Оценка защищенности ИСПДн по ФСТЭК (часть 1)

В области оценки защищенности ИСПДн существует интересный подход ФСТЭК, который называется "Методика определения актуальных угроз безопасности ПДн........". Изучаю документ с конца. Сам подход к оценке актуальных угрох не вызвал протеворечивых ощущений (хотя об этом в части 2). В целом создавалась довольно полная картинка о предлагаемом подходе, пока я не дошел до оценки "уровня исходной защищенности ИСПДн" и тут, честно говоря, я был повергнут в легкий шок.

Что же я вижу!? Показатели защищенности: 1. Территориальное размещение; 2. Наличие соединения с сетью Интернет; 3. Операции с записями в БД. Честно говоря до сих пор не понимаю о чем идет речь!? О какой защищенности?!

Решил хоть как-то оправдать такой абсурд, извините не получилось :).

Думаю что логичнее было бы в качестве показателей защищенности определить степень выполнения требований из приказа № 58 ФСТЭК. Например, ИСПДн имеет выход в сеть интернет: далее в зависимости от класса ИСПДн идут требования к системе защиты межсетевого взаимодейстивя, систем обнаружения вторжений и т.д. Шкалу оценок можно оставить исходную.

А в исходном варианте получается что защищенность зависит от того какие операции пользователь может осуществлять в БД, а не от того как настроена и имеется ли вообще система разграничения прав доступа - класс. Это все равно, что производительность ПК определят по тому из какого материала сделан его корпус и какой он формы или по типу монитора, клавиатуры и мыши :).

Ну раз так считают в "государственном научно-исследовательском испытательном институте проблем технической защиты информации", то быть посему ;).

Почему так получилось? В результате не грамотности специалистов или ограниченности времени или нежелание заниматься вопросом - судите сами :).