Модель нарушителя информационной безопасности

Угроза становится актуальной или неактуальной не сама по себе, а в зависимости от того, есть ли у реального нарушителя возможность её реализовать. Например, угроза взлома системы через уязвимость в специализированном программном обеспечении неактуальна, если ни у одной категории вероятных нарушителей для конкретной компании нет доступа и квалификации для такой атаки.

Модель нарушителя даёт основание для этой оценки: она описывает, кто может атаковать систему компании — от рядового сотрудника, случайно нарушившего порядок работы с данными, до организованной группы, целенаправленно атакующей инфраструктуру. Без такого анализа модель угроз рискует либо переоценить риски и привести к избыточным затратам на защиту, либо недооценить их и оставить систему уязвимой перед реальным сценарием атаки.

Базовое деление нарушителей — на внутренних и внешних, и для бизнеса это разделение имеет вполне практический смысл, поскольку меры защиты от них принципиально различаются.

На практике для большинства коммерческих компаний внутренние нарушители представляют не меньший, а часто больший практический риск, чем внешние — просто потому, что у них уже есть легальный доступ, который остаётся только использовать не по назначению.

Для каждой категории нарушителей модель описывает уровень их возможностей — то есть насколько сложную атаку они технически способны провести. Обычно учитываются такие параметры:

• уровень доступа — какие данные и системы нарушителю доступны в силу его роли или положения;
• квалификация — обладает ли нарушитель специальными знаниями в области информационных технологий и защиты информации;
• оснащённость — располагает ли нарушитель специализированными техническими средствами для проведения атаки;
• мотивация — насколько вероятно, что нарушитель захочет реализовать угрозу, исходя из потенциальной выгоды или иных причин;
• возможность сговора — может ли нарушитель действовать не в одиночку, а в сговоре с другими лицами, включая внешних сообщников.

Итоговая оценка возможностей нарушителя напрямую влияет на то, какие угрозы из модели угроз признаются актуальными, а какие — нет, поскольку угроза, для реализации которой ни у одной реалистичной категории нарушителей нет достаточных возможностей, обоснованно исключается из актуальных.

Модель угроз и модель нарушителя — парные документы, которые обычно разрабатываются вместе и опираются друг на друга. Модель угроз описывает способы, которыми может быть нарушена безопасность данных; модель нарушителя объясняет, кто и с какими возможностями стоит за каждым из этих способов.

Разработка одного документа без другого превращает анализ в неполный: список угроз без понимания реальных нарушителей выглядит правдоподобно, но не даёт возможности объективно оценить, какие из угроз действительно актуальны для конкретной компании, а какие — теоретическая возможность без реального субъекта, способного её реализовать.

Модель нарушителя напрямую влияет на выбор организационных мер защиты, а не только технических мер.

Руководителю компании полезно рассматривать модель нарушителя не как формальный документ для проверяющих, а как инструмент для приоритизации реальных инвестиций в защиту: она показывает, куда имеет смысл вкладывать ресурсы в первую очередь, исходя из того, кто реалистично может представлять угрозу для конкретного бизнеса.