Угрозы информационной безопасности постоянно растут и требуют все больше ресурсов для противодействия. К таким угрозам относятся события или факторы, которые создают опасность нарушения заданных свойств ценной информации, например,

  • кража или разглашение ценной информации и данных, подлежащих защите по закону,
  • перехват управления критичными финансовыми системами, в том числе финансовыми и производственными,
  • нарушение штатной работы информационной инфраструктуры и др.

Особенность угроз ИБ заключается в том, что они нацелены на нарушение таких свойств информации, как конфиденциальность, целостность, доступность, аутентичность, подотчетность,  надежность. При этом они могут быть направлены как на информацию, подлежащую защите в целях обеспечения гражданских прав и свобод, требования к защите которых установлены государством, так и на данные, представляющие коммерческую тайну. В обоих случаях ответственность за защиту от угроз ИБ лежит на компании заказчика.

Эффективное противодействие угрозам возможно только после их тщательного и квалифицированного анализа. Общепризнанным подходом к анализу угроз является их моделирование и оценка связанных с ними рисков.

На сегодняшний день существует множество каталогов угроз и методов их моделирования, а также оценки ущерба, в том числе:

  • установленные регулирующими органами (ФСТЭК России и ФСБ России);
  • рекомендуемые Банком России в серии стандартов СТО БР ИББС;
  • предлагаемые международными и национальными организациями по стандартизации (ISO, ГОСТ, NIST, BSI и др.);
  • предусмотренные программными продуктами автоматизации оценки рисков ИБ  (CRAMM, COBRA, RiskWatch и др.)

В ходе своей работы специалисты СТЭП ЛОДЖИК используют как отдельные из указанных рекомендаций и требований, так и комплексный подход, включающий в себя разработку индивидуальной методики моделирования угроз и оценки рисков ИБРазработанная методика одновременно обеспечивает соответствие нормативно-правовым требованиям защиты информациии  учитывает специфику деятельности и особенности внутренней структуры заказчика.

В результате заказчик получает актуальный перечень угроз ИБ и рекомендации по противодействию, который позволяет:

  • обеспечить выполнение нормативно-правовых требований по защите информации;
  • определить актуальные концептуальные и детальные требования к системе ИБ;
  • спланировать работы по обеспечению ИБ;
  • правильно распределить ресурсы на обеспечение защиты информационных активов;
  • своевременно и эффективно реагировать на инциденты ИБ.

Работа состоит из следующих этапов:

1. Сбор исходных данных.

2. Формирование модели угроз и нарушителей ИБ.

3. Определение актуальных угроз и рисков, требующих противодействия.

4. Разработка требований и рекомендаций по противодействию актуальным угрозам.