Как правильно сделать сравнение нескольких ИС базирующихся на похожих решениях с точки зрения рисков - Форум по вопросам информационной безопасности

Вопрос от студента.

Есть система которая решает задачу обмена информацией: электронный документооборот.
Есть несколько программных решений, позволяющих осуществлять обмен документами. Однако данные программные решения имеют в своей основе разные принципы работы:

- решение использующее простую централизованную архитектуру;
- решение использующее усиленную централизованную архитектуру (усиливается привелечением ЭЦП и УЦ);
- решение использующее децентрализованную архитектуру (аля блокчейн)

Поскольку данные решения используются для обеспечения одной цели - осуществления электронного документооборота, то, мне кажется, их можно сравнить с точки зрения рисков.

Я предполагаю это делать следующим образом:
1. определить общие угрозы для этих 3 решений;
2. прибегнуть к методике оценки рисков (реализации определенных ранее угроз);
3. сделать сравнительный анализ полученных результатов.

Меня интересует следующее:
- как определить общие угрозы для данных программных решений (нужно ли действовать как-то по аналогии МУ ИСПДн, КСИИ или вообще применять SDL от майкрософта, или искать риски через ИСО/МЭК 27к)?

Подскажите пожалуйста, как бы вы решали подобную задачу?

Спасибо.

to Gdsf
Если "не по закону, а для себя" (читай, для использования внутри комм.орг.), то МУ ИСПДн и КСИИ сразу в сторону - это сырые и не на то нацеленные бумаги...
От Microsoft я бы даже бумаги брать не стал...
ИСО - как вариант, но:
1. Ваши схемы весьма разноплановы, общих УБИ будет не так много. По структуре, разумеется.
2. Определите также возможный круг нарушителей. От их потенциала будет многое зависеть, включая выбор оптимальной базы защиты (и автоматизации, ага).
3. Разбавьте свою схему понятиями "экономической целесообразности" и "функциональной эффективности". Классическая триада, "безопасность - экономичность - эффективность", в которой вам придется отыскать золотую середину. А в таком ключе ни один стандарт не даст четкого ответа: к счастью или сожалению, оптимальную линию защиты можно выбрать только опытным путем...
4. И главное, отходя от структуры, нюансов еще до ужаса: стойкость методов, НДВ, сложность верного конфигурирования/развертывания, сложность модернизации и администрирования и т.д. и т.п.

to oko

"1. Ваши схемы весьма разноплановы, общих УБИ будет не так много. По структуре, разумеется."

По мне так это и хорошо что общих УБИ будет мало. В то же время если говорить об УБИ, то как думаете, будет ли правильным для каждого решения так же рассмотреть специфичные для них угрозы? Я думаю это тоже даст некоторых красок в сравнение.

"2. Определите также возможный круг нарушителей. От их потенциала будет многое зависеть, включая выбор оптимальной базы защиты (и автоматизации, ага)."

Это само собой: я тогда и риски не смогу посчитать. А вот с базой защиты немного не понял: вы тут имеете в виду нормативно-правовую базу или что-то иное?

"4. И главное, отходя от структуры, нюансов еще до ужаса: стойкость методов, НДВ, сложность верного конфигурирования/развертывания, сложность модернизации и администрирования и т.д. и т.п."

По сути эти нюансы можно как раз добавить в угрозы и протащить до рисков, по принципу "угроза неверного развертывания->риск неверного развертывания". Но это навряд ли, слишком уж толсто будет. Но на случай чего: где вы их подсмотрели?

to Gdsf
1. Мало общих УБИ = неполнота конечного сравнения выбранных подходов/методов/средств. А специфичные как раз в первую голову и надо рассматривать - в них весь "сок"...
2. База - в ключе защитных свойств самой выбранной технологии, лежащей в основе проектируемой ИС (и проектируемой системы защиты, ага)...
3. Это не нюансы, а другие стороны комплексного подхода. До рисков их тащить не надо, это не УБИ, а следствия выбранной линии защиты. Т.е. расширение модели, включающей в себя не только безопасность конечной системы, но и особенности построения и реализации системы защиты для каждого возможного варианта. От чего зависит ее целесообразность и, следовательно, целесообразность выбора первичного варианта развертывания (в вашем случае, одного из трех). А подсмотрел... скажем так, это навскидку из опыта - конкретных НМД уже не помню, слишком много их видел и наших, и зарубежных...