Модель угроз для объекта. - Форум по вопросам информационной безопасности

Добрый день. Подскажите, как составить модель угроз не для ИСПДН, а для объекта - например железной дороги? какими документами пользоваться?а то вся информация в основном по ИСПДН.

По аналогу ;). Если не нашли документов, то лучшее решение - привлечь экспертов железнодорожников. Обозначить задачу, дать неделю на размышление (причем желательно разделить экспертов и минимизировать возможность их общения), после этого составить перечень угроз. Если нужно определить актуальность - можно воспользоваться методикой ФСТЭК (с обязательной ссылкой на источник ;))

Для Маха:
Для Max:
Всё зависит от задач.
1. Если нужна эффективность, то документами ФСТЭК ни в коем случае пользоваться нельзя. Здесь следует уповать только на свои знания и логическое мышление.
2. Если главный критерий - законность, т.е. соответствие требованиям "регуляторов", то можно и нужно брать документы ФСТЭК и прочих "регуляторов", но, опять же, без фанатизма.
Главное - точно определить объект защиты. Если это собственно "железная дорога", т.е. рельсы, шпалы, мосты, насыпи и т.д. - одно, если "перевозки" - другое. Построить модель угроз всей инфраструктуре железной дороги (или её участка) невозможно.
В качестве помощи могу порекомендовать: http://rosichi.org/archives/136. Методология не зависит от вида безопасности и объекта защиты, но конкретика только ими и определяется. Поняв методологию, можно легко строить любые модели и угроз, и их источников.

"Если нужна эффективность, то документами ФСТЭК ни в коем случае пользоваться нельзя"

Что понимается в данном случае под эффективностью и почему такая уверенность в абсолютной бесполезности документов ФСТЭК по этому поводу?

Под эффективностью (от лат. efeсtivus – дающий определенный результат, действенный) – понимается отношение достигнутого результата к максимально достижимому или заранее запланированному результату. Документы ФСТЭК не нацелены на достижение максимально возможного результата в деле защиты информации. Их цель - сама система защиты. И чем затратнее, тем лучше.
Уточняю: здесь речь шла не о методиках оценки эффективности СЗИ от утечки по ТК. Хотя и ими лучше не пользоваться, если это возможно: лучший метод контроля - экспериментальный, но не расчётно-экспериментальный. Вопрос был о модели угроз. А модели угроз, разработанные ФСТЭК, - это нечто уникальное. Если в качестве ТКУИ объявляется стеганография, а главным каналом утечки информации в ИСПДн (заметьте, именно "в") - акустический, то о чём можно вести речь? В качестве каналов утечки перечисляются способы, методы, средства, действия. С точки зрения методологии - это абсолютно недопустимо. Это грубейшие ошибки за гранью фола. Главные угрозы не учитываются, второстепенные выпячиваются ... и т.д. и т.п. В общем, документы ФСТЭК в этой области не выдерживают никакой критики. Поэтому там, где нужен результат, а не соответствие требованиям, нужно "включать мозги" и думать самому.

Атаманову Г.А.: Свежий воздух на форуме. Солидарен.
Реформой и коммерциализацией уничтожили Гостехкомиссию и создали ФСТЭК России. Итого плачевен. Преданные Гостехкомиссии люди в ФСТЭК заменены если не случайными, так не заинтересованными в главном. И мозги видимо там "включать" достаточно опасно для своего же пенсионно-армейского благополучия.

"понимается отношение достигнутого результата к максимально достижимому или заранее запланированному результату"

вопрос о цели модели...
1. выполнение требований законодателей
2. защита ПДн субъектов
3.защита компании от претензий проверяющих
4. защита компании от претензий субъектов ПДн
5..др..
6. несколько вариантов

Соответственно для разных целей разная эффективность.

Думаю под 1 вариант эффективность приемлема.

Атаманову Г.А.
А ведь я в своем посте говорил именно о методике. Ох, как она мне нравится. Жаль только, что коэффициенты и диапазоны фиксированные, а не определяются оператором ПДн самостоятельно.

Коллеги, опять отклоняемся от "генеральной линии" в сторону пресловутых ПДн. Мах спрашивал про модель угроз любого другого объекта, кроме ПДн.

Sekira, Вы перечислили почти все цели, кроме главной - обеспечение непрерывности бизнеса. ФСТЭК и РКН вообще перевернули проблему с ног на голову. Мы вынуждены защищать никому ненужную информацию дорогостоящими и малоэффективными методами вместо того, чтобы выполнять свою основную функцию - помогать людям и делу. Защита информации необходима не сама по себе, а в следствие того, что некорректное уничтожение (в т.ч. утеря) информации, несанкционированное изменение её статуса, необоснованное блокирование доступа к ней может причинить вред её собственнику, владельцу, третьим лицам.

Cug, о какой методике Вы ведёте речь? Я вклинился недавно, пока ещё не совсем в теме.

По поводу "чтобы выполнять свою основную функцию - помогать людям и делу". Их основная функция РЕГУЛИРОВАТЬ, а не помогать людям. Согласитесь это разные "вещи" с точки зрения административно-политической системы?... Примерно как в анекдоте:
На плацу стоит прапорщик и два солдата подметают плац тисками.
- Товарищ прапорщик, давайте мы лучше мётлы возьмём и ими плац подметём?! Так же будет и быстрее и чище.
- А мне не надо быстрее и чище. Мне надо чтоб Вы заколебались...