3 рекомендации по улучшению приказов ФСТЭК. Экселизация

RTF, PDF и HTML. С PDF работать невозможно — только читать.

Что делает в таком случае большинство людей? Копипастит все в табличку Excel и начинает с ней работать за счет возможностей, предоставляемых Excel для работы с данными. Например, можно отмечать нужные мне защитные меры (добавляя их или удаляя) и затем делать выборку только по актуальным мерам защиты. Можно, если воспользоваться рекомендациями из вторничной заметки, делать выборку по приоритезированным группам защитных мер. С помощью цветовой маркировки можно отмечать реализованные защитные меры, нереализованные, и находящиеся в процессе реализации. Вот, например, как выглядит такая таблица у Center of Internet Security (CIS). Помимо PDF с описанием защитных мер, они выкладывают еще и таблицу, с которой удобно работать.

Если за счет перекрестных ссылок увязать защитные меры с угрозами, о чем я писал вчера, то можно делать выборку защитных мер в зависимости от угроз или наоборот, угроз в зависимости от защитных мер. Вот так выглядит такая таблица у CIS — защитные меры связаны с угрозами, для каждой из которых еще и ее вероятность указывается . 

На самом деле таких таблиц у CIS три — одна ведет отсчет от защитных мер. Вторая — от защищаемого актива, а третья — от угрозы. То есть мы можем работать сразу с несколькими срезами и точками отсчета.

Excel полезен еще и тем, что в него достаточно легко можно загнать структурированный БДУ и добавить различные формулы для вычисления актуальности и ранжирования угроз. В свое время, в 2008-м году, когда появилось первое четверокнижие по ПДн, в Интернет появились первые таблицы, которые автоматизировали процесс моделирования угроз. В одну колонку включали названия угроз, следующие 3 учитывали показатели опасности угрозы и ее вероятности, следующая позволяла расчитывать по простой формуле актуальность угрозы, а затем для каждой угрозы указывали технические и организационные меры защиты. С помощью функции работы с данными, все угрозы, в поле «актуальность» которой указывалось «неактуальная», скрывались, и мы имели дело с готовым перечнем актуальных угроз. Если бы для текущей версии БДУ регулятор сделал соответствующую табличку, то в ней можно было сразу реализовать выборку по потенциалу нарушителя, объектам воздействия, последствиям угрозы и другим параметрам.

В данной рекомендации нет ничего революционного — речь идет просто об автоматизации и удобстве работы с документами ФСТЭК. Многие, в принципе, такую работу проделывают сами. Но гораздо лучше было бы, если бы такие файлы выкладывались самим регулятором у себя на сайте и он бы поддерживал их актуальность. Причем можно сделать это в двух вариантах — в более привычном всем MS Office, который предлагает больше возможностей по работе с данными, или в более импортозаместительном OpenDocument (ODS). В последнем формате ФСТЭК выкладывает у себя на сайте различные реестры. Базовые функции у этих форматов схожие и многие описанные выше вещи можно делать и в ODS тоже. Но что-то более продвинутое поддерживает только Excel.