Угроза неопределённости ответственности за обеспечение безопасности облака
Угроза заключается в возможности невыполнения ряда мер по защите информации как поставщиком облачных услуг, так и их потребителем. Данная угроза обусловлена отсутствием чёткого разделения ответственности в части обеспечения безопасности информации между потребителем и поставщиком облачных услуг. Реализация данной угрозы возможна при условии недостаточности документального разделения сфер ответственности между сторонами участвующими в оказании облачных услуг, а также отсутствия документального определения ответственности за несоблюдение требований безопасности
Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.066. Перед применением сверьте формулировку с первоисточником.
Меры защиты против УБИ.066
Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.
| Мера | № 239 | № 117 | № 21 | № 31 |
|---|---|---|---|---|
| Идентификация объектов управления конфигурацией | УКФ.1 | — | — | УКФ.1 |
| Управление изменениями | УКФ.2 | — | УКФ.2 | УКФ.2 |
Почему именно эти меры
Ни поставщик, ни потребитель облака не выполняют часть мер защиты из-за отсутствия чёткого разделения ответственности. Как и в УБИ.065, это прежде всего организационный вопрос. Идентификация объектов конфигурации и управление изменениями (УКФ.1, УКФ.2) дают минимальную техническую опору, а реальное решение лежит в договорных документах.
Сценарий реализации
Угроза вытекает из неопределённости ответственности за защиту информации между поставщиком и потребителем облачных услуг. Это организационный недостаток, действий нарушителя он не предполагает. Цепочка тактик Т1–Т9 описывает последовательность действий нарушителя, поэтому для этой угрозы она не строится. Отсутствие пути является результатом разбора угрозы. Актуальность угрозы по-прежнему определяет специалист, который описывает систему, и сценарий он вправе задать самостоятельно.
Конечное воздействие по тактике Т10 — Т10.1 Несанкционированный доступ к информации в памяти системы, файловой системе, базах данных, репозиториях, в программных модулях и прошивках
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.