Что защищать и что не надо с точки зрения науки

Для одной из своих презентаций по финансовой оценке ИБ по я подготовил такую картинку:

Она позволяет взглянуть на информацию с точки зрения ее защиты. Далеко не всегда мы защищаем то, что имеет ценность. А часто мы защищаем то, что вообще является ценностью только в наших собственных глазах. И вот на днях я наткнулся на похожие размышления у Бейтлича, который придумал модель эффективности ИБ (Security Effectiveness Model).

Он тоже пишет, что при обеспечении безопасности можно выделить 3 следующих крупных области:

1. То, что необходимо защитить по мнению защищающейся стороны, независимо от того, представляет ли это "что-то" ценность для нарушителя безопасности и защищено ли оно на самом деле - т.е. "План защиты";
2. То, что представляет реальную ценность для нарушителя безопасности и на самом деле должно защищаться (хотя, возможно, оно не защищено) - т.е. "Цели угроз";
3. То, что на самом деле защищено в корпоративной ИТ-инфраструктуре независимо от точек зрения защищающихся и нарушителей, т.е. "Реальная система защиты".

Дальше у себя в блоге Бейтлич рассуждает об этой модели, представленной в виде диаграммы Венна, которая хорошо иллюстрирует связь этих областей (множеств). Например, план защиты правильный, когда он совпадает с действиями нарушителя. Это означает правильное моделирование угроз (включу к себе в курс). И он неправильный, когда реальная защита не пересекается ни с интересами службы ИБ, ни с интересами злоумышленников. Дальше идут промежуточные состояния - "защищено", "скомпрометировано", "возможна компрометация", "уход от компрометации".

Самое интересное Ричард описывает дальше - как раз на стыке разных пересечений. Например, область "Incorrect, defended, compromise possible" (неверный план защиты, защищено, компрометация возможна". Она означает, что по непонятной причине у вас включена защита того, что вы не рассматривали в качестве мишени для злоумышленников. Может быть это было включено "потому что так у всех". А может просто это настройки "по умолчанию". Но в любом случае вам повезло - ни о какой планомерной защите в таком сценарии говорить не приходится.

Область "Correct, undefended, compromised" (верный план защиты, незащищено, компрометация) означает, что вы верно пресказали направление удара противника, но не защитились от него. Причин тоже может быть немало, например, банальная нехватка ресурсов.

Ваше попадание в центральную область "Correct, defended, compromise possible" может считаться идеалом, но только на первый взгляд. Да, вы правильно предсказали направление приложения сил злоумышленника и сосредоточили там свою защиту, но... дальше все зависит от тех ресурсов, которые бросит злоумышленник на взлом или обход вашей защиты. Вот тут уже важно подключать верхнюю картинку, которая подскажет, сколько тратить на безопасность.

Самая большая часть плана защиты (Incorrect, undefended, compromise avoided) включает очень распространненную ситуацию: вы не знаете от чего защищаться, мероприятия по защите не реализованы, но и вы никому не интересны ;-) Чуть лучше (хотя вы тоже никому не нужны) ситуация в сегменте "Incorrect, defended, compromise avoided". Это как говорится "на всякий случай".

Вот такая интересная модель. Позволяет немного по новому (как и любая визуализация) взглянуть на то, что делают службы ИБ на своих предприятиях и сконцентрироваться на упущенных областях. И, кстати, обратите внимание, что в этой модели отсутствует сегмент "Correct, defended, compromise avoided". И это правильно. Если вы (или часть вас) никому не нужны, то зачем тратить ресурсы на защиту? Даже если это и общепринято защищать...