Во введении раскрывается значение защиты информации для медицинского предприятия и объясняется, почему ООО «Вита-Мед» нуждается в формализованной модели угроз. Определяются границы рассматриваемой организации, основные виды обрабатываемых данных, практическая направленность табличного отчета и связь проекта с методическими подходами ФСТЭК России.

В разделе описываются основные направления работы предприятия, его информационные системы, рабочие места сотрудников, сетевое оборудование и используемые программные сервисы. Отдельно выделяются персональные данные пациентов, медицинские документы, финансовые сведения и иные активы, для которых необходимо обеспечить конфиденциальность, целостность и доступность.

Раздел содержит обзор нормативных и методических документов, применяемых при анализе угроз безопасности информации. Объясняется назначение документов ФСТЭК России, Федерального закона № 152-ФЗ и требований к защите персональных данных, а также показывается, как нормативная база влияет на выбор терминов, объектов защиты и мер противодействия.

В этом пункте раскрываются понятия угрозы, уязвимости, источника угрозы, объекта воздействия и последствий инцидента. Рассматриваются внешние и внутренние нарушители, их мотивация, уровень подготовки, технические возможности, права доступа и типичные способы действий в информационной среде медицинского предприятия.

Здесь описывается последовательность построения модели: инвентаризация активов, анализ архитектуры системы, определение возможных нарушителей, составление сценариев атак и оценка их последствий. Объясняется, по каким признакам угроза признается актуальной, а также как результаты анализа связываются с требованиями к организационным и техническим мерам защиты.

Практическая часть начинается с рассмотрения предполагаемых бизнес-процессов предприятия: регистрации пациентов, хранения медицинских записей, обмена документами и ведения расчетов. Для каждого процесса определяются используемые данные, ответственные сотрудники, точки доступа и возможные последствия нарушения конфиденциальности, целостности или доступности.

В разделе составляется перечень вероятных нарушителей для ООО «Вита-Мед». Для внешнего злоумышленника, сотрудника, администратора, подрядчика и посетителя описываются цели, исходные знания, доступные ресурсы, уровень доступа и предполагаемые действия, после чего определяется наиболее опасный реалистичный сценарий для каждой категории.

Основной результат практической части представляется в виде таблицы, где каждая угроза связывается с объектом воздействия, нарушителем, способом реализации, уязвимостью, возможным ущербом и приоритетом. В соседних графах указываются рекомендуемые меры защиты: разграничение доступа, резервное копирование, антивирусный контроль, обучение персонала и регистрация событий.

В заключении обобщаются результаты определения информационных активов, категорий нарушителей и актуальных угроз предприятия. Формулируется значение табличной модели для дальнейшего управления рисками, уточняется, какие меры защиты являются первоочередными, и отмечается необходимость регулярного пересмотра документа при изменении систем, процессов или состава сотрудников.

В списке литературы приводятся использованные федеральные законы, приказы и методические документы ФСТЭК России, учебные пособия по информационной безопасности и материалы по защите персональных данных. Источники оформляются единообразно и позволяют проверить нормативные основания выбранных терминов, классификаций угроз и предложенных мер защиты.