Приложение С
(справочное)
ГОСТ Р ИСО/МЭК 24713-2—2011
Меры по обеспечению безопасности
П р и м е ч а н и е — 8 данном приложении описаны общие меры по обеспечению безопасности, которые не
являются ни исчерпывающими, ни конкретными для представленной реализации системы. Вследствие этого их не
обходимо воспринимать как исходную точку для разработки профиля безопасности для конкретной системы.
С.1 Подходы
Так как биометрическая система контроля доступа нуждается в постоянном усовершенствовании безопас
ности. необходимо учитывать как требования к безопасности, так и требования к функциональности и возможнос ти
взаимодействия. Данные требования включают а себя как свойственные биометрическим системам, так и
вообще информационным системам требования.
В процессе анализа требований к безопасности необходимо оценивать значимость ресурсов, которые дол
жны быть защищены, и потенциальные угрозы для них. После того как риски безопасности идентифицированы и
учтено соотношение издержки/результат. можно задействовать надлежащие меры по противодействию угрозам.
Более того, необходимость учитывать эффективность функций информационной безопасности и управле
ния операциями должна быть обоснована, так как эффективность всей системы безопасности определяется
эффективностью самого слабого эвена системы. Вследствие этого необходимо обращать пристальное внимание
как на наличие, так и на согласованность мер по противодействию и совместно учитывать технические и операци
онные составляющие.
С.2 Репрезентативный перечень угроз
Угрозы, связанные с функциями информационных систем
Угроза
Описание
Попытка выдать себя за другое лицо
посредством искажения или фаль
сификации
Угрозы, при которых атакующий использует свой собственный биометри
ческий эталон вместо зарегистрированного биометрического эталона по
средством искажения, фальсификации или замещения биометрического
эталона при попытке выдать себя за зарегистрированного пользователя
Попытка выдать себя за другое лицо
посредством изменения пороговых
значений
Угрозы, при которых атакующий искажает такие параметры аутентифика
ции, как пороговые значения, и пытается сделать так. чтобы результат ве
рификации идентификационной информации был положительным при
попытке выдать себя за зарегистрированного пользователя
Утечка биометрического шаблона
Угроза, при которой происходит утечка биометрической информации со
трудника посредством незаконного считывания биометрического шабло
на с токена
Утечка информации о сотрудниках
Угроза, при которой происходит утечка информации о сотрудниках по
средством незаконного считывания с биометрической системы аутенти
фикации
Угрозы ,связанные с действиями
УгрозаОписание
Инфраструктура информационной
безопасности
Организациям, использующим биометрические системы аутентифика
ции. рекомендуется обеспечить безопасность данных и создать структуру
управления безопасностью с целью отслеживания условий ее работы
Безопасность при определении за
дания и комплектовании штатов
Необходимо определить ответственность сотрудников за обеспечение
безопасности для снижения риска ошибки, связанной с человеческим
фактором, кражами, незаконными действиями или неправильной эксплу
атацией оборудования
Обучение сотрудников
Сотрудники, эксплуатирующие систему аутентификации, должны быть
хорошо обучены обращению с ней. должны быть осведомлены обо всем,
что связано с безопасностью данных, чтобы возможные риски угрозы бе
зопасности были сведены к минимуму
39