Угроза неопределённости в распределении ответственности между ролями в облаке
Угроза заключается в возможности возникновения существенных разногласий между поставщиком и потребителем облачных услуг по вопросам, связанным с определением их прав и обязанностей в части обеспечения информационной безопасности. Данная угроза обусловлена отсутствием достаточного набора мер контроля за распределением ответственности между различными ролями в части владения данными, контроля доступа, поддержки облачной инфраструктуры и т. п. Возможность реализации данной угрозы повышается в случае использования облачных услуг, предоставляемых другими поставщиками (т.е. в случае использования схемы оказания облачных услуг с участием посредников)
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.065. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.065
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Разделение полномочий (ролей) пользователей | УПД.4 | — | УПД.4 | УПД.4 |
| Идентификация объектов управления конфигурацией | УКФ.1 | — | — | УКФ.1 |
Почему именно эти меры
Разногласия между поставщиком и потребителем облачных услуг по вопросу прав и обязанностей в части защиты информации. По существу организационная проблема; из технических мер закрепить удаётся немногое: разделение полномочий (УПД.4) и идентификацию объектов конфигурации, за которые отвечает каждая сторона (УКФ.1). Основная защита — договорное разграничение ответственности вне базового каталога мер.
Сценарий реализации
Угроза вытекает из неопределённости ролей в договоре с поставщиком облачных услуг. Это организационный недостаток, действий нарушителя он не предполагает. Цепочка тактик Т1–Т9 описывает последовательность действий нарушителя, поэтому для этой угрозы она не строится. Отсутствие пути является результатом разбора угрозы. Актуальность угрозы по-прежнему определяет специалист, который описывает систему, и сценарий он вправе задать самостоятельно.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.