Потенциал нарушителя в Модели угроз - Форум по вопросам информационной безопасности

to Константин
Ну, в самой Методике нигде явно не сказано. Зато в том же 17 Приказе есть п. 14.3 касательно моделирования...
В свою очередь, по Методике для определения "способов" (читай, для выявления потенциально возможных УБИ) и "сценариев" (читай, для актуализации УБИ) нужно в том числе опираться на результаты анализа уязвимостей...
Впрочем, по Приказам ФСТЭК для большинства ОИ (кроме ИСПДн, на которые все забили - впрочем, сейчас мы наблюдаем "второе дыхание") также нужно проводить анализ уязвимостей. Косяк в том, что это предусматривается в явном виде ПОСЛЕ моделирования, что несколько противоречит Методике и логике (как обычно, ага)...
imho, обязательно вставить в Модель подраздел с описанием известных уязвимостей хотя бы из БДУ по основному используемому ОПО и ППО, а потом провести оценку УБИ в том числе с учетом рассмотренных уязвимостей - решение, которым не следует пренебрегать...

*в сторону*
И да, лепить тот же 17 Приказ или иные Приказы о требованиях к ОИ в Модель в качестве НМД или стандарта для моделирования - это за гранью добра и зла...
Джентельменский набор: Методика-2021 ФСТЭК; Методика-2015 ФСБ (если есть СКЗИ и Модель не будут под микроскопом изучать в 8 Центре); разные ГОСТ по используемым определениям и сокращениям; совокупность ФЗ и подзаконных актов, если цели, задачи или особенности ОИ их затрагивают...
И оставьте уже в покое Базовую Модель - дайте ей спокойно кануть в лету, ага...

2 oko Благодарю!

to Константин:

> Я ни в коем случае не пытаюсь докопаться, но где в Методике оценки угроз 2021 написано про то, что в МУ должны быть отражены уязвимости используемого ПО и его характеристики ? Мы же всё опираемся на пункты методики при составлении МУ, вы ранее отвечая на мои вопросы тоже при ответе ссылались на пункты методики.

Чем определена обязанность отражать в Модели угроз сами уязвимости используемого ПО и его характеристики? В действующей редакции Методики такого не встречал.

2 CM Спасибо

Подскажите, пожалуйста, нужно ли сейчас ставить штампы согласования ФСТЭК и ФСБ на титульном листе ТЗ, на подсистему защиты ГИС ?

С МУ вроде ясно, что делать надо, как в методике, только штамп утверждения органиом исполнительной власти.

to Константин:

Согласование ТЗ и Моделей угроз с ФСТЭК и ФСБ подтверждалось ответным письмом, а не штампом на документах. Поэтому делать отдельный штамп для ФСТЭК и ФСБ избыточно. Вероятнее всего он использоваться этими ведомствами не будет.
В дальнейшем, когда надо будет указать "реквизиты" согласования ТЗ и Модели угроз указывают реквизиты письма (исходящий номер и дата), которым было получен ответ о согласовании документов в ведомстве.

2 CM Большое спасибо!

ТЗ и МУ в ФСБ, как и раньше, отправляются на руководителя 8 центра А.М. Ивашко?

to Константин

Да. Всегда отправляли на адрес 8 Центра.