ФСТЭК России является правопреемницей Государственной технической комиссии СССР, которая была создана в декабре 1973 года. для решения задачи формирования перечня актуальных угроз ИБ российский регулятор ФСТЭК России выпустил методический.
Сергей Борисов
Этот документ подтверждает, что программу можно использовать в системах защиты персональных данных. Во втором случае — аттестует компанию, которая хранит персональные данные например, биометрические. ФСТЭК также разрабатывает и согласовывает стандарты и правила в области информационной безопасности, проводит обучение и сертификацию специалистов в этой сфере.
К2Тех и Альфа-Лизинг разработали систему управления лизинговой деятельностью Разработка сделана на базе 1С. С помощью этой системы произошел рефакторинг более 240 бизнес-процессов свыше 1,5 тысяч требований на автоматизацию и 200 форм отчетности. Общий охват проекта составил 500 пользователей. Внедрение было обусловлено федеральным законом. Управление предприятием 2» — архитектура подходила для дальнейшей кастомизации. Однако анализ выявил больше комплексных требований, чем предполагалось изначально — проект потребовал вовлечения большего количества ресурсов, увеличения сроков, принятия управленческих решений по распараллеливанию этапов и одновременному проведению аналитики, проектирования и разработки по различным функциональным блокам для достижения быстрого результата. Документы, системы для учета ИТ-активов и категорирования объектов критической информационной инфраструктуры КИИ. В решении появилась функция автоматического формирования модели угроз, которая позволит компаниям оценивать актуальность опасностей, опираясь на добавленные редактируемые справочники.
Документы» отражена информация об угрозах, способах их реализации, техниках и тактиках злоумышленников, выгруженная из банка данных угроз безопасности информации БДУ ФСТЭК. Кроме того, теперь компании могут редактировать и дополнять справочники, опираясь на собственные ресурсы и опыт. В решении появились новые возможности для оценки рисков КИИ. После того, как ИБ-специалисты клиента провели предварительное сканирование системы, назначили активы например, доменное имя, IP-адрес , оборудование и программы, они могут ранжировать угрозы по 10-балльной шкале. Отметки от 7 до 10 определяют, что кибератака актуальна, от 0 до 6 — нет. Глобальное обновление «Р7-Команда» Модуль видеоконференцсвязи «Р7-Команда» получил обновление сервера и десктопного клиента. Появился индикатор качества сетевого соединения, добавлен набор новых функций по управлению групповыми чатами и поддержка отправки файлов больших размеров. Сервер и десктопный клиент «Р7-Команда» теперь поддерживают совершение выборочных звонков: перед началом группового вызова можно выбрать, каким именно участникам группы будет совершен звонок. Кроме того, для групп с модерацией для пользователей в роли «Докладчик» доступна опция отображения только активных участников конференции тех, у кого включена камера или микрофон , а также переключение между медиапотоками участника звонка. Реализована упрощенная авторизация в рамках одной организации , а при открытии ссылки на конференцию или в группу запускается десктопный клиент.
Образование и обучение Холдинг Т1 и МФТИ создали совместное предприятие для развития решений с использованием ИИ Холдинг Т1 и МФТИ, ведущий российский вуз по подготовке специалистов в области теоретической, экспериментальной и прикладной физики, математики, информатики объявляют о создании совместного предприятия «Квантовые и оптимизационные решения» СП «КОР» , которое будет заниматься разработкой оптимизационных решений в области математики и искусственного интеллекта. СП «КОР» станет связующим звеном между наукой, бизнесом и промышленными предприятиями: холдинг Т1 выступит как вендор, взаимодействующий с государством и компаниями из разных отраслей В числе задач нового предприятия: создание технологий на основе численных методов оптимизации и соответствующих инновационных продуктов, обеспечивающих решение актуальных практических и производственных задач. К2Тех перевел сеть магазинов Zolla на новую систему автоматизации торговли Необходимость в замещении системы управления торговой деятельностью у Zolla формировалась давно — на используемую версию решения «1С: Управление торговлей 10. Ключевым требованием к новой системе стал расчет себестоимости товаров. Сложность перехода заключалась в том, что на ИТ-системе было завязано огромное количество бизнес-процессов компании. В Zolla входит более 450 магазинов по всей России, каждый из которых имеет отдельную информационную базу и связан интеграционными потоками с центральной базой автоматизации торговли. Система ежедневно отражает в среднем 30 тысяч операций, собирает и консолидирует данные из отдельных информационных баз каждого магазина о заполненности складов, перемещениях товара и его продажах. Для базы построения новой системы было выбрано решение 1С: Управление торговлей 11. Это типовой продукт, позволивший закрыть большинство потребностей заказчика по функционалу. Система работает на базе платформы 1С 8.
В результате проектная команда К2Тех и Zolla обновила систему автоматизации торговли 1С до УТ-11 и реализовала полный оперативный обмен между исторической и внедряемой базой. Аутсорсинговая компания «Центр единого сервиса Аскона Лайф Групп» автоматизировала обслуживание клиентов с помощью российского продукта Naumen Service Desk Pro. Сервисной поддержкой пользуются 63 корпоративных клиента и 10 тыс. В систему поступают запросы от организаций на бухгалтерское, кадровое, административное обслуживание и работу с нормативно-справочной информацией НСИ. Также в системе настроены и предоставляются 25 услуг для внутренних пользователей. Сотрудники холдинга Askona Life Group оценили быстроту, прозрачность и удобство работы в единой системе.
Рассмотрим подробнее, что он собой представляет, кому нужен и насколько соответствует потребностям операторов. Что такое банк угроз: цели создания и доступ к информации При построении модели УБ часто возникают сложности с выявлением и указанием факторов риска, которые могут быть реализованы в ИС. Упростить работу возможно. Фактически это ни что иное, как электронная база, в которой присутствует описание тех условий, которые могут стать причиной НСД и выполнения неправомерных действий с конфиденциальными сведениями. Целью создания является обеспечение поддержки как информационной, так и методической организациям, деятельность которых связана с ПДн, ГИС и управлением критически важными объектами. Просмотреть базу данных угроз ФСТЭК России можно на официальном сайте контролирующего органа в разделе «Техническая защита информации» либо перейти по прямой ссылке bdu.
Сочетает в себе сервер приложений, базу данных с гибкой схемой данных и мощные средства масштабирования для построения отказоустойчивых сервисов.
Защита документов
АИС «Налог-3» Информационная система ФНС России. Еженедельно обновляемая база уязвимостей, совместимая с банком данных угроз безопасности информации (БДУ) ФСТЭК России. ФСТЭК России Олег Василенко Россия.
Новый раздел на сайте БДУ - Форум по вопросам информационной безопасности
Этот документ подтверждает, что программу можно использовать в системах защиты персональных данных. Во втором случае — аттестует компанию, которая хранит персональные данные например, биометрические. ФСТЭК также разрабатывает и согласовывает стандарты и правила в области информационной безопасности, проводит обучение и сертификацию специалистов в этой сфере.
В Положении 719-П и 757-П имеется похожее требование к использованию безопасного прикладного ПО, однако в данном нормативном документе говорится об оценке соответствия прикладного ПО по ОУД4. Разница между анализом уязвимостей по ОУД4 и оценкой соответствия по ОУД4 заключается в том, что анализ уязвимостей — это комплекс мероприятий по оценке лишь части компонентов доверия в пределах определённого уровня доверия, например, при проведении анализа уязвимостей оцениваются классы доверия «Разработка», «Руководства», «Оценка уязвимостей».
В отличии от анализа уязвимостей, в оценку соответствия по ОУД4 входит анализ всего перечня классов доверия и выполнения всех действий оценщика. В рамках анализа уязвимостей и оценки соответствия оценщики должны использовать ГОСТ 15408 в качестве справочного руководства при интерпретации изложения как функциональных требований, так и требований доверия.
Модели угроз безопасности информации систем и сетей, разработанные и утверждённые до утверждения Методики, продолжают действовать и подлежат изменению в соответствии с настоящей Методикой при развитии модернизации соответствующих систем и сетей. В связи с утверждением настоящего методического документа не применяются для оценки угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК России, 2008 г.
Использование «Сканер-ВС» позволяет обеспечить непрерывный мониторинг защищенности информационных систем, а также повысить эффективность деятельности IT-подразделений и служб безопасности. Возможность работы в режиме Live USB, а также развертывания в ИТ-инфраструктуре предприятия с поддержкой одновременной удаленной работы пользователей.
Формирование отчета с техническими рекомендациями по устранению обнаруженных брешей в защите. В комплексе предустановлены словари, содержащие самые распространенные пароли имена, числовые, клавиатурные последовательности и т.
Новый раздел на сайте БДУ - Форум по вопросам информационной безопасности
Определение угроз безопасности для инфраструктуры, размещаемой на внешних хостингах Особое внимание уделяется вопросу разделения ответственности при моделировании угроз для информационных систем, размещаемых во внешних ЦОД и облачных сервисах. Определение актуальных угроз безопасности в рассматриваемой ситуации должно осуществляться владельцем информации совместно с используемым хостингом. В общем случае хостинг определяет актуальные угрозы безопасности для предоставляемой им инфраструктуры и доводит эти сведения до своего клиента — обладателя информации оператора. Например, границы моделирования угроз безопасности при аренде виртуальной инфраструктуры выглядят следующим образом: В случае, если владелец хостинга не выполняет моделирование угроз, Методика не рекомендует использование его услуг. С учетом того, что такая рекомендательная мера далеко не всегда будет соблюдаться, остается открытым вопрос о том, как быть владельцу информации, если он решится на использование услуг такого хостинга. Поддержание модели угроз в актуальном состояние Результаты моделирования угроз оформляются в виде документа по форме, представленной в приложении к Методике, и утверждается руководителем обладателя информации оператора. Стоит отметить, что предлагаемая к использованию форма документа имеет достаточно стандартную структуру, повторяющую основные разделы Методики, при этом в ней отсутствует раздел с указанием выводов или какой-либо иной информации, объясняющей, что же с этими угрозами делать дальше. Такой подход, к сожалению, создает впечатление неоконченного документа, описывающего мероприятие, вырванное из общего контекста. Но перейдем к дальнейшим этапам жизненного цикла модели угроз.
Подразумевается, что в течение всего периода эксплуатации информационной системы, модель угроз должна актуализироваться с учетом изменения требований законодательства, изменения архитектуры и условий функционирования системы, выявления новых угроз безопасности информации. С учетом того, что внесение изменений в БДУ событие относительно частое от 1 до 3 раз в год, в соответствии с представленной в базе информацией , возвращаться к вопросу актуализации модели угроз придется регулярно. Вместе с тем стоит отметить, что поддерживать в актуальном состоянии модель угроз можно и в виде электронного документа. Необходимо ли в этом случае утверждать такой документ у руководителя и если да, то каким именно образом — пока неясно. Удалась ли новая Методика? Опубликованный проект документа демонстрирует, что в вопросах обеспечения безопасности информационных систем регулятор старается идти в ногу со временем и вместе с тем учитывать пожелания владельцев таких систем. Из очевидных плюсов обновленной Методики стоит отметить: ее универсальность и, следовательно, возможность использования для различных типов информационных систем; структурированный и понятный подход к определению актуальности угроз безопасности; зависимость актуальности угроз от действительно важных факторов — наличия потенциальных негативных последствий от реализации угрозы и сценариев ее реализации. Вместе с тем, при прочтении Методики отчетливо ощущается, что это лишь проект, а не финальная версия методического документа: неоднократное упоминание БДУ в контексте функций, которая она в настоящий момент не реализует; ссылки на фактически отсутствующие для большинства типов информационных систем базовых и типовых моделей угроз; форма документа по результатам моделирования угроз, требующая доработки и иные мелкие недочеты.
И что же дальше? Новый вариант Методики значительно отличается от действующей в настоящее время. В случае утверждения этого документа а пока не видно ни одной действительно значимой причины, почему это может не произойти , перед владельцами информационных систем встанет вопрос о том, нужно ли им актуализировать имеющиеся модели угроз и если да, то как и в какой срок необходимо это осуществить.
Когда нет понятий и определений, то откуда взяться их смысловому значению и говорить о какой-то их "строгости"? Если ту же УБИ. Это к вопросу толкований и толкователей, ага... Под "семантикой" следует понимать смысловую нагрузку сообщения в целом, потому что конкретное слово вне контекста зачастую может быть воспринято некорректно как, собственно, и происходит у любителей докопаться до терминологии...
Что же до моего вИдения, так, блин, все, что пишу на форуме, находится под знаком "imho". Или меня внезапно причислили к рупорам регулятора? Спасибо, конечно, но после "Догмы" образ Метатрона вообще не импонирует... С одной стороны, "Угроза"! Короче, поглядим, что там будет в новой редакции Методики... Видимо под "смысловой нагрузкой сообщения в целом" имеется в виду "выражение законченной мысли", а, следовательно, под "семантикой" предлагается понимать "предложение". Вот почему в начале документов, как правило, приводят термины и определения сейчас понятия , чтобы через объяснение применяемых понятий широком смысле, узком смысле, каком-то уникальном смысле способствовать более точному пониманию смысла изложенного в документе текста в целом.
А какие ещё бывают виды векторов кроме "базового"? Чем принципиальное описание отличается от не принципиального? Количеством листов 20 для всех?
В настоящее время по данным на март 2018 года поддержкой и администрированием реестра уязвимостей CVE занимается группа из 84 организаций по всему миру, в число которых входят ведущие производители программного обеспечения, телекоммуникационного оборудования и интернет-сервисов, такие как Apple, Cisco, Facebook, Google, IBM, Intel, Microsoft, Oracle и ряд компаний, специализирующихся в области информационной безопасности, например, F5 Networks, McAfee, Symantec, «Лаборатория Касперского» и др.
При этом, хотя сами базы данных различаются на уровне функциональных возможностей, предоставляемых пользователям, сами списки записей об уязвимостях фактически идентичны друг другу. Формально CVE List выступает изначальным источником записей для базы данных NVD, а специалисты, отвечающие за поддержку базы NVD, производят уточненный анализ и сбор доступной информации по уязвимостям, зарегистрированным в CVE List например, собирают ссылки на сторонние источники информации об уязвимости и мерах по ее устранению или предотвращению эксплуатации. Для каждой из обнаруженных уязвимостей запись в базе содержит краткое описание типа и причин уязвимости, уязвимые версии ПО, оценку критичности уязвимости в соответствии со стандартом CVSS Common Vulnerability Scoring System и ссылки на внешние источники с информацией об уязвимости — чаще всего, таковыми выступают информационные бюллетени на сайтах производителей программного обеспечения или исследовательских организаций. Также возможно автоматическое получение обновлений в машиночитаемом виде через специальный data feed CVE Change Log он позволяет как отслеживать появление новых идентификаторов CVE, так и изменения в записях для уже существующих.
При обнаружении новой уязвимости производителем ПО или исследовательской организацией или подтверждении наличия уязвимости вендором ПО в ответ на сообщение от частных исследователей или организаций, не входящих в CVE Numbering Authorities под нее оперативно регистрируется новый идентификатор CVE и создается запись в базе, после чего происходит периодическое обновление информации. При этом уникальность регистрируемого идентификатора обеспечивается иерархической структурой CNAs как показано на рисунке , в которой корневые организации Root CNA делят и распределяют между подчиненными организациями Sub CNA диапазон доступных в этом году идентификаторов CVE. Каждая из соответствующих подчиненных организаций в свою очередь распоряжается предоставленным диапазоном идентификаторов для создания записей об обнаруженных уязвимостях в своих собственных продуктах, либо обнаруженных уязвимостях в продуктах третьей стороны, при условии, что она не является участником CVE Numbering Authorities. Рисунок 1: Иерархическая структура CNAs Сильной стороной самого стандарта CVE является его повсеместная поддержка в современных программных продуктах и сервисах, направленных на обеспечение информационной безопасности.
Некоторым естественным ограничением баз данных CVE List и NVD является отсутствие в записях об уязвимостях какой-либо информации о точном месте локализации уязвимости в коде уязвимого ПО и возможных векторах атак, посредством которых возможна эксплуатация данной уязвимости. В некоторых случаях данная информация может быть найдена по ссылкам на внешние ресурсы, однако в большинстве случаев производители и вендоры ПО избегают публикации данной информации, причем не только на период разработки и внедрения патчей, закрывающих обнаруженную уязвимость, но и в последующем. Частично такая политика объясняется нежеланием участников CVE Numbering Authorities предоставлять подобную информацию потенциальным злоумышленникам, особенно в свете того, что уязвимое программное обеспечение может быть широко распространено по всему миру, а эксплуатирующие его организации часто не имеют возможностей или не придают должного значения своевременной установке обновлений. Иным же из подобных инициатив в области информационной безопасности, например, базе данных уязвимостей OSVDB Open Sourced Vulnerability Database — повезло гораздо меньше.
База OSVDB была запущена в 2004 году, по результатам конференций по компьютерной безопасности Blackhat и DEF CON и строилась вокруг ключевой идеи: организовать такой реестр уязвимостей, который содержал бы полную и подробную информацию обо всех обнаруженных уязвимостях, и поддержка которого не была бы аффилирована ни с одним из производителей программного обеспечения. Одним из косвенных результатов деятельности коллектива исследователей, причастных к развитию базы OSVDB, стало основание в 2005 году организации Open Security Foundation. Ее специалисты занимались самостоятельным поиском уязвимостей и агрегацией публично доступной из различных источников информации об обнаруженных уязвимостях или сценариях их эксплуатации. Новые уязвимости специалисты регистрировали в базе, производили их классификацию и валидацию.
При этом уточнялись списки уязвимого ПО и сведения о возможных способах устранения уязвимостей. В таком виде каждая запись, снабженная соответствующими ссылками на доступные источники информации, оставалась в базе данных. Одним из возможных предназначений предлагаемого сервиса может быть риск-менеджмент и оценка уровня защищенности компьютерных сетей организаций. Secunia Advisory and Vulnerability Database Сходные услуги в области информационной безопасности предоставляются датской компанией Secunia Research, которая специализируется на исследованиях в области компьютерной и сетевой безопасности и в числе прочих сервисов предоставляет доступ к базе уязвимостей Secunia Advisory and Vulnerability Database.
Бюллетени формируются на основе собственных исследований специалистов Secunia Research и агрегации информации об уязвимостях, полученных из иных публичных источников. Как и в случае с базой VulnDB, бюллетени в базе данных Secunia зачастую публикуются еще до того, как соответствующие записи появляются в базе CVE List, и уже впоследствии размечаются ссылками на соответствующие CVE-идентификаторы. По своей структуре записи в базе Secunia сходны с содержимым баз CVE List и NVD и содержат дату регистрации уязвимости, тип и краткую классификацию уязвимости, критичность уязвимости описывается с помощью перечислимого типа Secunia Research Criticality Rating вместо скалярной оценки по стандарту CVSS , списки уязвимого ПО и его версий, ссылки на внешние источники информации и рекомендации по устранению угрозы как правило, установку патчей от производителя ПО или апгрейд уязвимого ПО до безопасной версии — в этом случае бюллетень содержит упоминание минимального номера безопасной версии. Характерно, что в бюллетенях Secunia Advisories принято агрегировать в одной записи информацию о множестве отдельных уязвимостей, одновременно обнаруженных в одном и том же программном обеспечении.
Это означает, что одной записи из базы данных Secunia может соответствовать множество различных CVE-идентификаторов. В настоящее время база данных Secunia Research содержит приблизительно 75 тысяч записей об уязвимостях, обнаруженных начиная с 2003 года. Бесплатный доступ к Secunia Advisories производится только на условиях некоммерческого использования предоставленной информации и только в формате html по всей видимости, это делается для того, чтобы затруднить автоматизированное извлечение информации из базы.
Главная Публикации Анализ уязвимостей и оценка соответствия по ОУД4 Анализ уязвимостей и оценка соответствия по ОУД4 1 Мар 2021 Простыми словами анализ уязвимостей по оценочному уровню доверия далее — ОУД4 — это комплекс мероприятий, заключающийся в проверке критериев безопасности прикладного ПО, ранее применяемый только для средств защиты информации и проводимых в полном соответствии с ГОСТ 15408. Требования нормативных документов регулятора финансового сектора, а именно ЦБ, в направлении использования безопасного прикладного ПО содержится в Положении 683-П и заключается в проведении анализа уязвимостей исходного кода функций безопасности ПО, используемого при переводах денежных средств. В Положении 719-П и 757-П имеется похожее требование к использованию безопасного прикладного ПО, однако в данном нормативном документе говорится об оценке соответствия прикладного ПО по ОУД4. Разница между анализом уязвимостей по ОУД4 и оценкой соответствия по ОУД4 заключается в том, что анализ уязвимостей — это комплекс мероприятий по оценке лишь части компонентов доверия в пределах определённого уровня доверия, например, при проведении анализа уязвимостей оцениваются классы доверия «Разработка», «Руководства», «Оценка уязвимостей».
Сканеры уязвимостей — обзор мирового и российского рынков
и ИБ-департаменты в российских компаниях и учреждениях. Идентификатор БДУ ФСТЭК России. Базовый вектор уязвимости CVSS 2.0. Новости БДУ ФСТЭК России Открыть. #Наука и технологии. Главная» Новости» Фстэк новости.
Банк данных угроз безопасности информации
Расширение полномочий ФСТЭК россии. «формирует перечень организаций, которые аккредитованы ФСТЭК России или имеют лицензии ФСТЭК России, осуществляют деятельность по обеспечению информационной безопасности. реестр аккредитованных ФСТЭК России органов по сертификации и испытательных. быстрое определение уязвимостей: выявление уязвимостей по версиям установленного ПО, база уязвимостей, включающая данные из БДУ ФСТЭК России, NIST NVD, а также баз уязвимостей ОС Debian, Red Hat, Arch, Ubuntu, Windows, Astra Linux и др. Иконка канала Россия 1. Главные новости об организации ФСТЭК России на Решения «Лаборатории Касперского» имеют сертификаты соответствия ФСТЭК и ФСБ России, но не все знают для чего они требуются.
Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
- Обновления базы уязвимостей “Сканер-ВС”
- О банке данных угроз безопасности информации от 06 марта 2015 -
- Купить Сканер-ВС, цена лицензий, сертификат ФСТЭК
- Обновлённые реестры ФСТЭК
Сканеры уязвимостей — обзор мирового и российского рынков
ФСТЭК России разрабатывает законопроект о введении обязательных требований по ИБ для подрядчиков, оказывающих услуги ИТ-разработки госсектору. У разработчика антивирусов приостановлена лицензия Федеральной службы по техническому и экспортному контролю (ФСТЭК) для одного из ключевых продуктов за «несоответствие требованиям безопасности информации». Основным источником информации об угрозах станет БДУ ФСТЭК, а также базовые и типовые модели угроз безопасности.
Обновлённые реестры ФСТЭК
Не понятно. Но это ещё пол беды. Эти же пользователи также отнесены и к типам нарушителей см. Получается, что основная часть субъектов ИС пользователи и администраторы одновременно и объект воздействия его часть как компонента и источник угроз.
Может это "недоразумение" будет как-то устранено в новой редакции методики? Как говорится "поживём - увидим"... Не больше и не меньше.
Поэтому давать ей какую-либо оценку пока рано. Откуда такое определение УБИ? Поэтому и вопросов, почему "пользователь" одновременно и "объект воздействия" и "нарушитель", не возникает.
Пример: "фишинг", конечно, можно классифицировать как "воздействие на ППО ИС например, почтовый клиент ", но... А что до "базового вектора", опять-таки пример: "Угроза несанкционированной подмены" сама по себе - это только направление воздействия, атаки, защиты, анализа без конкретики. Оная конкретика, в свою очередь, проявляется при указании "Объекта воздействия" с позиции нарушителя и "Объекта защиты" с нашей позиции , например, О.
Впрочем, модуль поведенческого анализа подсказывает, что вас вновь интересует не семантика, а "строгость понятий и определений"...
Однако, есть оборотная сторона — низкий уровень дохода государственного служащего провоцирует его низкий профессионализм, текучку, а также высокий уровень коррупции», — говорит Бедеров. Объекты КИИ до сих пор не все прошли даже категорирование, напоминает эксперт: срок категорирования несколько раз продлевали и пока что окончательного решения по вопросу нет.
В целом же указ президента предусматривает создание централизованной базы данных, с помощью которой будет легче контролировать субъекты и объекты КИИ, считает президент Ассоциации малых операторов России АМОР Дмитрий Галушко. Она даст возможность контроля и наказания нарушителей, указывает он. Статья 13.
Прежде всего, Банк данных угроз безопасности — это сведения об основных угрозах и уязвимостях, которые характерны для автоматизированных систем управления, государственных информационных систем, а с недавних пор применимы и для информационных систем персональных данных. Банк угроз ФСТЭК содержит, помимо названия и кода угрозы, её краткое описание, вероятные источники, объекты воздействия и, конечно, последствия, которые повлечёт за собой реализация угрозы. Банк угроз ФСТЭК: содержимое Банк данных не структурирован в нём нет иерархической структуры , тем не менее угрозы классифицированы по нарушителям, которые могут ими воспользоваться, а также последствиям, которые использование этих угроз может повлечь нарушение конфиденциальности, целостности или доступности информации. К примеру, мы можем воспользоваться поиском и найти угрозы целостности данных, которые исходят от внутренних нарушителей с высоким потенциалом к реализации угроз: Перейдя по названию, мы можем получить подробности конкретной угрозы: Конечно, список, содержащийся в банке, не исчерпывающий, но он постоянно дополняется и обновляется. В его создании принимают участие ряд крупных компаний в сфере информационной безопасности, а также множество частных исследователей, которые пользуются встроенной формой обратной связи на сайте.
На Форуме руководители и специалисты обсуждают стратегию и структуру внедрения технологий, состав цифровых команд, импортозамещение ключевых цифровых решений и обеспечение технологического суверенитета, практику и проекты цифровой трансформации.
Анализ уязвимостей и оценка соответствия по ОУД4
Приказ Федеральной службы по техническому и экспортному контролю от 20.06.2023 № 119 "О признании утратившим силу приказа ФСТЭК России от 24 августа 2012 г. № 100". Все хранящиеся в БДУ ФСТЭК России записи имеют единообразный формат и включают: текстовое описание уязвимости, дату обнаружения уязвимости, названия, версии и производителей уязвимого ПО, информацию о типе ошибки. Итоги совместной работы с БДУ БИ ФСТЭК России за последние 3 года. ФСТЭК России Олег Василенко Россия.
Оценка по ОУД4
- Новый раздел на сайте БДУ - Форум по вопросам информационной безопасности
- Блеск и нищета… БДУ
- Сергей Борисов
- Новинка: Сканер-ВС 6 - сканирование на уязвимости никогда не было таким быстрым!
- Обновления базы уязвимостей “Сканер-ВС”