Банком России определен перечень угроз безопасности персональных данных, актуальных при их обработке в информационных системах кредитных и некредитных финансовых организаций

Указание Банка России от 10.12.2015 N 3889-У "Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных" [1]

В перечень включены, в частности, угрозы:

- несанкционированного доступа к персональным данным лицами, обладающими полномочиями в информационной системе персональных данных, в том числе в ходе создания, эксплуатации, технического обслуживания и (или) ремонта, модернизации, снятия с эксплуатации информационной системы персональных данных;

- воздействия вредоносного кода, внешнего по отношению к информационной системе персональных данных;

- использования методов социального инжиниринга к лицам, обладающим полномочиями в информационной системе персональных данных;

- несанкционированного доступа к отчуждаемым носителям персональных данных;

- утраты (потери) носителей персональных данных, включая переносные персональные компьютеры пользователей информационной системы персональных данных;

- несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в организации защиты персональных данных;

- несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в программном обеспечении информационной системы персональных данных;

- несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в обеспечении защиты сетевого взаимодействия и каналов передачи данных;

- несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в обеспечении защиты вычислительных сетей информационной системы персональных данных;

- несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей, вызванных несоблюдением требований по эксплуатации средств криптографической защиты информации.

Определение таких угроз производится оператором информационной системы в соответствии с пунктом 7 Постановления Правительства РФ от 01.11.2012 N 1119 с целью обеспечения безопасности персональных данных при их обработке в информационной системе с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы.

Указание вступает в силу по истечении 10 дней после дня его опубликования в "Вестнике Банка России".