Модель угроз: как составить и поддерживать в актуальном состоянии

Граница материала: Описание активов, границ доверия, нарушителей, сценариев и мер защиты. Это не список всех известных уязвимостей. Сквозной пример — веб-сервис принимает документы, вызывает внешнюю модель и сохраняет результат. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: покрытие активов и границ, необработанные сценарии, остаточный риск, устаревшие допущения и проверенные меры.

Определить область моделирования: модель угроз

После «определить область моделирования» пересмотрите модель «модель угроз». владелец актива сопоставляет артефакт операции «определить область моделирования» для темы «модель угроз»: свидетельство защиты по шагу «определить область моделирования» с датой, источником и итогом теста с показателем «покрытие активов и границ, необработанные сценарии, остаточный риск, устаревшие допущения и проверенные меры» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «определить область моделирования» в теме «модель угроз» возникает отклонение: для «определить область моделирования» нет проверки в контуре «модель угроз»» назначьте повторную проверку.

• Урок: «определить область моделирования» в системе «модель угроз».
• Кто закрепляет: владелец актива.
• Новое правило: артефакт операции «определить область моделирования» для темы «модель угроз»: свидетельство защиты по шагу «определить область моделирования» с датой, источником и итогом теста.
• Повторная проверка: при действии «определить область моделирования» в теме «модель угроз» возникает отклонение: для «определить область моделирования» нет проверки в контуре «модель угроз».

Описать ценные активы: модель угроз

Для контроля «модель угроз» сначала определите защищаемый объект. На операции «описать ценные активы» руководитель безопасности оформляет артефакт операции «описать ценные активы» для темы «модель угроз»: свидетельство защиты по шагу «описать ценные активы» с датой, источником и итогом теста. Проверьте сценарий «веб-сервис принимает документы, вызывает внешнюю модель и сохраняет результат» с обычным пользователем и нарушителем. Риск «при действии «описать ценные активы» в теме «модель угроз» возникает отклонение: для «описать ценные активы» нет проверки в контуре «модель угроз»» означает, что мера существует только формально.

• Актив: «описать ценные активы» в системе «модель угроз».
• Владелец: руководитель безопасности.
• Доказательство: артефакт операции «описать ценные активы» для темы «модель угроз»: свидетельство защиты по шагу «описать ценные активы» с датой, источником и итогом теста.
• Пробел: при действии «описать ценные активы» в теме «модель угроз» возникает отклонение: для «описать ценные активы» нет проверки в контуре «модель угроз».

Нарисовать потоки и компоненты: модель угроз

Шаг «нарисовать потоки и компоненты» оценивают по снижению реального риска. В контуре «модель угроз» архитектор защиты сохраняет артефакт операции «нарисовать потоки и компоненты» для темы «модель угроз»: свидетельство защиты по шагу «нарисовать потоки и компоненты» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «покрытие активов и границ, необработанные сценарии, остаточный риск, устаревшие допущения и проверенные меры». Если остаётся «при действии «нарисовать потоки и компоненты» в теме «модель угроз» возникает отклонение: для «нарисовать потоки и компоненты» нет проверки в контуре «модель угроз»», решение возвращают на уточнение.

• Угроза: «нарисовать потоки и компоненты» в системе «модель угроз».
• Кто решает: архитектор защиты.
• Оценка меры: артефакт операции «нарисовать потоки и компоненты» для темы «модель угроз»: свидетельство защиты по шагу «нарисовать потоки и компоненты» с датой, источником и итогом теста.
• Остаточный риск: при действии «нарисовать потоки и компоненты» в теме «модель угроз» возникает отклонение: для «нарисовать потоки и компоненты» нет проверки в контуре «модель угроз».

Отметить границы доверия: модель угроз

Не доверяйте одному сигналу. Для действия «отметить границы доверия» администратор системы собирает артефакт операции «отметить границы доверия» для темы «модель угроз»: свидетельство защиты по шагу «отметить границы доверия» с датой, источником и итогом теста минимум из двух независимых источников. На примере «веб-сервис принимает документы, вызывает внешнюю модель и сохраняет результат» проверьте ложноположительный и пропущенный случаи. При риске «при действии «отметить границы доверия» в теме «модель угроз» возникает отклонение: для «отметить границы доверия» нет проверки в контуре «модель угроз»» автоматическое решение ограничивают.

• Сигнал: «отметить границы доверия» в системе «модель угроз».
• Кто проверяет: администратор системы.
• Два источника: артефакт операции «отметить границы доверия» для темы «модель угроз»: свидетельство защиты по шагу «отметить границы доверия» с датой, источником и итогом теста.
• Ошибка детектора: при действии «отметить границы доверия» в теме «модель угроз» возникает отклонение: для «отметить границы доверия» нет проверки в контуре «модель угроз».

Задать нарушителей и возможности: модель угроз

Разделите предупреждение и блокировку. В системе «модель угроз» операция «задать нарушителей и возможности» получает владельца владелец данных, правило реакции и артефакт операции «задать нарушителей и возможности» для темы «модель угроз»: свидетельство защиты по шагу «задать нарушителей и возможности» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «задать нарушителей и возможности» в теме «модель угроз» возникает отклонение: для «задать нарушителей и возможности» нет проверки в контуре «модель угроз».

• Режим реакции: «задать нарушителей и возможности» в системе «модель угроз».
• Кто включает: владелец данных.
• Запись события: артефакт операции «задать нарушителей и возможности» для темы «модель угроз»: свидетельство защиты по шагу «задать нарушителей и возможности» с датой, источником и итогом теста.
• Влияние на работу: при действии «задать нарушителей и возможности» в теме «модель угроз» возникает отклонение: для «задать нарушителей и возможности» нет проверки в контуре «модель угроз».

Собрать сценарии угроз: модель угроз

Права на шаге «собрать сценарии угроз» выдаются под конкретную функцию и срок. Для «модель угроз» аналитик SOC подтверждает артефакт операции «собрать сценарии угроз» для темы «модель угроз»: свидетельство защиты по шагу «собрать сценарии угроз» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «собрать сценарии угроз» в теме «модель угроз» возникает отклонение: для «собрать сценарии угроз» нет проверки в контуре «модель угроз»» требует немедленного разбора.

• Минимальное право: «собрать сценарии угроз» в системе «модель угроз».
• Кто одобряет: аналитик SOC.
• Срок доступа: артефакт операции «собрать сценарии угроз» для темы «модель угроз»: свидетельство защиты по шагу «собрать сценарии угроз» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «собрать сценарии угроз» в теме «модель угроз» возникает отклонение: для «собрать сценарии угроз» нет проверки в контуре «модель угроз».

Оценить вероятность и ущерб: модель угроз

Доказательство безопасности должно пережить смену исполнителя. На этапе «оценить вероятность и ущерб» координатор изменений хранит артефакт операции «оценить вероятность и ущерб» для темы «модель угроз»: свидетельство защиты по шагу «оценить вероятность и ущерб» с датой, источником и итогом теста в общей системе. Для случая «веб-сервис принимает документы, вызывает внешнюю модель и сохраняет результат» воспроизведите проверку по инструкции. Если возникает «при действии «оценить вероятность и ущерб» в теме «модель угроз» возникает отклонение: для «оценить вероятность и ущерб» нет проверки в контуре «модель угроз»», процедуру нельзя считать рабочей.

• Процедура: «оценить вероятность и ущерб» в системе «модель угроз».
• Кто выполняет: координатор изменений.
• Повторяемый тест: артефакт операции «оценить вероятность и ущерб» для темы «модель угроз»: свидетельство защиты по шагу «оценить вероятность и ущерб» с датой, источником и итогом теста.
• Зависимость от человека: при действии «оценить вероятность и ущерб» в теме «модель угроз» возникает отклонение: для «оценить вероятность и ущерб» нет проверки в контуре «модель угроз».

Сопоставить существующие меры: модель угроз

Изменение защиты проходит управляемый выпуск. Для «сопоставить существующие меры» группа реагирования прикладывает артефакт операции «сопоставить существующие меры» для темы «модель угроз»: свидетельство защиты по шагу «сопоставить существующие меры» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «модель угроз» сравните риск до и после. При условии «при действии «сопоставить существующие меры» в теме «модель угроз» возникает отклонение: для «сопоставить существующие меры» нет проверки в контуре «модель угроз»» выпуск останавливают.

• Изменение: «сопоставить существующие меры» в системе «модель угроз».
• Кто выпускает: группа реагирования.
• Тест и откат: артефакт операции «сопоставить существующие меры» для темы «модель угроз»: свидетельство защиты по шагу «сопоставить существующие меры» с датой, источником и итогом теста.
• Стоп выпуска: при действии «сопоставить существующие меры» в теме «модель угроз» возникает отклонение: для «сопоставить существующие меры» нет проверки в контуре «модель угроз».

Назначить обработку риска: модель угроз

Инцидентный сценарий проверяется заранее. Во время «назначить обработку риска» владелец исключения использует артефакт операции «назначить обработку риска» для темы «модель угроз»: свидетельство защиты по шагу «назначить обработку риска» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «веб-сервис принимает документы, вызывает внешнюю модель и сохраняет результат» проведите настольную тренировку. Риск «при действии «назначить обработку риска» в теме «модель угроз» возникает отклонение: для «назначить обработку риска» нет проверки в контуре «модель угроз»» становится задачей с датой.

• Сценарий: «назначить обработку риска» в системе «модель угроз».
• Кто реагирует: владелец исключения.
• Хронология: артефакт операции «назначить обработку риска» для темы «модель угроз»: свидетельство защиты по шагу «назначить обработку риска» с датой, источником и итогом теста.
• Неготовая роль: при действии «назначить обработку риска» в теме «модель угроз» возникает отклонение: для «назначить обработку риска» нет проверки в контуре «модель угроз».

Обновлять модель при изменениях: модель угроз

Исключение не должно становиться постоянным обходом. Для шага «обновлять модель при изменениях» независимый аудитор записывает артефакт операции «обновлять модель при изменениях» для темы «модель угроз»: свидетельство защиты по шагу «обновлять модель при изменениях» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «модель угроз» регулярно ищите просроченные исключения. Ошибка: при действии «обновлять модель при изменениях» в теме «модель угроз» возникает отклонение: для «обновлять модель при изменениях» нет проверки в контуре «модель угроз».

• Исключение: «обновлять модель при изменениях» в системе «модель угроз».
• Кто принимает: независимый аудитор.
• Компенсация: артефакт операции «обновлять модель при изменениях» для темы «модель угроз»: свидетельство защиты по шагу «обновлять модель при изменениях» с датой, источником и итогом теста.
• Просрочка: при действии «обновлять модель при изменениях» в теме «модель угроз» возникает отклонение: для «обновлять модель при изменениях» нет проверки в контуре «модель угроз».

Матрица контроля и владения

Что изучить дальше

• маскирование данных
• качество данных
• аудит ИИ-систем
• инциденты с ИИ
• маскирование данных
• персональные данные в ИИ

Чек-лист запуска