Угроза конфликта юрисдикций различных стран
Угроза заключается в возможности отказа в трансграничной передаче защищаемой информации в рамках оказания облачных услуг в соответствии с требованиями локального законодательства стран, резиденты которых участвуют в оказании облачных услуг. Данная угроза обусловлена тем, что в зависимости от особенностей законодательства различных стран, резиденты которых участвуют в оказании облачных услуг, при обеспечении информационной безопасности могут использоваться правовые меры различных юрисдикций. Реализация данной угрозы возможна при условии того, что на обеспечение информационной безопасности в ходе оказания облачных услуг накладываются правовые меры различных юрисдикций, противоречащих друг другу в ряде вопросов
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.040. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.040
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации | ПЛН.1 | — | — | ПЛН.1 |
Почему именно эти меры
Отказ в трансграничной передаче защищаемой информации из-за конфликта требований локального законодательства разных стран по сути является юридическим и организационным риском, а не технической уязвимостью. Технические меры защиты информации почти не применимы напрямую; ближе всего по смыслу подходит планирование мероприятий по обеспечению защиты информации (ПЛН.1), которое должно учитывать в том числе юридические ограничения при выборе архитектуры и юрисдикции размещения облачных услуг. Основная работа здесь — организационная и юридическая, вне базового каталога технических мер.
Сценарий реализации
Угроза возникает из-за противоречий в законодательстве стран, резиденты которых участвуют в оказании облачных услуг. Это правовой риск, действий нарушителя в системе он не предполагает. Цепочка тактик Т1–Т9 описывает последовательность действий нарушителя, поэтому для этой угрозы она не строится. Отсутствие пути является результатом разбора угрозы. Актуальность угрозы по-прежнему определяет специалист, который описывает систему, и сценарий он вправе задать самостоятельно.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.