Question 1

Что такое модель угроз информационной безопасности?

Accepted Answer

Модель угроз — это документ, в котором определяются возможные источники угроз, способы реализации атак, уязвимости системы и потенциальные последствия для информации и бизнес-процессов. Она описывает, от чего именно и каким образом должна защищаться система.

Question 2

Для каких систем требуется разработка модели угроз?

Accepted Answer

Модель угроз необходима при защите:

информационных систем персональных данных (ИСПДн);
объектов критической информационной инфраструктуры (КИИ);
государственных и корпоративных ИТ-систем;
автоматизированных систем управления;
систем, подлежащих аттестации или проверкам регуляторов.

Без модели угроз невозможно корректно выстроить систему защиты.

Question 3

Когда разработка модели угроз обязательна?

Accepted Answer

Разработка модели угроз требуется при:

создании или модернизации ИТ-системы;
внедрении средств защиты информации;
подготовке к аттестации;
выполнении требований ФСТЭК;
категорировании объектов КИИ;
проверках информационной безопасности.

Отсутствие модели угроз часто квалифицируется как нарушение требований ИБ.

Question 4

Что включает в себя модель угроз?

Accepted Answer

Как правило, модель угроз содержит:

описание объекта защиты и его архитектуры;
перечень возможных источников угроз;
описание актуальных угроз и сценариев атак;
анализ уязвимостей;
оценку возможного ущерба;
выводы о необходимых мерах защиты.

Документ должен быть адаптирован под конкретную систему, а не шаблонным.

Question 5

Какие риски при отсутствии или формальной модели угроз?

Accepted Answer

Если модель угроз отсутствует или выполнена формально, возможны:

предписания регуляторов;
отказ в аттестации;
необходимость переделывать СЗИ;
увеличение затрат на ИБ;
рост вероятности инцидентов и утечек.

Формальный документ без анализа не защищает ни бизнес, ни ИТ-систему.

Question 6

Можно ли разработать модель угроз самостоятельно?

Accepted Answer

Формально — да.
На практике возникают сложности из-за:

неправильного определения границ объекта защиты;
ошибок в идентификации угроз;
некорректного применения методик ФСТЭК;
отсутствия связи между угрозами и мерами защиты.

Ошибки выявляются при проверках или аттестации и приводят к доработкам.

Question 7

Чем модель угроз отличается от технического задания и СЗИ?

Accepted Answer

Модель угроз отвечает на вопрос «от чего защищаемся», а СЗИ и технические меры — «как защищаемся». Без модели угроз невозможно обосновать выбор конкретных средств защиты и их достаточность.

Question 8

Как мы разрабатываем модель угроз?

Accepted Answer

Мы:

анализируем архитектуру и назначение системы;
определяем объект и границы защиты;
выявляем актуальные угрозы и уязвимости;
применяем методики ФСТЭК;
формируем обоснованную модель угроз;
увязываем модель с дальнейшими мерами защиты и аттестацией.

В результате вы получаете корректную, проверяемую и регуляторно-значимую модель угроз, которая реально работает, а не просто лежит в папке.

Разработка модели угроз информационной безопасности

Отзывы наших клиентов

Официальные благодарственные письма от наших клиентов

Разработка модели угроз: вопросы и ответы