Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?

Прежде всего, Банк данных угроз безопасности — это сведения об основных угрозах и уязвимостях, которые характерны для автоматизированных систем управления, государственных информационных систем, а с недавних пор применимы и для информационных систем персональных данных.

Банк угроз ФСТЭК содержит, помимо названия и кода угрозы, её краткое описание, вероятные источники, объекты воздействия и, конечно, последствия, которые повлечёт за собой реализация угрозы. Также, для удобства работы, можно скачать угрозы ФСТЭК в виде таблицы.

Содержимое банка угроз ФСТЭК

Банк данных не структурирован (в нём нет иерархической структуры), тем не менее угрозы классифицированы по нарушителям, которые могут ими воспользоваться, а также последствиям, которые использование этих угроз может повлечь (нарушение конфиденциальности, целостности или доступности информации).

К примеру, мы можем воспользоваться поиском и найти угрозы целостности данных, которые исходят от внутренних нарушителей с высоким потенциалом к реализации угроз:

Перейдя по названию, мы можем получить подробности конкретной угрозы:

Конечно, список, содержащийся в банке, не исчерпывающий, но он постоянно дополняется и обновляется. В его создании принимают участие ряд крупных компаний в сфере информационной безопасности, а также множество частных исследователей, которые пользуются встроенной формой обратной связи на сайте. При относительной доступности передачи информации об угрозах, регламент, безусловно, предусматривает дополнительные исследования, которые гарантируют реальность всех перечисленных в банке угроз.

Цель Банка угроз

Первоначальной целью создания банка угроз ФСТЭК являлось простое повышение информированности специалистов ИБ о существующих угрозах безопасности информации в автоматизированных системах. Банк использовался в основном заказчиками, операторами и разработчиками информационных систем и систем защиты, использовался лабораториями и органами сертификации средств защиты информации.

Однако теперь банк данных угроз сложно воспринимать отдельно от новой Методики оценки угроз безопасности информации, с выходом которой, база вошла в широкое применение при разработке документов. Теперь любая организация, от которой законодательство требует защиты своей информационной системы, будет использовать данный банк данных, ведь для любой требующей защиты информационной системы (например ИСПДн) необходимо разработать модель угроз, а одним из главных источников для разработки модели угроз по новой методике является как раз общий перечень угроз, те самые угрозы безопасности ФСТЭК.

Банк угроз ФСТЭК: основные моменты

Если вы занимаетесь защитой информационной системы и разрабатываете для неё модель угроз в соответствии с новой методикой, то, вероятно, вам придётся использовать банк данных угроз безопасности информации ФСТЭК. Используя банк угроз ФСТЭК в качестве источника и опираясь на новую методику оценки, Вы сможете определить актуальность всего списка для вашей ИС. Сайт bdu.fstec.ru предоставляет некоторые инструменты поиска по базе угроз, но, при некоторой сноровке, будет проще работать со скачанной таблицей средствами excel.