Добрый день!
Подскажите, пожалуйста, нужно ли в Модели угроз отражать Состав (перечень) ПО, тех. средств и сзи/скзи используемых в ИС? Насколько подробным он должен быть? Должен ли он совпадать с составом ПО, тех средств и сзи/скзи из Технического паспорта?
Большое спасибо!
В идеале нужно приводить перечень из техпаспорта на ИС, ведь угрозы, особенно для ПО, завязаны на БДУ. Но, мы в своей МУ конкретику не отражали и проблем с согласованием регуляторов не возникало.
*в сторону*
Без учета буквы документа (и сопутствующих Приказов/Методик) следует исходить из его духа. А дух любой МУ сводится к простым принципам:
- что описано, то и моделируется/анализируется
- что предполагается моделировать/анализировать, то и нужно описывать
- чем больше желаемая глубина моделирования/анализа, тем полнее должна быть детализация описания
И, главное, МУ же не бумажка в вакууме - из нее растут ноги реализации, экслуатации и мониторинга любой КСЗ. А дальше по цепочке работает механизм приближений и усреднений со всеми вытекающими последствиями. Т.е. излишняя экономия на моделировании/анализе - это первый и главный камень в надгробье итоговой КСЗ, ага...
