1. Курс
«Моделирование
угроз»
Обзор
курса
Понятие
«модель
угроз»
в
области
информационной
безопасности
существует
уже
не
первый
год,
но
интерес
к
нему
активизировался
только
в
последние
месяцы,
после
выхода
требований
отечественных
регуляторов
к
защите
персональных
данных.
Возникает
очень
много
вопросов
к
данной
теме.
Как
построить
модель?
Надо
ли
ее
согласовывать
с
регуляторами?
Что
она
должна
включать?
Как
определить
актуальность
угроз?
Какой
формат
должен
быть
у
модели
угрозы?
Можно
ли
оптимизировать
ее
разработку?
На
все
эти
вопросы,
а
также
на
многие
другие
ответит
данный
курс.
Помимо
упомянутых
тем,
будут
рассмотрены
существующие
модели
угроз,
приведен
перечень
типовых
угроз,
покрывающий
до
80%
потребностей
любой
организации,
а
также
описана
пошаговая
и
детальная
процедура
построения
модели
угроз,
отвечающей
как
реальным
потребностям
организации,
так
и
требованиям
отечественных
регуляторов.
Для
кого
предназначен
курс
Курс
ориентирован
на
2
категории
специалистов:
• На
руководителей
служб
безопасности
(CSO),
отделов
информационной
безопасности
(CISO),
советников
по
безопасности,
экспертов
по
безопасности
и
т.п.
• На
интеграторов
и
консультантов,
выполняющих
работы
по
информационной
безопасности
для
своих
заказчиков.
Основные
темы
курса
В
курсе
«Построение
модели
угроз»
мы
рассмотрим
следующие
темы:
1. Что
такое
угроза
и
риск?
2. Характеристики
угроз
и
элементы
риска
3. Что
такое
модель
угроз?
4. Анализ
рисков
vs.
анализ
угроз
5. Зачем
нужно
моделирование
угроз?
6. Общий
подход
к
моделированию
угроз
в
современном
мире
7. Качественная
и
количественная
оценка:
сравнение
подходов
8. Можно
ли
доверять
экспертам?
Метод
Дельфи
9. Психология
восприятия
рисков
безопасности
10. Моделирование
угроз
на
разных
этапах
жизненного
цикла
системы
11. 4
стратегии
анализа
рисков
12. Процесс
моделирования
угроз
13. Идентификация
угроз
14. Анализ
последствий
(ущерба)
15. Классификация
последствий
2. 16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
Анализ
неопределенностей
(чувствительности)
Как
проверить
адекватность
модели
угроз?
Классификация
нарушителей
Классификация
источников
угроз
Каталоги
угроз
16
методов
анализа
рисков
и
определения
опасностей.
Как
выбрать
адекватный
метод?
Оценка
рисков
5
методов
оценки
вероятности
угроз
Как
оценить
потенциал
нападения/нарушителя?
Какая
градация
вероятностей
угроз
правильная?
9-‐тиуровневая,
6-‐тиуровневая,
3-‐
хуровневая...?
Как
оценить
ущерб?
Может
ли
ущерб
измеряться
не
деньгами?
Ценность
материальных
и
нематериальных
активов.
Имеет
ли
информация
стоимость?
В
чем
разница
цены
и
ценности?
12
методов
оценки
стоимости
информации
Зарубежные
и
отечественные
методики
моделирования
угроз
-‐
ГОСТ
Р
ИСО/МЭК
13335-‐3-‐
2007,
ISOIEC
TR
13569,
ГОСТ
Р
51344-‐99,
"дерево
атак",
модель
угроз
Microsoft
(методы
DREAD
и
STRIDE),
модель
угроз
OWASP,
модель
Trike,
модель
N-‐Softgoal,
модель
Digital
Security,
методики
ФСТЭК
для
персональных
данных,
коммерческой
тайны
и
ключевых
систем
информационной
инфраструктуры,
методика
ФСБ,
методика
Банка
России
и
т.п.
Примеры
различных
моделей
угроз,
в
т.ч.
и
для
персональных
данных
Средства
автоматизации
моделирования
угроз
Как
правильно
оформить
модель
угроз?
Дополнительные
замечания
В
процессе
изучения
каждый
слушатель
получит
комплект
сопутствующих
документов,
шаблоны
модели
угроз
и
перечень
типовых
угроз,
покрывающий
80%
потребностей
любой
организации.
Продолжительность
курса
8
академических
часов
