Детальная программа курса «Построение модели угроз»

Основная цель — анализ существующих подходов к разработке модели угроз. Причем акцент делается на том, «как правильно», а не как надо «для галочки» (хотя и его тоже рассматриваю). Большое внимание уделяется различным стандартам, которые упоминают про разработку модели угроз.

1. Что такое угроза и риск?
2. Классификация источников угроз
3. Характеристики угроз и элементы риска
4. Анализ рисков vs. анализ угроз
5. Зачем нужно моделирование угроз
6. Общий подход к моделированию угроз в современном мире
7. Качественная и количественная оценка: сравнение подходов
8. Можно ли доверять экспертам? Метод Дельфи
9. Моделирование угроз на разных этапах жизненного цикла системы
10. 4 стратегии анализа рисков
11. Процесс моделирования угроз
12. Идентификация угроз
13. Анализ последствий (ущерба)
14. Классификация последствий
15. Анализ неопределенностей (чувствительности)
16. Как проверить адекватность модели угроз?
17. Классификация нарушителей
18. Каталоги угроз
19. 16 методов анализа рисков и определения опасностей. Как выбрать адекватный метод?
20. Оценка рисков
21. 5 методов оценки вероятности угроз
22. Потенциал нападения
23. Какая градация вероятностей угроз правильная? 9-тиуровневая, 6-тиуровневая, 3-хуровневая…
24. Как оценить ущерб? Может ли ущерб измеряться не деньгами?
25. Ценность материальных и нематерильных активов. Имеет ли информация стоимость?
26. 12 методов оценки стоимости информации
27. Зарубежные и отечественные методики моделирования угроз — ГОСТ Р ИСО/МЭК 13335-3-2007, ISOIEC TR 13569, ГОСТ Р 51344-99, «дерево атак», модель угроз Microsoft (методы DREAD и STRIDE), модель угроз OWASP, модель Trike, модель N-Softgoal, модель Digital Security, методики ФСТЭК для персональных данных, коммерческой тайны и ключевых систем информационной инфраструктуры, методика ФСБ и т.п.
28. Примеры моделей угроз
29. Средства автоматизации моделирования угроз
30. Как оформить модель угроз?

Среди рассматриваемых стандартов по данной теме: ГОСТ Р 52448-2005, ГОСТ Р ИСО/МЭК 13335-3-2007, ГОСТ Р ИСО/МЭК 13335-4-2007, ГОСТ Р 51901.1-2002, MAGERIT, ГОСТ 51275-2006, ГОСТ Р 51344-99, ГОСТ Р ИСО/МЭК18045, ISOIEC TR 13569, IT-Grundschutz Methodology, AS/NZS 4360:2004, EBIOS, MEHARI, OCTAVE, FRAP, NIST 800-30, MG-2, MG-3, SOMAP, IRAM, РС БР ИББС-2.2-2009 «Методика оценки рисков нарушения информационной безопасности», Cisco SAFE и т.п.

Ближайший курс пройдет в Москве 28-го сентября в Институте банковского дела АРБ (очно и онлайн).

Презентация курса: часть 1, часть 2, часть 3, часть 4 и часть 5.