Модель угроз - Форум по вопросам информационной безопасности

Добрый день!

Подскажите, пожалуйста, что понимается под перечнем используемых информационных технологий информационной системы для Модели угроз? Не понятно о чем речь.. Если в системе применяется виртуализация это информационная технология?

А главное, что понимает под понятием Информационные технологии ФСТЭК России? Что они хотят увидеть..

to Константин
Де факто - техпроцесс с детализацией по типу: логические каналы, способы приема/передачи, способы обработки, типы софта, прочие логические прослойки для обработки ИОД. В частности, да, виртуализация...

2 oko
Большое спасибо! и за оперативность в том числе)

Добрый день.

Возник ещё один вопрос по Модели угроз.
Пишу модель угроз ГИС (ПДн), соотв. оператор исполнительный орган гос. власти субъекта РФ.
Соотв. часть модели угроз идёт на согласование ФСТЭК, часть к ФСБ.
И вот вопрос по составлению той части Модели угроз, которая относится к ФСБ (СКЗИ)

Часть по СКЗИ составлена согласно Методическим рекомендациям 8 центра ФСБ №149/7/2/6-432

А мне в рекомендациях пишут, что этот раздел должен ещё включать раздел посвященный совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак в соответствии с Приказом ФСБ 378.

Это действительно так и нужно 378 вставлять? и если не секрет как она оформляется?
Допустим если в выводах я пишу для ГИС необходим класс СКЗИ К1.
Мне будет достаточно перечислить в МУ возможности из соотв. раздела 378 Приказа? Или есть нюансы и не надо перечислять все возможности?

Просто в Метод. рекомендациях есть Таблица №2, в которой отражены не актуальность угроз и в первом столбце те же возможности атак описаны, что и в 378, соотв. в моей МУ эта таблица есть.

Не будет ли это дублированием?

to Константин
Кто рекомендует-то? Методика? Таблицы одинаковы, действуйте четко по Методике. Условно: таблица "Нарушитель - класс (Н1 - Н6) - тип (внутр./внешн.) - краткие возможности нарушителя" + таблица соотнесения нарушителей с УБИ (из ЧМУ) + таблица описаловки из Методики-2015 ФСБ (там, где угрозы СФ, угрозы СКЗИ и обоснование) = profit!
И да, класс СКЗИ КС1, если серьезно, для ГИС возможен только в мечтах, imho...

Рекомендует вышестоящий орган по ЗИ (ИОГВ субъекта, который контролирует работу остальных ИОГВ в рамках защиты информации)

Спасибо большое за разъяснение!

to Константин
Вы этому вышестоящему, простите, органу намекните, что раз пошла такая пьянка, то неплохо было бы им скинуть вам Базовую модель по своему ОГВ, на основании которой вы уже разработаете свою, Частную. Модуль экстрасенсорики подсказывает, что рекомендации после такого сразу прекратятся (а жаль, что без БМУН, ага)...

2 oko
Спасибо) но вы же все прекрасно понимаете)