Разработка Модели угроз в соответствии с ГОСТ Р 57580.1

Снижение операционного риска финансовой организации, связанного с нарушением безопасности информации, обеспечивается путем надлежащего выбора, повышения полноты и качества применения соответствующих мер защиты информации. Для противостояния угрозам безопасности информации и их влиянию на операционный риск, финансовым организациям требуется определить достаточность и адекватность состава и содержания мер защиты информации, что невозможно без знания всех актуальных угроз безопасности информации.

Банком России разработан ГОСТ Р 57580.1, который содержит требования к содержанию базового состава мер защиты информации (требования к системе защиты информации) для информационных систем финансовых организаций, выбор которых производится с учетом модели угроз и нарушителей безопасности информации.

Банк России рекомендует составлять такие модели с привлечением сторонних организаций, обладающих необходимым опытом, знаниями и компетенцией.

НТЦ «Вулкан», обладая экспертами с требуемой компетенцией и опытом, готов выполнить в интересах заказчика комплекс работ по формированию Модели угроз и нарушителей в соответствии с рекомендациями ГОСТ Р 57580.1.

Состав работ

  • Сбор и анализ существующих в финансовой организации нормативных документов по вопросам информационной безопасности.
  • Проведение обследования информационных систем финансовой организации на предмет наличия факторов, способствующих реализации угроз безопасности информации (уязвимостей).
  • Определение и обоснование актуальных угроз безопасности информации, источников угроз, факторов (уязвимостей) для финансовой организации.
  • Определение приемлемого уровня риска для угроз безопасности информации и уровня возможной реализации угроз безопасности информации.
  • Оценку возможных последствий реализации угроз безопасности информации.

Степень детализации содержимого моделей угроз и нарушителей безопасности информации может быть различна и определяется реальными потребностями финансовой организации. Модели угроз и нарушителей безопасности информации носят прогнозный характер, разрабатываясь при этом на основе опыта, знаний и практики.

Под угрозами безопасности информации понимается совокупность условий и факторов, создающих потенциальную или реальную опасность утечки информации, несанкционированных и (или) непреднамеренных воздействий на неё. При выполнении работ по разработке Модели угроз и нарушителей в соответствии с рекомендациями ГОСТ Р 57580.1, специалистами «Вулкан» оценивается:

  • В качестве источников угроз:
    • антропогенные источники угроз;
    • техногенные источники угроз;
    • стихийные источники угроз.
  • В качестве источников угроз:
    • криминальные элементы;
    • компьютерные злоумышленники (хакеры);
    • конкуренты;
    • поставщики программно-технических средств, расходных материалов, услуг;
    • подрядчики, осуществляющие монтаж, пусконаладочные работы оборудования;
    • работники финансовой организации;
    • неблагоприятные события природного характера;
    • неблагоприятные события техногенного характера.
  • В качестве уязвимостей:
    • потенциальная подверженность воздействию природных и техногенных факторов;
    • ошибки в проектировании информационной системы финансовой организации;
    • физические, моральные, психологические особенности работников;
    • недостатки в организации охраны и технической укреплённости;
    • восприимчивость программного обеспечения к вредоносным программам и компьютерным вирусам;
    • наличие уязвимостей программного и аппаратного обеспечения;
    • сбои и отказы технических средств;
    • ошибки при подготовке и использовании программного обеспечения;
    • наличие уязвимостей (слабостей) системы защиты информации;
    • неполная регламентация вопросов взаимодействия с поставщиками и подрядчиками;
    • несоответствие регламентов текущему состоянию информационной системы финансовой организации.

Преимущества

Согласно ГОСТ Р 57580.1, Модели угроз и нарушителя являются обязательным документом любой финансовой организации. Это обусловлено тем, что без модели невозможно построить адекватную систему защиты информации. С точки зрения материальных затрат, определяя актуальные угрозы безопасности информации возможно отказаться от некоторых базовых мер защиты, выработать компенсирующие меры защиты и, тем самым, сократить расходы на создание всей системы защиты.