, принимаемое экспертами при определении угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принцип «гарантированности»).

2. Формирование экспертной группы

         4. В состав экспертной группы для определения угроз безопасности информации рекомендуется включать экспертов: 

• от подразделений держателя информационной системы персональных данных;
• от подразделений оператора информационной системы; 
• от подразделения по защите информации; 
• от лиц, предоставляющих услуги по обработке информации; 
• от разработчика информационной системы; 
• от операторов внешних (взаимодействующих) информационных систем (по согласованию). 

             5. В качестве экспертов рекомендуется привлекать специалистов, деятельность которых связана с обработкой информации в информационной системе или имеющих опыт работы в области применения информационных технологий или в области защиты информации.

             6. В качестве экспертов рекомендуется привлекать лиц с высшим образованием или прошедших переподготовку (повышение квалификации) по информационной безопасности, или имеющих стаж практической работы в своей сфере деятельности не менее двух лет.

             7. Эксперты должны обладать профессиональной независимостью от остальных участников экспертной группы, которые могли бы оказать влияние на принимаемые решения. Не допускается формирование экспертной группы из членов, находящихся в прямом подчинении. 

             8. Состав экспертной группы зависит от поставленных целей и задач, но не должен быть меньше трех экспертов.

3. Проведение экспертной оценки

         9. При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.

         10. Экспертную оценку рекомендуется проводить в отношении, как минимум, следующих параметров:

• цели реализации угроз безопасности информации (мотивация нарушителей);
• типы и виды нарушителей; 
• уязвимости, которые могут быть использованы для реализации угроз безопасности информации; 
• способы реализации угроз безопасности информации;
• степень воздействия угрозы безопасности информации на каждое из свойств безопасности информации;
• последствия от реализации угроз безопасности информации; 
• вероятность реализации угроз безопасности информации; 
• уровень безопасности информационной системы;
• потенциал нарушителя, требуемый для реализации угрозы безопасности информации (в случае отсутствия потенциала в банке данных угроз безопасности информации).

         11. Оценка параметров проводится опросным методом с составлением анкеты составленной комиссией, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений («низкий», «средний», «высокий» или «да», «нет» или иные шкалы). 

         12. Вопросы анкеты должны быть четко сформулированы и однозначно трактуемые, предполагающие однозначные ответы.

         13. Опрос экспертов включает следующие этапы:

• каждый эксперт проводит оценку параметра, результаты которой заносятся в таблицу опроса (рекомендуется проводить не менее двух раундов оценки);
• определяется среднее значение оцениваемого параметра в каждом раунде; 
• определяется итоговое среднее значение оцениваемого параметра. 

                                                                               Таблица опроса

Приложение 2

Структура модели угроз безопасности информации

1. Общие положения

         Раздел содержит: 

• назначение и область действия настоящего документа; 
• полное наименование информационной системы персональных данных; 
• используемые для разработки модели угроз безопасности информации нормативные и методические документы, стандарты; 
• информация об источниках, на основе которых определяются угрозы безопасности (документация, исходные тексты программ, опросы персонала, журналы регистрации средств защиты, отчеты об аудите и другие источники).

1. Описание информационной системы и особенностей ее функционирования

         Раздел содержит:

• общую характеристику информационной системы;
• описание структурно-функциональных характеристик информационной системы;
• описание взаимосвязей между сегментами информационной системы;
• описание взаимосвязей с другими информационными системами и информационно-телекоммуникационными сетями;
• описание технологии обработки информации;
• отличительные особенности функционирования (отсутствие неучтенных беспроводных каналов доступа, выделение адресов, другие особенности).

1. Возможности нарушителей (модель нарушителя)

         Раздел содержит:

• описание типов, видов, потенциала и мотивации нарушителей, от которых необходимо обеспечить защиту информации в информационной системе;
• возможные способы реализации угроз безопасности информации;
• приводятся предположения, касающиеся нарушителей (например, отсутствие у нарушителя возможности доступа, оборудования, сделанного на заказ и применяемого при реализации угрозы, наличие сговора между внешними и внутренними нарушителями или др.);
• в раздел включаются любые ограничения, касающиеся определения нарушителей (исключение администраторов из числа потенциальных нарушителей и прочие предположения).

1. Актуальные угрозы безопасности информации

         Раздел содержит:

• описание актуальных угроз безопасности, включающее наименование угрозы безопасности информации;
• возможности нарушителя по реализации угрозы;
• используемые уязвимости информационной системы;
• описание способов реализации угрозы;
• объекты воздействия;
• возможные результат и последствия от реализации угрозы безопасности информации.

Приложение 3 

Определение потенциала нарушителя по реализации угрозы безопасности информации в информационной системе

         1. Настоящая оценка потенциала нарушителя направлена на снижение уровня субъективности и неопределенности при оценке потенциала нарушителя.

         2. Исходными данными для определения потенциала нарушителя являются: 

• данные об аппаратном, общесистемном и прикладном программном обеспечении, применяемых информационных технологиях, особенностях функционирования информационной системы;
• данные об уязвимостях в аппаратном, общесистемном и прикладном программном обеспечении, опубликованные в различных базах данных уязвимостей, полученные в результате исследований (тестировании) или полученные от уполномоченных органов исполнительной власти или организаций.

         3. При оценке потенциала нарушителя необходимо исходить из того, что для успешного достижения целей реализации угроз безопасности информации, нарушителю необходимо осуществить подготовку к реализации угрозы и непосредственную ее реализацию. При этом одним из необходимых условий на этапе подготовки к реализации угрозы безопасности информации является выявление уязвимостей информационной системы, а на этапе реализации угрозы безопасности информации – использование уязвимостей информационной системы.

         4. Для определения потенциала нарушителя необходимо оценить возможности

нарушителя в идентификации уязвимостей и их использования. 

         5. Делается обоснованное предположение о наличии уязвимостей, которые содержатся в информационной системе и могут быть использованы для реализации угрозы безопасности информации.

         6. В качестве исходных данных для определения потенциальных уязвимостей используются сведения о составе информационной системы, особенностям ее функционирования, а также данные об уязвимостях в программном обеспечении, опубликованные в общедоступных источниках, полученные в результате исследований, полученные от других организаций.

         7. Для каждой потенциальной уязвимости проводится оценка возможностей ее идентификации и использования в информационной системе нарушителем, обладающим определенными возможностями для каждого из возможных сценариев реализации угрозы.

         8. Оценка возможностей нарушителя по идентификации и использованию уязвимости в информационной системе проводится по результатам определения следующих показателей:

• время, затрачиваемое нарушителем на идентификацию и использование уязвимости (затрачиваемое время);
• компетентность нарушителя; 
• осведомленность нарушителя об информационной системе; 
• оснащенность нарушителя;
• возможности нарушителя по доступу к информационной системе.

Во многих случаях указанные показатели являются зависимыми и могут в различной степени заменять друг друга. В частности, показатели компетентности или оснащенности могут заменяться показателем затрачиваемого времени.

         9. Показатель «затрачиваемое время» - это время затрачиваемое нарушителем для идентификации и использования уязвимости для реализации угрозы безопасности информации, который характеризуется как: «за минуты», «за часы», «за дни» или «за месяцы».

• Значение «за минуты» присваивается, если для реализации угрозы нарушитель затратит менее получаса на идентификацию и использование уязвимости.
• Значение «за часы» присваивается, если для реализации угрозы нарушитель затратит менее чем один день на идентификацию и использование уязвимости.
• Значение «за дни» присваивается, если для реализации угрозы нарушитель затратит менее чем один месяц на идентификацию и использование уязвимости.
• Значение «за месяцы» присваивается, если для реализации угрозы нарушитель затратит, как минимум, месяц на идентификацию и использование уязвимости.

         10. Показатель «компетентность нарушителя» характеризует, каким уровнем знаний и подготовкой в области информационных технологий и защиты информации должен обладать нарушитель, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации.

Показатель «компетентность нарушителя» определяется как: «специалист», «профессионал» или «непрофессионал».

• Значение «профессионал» присваивается, если нарушитель имеет хорошую осведомленность о мерах защиты информации, применяемых в информационной системе данного типа, об алгоритмах, аппаратных и программных средствах, используемых в информационной системе данного типа, а также обладает специальными знаниями о методах и средствах выявления новых уязвимостей и способах реализации угроз безопасности информации для информационных систем данного типа.
• Значение «специалист» присваивается, если нарушитель имеет осведомленность о мерах защиты информации, применяемых в информационной системе данного типа.
• Значение «непрофессионал» присваивается, если нарушитель имеет слабую осведомленность (по сравнению со специалистами или профессионалами) о мерах защиты информации, применяемых в информационных системах данного типа, и не обладает специальными знаниями по реализации угроз безопасности информации.

         11. Показатель «осведомленность нарушителя» характеризует, какие сведения об информационной системе и условиях ее эксплуатации доступны нарушителю, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации.

Показатель «осведомленность нарушителя» может принимать значения «отсутствие знаний», «ограниченные знания» или «знание чувствительной информации».

• Значение «отсутствие знаний» присваивается, если в результате принятия мер по защите информации нарушителю не может стать известно о структурно-функциональных характеристиках информационной системы, системе защиты информации информационной системы, а также об иной информации по разработке (проектированию) и эксплуатации информационной системы, включая сведения из конструкторской, проектной и эксплуатационной документации. При этом может быть доступна информация о целях и задачах, решаемых информационной системой. Данный показатель также присваивается, если сведения об информационной системе отнесены к информации ограниченного доступа и не могут быть доступны широкому кругу лиц.
• Значение «ограниченные знания» присваивается, если нарушителю наряду с информацией о целях и задачах, решаемых информационной системой, может стать известна только эксплуатационная документация на информационную систему (в частности руководство пользователя и (или) правила эксплуатации информационной системы).
• Значение «знание чувствительной информации» присваивается, если нарушителю можут стать известны конструкторская (проектная) и эксплуатационная документация на информационную систему, информация о структурно-функциональных характеристиках информационной системы, системе защиты информационной системы.

         12. Показатель «возможности нарушителя по доступу к информационной системе» характеризует, как долго по времени нарушитель должен иметь возможность доступа к информационной системе для идентификации и использования уязвимостей для реализации угроз безопасности информации.

Показатель «возможности нарушителя по доступу к информационной системе» может принимать значения «за минуты», «за часы», «за дни» или «за месяцы», аналогично как в пункте 9. Показатель «возможности нарушителя по доступу к информационной системе» взаимосвязан с показателем «затраченное время». 

         13. Показатель «оснащенность нарушителя» характеризует, какие программные и (или) программно-технические средства требуются нарушителю для идентификации и использования уязвимостей для реализации угроз безопасности информации.

Показатель «оснащенность нарушителя» характеризуется значениями: «стандартное оборудование», «специализированное оборудование» и «оборудование, сделанное на заказ».

• Значение «стандартное оборудование» присваивается, если для идентификации или использования уязвимостей при реализации угрозы требуются программные (программно-технические) средства легкодоступные для нарушителя. К таким средствам, в первую очередь, относятся программные средства непосредственно информационной системы (отладчик в операционной системе, средства разработки и иные); программные средства, которые могут быть легко получены или имеются простые сценарии реализации угроз.
• Значение «специализированное оборудование» присваивается, если для идентификации или использования уязвимостей при реализации угрозы требуются программные (программно-технические) средства, которые отсутствуют в свободном доступе, но могут быть приобретены нарушителем без значительных усилий. К таким средствам, в первую очередь, относятся программные (программно-технические) средства, которые имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или требуется разработка более сложных программ и сценариев реализации угрозы. Оборудование может быть закуплено, либо могут быть использованы компьютеры, объединенные через сети (бот-сети).
• Значение «оборудование, сделанное на заказ» присваивается, если для идентификации или использования уязвимостей при реализации угрозы требуются программные (программно-технические) средства, которые недоступны широкому кругу лиц, и требуется их специальная разработка с привлечением исследовательских организаций, или доступ к этим средствам регулируется законодательством. К такому оборудованию также относятся средства, сведения о которых относятся к информации ограниченного доступа.

         14. Для вычисления потенциала нарушителя определяются числовые значения указанных показателей в соответствии с таблицей П3.1.

 Таблица П3.1.

         15. Для конкретной потенциальной уязвимости может возникнуть необходимость определять показатели несколько раз для различных способов реализации угроз безопасности информации (попеременно использовать разные значения показателей компетентности в сочетании со значениями времени и оборудования). При этом следует выбирать наибольшее значение, полученное при каждом расчете показателей.

         16. Полученные на основе таблицы П3.1 значения характеристик потенциала нарушителя суммируются. Полученная сумма значений характеристик сравнивается с диапазонами значений, приведенных в таблице П3.2, в соответствии с которой определяется потенциал нарушителя.

  Таблица П3.2

Приложение 4

Примеры определения объектов воздействия и видов воздействия на них

Приложение 5

Состав мер по обеспечению безопасности обработки персональных данных для уровней защищенности персональных данных