Модель угроз ПДн от ФСТЭК

Изучая "Базовую модель угроз безопасности ПДн" выделил основные направления формирования такой модели. На первый взгляд все понятно, но терзает чувство, что на практике большинство, даже сами разработчики не смогут применить такой подход. Все начинается с того, что в классификации "угроз ПДн" присутствуют такие угрозы как биологические, химические, термические :).

Структура модели угроз следующая:

1. Источники угроз

2. Угрозы утечки по различным техническим каналам связи.

3. Уязвимости программнного обеспечения.

4. Угрозы доступа в ОС.

5. Угрозы межсетевого взаимодействия.

6. Характеристика нетрадиционных информационных каналов.

7. Типовые модели угроз.

а) Источники угроз разделены на три основных класса: нарушители, носители и аппаратные закладки. Если с нарушителями и носителями все понятно, то вредоносными закладками занимается ФСБ России и естественно документ, который может пролить свет, является ДСП. У меня получить его не получилось :(, поэтому классифицировать закладки я не смог.

б) Возможность реализации угрозы утечки информации по техническим каналам создают впечатление, что нас окружают шпионы, которые хотят получить информацию о наших медецинских анализах, счетах в банке, страховке....... любыми способами. Давайте будем адекватны и четко понимать, что мы не гос тайну защищаем :). И маленькая ремарка: в документе прописано, что ПЭМИН исходит от мониторов, на самом деле ПЭМИН исходит от соеденительного кабеля Монитор-ПК.

в) раздел про нетрадиционные каналы (стеганографию), я вообще не понял в этом документе, какую цель он приследует? Информирование, что есть такой способы защиты?! Могли написать статью :).

г) Типовые модели угроз - раз уж вначале задали формат описания угроз: "угроза НСД в ИСПДн: = <источник угрозы>, <уязвимость ИСПДн>, <способ реализации угрозы>, <объект воздействия (программа, протокол, данные и др.)>, <деструктивное действие>", то по такому формату и надо было описывать угрозы для типовых ИСПДн, а не списком :). Хотя типовые угрозы можно расширить и получить вполне адекватную модель угроз.

Как говорится рассуждать на тему можно долго, а от этого модель угроз не построится, в следующем посте изложу свое видение формирования источников угроз ПДн.