Хабрахабр

Пишем модель угроз

Сегодня поговорим о разработке модели угроз. Всем привет, мы продолжаем свой цикл статей по «бумажной безопасности». Но и без шаблона под рукой со статьей тоже можно ознакомиться в общеобразовательных целях. Если цель прочтения этой статьи в получении практических навыков, то лучше сразу скачать наши шаблоны документов, в котором есть и шаблон модели угроз.

Зачем нужна модель угроз?

Вот некоторые из них. Необходимость разработки модели угроз регламентирована рядом нормативных документов.

Часть 2 статьи 19 закона №152-ФЗ «О персональных данных»:

Обеспечение безопасности персональных данных достигается, в частности: 2.

1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

№21): Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (утверждены приказом ФСТЭК России от 18 февраля 2013г.

Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных. 4.

№17) Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (утверждены ФСТЭК России от 11 февраля 2013г.

Формирование требований к защите информации… в том числе включает:

определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;
...

№31): Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды (утверждены приказом ФСТЭК России от 14 марта 2014г.

Формирование требований к защите информации в автоматизированной системе управления… в том числе включает:

определение угроз безопасности информации, реализация которых может привести к нарушению штатного режима функционирования автоматизированной системы управления, и разработку на их основе модели угроз безопасности информации;

№239): Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (утверждены приказом ФСТЭК России от 25 декабря 2017г.

Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры… и должна включать: 11.

а) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);

Итак, вывод отсюда простой: для любых информационных систем, так или иначе подлежащих защите в соответствии с законодательством необходимо разработать модель угроз.

Содержание модели угроз

Здесь, как ни странно, все довольно скудно. С необходимостью создания документа разобрались, давайте же посмотрим, что предписывает нам законодательство по его содержанию.

В качестве хрестоматийного примера описания содержания модели угроз можно привести 17 приказ ФСТЭК:

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Но с другой стороны, хоть текста и не много, но он довольно содержательный. Вы не поверите, но это все. Давайте еще раз перечитаем и выпишем, что должно быть в нашей модели угроз:

  • описание информационной системы;
  • структурно-функциональные характеристики;
  • описание угроз безопасности;
  • модель нарушителя;
  • возможные уязвимости;
  • способы реализации угроз;
  • последствия от нарушения свойств безопасности информации.

Так же дополнительно есть требования ФСБ (о них чуть позже) и некоторые неофициальные требования-пожелания от ФСТЭК, с которыми мы столкнулись в процессе согласования моделей угроз государственных информационных систем. Это по законодательству, что требует ФСТЭК.

Вступительная часть модели угроз

Хорошо, давайте уже перейдем к содержанию документа.

Хотя, пожалуй, стоит поподробнее остановиться на… внезапно титульном листе. Думаю про титульный лист, список сокращений, терминов и определений все понятно.

Это не просто так. В шаблоне его подписывает именно руководитель владельца информационной системы.

№555: Постановление Правительства РФ от 11 мая 2017г.

Техническое задание на создание системы и модель угроз безопасности информации утверждаются должностным лицом органа исполнительной власти, на которое возложены соответствующие полномочия. 4.

Просто мы не раз сталкивались, когда при выполнении вышеуказанных условий (государственная информационная система органа исполнительной власти) заказчик нас просил изменить титульный лист, чтобы там были подписи только представителей компании-лицензиата (то есть – наши). Естественно, если информационная система не государственная и оператор системы не является органом исполнительной власти, то подписывать модель угроз может кто угодно. Приходилось объяснять, почему такую модель угроз ФСТЭК вернет на доработку.

Раздел «Нормативно-методическое обеспечение»

Поэтому и список нормативной документации может отличаться. Здесь хотелось бы вспомнить, о том, что модель угроз может разрабатываться для очень разных систем – от ИСПДн до КИИ. Например, если мы разрабатываем модель угроз для АСУ ТП, то из шаблона нужно убрать 21 и 17 приказы ФСТЭК и добавить 31-й.

Если криптосредства в информационной системе не используется (сейчас это редкость, но все же), то эти нормативные документы из списка необходимо удалить. Документы, помеченные аббревиатурой «СКЗИ» это нормативные документы ФСБ, регламентирующие обращение с шифровальными средствами.

Либо отмененных документов. Частой ошибкой здесь бывает добавление различных ГОСТ и прочих нормативных документов (очень любят сюда вписывать СТР-К), никак не связанных с моделированием угроз. Например, часто в моделях угроз можно встретить в списке нормативных документов ФСБшные так называемые «Методические рекомендации...» и «Типовые требования...», которые давно не актуальны.

Общие положения

д. Здесь в шаблоне представлена стандартная вода – зачем нужна модель угроз и т. По умолчанию в шаблоне представлен наиболее часто встречаемый вариант – персональные данные (ПДн). То, на чем нужно здесь заострить внимание это комментарий по поводу вида рассматриваемой информации. Но в системе может не быть персональных данных, но может быть другая конфиденциальная информация (КИ), а еще информация может быть не конфиденциальной, но защищаемой (ЗИ) по другим характеристикам – целостность и доступность.

Описание информационной системы

Здесь конечно многих интересует – насколько подробно нужно описывать информационную систему. Здесь указываются общие сведения об информационной системе – где находится, как называется, какие данные и какого класса (уровня защищенности, категории) обрабатываются.

Это не должна быть копипаста из технического паспорта с указанием серийных номеров технических средств. В процессе многократных согласований моделей угроз для государственных информационных систем нами выработано решение относительно этого – должна быть золотая середина. Но с другой стороны, человек не знакомый с системой, почитавший ее описание в модели угроз должен примерно понять, как эта самая система работает.

Пример:

Работа серверной части основных сервисов информационной системы обеспечивается виртуальными серверами (имена серверов) под управлением операционных систем (список ОС). Серверная часть информационной системы «Нипель» представляет собой кластер физических серверов, на которых развернут гипервизор ESXi 6.x. Прикладное программное обеспечение является клиент-серверным приложением. Основным программным обеспечением, реализующим технологические процессы обработки является (название ПО). Пользователи получают доступ к информационной системе, как из локальной сети, так и через сеть интернет с использованием защищенных каналов связи. Клиентская часть работает как толстый клиент на рабочих станциях пользователей под управлением операционных систем (список ОС). В целом информационная система функционирует как показано на схеме.

Прикладывается функциональная (не топологическая!) схема информационной системы.

Стиль и другие детали, конечно, могут сильно отличаться, главное – информация, которую можно подчерпнуть из описания. Вот примерно так оно обычно выглядит.

Тут описываем, как охраняются помещения в рабочее и в нерабочее время – видеонаблюдение, СКУД, охранник, вахтер, сигнализация и вот это все. Здесь же есть раздел «Охрана помещений».

Если криптография не используется, то эти разделы просто убираем, если используется, то там особо менять ничего, в общем-то, и не нужно, кроме как вписать название информационной системы. Сюда же в шаблоне модели угроз отнесены чисто ФСБшные разделы «Определение актуальности использования СКЗИ для обеспечения безопасности персональных данных» и «Дополнительные объекты защиты».

Просто обратите внимание, что есть вариант для случаев, когда в системе используются криптосредства, и когда нет. Раздел «Принципы модели угроз» тоже можно не менять. Выбираем нужный и едем дальше.

Модель нарушителя

Классическая это та самая, где описаны потенциальные нарушители 1, 2 и далее категорий. Здесь можно разделить эту часть на классическую и новую. Практическую же ценность представляет раздел «Нарушители согласно банку данных угроз ФСТЭК России». На самом деле эта часть модели нарушителя оставлена в шаблоне только потому, что регуляторам нравится, когда она есть.

Сам раздел представляет из себя копипасту описаний характеристик нарушителей с низким, средним и высоким потенциалами. Практическую ценность этот раздел представляет потому, что сами угрозы из банка данных угроз ФСТЭК (далее – БДУ) привязаны к нарушителям с низким, средним и высоким потенциалом. То есть, по сути, составитель выбирает нарушителя «на глаз», потому что каких-либо методик выбора нарушителя просто нет.
Не будем здесь приводить эти описания полностью, постараемся коротко сформулировать, чем отличаются потенциалы нарушителей. Далее делается вывод нашим любимым «экспертным» путем — какой нарушитель для нас актуален. Кроме разграничения по потенциалу нарушители еще бывают внешние и внутренние.

Нарушитель с теми же возможностями, но имеющий некую инсайдерскую информацию о системе это уже средний потенциал. Самый талантливый хакер в мире, который в совершенстве пользуется уже имеющимися инструментами и может создавать свои инструменты это внезапно нарушитель с низким потенциалом. Вот здесь нужно хорошо подумать, насколько вероятна утечка такой информации. Основная фраза, отличающая средний потенциал от низкого: «Имеют доступ к сведениям о структурно-функциональных характеристиках и особенностях функционирования информационной системы». Тут у нас и возможность привлекать специализированные научные организации и съем информации с физических полей и вот это все. Нарушители с высоким потенциалом, если коротко, то это в основном спецслужбы.

В реалистичных ситуациях потенциал нарушителя либо низкий, либо средний.

«ФСБшные» разделы

Эти разделы не нужны, если не используются криптосредства. Далее идут разделы «Обобщенные возможности источников атак» и «Реализация угроз безопасности информации, определяемых по возможностям источников атак». Если они все же используются, то исходные данные, да и в целом таблицы для этих разделов выдумывать не нужно, они берутся из нормативного документа ФСБ «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности» (утверждены руководством 8 Центра ФСБ России 31 марта 2015 года, № 149/7/2/6-432).

У нас правда в шаблоне результат несколько отличается от дефолтного, приведенного в указанном выше, документе ФСБ.

Класс этот напрямую зависит от возможностей нарушителя и устанавливается в соответствии с 378 приказом ФСБ (для персональных данных, а для других видов информации таких требований просто нет). Конечная цель этих разделов – установить класс средств криптографической защиты информации (СКЗИ), который можно использовать в рассматриваемой системе.

Сейчас расскажем почему. Чаще всего применимый класс криптосредств – КС3.

Вообще в документе «Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» (утверждены приказом ФСБ России от 10 июля 2014 года № 378) класс СКЗИ для рассматриваемой системы устанавливается, во-первых исходя из типа угроз, а во-вторых исходя из возможностей нарушителя.

Остановимся на том, что есть 3 типа угроз и нам всеми правдами и неправдами, если планируется применение криптографии нужно делать именно 3-й тип угроз (неактуальные угрозы, связанные с недекларированными возможностями в прикладном и общесистемном ПО). Про типы угроз подробно не будем останавливаться, информации много в интернете. Почему?

Потому что 378 приказ ФСБ:

  • СКЗИ класса КА в случаях, когда для информационной системы актуальны угрозы 1 типа;
  • СКЗИ класса КВ и выше в случаях, когда для информационной системы актуальны угрозы 2 типа;
  • СКЗИ класса КС1 и выше в случаях, когда для информационной системы актуальны угрозы 3 типа.

Проблема в том, что СКЗИ классов КА1, КВ1 и КВ2 вы не сможете купить просто так, даже если у вас есть куча денег, которых они стоят. Вроде понятно, а в чем проблема?

Качаем свежий реестр СКЗИ, ищем СКЗИ класса КА1. Проведем небольшое «расследование». Идем в гугл, пишем «Аппаратно-программный шифратор М-543К купить» — провал. Поиском первым попался «Аппаратно-программный шифратор М-543К». Вбиваем просто «криптосредство КА1 купить» — провал. Пытаемся «купить» следующее криптосредство – опять провал. А дело в том, что, как уже было сказано, просто так купить СКЗИ классов КА и КВ вы не сможете, только через специализированные воинские части. Получаем только ссылки на другие криптосредства классов КС1-КС3 или на форумы, где обсуждают криптографию. Поэтому в обычной ИСПДн — только третий тип угроз. Зачем было эти криптосредства вообще упоминать в документе по персональным данным – до сих пор не ясно.

Тут уже виновато второе условие – нарушитель. С КА и КВ разобрались, но почему именно КС3, а не КС2 и КС1?

378 приказ ФСБ:

СКЗИ класса КС3 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в пунктах 10 и 11 настоящего документа и не менее одной из следующих дополнительных возможностей: 12.

а) физический доступ к СВТ, на которых реализованы СКЗИ и СФ;
б) возможность располагать аппаратными компонентами СКЗИ и СФ, ограниченная мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

Тут логика такая:

  • такие распространенные СКЗИ, как, например ViPNet Client или КриптоПРО CSP реализованы на рабочих станциях пользователей;
  • пользователи – потенциальные нарушители;
  • потенциальный нарушитель имеет физический доступ к средствам вычислительной техники, на которых реализованы их СКЗИ и среда функционирования.

Таким образом, обосновать более низкий класс СКЗИ можно только обосновав, что наши пользователи не являются потенциальными нарушителями (сложно), или использовать только криптошлюзы, которые расположены в серверных помещениях, в которые, в свою очередь, имеют доступ только привилегированные пользователи, которых мы исключили из списка потенциальных нарушителей.

Уязвимости

В скачиваемом шаблоне модели угроз этого раздела пока что нет, поэтому коротко опишем, как стоит с этим поступать. Как мы помним, в модели угроз должны быть указаны возможные уязвимости.

Вопрос хороший и ответ не однозначный. У составителя модели угроз сразу должен появиться вопрос: а что нужно прям список выявленных сканером уязвимостей к документу прикладывать? Знаем мы коллег, которые делают именно так, но мы считаем такой подход неправильным и вот почему.

Разработали один раз и забыли до существенных инфраструктурных изменений в системе. Во-первых, модель угроз безопасности информации документ, хоть и подлежащий изменениям, но все-таки более-менее статичный.

Сегодня мы выявили уязвимости, завтра их устранили и просканировали заново – получили новый отчет. Список уязвимостей, который формируется сканерами – информация очень динамичная. Какой смысл прикладывать отчет сканера уязвимостей, сделанный на момент разработки модели угроз? Послезавтра появились новые сигнатуры, сканер обновился и нашел новые уязвимости и так по кругу. Никакого.

В таком случае мы даже просканировать ничего не можем. Во-вторых, модель угроз может создаваться для еще физически не существующей (спроектированной, но не построенной) информационной системы.

Указывать в модели угроз не конкретные уязвимости с указанием идентификатора CVE и рейтинга CVSS, а перечислить возможные классы уязвимостей для конкретной информационной системы. Выход из этой ситуации простой. Уязвимости информационных систем. А чтобы придать этому списку солидности, возьмем этот список не из головы, а из ГОСТ Р 56546-2015 «Защита информации. Перечень под спойлером. Классификация уязвимостей информационных систем». Раздел готов! Берем его и убираем лишние, не совместимые со структурно-функциональными характеристиками нашей системы.

Классы уязвимостей по ГОСТ

Уязвимости по области происхождения:

  • уязвимости кода;
  • уязвимости конфигурации;
  • организационные уязвимости;
  • многофакторные уязвимости.

Уязвимости по типу недостатков информационной системы:

  • уязвимости, связанные с неправильной настройкой параметров ПО;
  • уязвимости, связанные с неполнотой проверки входных данных;
  • уязвимости, связанные с возможностью перехода по ссылкам;
  • уязвимости, связанные с возможностью внедрения команд ОС;
  • уязвимости, связанные с межсайтовым скриптингом (выполнением сценариев);
  • уязвимости, связанные с внедрением произвольного кода;
  • уязвимости, связанные с переполнением буфера памяти;
  • уязвимости, связанные с недостатками, приводящими к утечке/раскрытию информации ограниченного доступа;
  • уязвимости, связанные с управлением полномочиями (учетными данными);
  • уязвимости, связанные с управлением разрешениями, привилегиями и доступом;
  • уязвимости, связанные с аутентификацией;
  • уязвимости, связанные с криптографическими преобразованиями;
  • уязвимости, связанные с подменой межсайтовых запросов;
  • уязвимости, связанные с управлением ресурсами.

Уязвимости по месту возникновения (проявления):

  • уязвимости в общесистемном (общем) программном обеспечении;
  • уязвимости в прикладном программном обеспечении;
  • уязвимости в специальном программном обеспечении;
  • уязвимости в технических средствах;
  • уязвимости в портативных технических средствах;
  • уязвимости в сетевом (коммуникационном, телекоммуникационном) оборудовании;
  • уязвимости в средствах защиты информации.

Частная модель угроз безопасности

Но здесь ничего не поделаешь, как в той же статье отмечено – что есть, с тем и работаем. И вот только здесь мы приступаем непосредственно к определению актуальных угроз.
Методика определения актуальных угроз от ФСТЭК 2008 года слегка попахивает и о ней мы уже писали здесь. Давайте же посмотрим, что конкретно нам нужно сделать, чтобы получить список актуальных угроз.

Сейчас там 213 угроз и список может пополняться. Свежие документы от ФСТЭК предписывают в качестве исходных данных для угроз безопасности информации использовать БДУ.

Несомненный плюс – это то, что теперь нет необходимости придумывать и формулировать угрозы самостоятельно, хотя дополнить модель угроз своими угрозами тоже ничего не запрещает. Здесь сразу же хотелось бы рассказать о плюсах и минусах БДУ. Еще один плюс это прописанный потенциал нарушителя и определенные нарушаемые характеристики безопасности информации для каждой угрозы – не нужно ничего выдумывать.

Первый минус это до ужаса скудные возможности по сортировке угроз. Минусы. Например, убрать угрозы для виртуальных контейнеров и гипервизоров, потому что в системе не применяется виртуализация или отобрать угрозы для BIOS/UEFI нужно по какой-то причине, а такой возможности нет. Когда вы первый раз начинаете делать модель угроз по БДУ, то естественное желание это отсеять угрозы, которые не могут быть актуальны в вашей системе по структурно-функциональным характеристикам. Не говоря уже о том, что в БДУ целый ряд достаточно экзотических угроз, связанных, например, с суперкомпьютерами или грид-системами.

Поскольку мы, как организация-лицензиат, разрабатываем много моделей угроз для разных систем, нам пришлось вручную разбить на группы 213 угроз, иначе работа очень затрудняется, особенно учитывая то, что угрозы даже по порядку никак не сгруппированы.

Нет, где-то все четко и понятно. Второй минус – описание самих угроз. Но бывает угроза так сформулирована, что нужно голову поломать, чтобы разобраться о чем вообще речь.

Вернемся определению списка актуальных угроз.

Уровень исходной защищенности

Глобальный он потому, что определяется один раз и не меняется от угрозы к угрозе. Первое, что нужно определить это глобальный параметр – уровень исходной защищенности.

Чтобы определить уровень исходной защищенности (он же коэффициент исходной защищенности Y1) нужно для семи показателей выбрать одно из значений, которое больше всего подходит для вашей системы.

Список характеристик под спойлером.

Список характеристик и их значений

Считаем какой процент у нас получился для показателей с разными значениями. Каждому значению соответствует высокий, средний или низкий уровень защищенности. Если «высокий» и «средний» набрали 70% и выше, то определяем средний уровень исходной защищенности (Y1 = 5), если нет, то – низкий (Y1 = 10). Про высокий уровень исходной защищенности – забудьте, его не бывает.

Опасность угроз

Назвали его именно так, потому что, по сути, по определению опасности угроз это является определением последствий, но при согласовании модели угроз, проверяющие могут и не провести эту параллель, а поскольку «определение последствий» должно быть в модели угроз – пишут замечание. Этот раздел в шаблоне называется «Определение последствий от нарушения свойств безопасности информации (опасность угроз)».

Итак, опасность угроз может быть низкой, средней или высокой, в зависимости от того незначительные негативные, просто негативные или же значительные негативные последствия наступают при реализации угрозы соответственно.

Методикой это не оговорено, поэтому можно и так и так. Специалисты здесь часто спорят — должна ли опасность угроз определяться один раз и быть константой для всех угроз – или же нет. Наш подход промежуточный – мы определяем опасность угроз в зависимости от нарушения конфиденциальности, целостности или доступности при реализации конкретной угрозы.

Например, если ваши персональные данные утекут в какой-то базе, то вам скорее всего будет неважно каким образом это произошло – с помощью SQL-инъекции или с помощью физического доступа нарушителя к серверу (профессиональный интерес ИБ-шника не в счет!). По нашей логике негативные последствия не зависят от способа нарушения конфиденциальности, целостности и доступности. Часто они могут совпадать, но все равно в модели угроз лучше отдельно проанализировать. Поэтому определяем так сказать три «опасности угроз», для нарушения конфиденциальности, целостности и доступности. К счастью, в БДУ для каждой угрозы нарушаемые характеристики тоже прописаны.

Исключение «лишних» угроз

Далее, чтобы сразу отсечь лишние угрозы делаем табличку со списком исключаемых угроз и обоснование – почему мы их выкидываем.

В шаблоне в качестве примера представлены:

  • исключение угроз, связанных с грид-системами, суперкомпьютерами и большими данными;
  • исключение угроз, связанных с виртуализацией;
  • исключение угроз, связанных с использованием беспроводных сетей связи;
  • исключение угроз, связанных с использованием облачных сервисов;
  • исключение угроз для АСУ ТП;
  • исключение угроз, связанных с использованием мобильных устройств;
  • исключение угроз, реализация которых возможна только нарушителем с высоким потенциалом.

По последнему пункту нужно уточнить пару моментов:

  • если вы определили нарушителя с низким потенциалом, то здесь исключаются угроз, которые может осуществить нарушители со средним и высоким потенциалом;
  • исключаются только оставшиеся угрозы, которые не были исключены в предыдущих пунктах;
  • обращайте внимание на то, что в БДУ для некоторых угроз для внутренних и внешних нарушителей может быть определен разный потенциал.

Описание угроз

Да, здесь нужно именно копипастить текст из БДУ, потому что в модели угроз должно быть «описание угроз», отделаться идентификаторами не получится. Далее идет таблица с описанием угроз, которые не были исключены. Давайте посмотрим, что у нас в этой таблице есть.

Столбцы «описание угрозы» и «способ реализации угрозы» — текстовый блок из БДУ. Номер по порядку и идентификатор угроз из БДУ – тут все понятно. Во второй – все остальное. В первый столбик вставляем текст до слов «Реализация угрозы возможна...». При согласовании это поможет избежать лишних вопросов. Разделение опять же связано с требованием нормативных документов о том, что в модели угроз должны быть описаны «Способы реализации угрозы».

Для того чтобы сделать таблицу боле компактной и дать больше места текстовым блокам мы предварительно сопоставили высокому, среднему и низкому потенциалам соответственно цифры 1, 2 и 3. Следующие столбцы таблиц это потенциалы внутреннего и внешнего нарушителей. Если потенциал в БДУ не указан, ставим прочерк.

Столбец «Объекты воздействия» — также берем данные из БДУ.

Столбец «Нарушаемые свойства» — К, Ц и Д, конфиденциальность, целостность и доступность – заменили на буквы с той же целью, что и в случае с нарушителями.

Первый – это начало определения коэффициента Y2, он же вероятность реализации угрозы, который в свою очередь определяется из наличия предпосылок к реализации угрозы и принятия мер по нейтрализации угрозы. И последние столбцы – «Предпосылки» и «Обоснование отсутствия предпосылок».

Определение вероятности угрозы

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность — объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

высокая вероятность — объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент, а именно:

0 – для маловероятной угрозы;
2 – для низкой вероятности угрозы;
5 – для средней вероятности угрозы;
10 – для высокой вероятности угрозы.

Поэтому можете его спокойно убирать. Здесь важно сказать, что последний столбец это чисто наша инициатива и законодательством не предусмотрена. Но мы считаем важным, что если специалист дополнительно исключает угрозы, потому что для их реализации нет предпосылок, важно чтобы он описал, почему он так решил.

По методике для угроз, не имеющих предпосылок необходимо далее просчитывать их актуальность. С этим моментом также связано то, что мы здесь в каком-то смысле отходим от методики моделирования угроз. Считаем это недоработкой законодательства и из итоговой таблицы все-таки исключаем угрозы, не имеющие предпосылок. И в ряде случаев угрозы, не имеющие предпосылок, могут стать актуальными.

Список актуальных угроз

Здесь нет уже угроз, для которых нет предпосылок, но и из оставшихся угроз, исходя из вычислений коэффициентов, некоторые угрозы могут быть признаны неактуальными. Если точнее, то последняя таблица это список актуальных и неактуальных угроз и свод оставшихся параметров для определения их актуальности.

В последней таблице мы умышленно не стали включать некоторые параметры:

  • Y1 – этот параметр у нас глобальный, поэтому просто держим его в голове;
  • предпосылки – в финальной таблице у нас только угрозы, имеющие предпосылки, поэтому смысла в этом столбце нет.

Номер по порядку и угроза уже только в виде идентификатора – тут все понятно. Коротко пройдемся по столбцам.

Может быть три варианта: приняты; приняты, но недостаточны; не приняты (+, +-, — соответственно). «Меры приняты» — «экспертным» путем определяем, приняты ли меры для нейтрализации данной угрозы (кстати, еще один прикол методики — если меры «приняты», то угроза все равно может остаться актуальной).

Исходя из принятых мер и учитывая, что для угрозы есть предпосылки определяется коэффициент вероятности (Y2), как его определить – выше под спойлером.

Вычисляется по простой формуле Y = (Y1+Y2)/20. Следующий столбец – коэффициент реализуемости угрозы Y.

Определяется в зависимости от числового значения следующим образом: Возможность реализации – это вербальный аналог коэффициента Y.

Здесь уже вписываем нужное значение опасности исходя из того какие свойства безопасности данная конкретная угроза нарушает. Опасность – выше мы определили опасность угрозы, исходя из нарушаемого свойства безопасности.

Определяется по таблице: Ну и последнее – актуальность угрозы.

image

Наша модель угроз готова. Ура!

Теги
Показать больше

Похожие статьи

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Кнопка «Наверх»
Закрыть