ОЦЕНКА УГРОЗ БЕЗОПАСНОСТИ

ИНФОРМАЦИИ В СООТВЕТСТВИИ
С АКТУАЛЬНЫМИ МЕТОДИЧЕСКИМИ
РЕКОМЕНДАЦИЯМИ ФСТЭК РОССИИ

22 июля 2021 г. alfa-doc.ru

 ИЗМЕНЕНИЯ В ПРОЦЕССЕ ОЦЕНКИ
УГРОЗ БЕЗОПАСНОСТИ
ИНФОРМАЦИИ

Заместитель генерального директора

компании НПЦ «КСБ», MBA, CISM, CGEIT
Иван Федоров

22 июля 2021 г. alfa-doc.ru

НОВАЯ МЕТОДИКА
ОБЩИЕ ВПЕЧАТЛЕНИЯ

Большой временной разрыв с предыдущими документами по определению

актуальных угроз (2007, 2008 годы), длительный цикл подготовки документа
(с 2015 года)

Методика с одной стороны более четко определила некоторые моменты,

с другой стороны появилось много неочевидных вариантов реализации
методики. Очевидно, методика будет дорабатываться

Методика определяет значительно более сложную информационную модель,

применять которую без средств автоматизации затруднительно

Потенциал практической ценности модели угроз для обеспечения

информационной безопасности значительно возрос
НОВАЯ МЕТОДИКА
ПРИНЦИПИАЛЬНЫЕ ИЗМЕНЕНИЯ

Универсальность применения – значимые объекты КИИ, ПДн, ГИС, …)

Изменение подхода – от оценки вероятности и опасности заранее

определенного набора угроз к сценарному моделированию

Значительно большая практическая ориентация

ОЦЕНКА УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
ОСНОВНЫЕ ЭТАПЫ

Определение Определение Определение Определение Определение

негативных объектов источников способов сценария
последствий воздействия угроз реализации угроз реализации угрозы

1 2 3 4 5
ОПРЕДЕЛЕНИЕ НЕГАТИВНЫХ ПОСЛЕДСТВИЙ
ВАЖНЫЕ ОТЛИЧИЯ

Раньше оценивались нарушения более абстрактных свойств безопасности

информации (конфиденциальность, целостность, доступность), теперь оценивается
ущерб (физическим лицам, организациям, государству).

Оценка ущерба проводится с привязкой к реализуемым бизнес-процессам, менее

абстрактна, чем оцениваемые ранее нарушаемые свойства безопасности
информации, более понятна высшему менеджменту

Источники определения негативных последствий – интервью с топ-менеджментом,

с линейными руководителями основных бизнес-подразделений, анализ
нормативно-правовой базы, судебной практики
ОПРЕДЕЛЕНИЕ ОБЪЕКТОВ ВОЗДЕЙСТВИЯ
ВАЖНЫЕ ОТЛИЧИЯ

Раньше рассматривали границы объекта защиты, сейчас важно определить

отношения защищаемых объектов к общей корпоративной инфраструктуре, а также
к инфраструктуре сервис-провайдеров

Важна взаимная увязка объектов защиты и возможных негативных последствий

Если нет сведений об оценке угроз за границами объекта, мы «по умолчанию»

считаем эту область скомпрометированной
ОПРЕДЕЛЕНИЕ ИСТОЧНИКОВ УГРОЗ
ВАЖНЫЕ ОТЛИЧИЯ

Виды и цели нарушителей теперь определены и более четко сформулированы

Потенциал нарушителя дифференцирован более подробно, чем в БДУ ФСТЭК

Необходимо учитывать возможность сговора нарушителей

ОПРЕДЕЛЕНИЕ СПОСОБА РЕАЛИЗАЦИИ УГРОЗЫ
ВАЖНЫЕ ОТЛИЧИЯ

Новый и самый противоречивый в реализации раздел

Вместо оценки опасности и вероятности угроз рассматривается набор техник

и тактик

Основная сложность в сопоставлении многомерной матрицы техник и тактик

и угроз из БДУ ФСТЭК
ОПРЕДЕЛЕНИЕ СЦЕНАРИЯ РЕАЛИЗАЦИИ УГРОЗЫ
ВАЖНЫЕ ОТЛИЧИЯ

Определение сценариев, которые приводят к негативным последствиям

Связь сценариев с негативными последствиями через угрозы и объекты воздействия

ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
РЕКОМЕНДАЦИИ ПО ДЕЙСТВИЯМ

Определить цели оценки угроз: это не только разработка документа и его

согласование с регуляторами, но прежде всего проектирование комплекса мер
противодействия угрозам

Ключевой этап оценки угроз – определение негативных последствий, именно он

определяет «выравнивание» стратегии обеспечения безопасности со стратегией
развития бизнеса. Главный вопрос – чего «хочет» и чего «боится» компания

В случаях неоднозначной интерпретации методики – использовать свои и

международные хорошие практики

Для обработки многомерных информационных структур по тактикам, техникам и

сценариям использовать средства автоматизации
 ОЦЕНКА УГРОЗ БЕЗОПАСНОСТИ
ИНФОРМАЦИИ С ИСПОЛЬЗОВАНИЕМ
ПК «АЛЬФАДОК»

Менеджер продукта ПК «АльфаДок»

Александр Иванов

22 июля 2021 года alfa-doc.ru

ПРАКТИЧЕСКИЙ КЕЙС
ПРИМЕНЕНИЯ МЕТОДИКИ

1 Описание модели организационной структуры и информационной

инфраструктуры, применяемой при оценке угроз

2 Обзор итогового документа «Модель угроз безопасности информации»

3 Ознакомление с реализованным в ПК «АльфаДок» процессом оценки

угроз безопасности информации
НАЧНИТЕ РАБОТУ СЕЙЧАС

ПРОТЕСТИРУЙТЕ ПК «АЛЬФАДОК»
БЕСПЛАТНО НА ALFA-DOC.RU
ИЛИ ЗАКАЖИТЕ ПИЛОТНЫЙ ПРОЕКТ
НА ВАШИХ МОЩНОСТЯХ

ОБРАТИТЕСЬ К НАШЕМУ ПАРТНЕРУ

В СВОЕМ РЕГИОНЕ: npc-ksb.ru/partners

alfa-doc.ru 8 800 500 52 33 alfa@npc-ksb.ru