ГОСТ 33397—2015
Приложение А
(рекомендуемое)
Перечень основных угроз
Т а б л и ц а А.1
Наименование угрозы
Исючник угрозы/категория
нарушителя
Используемая уязвимость (пример)
граммного обеспечения и теле ятельства
коммуникационного оборудова
ния
Сбои и ошибки а работе проФорс-мажорные обстоНесвоевременная установка обновлений про
граммного обеспечения.
Недостаточная координация действий подразде
лений эксплуатации и технической поддержки
жар. наводнение)
ятельства
Техногенные явления (поФорс-мажорные обстоОсобенности расположения.
Несоблюдение мер противопожарной безопас
ности.
Отсутствие плана действий в чрезвычайных си
туациях
Кража/вандализм
Внешние/внутренние
злоумышленники
Отсутствует система физической безопасности
Сбои и ошибки в работе про Форс-мажорные обсто Недостаточная координация действий подразде
граммного обеспечения ятельства лений эксплуатации и подразделений технической
поддержки
Разрушение канала связи Форс-мажорные обстоРазмещение кабеля на неконтролируемой терри
ятельства тории
Сбой в сети электропитания Форс-мажорные обстоОтсутствие резервного питания
ятельства
тиляции и кондиционированияятельства.
Внешние/внутренние
злоумышленники
Сбой в работе системы венФорс-мажорные обстоОтсутствие стандартов на размещение оборудо
вания на территории организации.
Отсутствие обслуживания оборудования, осуще
ствляющего кондиционирование воздуха
Ошибки персонала
организа
Сотрудники
ции
Недостаточная компетенция пользователей.
Недостаточно ответственный подход к работе.
Отсутствие поддержки пользователей
Нехватка персонала
организа
Сотрудники
ции
Недостаточное финансирование.
Неблагоприятные производственные отношения
нальных характеристик
дования и ПО
НедостаточностьфункциоПроизводители оборуОтсутствие средств защиты системы от превы
шения ограничений по ресурсам (обьем оператив
ной памяти, жестких дисков, пропускная способ
ность и т. п.)
Фальсификация полномочий
Внешние/внутренние
злоумышленники
Использование недостаточно сложных паролей
Злоупотребление полномо Внешние/внутренние Использование недостаточно сложных паролей.
чиями злоумышленники Возможность удаленного администрирования
системы.
Сложность и неудобство назначения прав
Применение
ПО
вредоносного Внешние/внутренние
злоумышленники
Наличие недекларированных возможностей, до
бавленных на этапах проектирования и разработки.
Возможность модификации или повреждения
программного обеспечения
НедопустимоеиспользоваВнешние/внутренниеНеопределение ответственности за обеспечение
ние оборудования злоумышленники безопасности информационной системы.
Возможность установки вредоносного програм
много обеспечения на операционную систему