ГОСТ Р 55036—2012/ISO/TS 25237:2008
Приложение В
(справочное)
Построение модели угроз конфиденциальности
В.1 Введение
Описание метода оценки угроз конфиденциальности не входит в область применения настоящего стандар
та. Однако ниже приводится ряд положений, которые могут помочь тем, кому приходится строить модель угроз.
В настоящем стандарте описана модель, рассматривающая три уровня обеспечения защиты конфиденци
альности. Эти уровни выбраны в зависимости от степени сложности восстановления идентичности субъекта дан
ных.
Настоящий стандарт может также помочь сформулировать ряд требований, которые должны быть приня
ты во внимание при разработке метода оценки угроз.
ИСО/МЭК 15408-2 содержит справочное приложение по конфиденциальности. Его можно использовать в
качестве отправной точки, но оно в большей степени фокусируется на использовании ресурсов.
Функции безопасности объекта оценки (ОО) содержат спецификации, которые могут быть полезными, но
они не описывают понятие уровня обезличивания.
В настоящем приложении приводится адаптированный обзор факторов оценки угроз, взятый из отчета D2.1
«Inventory Report on Privacy Enhancing Techniques» (Обзорный отчет по методам усиления конфиденциальности),
датированного 27.02.2004 г. и представленного в рамках проекта PRIDEH-GEN (IST-2001-38719). Разрешение
авторов отчета имеется.
Ключевым элементом модели угроз конфиденциальности является оценка влияния наблюдаемых данных,
которые могут быть получены злоумышленником. Наблюдаемые данные могут включать в себя данные о событи ях.
которые злоумышленник может получить только незаконно, но к ним также относится информация, которую
злоумышленник может получить законно. Может оказаться, что злоумышленником является обычный пользова
тель системы, который случайно или путем несанкционированных действий получил дополнительные данные, с
которыми он не должен соприкасаться.
Важно иметь в виду, что эта информация обычно не входит в рамки модели информационных объектов
прикладной системы. Тем не менее при оценке конфиденциальности данных, обрабатываемых системой, необ
ходимо сделать определенные допущения о наблюдаемых данных.
Для создания методологии оценки угроз конфиденциальности необходим формализованный способ опи
сания этих утроз и вероятности восстановления идентичности субъекта данных.
Базовая модель атак восстановления идентичности, показанная на самом высоком уровне абстракции на
рисунке В.1. включает в себя три основные сущности. Хотя в таком виде она может показаться простой и прямо
линейной. ее можно детализировать до такой степени сложности, которая будет охватывать все реальные аспек
ты восстановления идентичности и обеспечения конфиденциальности.
Злоумышленник
контактыданные
Рисунок В.1 — Атаки восстановления идентичности
37