Куда я попал?
AppSec Table Top: методология безопасной разработки от Positive Technologies
Framework
Модель угроз и требования
Для проведения оценки соответствия по документу войдите в систему.
Список требований
-
Инициатива: Моделирование угроз в ЖЦ ПО
Описание:
При анализе рисков важно рассматривать угрозы не только в фазе эксплуатации [TMR1], но и на всех этапах разработки ПО, в том числе и на ранних стадиях.
При выпуске приложений в производственную среду модель угроз должна использоваться для оценки остаточных рисков и для принятия решения о необходимости дополнительных мер безопасности.
Регулярное обновление модели (с учетом изменений в системе, угрожающей среде и используемых злоумышленниками методах) позволит обеспечить постоянную защиту от атак и минимизировать риски для бизнеса.
Шаги реализации:- Определить область применения модели угроз, ее границы и ключевые компоненты.
- Определить методологию разрабатываемой модели.
- Определить роли, которые будут участвовать в процессе моделирования угроз.
- Определить защищаемые активы: данные, компоненты приложения, инфраструктура и т. д.
- Распределить активы по уровню критичности: от самых важных до менее важных.
- Определить потенциальных злоумышленников — внутренних (сотрудники, контрагенты) и внешних (хакеры, конкуренты, мошенники).
- Определить мотивацию каждого типа злоумышленника: финансовая выгода, репутационный ущерб, политические мотивы и т. д.
- Провести оценку возможностей злоумышленников: уровень технических знаний, доступ к ресурсам, мотивация.
- Выявить слабые места в используемом ПО, операционных системах, сети, политиках доступа, людях.
- Провести анализ конфигурации (корректность настройки инфраструктуры и программного обеспечения).
- Определить вектор атак — последовательность действий, которые может предпринять злоумышленник, чтобы получить доступ к системе и нанести ущерб.
- Описать потенциальные последствия каждой атаки.
- Оценить риски: определить вероятность и последствия воздействия каждой атаки, а так же уровень риска (как произведение вероятности и воздействия).
- Регулярно обновлять модель угроз с учетом архитектурных и других изменений.
Зона ответственности: ИБ
Инструмент: -
Артефакт: Модель угроз приложения -
Инициатива: Чек-лист внешних регуляторных требований
Описание:
Чек-лист безопасности для организации или отдельного приложения формируется на основе анализа всех применимых регуляторных требований с учетом критичности и категории разрабатываемых продуктов [OAD2]. Его цель — обеспечить соответствие приложения нормативным требованиям и снизить риски безопасности.
Необходимые требования объединяются в один лаконичный документ, который:- Описывает совокупность всех необходимых требований в одном месте.
- Является ценным инструментом при проектировании архитектуры [TMR4].
- Помогает определить необходимые практики безопасности [SSDL2].
- Упрощает проведение аудитов и мероприятий по проверке соответствия требованиям [VC2].
Шаги реализации:- Определить область применения чек-листа: конкретное приложение, вся организация, определенный тип приложений.
- Определить все применимые регуляторы и требования законодательства.
- Провести анализ каждого регулятора и составить список актуальных требований к безопасности приложения или организации.
- Сгруппировать требования по категориям: аутентификация, авторизация, шифрование, безопасность данных, управление уязвимостями и т. д.
- Объединить похожие требования, чтобы избежать дублирования.
- Структурировать чек-лист, разбить его на разделы по категориям требований.
- Сформулировать требования в виде конкретных вопросов или утверждений, на которые можно ответить «да» или «нет».
- Добавить столбцы для проверки соответствия требованиям (например, «Выполнено», «Не выполнено», «В процессе»).
- Использовать чек-лист для учета требований (при проектировании, ПСИ или аудитах).
- Довести документ до сотрудников и разместить на внутреннем портале.
- Отслеживать изменения в регуляторных требованиях и регулярно обновлять чек-лист.
Зона ответственности: ИБ
Инструмент: -
Артефакт: Чек-лист требований -
Инициатива: Требования к инфраструктуре и ПО
Описание:
Базовые требования ИБ устанавливают минимально допустимый уровень защищенности, служат основой для проверок соответствия [VC2] и гарантируют единый подход к обеспечению безопасности. Список требований охватывает всю инфраструктуру, используемое ПО и приложения организации.
Документ включает:- Общие меры защиты для всей инфраструктуры и ПО.
- Специальные меры, учитывающие специфику конкретных приложений и технологий.
- Разработанные требования рекомендуется объединить с чек-листом регуляторных требований [TMR3].
Шаги реализации:- Назначить ответственных за разработку требований ИБ.
- Изучить существующую документацию (политики, стандарты, регламенты) и особенности процесса разработки.
- Ознакомиться с лучшими практиками и стандартами ИБ.
- Определить общие меры защиты, обязательные для всей инфраструктуры и ПО.
- Конкретно, понятно и измеримо сформулировать требования.
- Определить дополнительные меры защиты для каждого типа приложений или технологий с учетом их специфики (веб-приложения, мобильные приложения, облачные сервисы).
- Сгруппировать требования по категориям и области применения.
- Оформить, согласовать и утвердить требования ИБ в виде официального документа.
- Довести требования до всех заинтересованных сторон и сделать их выполнение обязательным.
- Дополнить чек-лист регуляторных требований разработанными требованиями ИБ.
- Обеспечить контроль выполнения требований и регулярное обновление документа.
Зона ответственности: ИБ/ИТ
Инструмент: -
Артефакт: Чек-лист требований. Требования ИБ к ПО -
Инициатива: Меры митигации
Описание:
Меры митигации играют ключевую роль в управлении рисками ИБ. Их основная задача — снизить вероятность реализации угроз и минимизировать потенциальный ущерб для организации. Выбор и реализация мер митигации основываются на результатах моделирования угроз [TMR1] и направлены на противодействие выявленным рискам.
Эффективные меры митигации учитывают специфику организации, особенности ее инфраструктуры, критичность информационных активов и характер потенциальных угроз. Они представляют собой совокупность технических, организационных и административных мероприятий, направленных на:- Проактивную защиту: устранение уязвимостей, блокирование атак, ограничение доступа к конфиденциальной информации.
- Снижение вероятности реализации рисков: повышение сложности доступа к системам, внедрение многофакторной аутентификации, обучение сотрудников.
- Минимизацию последствий реализации рисков: резервное копирование данных, разработка плана действий при инцидентах ИБ.
Шаги реализации:- Проанализировать результаты моделирования угроз для идентификации актуальных рисков.
- Оценить вероятность реализации каждой угрозы и потенциальный ущерб для организации.
- Для каждого выявленного риска определить набор мер, направленных на предотвращение, снижение вероятности реализации или минимизацию последствий.
- Определить план реализации мер митигации: ответственных за реализацию, сроки, ресурсы.
- Внедрять меры в соответствии с разработанным планом.
- Периодически проводить аудиты безопасности для оценки эффективности и корректировки мер митигации.
Зона ответственности: ИБ
Инструмент: -
Артефакт: План митигации
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.