14.09.2009

Детальная программа курса "Построение модели угроз"

Я уже писал, что затеял курс "Построение модели угроз". Учитывая обязательное требование наличия модели в документах по персданным, вопрос ее построения не праздный. А оценив сколько стоит разработка такой модели - вопрос не праздный вдвойне. На выходных читал этот курс и теперь могу описать программу более детально, чем это было сделано в июле.

Основная цель - анализ существующих подходов к разработке модели угроз. Причем акцент делается на том, "как правильно", а не как надо "для галочки" (хотя и его тоже рассматриваю). Большое внимание уделяется различным стандартам, которые упоминают про разработку модели угроз.

  1. Что такое угроза и риск?
  2. Классификация источников угроз
  3. Характеристики угроз и элементы риска
  4. Анализ рисков vs. анализ угроз
  5. Зачем нужно моделирование угроз
  6. Общий подход к моделированию угроз в современном мире
  7. Качественная и количественная оценка: сравнение подходов
  8. Можно ли доверять экспертам? Метод Дельфи
  9. Моделирование угроз на разных этапах жизненного цикла системы
  10. 4 стратегии анализа рисков
  11. Процесс моделирования угроз
  12. Идентификация угроз
  13. Анализ последствий (ущерба)
  14. Классификация последствий
  15. Анализ неопределенностей (чувствительности)
  16. Как проверить адекватность модели угроз?
  17. Классификация нарушителей
  18. Каталоги угроз
  19. 16 методов анализа рисков и определения опасностей. Как выбрать адекватный метод?
  20. Оценка рисков
  21. 5 методов оценки вероятности угроз
  22. Потенциал нападения
  23. Какая градация вероятностей угроз правильная? 9-тиуровневая, 6-тиуровневая, 3-хуровневая...
  24. Как оценить ущерб? Может ли ущерб измеряться не деньгами?
  25. Ценность материальных и нематерильных активов. Имеет ли информация стоимость?
  26. 12 методов оценки стоимости информации
  27. Зарубежные и отечественные методики моделирования угроз - ГОСТ Р ИСО/МЭК 13335-3-2007, ISO\IEC TR 13569, ГОСТ Р 51344-99, "дерево атак", модель угроз Microsoft (методы DREAD и STRIDE), модель угроз OWASP, модель Trike, модель N-Softgoal, модель Digital Security, методики ФСТЭК для персональных данных, коммерческой тайны и ключевых систем информационной инфраструктуры, методика ФСБ и т.п.
  28. Примеры моделей угроз
  29. Средства автоматизации моделирования угроз
  30. Как оформить модель угроз?

Среди рассматриваемых стандартов по данной теме: ГОСТ Р 52448-2005, ГОСТ Р ИСО/МЭК 13335-3-2007, ГОСТ Р ИСО/МЭК 13335-4-2007, ГОСТ Р 51901.1-2002, MAGERIT, ГОСТ 51275-2006, ГОСТ Р 51344-99, ГОСТ Р ИСО/МЭК18045, ISO\IEC TR 13569, IT-Grundschutz Methodology, AS/NZS 4360:2004, EBIOS, MEHARI, OCTAVE, FRAP, NIST 800-30, MG-2, MG-3, SOMAP, IRAM, РС БР ИББС-2.2-2009 "Методика оценки рисков нарушения информационной безопасности", Cisco SAFE и т.п.

Ближайший курс пройдет в Москве 28-го сентября в Институте банковского дела АРБ (очно и онлайн).

Презентация курса: часть 1, часть 2, часть 3, часть 4 и часть 5.

31 коммент.:

Denis комментирует...

я бы сходил ;-)

Алексей Лукацкий комментирует...

Сходи

Алексей комментирует...

Написано красиво, но оценить что будете рассказывать реально сложно. А за простой реферативный обзор стандартов 6 т.р. онлайн жалко. Хотя информация очень полезная.

Алексей Лукацкий комментирует...

Ну я же и не заставляю ;-) Хотя, зная средние цены на рынке, эта не та цена, которая может остановить слушателей курса. Я знаю случае оплаты курса со стороны частных лиц. Чего уж говорить про организации...

Алексей комментирует...

Согласен, погорячился. Будут свободные деньги - обязательно послушаю и тогда уж предметно покритикую. :-)

vilis комментирует...

Здравствуйте, Алексей! На прошлой неделе отправил заявку на Онлайн семинар, отметив, что счет хочу получить по факсу, но не счета, не письма, ни звонка не получил. Телефон, указанный на ibdarb.ru не отвечает. Как связаться с институтом, подскажите!

Алексей Лукацкий комментирует...

Я сам звоню по этим телефонам - http://www.ibdarb.ru/contacts.php - проблем не бывает. Еще можно 234-5799

Max комментирует...

Алексей, здравствуйте.
А возможно сейчас приобрести Ваши методические рекомендации по построению модели угроз

Алексей Лукацкий комментирует...

Приобрести? Это же курс, а не пособие.

Olga комментирует...
Этот комментарий был удален автором.
Olga комментирует...

Алексей Лукацкий, подскажите пожалуйста, какие документы по оценке рисков опубликованы ФСТЭК и ФСБ. (Помогите запутавшейся студентке)

Алексей Лукацкий комментирует...

Только методика определения актуальных угроз ПДн и КСИИ у ФСТЭК. У ФСБ таких документов не видел.

Алексей Лукацкий комментирует...

Хотя это не совсем риски...

Olga комментирует...

А вот вы в 27 пункте пишете "методики ФСТЭК для персональных данных,... методика ФСБ и т.п."
Не подскажите, в каком документе можно ознакомиться с методикой ФСБ?
(до сих пор не могу)

Алексей Лукацкий комментирует...

В одном из двух документов ФСБ по персданным. Скачать можно с сайта РКН - http://pd.rsoc.ru/law/

Mikhail Smirnov комментирует...

Алексей, подобные семинары еще где-нибудь проводятся?

Алексей Лукацкий комментирует...

Увы ;-( Спроса на них пока нет

Mikhail Smirnov комментирует...
Этот комментарий был удален автором.
Mikhail Smirnov комментирует...

Прискорбно...

Mikhail Smirnov комментирует...

Ничего не изменилось? Есть потребность.

Алексей Лукацкий комментирует...

Пока нет. Может быть в конце сентября будут подвижки

Mikhail Smirnov комментирует...

К сожалению сроки горят. Алексей, не порекомендуете аналогичные курсв, в которых данная тема раскрывается более полно и подробно, чем в курсах по защите ИСПДн?

Алексей Лукацкий комментирует...

Нет таких ;-( Просто презентации недостаточно?

Mikhail Smirnov комментирует...

Возможно достаточно, а как увидеть эту презентацию?

Алексей Лукацкий комментирует...

http://lukatsky.blogspot.com/2010/02/5.html - пятая часть. Остальные четыре сам по названию найдешь...

Kirill комментирует...

Алексей, скажите, пожалуйста, Вы данный курс все еще читаете?

Алексей Лукацкий комментирует...

Курс есть. Я его читаю. Запросов нет

Kirill комментирует...

т.е. попасть на него в ближайшем будущем не получится...жаль.

ser-storchak комментирует...

Алексей, подскажите, пожалуйста, как проверить адекватность модели угроз организации существующим угрозам ИБ? Должен быть сформирован какой-то документ / отчет?
P.S. со слайдами ознакомился, но ответ на вопрос не нашел. =(

Алексей Лукацкий комментирует...

ser-storchak: экспертным путем. Или внешними экспертами. Еще можно подождать методички ФСТЭК

ser-storchak комментирует...

Спасибо за ответ.