Обсуждение статьи: Защита ключевых систем информационной инфраструктуры - Форум по вопросам информационной безопасности

"Сами же сказали что можно сделать "необоснованную" (неактуальную) модель."

Подчеркну "необоснованную" вопрос акутальности модели из другой области.
Для объекта КСИИ проверяющим из уральского ФСТЭК модель не понравилась, сказали, что актуальность необоснована - тоже сдедали без расчетов, лишь итоговую таблицу. Есть желание с ними на эту тему подискутировать - Ваше право, мое мнение, лучше в алгоритме разобраться.

"что актуальность необоснована - тоже сдедали без расчетов"
Мимо кассы...
ИМХО проверяющих.
В НМД формы модели нет, про обоснованность ни слова... Допишите НМД .. или пишите рекомендацию в акте (ИМХО проверяющих иногда выступает как "закон").
А так бла... бла бла.
Я поэтому и спросил .. где КРИТЕРИЙ обоснованности модели (кроме имхо проверяющего)?

Кто-нибудь может объяснить мне, человеку с высшим образованием по ИБ и уже имевшему 6-летний опыт в формировании моделей угроз для ИСПДн, КАК (!), КАКИМ ОБРАЗОМ (!) ведутся расчеты в модели угроз по КСИИ с применением указанных формул в методике???

seashell, я делал так: собрал исходные данные - перечень уязвимых звеньев, источников угроз и т.п. После по методичке стал понятен перечень угроз, ну и принял, как указано, вероятность реализации полученных угроз за 1.

А ущерб я каким образом должна оценить? в каких единицах?