ГОСТ Р ИСО/МЭКТО 15446 — 2008
b
) кто (с учетом занимаемой должности) имеет возможность компрометации идентифицированных
активов. Другими словами, кто может получитьдоступ ксистеме ИТ, в которой хранятся, обрабатываются и
передаются идентифицированные активы;
c) каковы предполагаемые уровень технической компетентности, уровень возможностей нарушите
ля, доступные ресурсы для реализации угрозы (например, автоматические инструментальные средства
взлома и исследования сетей) и мотивация.
Источники угроз, не связанные сдеятельностью человека, а также угрозы, возникшие в результате
неумышленных действий человека (то есть случайно), также должны быть рассмотрены, так как могут
привести к компрометации активов.
8.3.2.4 Идентификация методов нападения
Следующим этапом после идентификации активов, подлежащих защите, и источников угроз являет
ся идентификация возможных методов нападения, приводящих ккомпрометации активов. Идентификация
возможных методов нападения основывается на информации о среде безопасности ОО. например, на:
a) потенциальных уязвимостях активов, которые могут быть использованы источниками угроз;
b
) возможности нарушителей, имеющихдоступ к среде безопасности ОО.
Потенциальные уязвимости активов организации могут быть идентифицированы путем анализа уязви
мостей среды безопасности ОО с учетом идентифицированных предположений о среде. Тем не менее
следует помнить, что такой анализ может не выявить всех уязвимостей, и поэтому нельзя недооценивать
возможность наличия новых и необнаруженных угроз.
8.3.2.5 Влияние результатов анализа рисков на идентификацию угроз
Проведение анализа рисков целесообразно на этапе идентификации угроз, но методы анализа рисков
не определены в ИСО/МЭК 15408. Процесс анализа рисков также необходим на этапе идентификации
целей безопасности для ОО и его среды (см. раздел 8) и требуемого уровня доверия к контрмерам, направ
ленным на противостояние возможным угрозам (см. раздел 9). Методы анализа риска должны
учитывать следующее:
a) вероятность и последствия компрометации активов с учетом:
1) возможности реализации идентифицированных методов нападения.
2) вероятности успешной реализации нападения.
3) возможного ущерба (включая величину материального ущерба, явившегося результатом успеш
ного нападения):
b
) другие ограничения, например правовые нормы и стоимость.
8.3.3 Спецификация угроз
Следующим этапом после идентификации угроз, которые должен учитывать ОО и его среда, являет
ся спецификация данных угроз в ПЗ и ЗБ. Как отмечалось в предыдущих разделах, в разделе «Среда
безопасности ОО» формулировка аспектов среды безопасности ОО и. в частности. — спецификация угроз
должна быть четкой и краткой.
Для обеспечения четкой спецификации угроз необходимо учитывать следующиеаспекты (идентифи
цированные в соответствии с8.2.1):
a) источники угроз (например, уполномоченный пользователь ОО);
b
) активы, подверженные нападению (например, конфиденциальныеданные);
c) используемый метод нападения (например, маскировка под уполномоченного пользователя ОО).
Ниже приведены примеры формулирования угроз:
Угроза 1: нарушитель может получить неуполномоченныйдоступ к конфиденциальной информации
либо ресурсам ограниченного использования, выдав себя за уполномоченного пользователя ОО.
Угроза 2: уполномоченный пользователь ОО может получитьдоступ к конфиденциальной информа
ции или ресурсам ограниченного использования, выдав себя за другого уполномоченного пользовате
ля ОО.
Если описание угрозы сопровождается объяснением всех используемых терминов, описанием акти
вов. подверженных риску компрометации, и спецификацией конкретных методов нападения, то это будет
способствовать более глубокому осознанию пользователем ПЗ и ЗБ сущности угрозы. Так. в
примерах угроз, изложенных выше, целесообразно пояснить, что активами, подверженными риску
компрометации, являются информация и ресурсы, к которым пользователь (в том числе выдававший
себя за конкретного уполномоченного пользователя) имеетдоступ.
Для того, чтобы обеспечить, насколько это возможно, краткое изложение (формулировку) угроз,
необходимо исключитьсовпадение описаний угроз, что поможет избежать потенциальных недоразумений
11