Модель угроз безопасности информации информационной системы персональных данных

1.

Модель угроз безопасности
информации информационной
системы
персональных данных
Поликлиника №6
Исполнители:
Сарычев О.С.
Копанев С.Е.
Руководитель:
Полынев Т.В.

2.

В поликлинике используется МИС «Поликлиника»,
пример её интерфейса показан на рисунке 1
Рисунок 1 примерный интерфейс МИС «Поликлиника»

3.

Уровень защищенности ИСПДн

4.

Клинические системы и программное обеспечение
Электронная медицинская документация
Персонал
Возможные объекты воздействия угроз безопасности информации
Сетевая инфраструктура и серверы
Компьютеры и рабочие станции

5.

Актуальные для ИСПДн МИС «Поликлиника» нарушители
1. Отдельные физические лица (хакеры);
2. Лица, обеспечивающие поставку
программных, программно-аппаратных
средств, обеспечивающих систем;
3. Бывшие (уволенные) работники
(пользователи);
4. Авторизованные пользователи ИСПДн;
5. Лица, привлекаемые для установки,
настройки, испытаний, пусконаладочных и
иных видов работ;
6. Лица, обеспечивающие функционирование
ИСПДн или обеспечивающих систем
оператора (администрация, охрана, уборщики
и др.);
7. Системные администраторы и
администраторы безопасности.

6.

Все возможные способы реализации угроз
безопасности информации
1) Использование уязвимостей прикладного
программного обеспечения
2) Использование уязвимостей системного программного
обеспечения
3) Внедрение вредоносного программного обеспечения
4) Использование недекларированных возможностей
программного обеспечения
5) Использование уязвимостей протоколов сетевого
взаимодействия
6) Использование открытых портов сетевого
взаимодействия
7) Использование некорректной настройки парольной
политики
8) Физический доступ к техническим средствам ИС
9) Ошибочные действия при настройке
10) Программные сбои
11) Использование уязвимостей сетевого оборудования

7.

Выбранный перечень вероятных угроз безопасности информации

8.

РЕКОМЕНДАЦИИ ДЛЯ ЗАЩИТЫ ИСПДН В ПОЛИКЛИНИКЕ
1. Обеспечить физическую безопасность: Защитить сервера и оборудования, где
хранятся персональные данные, от несанкционированного доступа, включая контроль
доступа, видеонаблюдение и защиту помещений.
2. Защитить данные в сети: Использовать сетевые механизмы безопасности, такие как
брандмауэры(UserGate NGFW), виртуальные частные сети (VPN)(ExpressVPN) и
системы обнаружения вторжений (IDS)(Kaspersky Unified Monitoring).
3. Регулярно обновлять программное обеспечение: Установить все обновления и патчи
для операционных систем, приложений и антивирусного программного обеспечения,
чтобы устранить уязвимости.
4. Обучать сотрудников: Провести тренинги по безопасности информации, чтобы
сотрудники знали о возможных угрозах, методах фишинга и обеспечении
безопасности данных.
5. Мониторинг журналов событий: Внедрить систему мониторинга и анализа журналов
событий, чтобы своевременно обнаруживать и реагировать на потенциально
вредоносную активность(«Лоргус»).

9.

РЕКОМЕНДАЦИИ ДЛЯ ЗАЩИТЫ ИСПДН В ПОЛИКЛИНИКЕ
6. Проводить пентестирования: Регулярно проводить пентестирование (тестирование на
проникновение) для выявления слабых мест в системе и проведения необходимых
улучшений.
7. Обновление политик и процедур: Периодически пересматривайте и обновляйте
политики и процедуры безопасности, чтобы гарантировать соответствие современным
требованиям и изменениям в законодательстве.
8. Установка криптографических протоколов, таких как КриптоПро.
9. Установка пропускной системы для сотрудников по их уровню доступа (МТС Red).
10. Регулярные резервные копии: Регулярно создавать резервные копии ИСПДН
поликлиники для защиты данных от потери или повреждений (Yandex Cloud Backup).
11. Шифрование данных: Использовать шифрование данных для защиты
конфиденциальной информации, особенно при передаче через открытые сети или
хранении на портативных устройствах (Yandex Key Management Service).
12.Управление паролями: Внедрить политику управления паролями, требующую
сложные пароли, регулярное изменение паролей и использование многофакторной
аутентификации (KeePas).