Модель угроз: как определить, какие угрозы актуальны для вашей ИСПДн

• Приветствие участников вебинара.  

• Проверка технических средств: звук и видео.  

• Ожидание подключения других участников.  

• Тема вебинара: модель угроз.  

• Введение новой методики от Стек.  

• Представление спикеров: Демьян Раменский и Алексей Залесский.  

• Корсофт: облачный провайдер и лицензиат Стек ФСБ.  

• Опыт в технической защите информации и криптографии.  

• Вопросы клиентов о модели угроз.  

• Вебинар как часть цикла.  

• Прошедшие вебинары: дорожная карта по ФЗ-152 и построение системы защиты персональных данных.  

• Следующий вебинар: разработка локальных нормативных актов и организационно-распорядительной документации.  

• Обсуждение нормативно-правовой базы.  

• Применение новой методики Стек.  

• Основные термины и цели разработки модели угроз.  

• Исходные данные и результаты моделирования угроз.  

• Создание экспертной группы и этапы разработки модели угроз.  

• Оценка актуальности угроз безопасности и структура документа.  

• Вопросы и ответы в конце вебинара.  

• Разделение нормативно-правового поля на две части.  

• Документы, не предъявляющие требований к модели угроз.  

• Документы, косвенно регулирующие разработку модели угроз.  

• Фокус на информационной системе персональных данных ИСПД.  

• Основные документы: 152-ФЗ, 1119-ПП, 21-ПП, 378-ПП.  

• 152-ФЗ регулирует персональные данные.  

• 1119-ПП устанавливает требования к защите данных в информационных системах.  

• 21-ПП описывает меры по защите персональных данных.  

• 378-ПП касается криптографии и защиты данных.  

• Документы требуют моделирования актуальных угроз безопасности.  

• Система защиты должна компенсировать актуальные угрозы.  

• Методика оценки угроз безопасности от 5 февраля 2023 года.  

• Старая методика разработки модели угроз от 2008 года.  

• Новая методика заменяет старую для новых СПДН.  

• Новая методика применяется для новых СПДН и модернизации систем.  

• Старая методика остается актуальной для существующих систем.  

• Базовая модель угроз и методические рекомендации ФСБ.  

• Новая методика проще и основана на экспертной оценке.  

• Новая методика утверждена приказом от 5 февраля.  

• Старая методика отменена автоматически.  

• Новая методика применима к различным системам, включая государственные и оборонные.  

• Не рассматривает криптографию и утечки по техническим каналам.  

• Угроза — это потенциальная атака.  

• Новая методика использует единую терминологию с международными стандартами.  

• Угроза безопасности информации — совокупность условий, создающих опасность нарушения безопасности.  

• Атака — это свершившееся действие, реализация угрозы.  

• Следующий слайд посвящен уязвимостям.  

• Уязвимость — это недостаток в программном или аппаратном обеспечении, который может быть использован для реализации угрозы.  

• Угроза может быть реализована через множество уязвимостей.  

• Банк данных угроз в России включает как угрозы, так и уязвимости.  

• Угроза без уязвимости не критична для инфраструктуры.  

• Риск возникает, когда уязвимость соответствует угрозе.  

• Риск-ориентированный подход оценивает активы компании и их уязвимости.  

• За рубежом оценивают риски, определяя ценные активы компании.  

• В России регуляторы пошли по пути определения угроз и мер защиты.  

• Новая методика сочетает определение угроз и оценку рисков.  

• Модель угроз — фундамент для системы защиты информации.  

• Модель разрабатывается для конкретной информационной системы или комплекса систем.  

• Модель помогает определить адекватные меры защиты и их приоритеты.  

• Определение негативных последствий и инвентаризация информационных технологий.  

• Определение объектов воздействия, подверженных негативным последствиям.  

• Определение источников угроз и их влияние на информационную безопасность.  

• Источники угроз могут быть антропогенными, природными или техногенными.  

• Угрозы могут исходить от злоумышленников или сотрудников, работающих с информационными системами.  

• Важно классифицировать нарушителей для определения их возможностей.  

• Классификация нарушителей помогает понять их потенциал.  

• Разные нарушители требуют разных мер защиты.  

• Оценка возможностей нарушителей помогает определить, какие меры защиты необходимы.  

• Оценка реализации угроз помогает понять, как нарушители могут реализовать угрозы.  

• Важно оценить сценарии реализации угроз и их методы.  

• Результаты оценки угроз отображаются в модели угроз.  

• Модель угроз должна пересматриваться на всех этапах жизненного цикла системы.  

• Информационная безопасность — это процесс, а не просто состояние защищенности.  

• Модель угроз должна быть актуальной и модифицироваться при изменениях системы.  

• Основные источники данных: БДУ в Стек России, открытые ресурсы, документация на информационную систему.  

• Договоры с поставщиками услуг и применимая нормативно-правовая база также важны.  

• В процессе разработки модели угроз создаются новые документы, которые являются исходными данными для следующих этапов.  

• В результате должен появиться список актуальных угроз, которые могут нарушить информационную безопасность.  

• В новой методике добавлены термины, такие как неотказуемость и аутентичность.  

• На основе перечня угроз выбираются технические меры и средства защиты.  

• Конфиденциальность, целостность и доступность информации.  

• Юридическая значимость как дополнительный параметр.  

• Невозможность проверки адекватности информации без участия человека.  

• Обсуждение нарушителя и других аспектов информационной безопасности.  

• Определение понятия "центр обработки данных" в НПА.  

• Пересмотр модели угроз при существенных изменениях в системе.  

• Упрощение методики определения актуальности угроз.  

• Рекомендация разработки единой модели угроз для всех систем компании.  

• Модель угроз как организационно-распорядительная документация.  

• Создание экспертной группы для разработки модели угроз.  

• Включение представителей различных отделов и сторонних организаций.  

• Важность участия сотрудников компании в разработке модели угроз.  

• Стаж работы специалистов по защите информации должен быть не менее трех лет.  

• Эксперты должны обладать независимостью для адекватности решений.  

• Независимость экспертов предотвращает перекосы в оценке рисков.  

• Регулятор обратил внимание на оценку угроз безопасности в дата-центрах.  

• Поставщик услуг должен предоставить модель угроз для своей инфраструктуры.  

• В случае отсутствия модели угроз, среда считается скомпрометированной.  

• Определение негативных последствий.  

• Определение объектов воздействия.  

• Оценка возможности реализации угроз и их актуальности.  

• Три вида ущерба: физическому лицу, юридическому лицу, государству.  

• Примеры негативных последствий: угроза жизни и здоровью, утечка данных, нарушение деловой репутации.  

• Возможность дополнения перечня негативных последствий.  

• Инвентаризация объектов воздействия.  

• Объекты воздействия: физическая инфраструктура, серверное оборудование, сетевые уровни, операционные системы, прикладное ПО, пользователи.  

• Возможные объекты воздействия: информация, программно-аппаратные средства, машинные носители, телекоммуникационное оборудование, средства защиты информации, пользователи.  

• Определение объектов воздействия для реализации рисков.  

• Вопросы о репутационных рисках и объектах воздействия.  

• Комплексный подход к оценке рисков и объектов воздействия.  

• Неправомерное воздействие делится на две категории: получение данных и отказ в обслуживании.  

• Атаки могут включать утечку данных, несанкционированный доступ, модификацию и подмену информации.  

• Нарушение функционирования программы может привести к аварийному режиму и несанкционированному доступу.  

• Большинство инцидентов связано с человеческим фактором: неосторожность, халатность, непродуманность регламентов.  

• Целенаправленные атаки и введение системы из строя также возможны.  

• В случае собственной вычислительной инфраструктуры ответственность за разработку модели угроз лежит на операторе.  

• При использовании инфраструктуры как услуги ИaaS ответственность за операционную систему и данные лежит на операторе.  

• В случае SaaS ответственность за модель угроз лежит на поставщике услуг.  

• Возможные объекты воздействия зависят от модели предоставления услуг.  

• Примеры объектов воздействия: база данных, автоматизированное рабочее место, линия связи.  

• Виды воздействия: утечка данных, перехват информации.  

• Определение актуальных нарушителей, осуществляющих угрозы безопасности.  

• Нарушители могут быть как внутренними, так и внешними.  

• Методика позволяет дополнять список нарушителей и учитывать их влияние на оценку актуальности угроз.  

• Нарушители делятся на внешние и внутренние.  

• Внутренние нарушители имеют доступ в контролируемую зону.  

• Внешние нарушители действуют за пределами контролируемой зоны.  

• Нарушители имеют базовые, повышенные, средние и высокие возможности.  

• Высокие возможности характерны для иностранных спецслужб.  

• Внутренние нарушители наиболее опасны.  

• Внешние нарушители также могут быть опасны, но внутренние могут нанести больший ущерб.  

• Нарушитель с базовыми возможностями использует известные уязвимости и инструменты.  

• Обладает базовыми навыками в компьютерах и информационных системах.  

• Может физически воздействовать на систему.  

• В методике выделены четыре категории нарушителей: базовые, повышенные, средние и высокие.  

• В базе данных угроз уровни: низкий, средний и базовый.  

• В методике базовый уровень соответствует среднему уровню в базе данных угроз.  

• Определены возможные цели для различных видов нарушителей: спецслужбы, террористические группировки, криминальные структуры.  

• Нарушители могут вступать в сговор, что увеличивает их возможности и цели.  

• Возможные цели включают нанесение ущерба безопасности и правопорядка, получение финансовой выгоды.  

• Оценка целей реализации угроз включает понимание видов нарушителей и их целей.  

• Возможные цели: нанесение ущерба государству, дискредитация, дестабилизация.  

• Таблица сводит воедино цели нарушителей и их соответствие возможным негативным последствиям.  

• Оценка способов реализации угроз включает понимание путей достижения целей нарушителями.  

• Основные способы: использование уязвимостей, внедрение вредоносного кода, использование недекларированных возможностей.  

• Учитываются также ошибочные действия пользователей.  

• Угроза считается актуальной, если есть источник угрозы, условия для реализации и сценарий.  

• Методика учитывает человеческий фактор и ошибки пользователей.  

• Угрозы учитываются при создании системы защиты.  

• Модель угроз должна быть формализована и включать описание системы, возможные негативные последствия, объекты воздействия, источники угроз и способы реализации.  

• Методика требует детального описания системы и сетей, а также возможных объектов воздействия.  

• Модель нарушителя включает актуальные для активов нарушители и способы реализации угроз.  

• Модель нарушителя ФСБ необходима при использовании сертифицированной криптографии.  

• Определяются нарушители, использующие алгоритмы шифрования ГОСТ.