ОБЩИЕ ПОЛОЖЕНИЯ

Настоящая "Базовая модель угроз безопасности информации интеллектуальной системы учета электрической энергии (мощности)" (далее - Модель угроз) содержит систематизированный перечень угроз безопасности информации, влияющих на обеспечение устойчивого функционирования интеллектуальной системы учета электрической энергии (мощности) (далее - ИСУЭ) в проектных режимах работы и безопасность обрабатываемых персональных данных при проведении в отношении нее компьютерных атак.

Модель угроз содержит исходные данные по угрозам безопасности информации в ИСУЭ, связанным:

- с воздействием на метрологические характеристики компонентов ИСУЭ;

- с воздействием на компоненты ИСУЭ в целях управления подачей электрической энергии (мощности) потребителю;

- с воздействие на компоненты ИСУЭ в целях нарушения их функционирования в проектных режимах работы;

- с несанкционированным доступом к компонентам ИСУЭ с целью деструктивного воздействия на обрабатываемые в них персональные данные.

Модель угроз является методическим документом для подразделений (работников) субъектов критической информационной инфраструктуры Российской Федерации, ответственных за обеспечение безопасности объектов критической информационной инфраструктуры Российской Федерации, руководителей субъектов критической инфраструктуры Российской Федерации, организующих и проводящих мероприятия по реализации мер по обеспечению безопасности информации.

Модель угроз содержит краткое описание ИСУЭ и базовый перечень актуальных угроз безопасности информации.

Угрозы безопасности информации, содержащиеся в Модели угроз, могут уточняться и дополняться по мере выявления новых источников угроз, развития способов и средств реализации угроз безопасности информации, изменений архитектуры и функциональности ИСУЭ.

Владельцы ИСУЭ, которым на праве собственности, аренды или ином законном основании принадлежат объекты критической информационной инфраструктуры, обязаны определять угрозы безопасности информации и разрабатывать на их основе модели угроз безопасности информации с учетом положений Федерального закона от 26.07.2017 N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", а также обеспечивать непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.

При разработке частной модели угроз безопасности информации, угрозы в отношении информационно-вычислительного комплекса, информационно-вычислительного комплекса электроустановки и прибора учета электрической энергии, установленные настоящим документом, могут быть пересмотрены владельцем ИСУЭ, в случае их неприменимости к используемым технологиям обработки информации.

Пересмотр состава угроз безопасности информации должен осуществляться, как минимум, в следующих случаях:

- изменения требований законодательства Российской Федерации в области защиты информации и методических документов, раскрывающих вопросы защиты информации;

изменения условий и особенностей функционирования и эксплуатации ИСУЭ, следствием которых стало возникновение новых угроз безопасности информации;

- выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;

- появления сведений и фактов о новых возможностях нарушителей.

Угрозы, которые могут быть нейтрализованы только с помощью средств криптографической защиты информации, сертифицированных ФСБ России (далее - СКЗИ), определяются для каждого конкретного информационно-вычислительного комплекса в зависимости от наличия объектов критической информационной инфраструктуры, подключаемых к ней, а также от необходимости обработки информации, подлежащей защите в соответствии с законодательством Российской Федерации.

Для систем и их компонентов, которые в соответствии с Моделью угроз требуют применения СКЗИ должна разрабатываться частная модель угроз безопасности информации в отношении СКЗИ.

В случае нарушений установленной законодательством Российской Федерации длительности перерывов электроснабжения и (или) предоставления услуг по передаче электрической энергии в результате реализации угроз безопасности информации, владелец интеллектуальной системы учета электрической энергии (мощности) возмещает ущерб, причиненный потребителям электрической энергии вследствие реализации угроз безопасности информации, в порядке и размере, определенных законодательством Российской Федерации.

В частной модели угроз безопасности в отношении СКЗИ к объектам защиты должны быть отнесены СКЗИ, среда функционирования СКЗИ и данные, обмен которыми осуществляется между информационно-вычислительным комплексом и прибором учета электрической энергии и между информационно-вычислительным комплексом и информационно-вычислительным комплексом электроустановки в соответствии с требованиями постановления Правительства Российской Федерации от 19 июня 2020 г. N 890 "О порядке предоставления доступа к минимальному набору функций интеллектуальных систем учета электрической энергии (мощности)".

В случае принятия решения об обеспечении некорректируемой регистрации информации в ИСУЭ криптографическими методами, разработка шифровальных (криптографических) средств, реализующих указанные методы, должна осуществляться в соответствии с "Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)", утвержденным приказом ФСБ России от 9 февраля 2005 г. N 66, с учетом "Требований к средствам криптографической информации, предназначенным для обеспечения некорректируемой регистрации информации, не содержащей сведений, составляющих государственную тайну".