Моделирование угроз безопасности информации объектов КИИ

Для определения возможных способов реализации угроз безопасности информации и последствий их реализации, а также формирования требований к защите информации, обрабатываемой объектом КИИ, осуществляется оценка угроз безопасности, результаты которой должны быть зафиксированы в модели угроз безопасности информации.

В рамках оказания услуги выполняются следующие работы:

• определение негативных последствий, которые могут наступить от реализации угроз безопасности информации;
• инвентаризация информационных ресурсов (систем и сетей) организации;
• определение источников угроз безопасности информации;
• оценка возможностей нарушителей по реализации угроз безопасности информации;
• оценка способов реализации угроз безопасности информации;
• оценка возможности реализации угроз безопасности информации;
• определение актуальности угроз безопасности информации;
• оценка сценариев реализации угроз безопасности информации.

Требования к выполнению оценки угроз ИБ зафиксированы в следующих нормативно-правовых актах:

• Постановление Правительства Российской Федерации от 8 февраля 2018 г. №127 «Об утверждении правил категорирования объектов критической информационной инфраструктуры российской федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» (с изменениями от 13 апреля 2019 г.) (ПП 127);
• Приказ ФСТЭК России от 21.12 2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования»;
• Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».

Для значимых объектов КИИ оценка угроз ИБ должна проводиться в соответствии с Методикой оценки угроз безопасности информации, утвержденной ФСТЭК России 05.02.2021. В дополнение к определенным в Методике ФСТЭК России тактикам наши эксперты могут рассмотреть базу данных MITRE ATT&CK и другие зарубежные каталоги способов и тактик реализации угроз ИБ.

Результатом оказания услуги является модель угроз безопасности информации.