Показатель опасности угрозы: высокая, средняя, низкая - Форум по вопросам информационной безопасности

Как "вербально" определять этот показатель? А то получается голый субъективизм...

Обычно определяется "экспертным" методом, т.е. мнением экспертов.

Обычно опасность угрозы обычно связанна с величиной ушерба, который может возникнуть при реализации этой угрозы.
То есть, делаете оценку всех активов, определяете на какие из активов будет влиять реализация угрозы, из этого определяем опасность.

Извиняюсь, я не уточнил, этот термин из методики фстэк по ПД, там его разъяснение отсутствует. Как категорировать ущерб для субъекта ПД?

Познакомьтесь с документом:
"МЕТОДИКА
ОПРЕДЕЛЕНИЯ АКТУАЛЬНЫХ УГРОЗ
БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ
ПЕРСОНАЛЬНЫХ ДАННЫХ".
Снизить меру субъективизма возможно, используя существующую статистику угроз, это достаточно объективная информация.
Остальное субъективизм, к сожалению, эта задача оценки очень сложно формализуется.

Алексей,
эти показатели всегда определяются субъективно :)

Смотрите сами, "высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных."

Кто определяет, являются потери значительными или нет? Если бы эти потери были бы только материальными, их можно было бы разделить по величине. Но в большинстве случаев с ПД речь идет исключительно о моральном ущербе ("причиненных субъекту моральных страданиях"). А в этом случае "значительность" и субъект, и суд определяют "исходя из своего внутреннего убеждения".

То же самое можно сказать и про вероятность реализации угрозы. Объективная статистика по реализации угроз отсутствует в принципе. Те "исследования", которые публикует, например, CSI, основаны на опресах, а респонденты. естественно, называют субъективные оценки последствий.

Поэтому оценка всегда будет субъективной, и вы можете только подкрепить доверие к ней ссылками на статистические исследования.

* это достаточно объективная информация.

Информация получается Субъектом используя субъективные органы чувств, Поэтому объективизм - относительное понятие либо от лукавого.
юмор такой.

Спасибо, видимо щас брать почти с потолка а потом регулятор будет судить.

А.Щеглов:
Термин и взят из методики определения актуальности, а там объяснения что такое "значительные", "незначительные" и просто "негативные последствия" нет.