Как сделать модель угроз ИСПДн по требованиям ФСБ и ФСТЭК одновременно - Форум по вопросам информационной безопасности

ИСПДн 2 класса, ПДн передаются по VPN в несколько внешних организаций.
Документы ФСТЭК более-менее понятны (непонятен только "показатель опасности" - по какому критерию разделять негативные и очень негативные), а документы ФСБ смахивают на какой-то плохо скомпонованный учебник, букв много, конкретики мало.

Поделитесь пожалуйста опытом по методике объединения требований ФСТЭК и ФСБ к моделям, и по структуре документа, который должен получиться.

Пдн во внешние организации отправляются по почте, единой ИСПДн с ними нет, т.е. как я понимаю - у меня локальная ИСПДн, в которой необходимо применять криптографические средства.

>>Документы ФСТЭК более-менее понятны (непонятен только "показатель опасности" - по какому критерию разделять негативные и очень негативные), а документы ФСБ смахивают на какой-то плохо скомпонованный учебник, букв много, конкретики мало.<<
судя по Вашим речам- Вам ОПРЕДЕЛЕННО требуется новый сотрудник- либо специалист по информационной безопасности, либо начальник отдела безопасности.
Ни в одном из ваших постов конкретно не указан вопрос, на который вы хотите получить ответ.

Параллельно и одновременно - никак.
Только последовательно.
1. Выполнить требования ФСТЭК и сдать
2.Выполнить требования ФСБ, ссылаясь на выполнение требований ФСТЭК
Капкан для того и ставился чтобы дичи было побольше.
КТО ВИНОВАТ - Что ты устал?

Username:
"Ни в одном из ваших постов конкретно не указан вопрос, на который вы хотите получить ответ."

Мой вопрос указан в названии темы, вполне конкретно. И далее я его уточнил - "Поделитесь пожалуйста опытом по методике объединения требований ФСТЭК и ФСБ к моделям, и по структуре документа, который должен получиться."
Например, до конца не ясно, это должна быть одна модель угроз, или две, или можно и так и так делать.

Прохожий:
Спасибо за ваше мнение.

Делать придется две модели, можно это сделать одним документом т.к. структура моделей ФСБ и ФСТЭК не пересекаются. И в конце этого документа указать, какие угрозы наиболее опасны и по какому из разделов (типа сводной таблицы). Потом это легче перенести в ТЗ на ЗИ.

>>> Делать придется две модели

Обоснуйте.

Василь, метод. ФСБ, стр.13, п. 2.4

>Вам ОПРЕДЕЛЕННО требуется новый сотрудник

А расскажите мне, где брать новых сотрудников бюджетным организациям? Штатная численность организации к примеру 22 человека. Вы серьезно думаете, что им дадут новую штатную единицу? Может и дадут. Вы за 12 тысяч рублей пойдете работать? Будут на вас висеть функции электронщика. И безопасность.

2 sc63
Из п. 2.4 стр. 13 Методических рекомендаций ФСБ как раз следует, что модель угроз будет одна. Либо исключительно на основании документов ФСТЭК (если нет криптухи), либо используются методики ФСТЭК и ФСБ. При этом в случае, если угрозы "перекрываются" (возникает одна и та же угроза по обеим методикам ФСБ и ФСТЭК), то выбирается более опасная. Таким образом можно не защищаться от одной угрозы дважды, если писать единую модель угроз.
P.S. В частных случаях для формирования МУ используется только методика ФСБ, но это явно не наш случай.