Модель угроз объекта КИИ

Модель угроз отвечает на вопрос, от чего конкретно нужно защищать объект: какие способы воздействия на него реальны, кто может выступать источником угрозы, какие уязвимости объекта могут быть использованы и к каким последствиям приведёт реализация угрозы. Без этого анализа выбор мер защиты становится произвольным — сложно обосновать, зачем внедряется конкретная техническая мера, если непонятно, от какого сценария атаки она защищает.

Разрабатывается модель угроз для значимых объектов КИИ, то есть объектов, которым по итогам категорирования присвоена одна из категорий значимости. Именно категория определяет глубину анализа и состав применяемых впоследствии мер защиты.

Источниками угроз применительно к объекту КИИ могут выступать не только внешние злоумышленники, но и внутренние нарушители — сотрудники с легитимным доступом к системе, действующие умышленно или по ошибке, а также техногенные и природные факторы, способные нарушить функционирование объекта. Хороший анализ учитывает все эти категории, а не только сценарии внешних компьютерных атак.

Оба документа называются похоже, но решают разные задачи и опираются на разное законодательство.

Если организация одновременно обрабатывает персональные данные и эксплуатирует объект критической информационной инфраструктуры, ей может понадобиться оба документа сразу, и они не заменяют друг друга.

Типовая структура документа обычно выглядит так и включает пять основных разделов:

Модель угроз — не статичный документ: она пересматривается при изменении архитектуры объекта, появлении новых типов атак или по итогам расследования реального инцидента, показавшего, что учтённые ранее угрозы были неполными.

Разработка модели угроз требует специальных компетенций в области информационной безопасности и понимания технологической специфики объекта. На практике этим занимается либо внутреннее подразделение ИБ субъекта КИИ, либо привлечённая специализированная организация, имеющая опыт работы с объектами соответствующей отрасли.

Итоговый документ утверждается руководителем субъекта КИИ и используется как основа при выборе конкретных организационных и технических мер защиты значимого объекта — их состав напрямую вытекает из перечня актуальных угроз, зафиксированных в модели.

Полезная практика — привлекать к обсуждению модели угроз не только специалистов по информационной безопасности, но и сотрудников, эксплуатирующих сам объект: они лучше знают реальные технологические особенности и слабые места, которые не всегда видны со стороны чисто ИТ-анализа.

Модель угроз объекта КИИ требуется только тем организациям, которые являются субъектами КИИ по сфере деятельности — здравоохранение, транспорт, связь, энергетика, финансовая сфера и другие отрасли, перечисленные в 187-ФЗ. Для образовательных проектов и большинства компаний малого и среднего бизнеса этот документ не актуален.

Если же у организации есть основания предполагать, что она может относиться к субъектам КИИ, — например, из-за оказания инфраструктурных услуг критическим отраслям, — разумный первый шаг не разработка модели угроз, а проверка самого статуса субъекта КИИ и, при необходимости, проведение инвентаризации и категорирования. Начинать сразу с модели угроз, минуя эти шаги, бессмысленно: неясно, к какому объекту и какой категории значимости её вообще привязывать.