Все правильно, может быть модель одна. Если требуется согласование регуляторов, то каждый регулятор согласует ту часть документа, которая находится в его компетенции.
Также при описании нарушителей можно сопоставить нарушителей по классификации ФСТЭК и ФСБ.
Структура документа может быть, например, такая:
1. АНАЛИЗ ИСПДН
1.1. Анализ ЛВС
1.2. Сведения о содержании обрабатываемых персональных данных
1.3. Границы контролируемых зон
1.4. Категории пользователей среды функционирования ИСПДн и передачи данных
2. ХАРАКТЕРИСТИКИ ИСПДН
3. ЗАЩИЩАЕМЫЕ РЕСУРСЫ ИСПДН
4. ИСТОЧНИКИ УГРОЗ БЕЗОПАСНОСТИ ПДН В ИСПДН
4.1. Классификация нарушителей
4.2. Предположения об имеющейся у нарушителя информации об объектах атак
4.3. Предположения об имеющихся у нарушителя средствах атак
4.4. Описание каналов угроз
4.5. Носитель вредоносной программы
5. МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ В ИСПДН
5.1. Определение уровня исходной защищенности
5.2. Угрозы безопасности
5.3. Определение вероятности и возможности реализации угроз
5.4. Оценка опасности и актуальности угроз
6. ВЫВОДЫ
Прошло несколько лет
Автор:Евгений, ФГКУ УВО ВНГ РОССИИ по Волгоградской области | 106954
