Cравнения техник из приказа FST&CK и мер защиты из приказов ФСТЭК

 

Для тех, кто уже провел моделирование угроз с использованием техник и тактик нарушителей из методики ФСТЭК России следующим логичным шагом будет выбор контрмер, которыми можно предотвратить техники нарушителей.

 

Логично что меры для защиты ИСПДн надо выбирать из приказа ФСТЭК №21, для государственной информационной системы из приказа ФСТЭК №17, для объектов КИИ из приказа ФСТЭК №239 и для остальных объектов АСУТП из приказа ФСТЭК №31.

Пока ФСТЭК России не выпустил каких-то методических документов по соответствию между техниками и мерами защиты. От ассоциаций и отраслевых регуляторов тоже не было ничего по этой части. А строить системы защиты как-то надо….

Поэтому я провел для вас такой анализ – какие меры защиты из приказов ФСТЭК лучше всего подойдут для предотвращения техник нарушителей.

 

Отмечу что каждую технику можно нейтрализовывать не одной а набором мер (тут скорее надо исходить из критичности системы)

Ситуация осложнялась тем, что меры защиты в разных приказах ФСТЭК все ещё не синхронизированы, и отдельно пришлось выявлять, где скрываются аналогичные меры защиты. По моим оценкам 30% мер перемешаны и остальные 70% совпадают во всех приказах или не имеют аналогов в других приказах. 


Также есть статистика по группам мер защиты, наиболее востребованных в  предотвращении техник нарушителей.

 


С результатами данного анализа в режиме чтения можно ознакомиться на портале proib.ru


Материалы в таблицах или онлайн airtable доступны для подписчиков на порталах https://www.patreon.com/sborisov и https://boosty.to/proib/

 

Комментарии

Николай Казанцев написал(а)…
Доброго дня, Сергей! Маппинг требований регуляторики, а том числе приказов фстэк 17/21/31/239 есть тут у нас - https://service.securitm.ru/compliance
можно использовать.
13 ноября 2021 г. в 04:22
Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп...
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). ...
Далее...

КИИ. Какие ГОСы попадают сферу КИИ?

Изображение
Срок на категорирование объектов критической информационной инфраструктуры РФ скоро заканчивается ; )   а многие организации только сейчас начинают планировать мероприятия в этой части. Если с коммерческими компаниями вопрос попадания или не попадания их в сферу действия ФЗ о безопасности КИИ решается достаточно просто, то с государственными органами и учреждениями ситуация сложнее. В ряде регионов от регуляторов проводилась рассылка на все гос. органы с требованием провести категорирование объектов КИИ. Но по факту им надо было сначала определится с попаданием с сферу КИИ, а потом уже проводить или не проводить категорирование. Вспомним рекомендации ФСТЭК в этой части: 1.        ОКВЭД. Давайте посмотрим несколько примеров. ·          Минздрав: 84 .11.21 - Деятельность органов государственной власти субъектов Российской Федерации (республик, краев, областей), кроме судебной власти, представительст...
Далее...