ГОСТ Р ИСО/МЭК 27033-3—2014
пользуются в среде бизнеса. Часто такие устройства являются личной собственностью, и использу
ются. как для целей бизнеса, так и в личных целях. Иногда устройства могут быть предоставлены
компанией и применены для личного использования. Таким образом, ориентированным на професси
ональную деятельность устройствам необходимо иметь функции, введенные для потребительского
рынка, поскольку продавцы хотят получить настолько выгодный бизнес, насколько он возможен в
условиях конкуренции.
Устройства мобильной связи позволяют удаленным пользователям координировать персональ
ные базы данных, а также обеспечивать доступ к услугам сети, таким как беспроводная электронная
почта, просмотр веб-страниц, а также доступ к Интернету. Когда человек использует одни и те же
устройства для частных и для деловых целей, возникает тенденция обхода политик или игнорирова
ние их использования, таким образом, на предприятие привносятся значительные риски информаци
онной безопасности.
В пунктах ниже описываются угрозы безопасности и даются рекомендации по методам проекти
рования безопасности, а также приводятся меры и средства контроля и управления, как только для
внутреннего, так и для внутреннего и внешнего использования, для уменьшения соответствующих
рисков.
13.2 Угрозы безопасности
Угрозами безопасности, связанными с мобильными устройствами связи являются:
- несанкционированный доступ к информации, хранящейся на мобильных устройствах, вслед
ствие:
- слабого управления доступом или недостаточной защиты конфиденциальной информации.
- недостаточной информированности и неадекватных паролей.
- слабой конфигурации.
- хакерских атак с использованием мошеннических устройств.
- отсутствия осведомленности конечных пользователей о требованиях обеспечения информа
ционной безопасности, например, при смешивании частной информации и информации бизнеса;
- несанкционированное разглашение местоположения конфиденциальных данных и информа
ции. вследствие:
- услуг, связанных с определением местоположения, которые могут раскрывать несанкциониро
ванным третьим лицам информацию о положении пользователя, что затрагивает неприкосновенность
частной жизни.
- подслушивания,
- вовлечения неадекватно защищенных третьих лиц в процесс передачи информации.
- использования открытого текста или недостаточно защищенных протоколов передачи.
- неправильных процедур утилизации;
- несанкционированная модификация/удаление хранимой информации (включая программное
средство), вследствие:
- ввода вредоносных программ путем установления программного средства, полученного от не
авторизованного источника.
- использования уязвимостей в базовой операционной системе:
- спам, приводящий к:
- повышенной плате за обслуживание.
- возможности фишинг-атак.
- атакам «отказ в обслуживании»;
- кража или случайная потеря, приводящая к:
- потере чувствительных данных всякий раз. когда данные, хранящиеся на устройстве, не отоб
ражаются. или резервное копирование выполняется в другом месте.
- проблемам конфиденциальности, когда конфиденциальные данные, хранящиеся на устрой
стве. не защищены должным образом.
- бесконтрольному резервному копированию данных.
13.3 Методы проектирования безопасности и меры и средства контроля и управления
Методы проектирования информационной безопасности и меры и средства контроля и управле
ния. относящиеся к устройствам персональной мобильной связи, приведены в таблице 9.
20