Образец модели угроз безопасности информации

Что должно быть в документе

• описание систем и сетей и их характеристику как объектов защиты: назначение, состав, интерфейсы, размещение;
• негативные последствия, которые могут наступить от нарушения безопасности информации (ущерб гражданину, организации, государству);
• объекты воздействия: информационные ресурсы и компоненты, нарушение свойств которых ведёт к этим последствиям;
• источники угроз и виды нарушителей с их возможностями (антропогенные и техногенные, внешние и внутренние);
• актуальные угрозы: те, для которых есть и нарушитель с нужными возможностями, и объект воздействия, и способ реализации;
• сценарии реализации угроз — последовательность тактик и техник нарушителя (по Т1–Т10 методики);
• выводы: перечень актуальных угроз, используемый при выборе мер защиты;
• сведения об исключённых угрозах с обоснованием — почему они неактуальны.

Как оформить

1. Опишите систему: что обрабатывается, где размещено, кто и как получает доступ.
2. Определите негативные последствия — от чего именно вы защищаетесь, а не какие меры хотите внедрить.
3. Выпишите объекты воздействия: базы, каналы, рабочие места, учётные записи администраторов.
4. Оцените нарушителей: кто может быть заинтересован и какими возможностями располагает.
5. Отберите угрозы из банка данных ФСТЭК России пересечением признаков — нарушитель, объект, последствие.
6. Постройте сценарии для актуальных угроз и зафиксируйте обоснование по исключённым.
7. Утвердите модель и пересматривайте её при изменении системы, состава данных или появлении новых угроз.

Частые вопросы