только те, которые могут привести к возникновению КИ

И пояснять 200+ угроз по каждому критическому процессу его владельцу при категорировании?

в соотвествии с 239 приказом ФСТЭК России в качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, которую ведет ФСТЭК России, а также источники, содержащие иные сведения об уязвимостях и угрозах безопасности информации.

Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта.

Описание каждой угрозы безопасности информации должно включать:

а) источник угрозы безопасности информации;

б) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;

в) возможные способы (сценарии) реализации угрозы безопасности информации;

г) возможные последствия от реализации (возникновения) угрозы безопасности информации.

Для разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России.

То есть в сухом остатке, в МУ угроз необходимо включать только актуальные угрозы, в качестве исходных данных использовать БДУ ФСТЭК

А что именно подразумевается под методическими документами ФСТЭК, которые должны применяться при разработке МУ с учетом использования БДУ?

видимо те МД, которые регулятором еще не разработаны, ибо МД по КСИИ и ПДН - можно применять, но не обязаны

Не понял, что такое МД по КСИИ и ПДн, в плане разработки МУ. Если речь, в т.ч. о методики от 2008, то как её использовать с учетом БДУ.

Да, это те самые методички. Их можно использовать больше для оценки актуальности угроз, расчета коэффициентов, а угрозы из БДУ добавить ибо иного пока не дано. Рано или поздно от ФСТЭК должны появится соотвествующие методички под 187-ФЗ, в том числе под 239 приказ.

Можно сделать свою методику с учетом особенностей АИС и учесть требования ПП1119, 378 приказа, 795 приказа, 239 приказа, 489 приказа, а также угрозы и уязвимости из БДУ ФСТЭК. Лютиков и Торбенко согласны на такой подход.

Т.е. МД по КСИИ пока ждем

Добрый день!
Помогите, пожалуйста, определится.
У оператора связи (лицензии в сфере связи есть, деятельность в сфере связи есть) предоставляющего абонентам (физ. лица) доступ к сети интернет и кабельного телевидения.
1. Есть маршрутизатор который разрешает/запрещает доступ в интернет абонентам.
2. Есть сервер Астра (на нем формируется поток телевизионных каналов для абонентов)
2. Есть биллинговая система, которая управляет маршрутизатором (при положительном счете - включает абонента, при отрицательном - выключает)
Скажите, являются ли данные серверы объектами КИИ, и если являются то каждый из них это самостоятельный объект КИИ?
Или все таки это один объект КИИ (информационная система), в количестве 3 серверов и информационно-телекоммуникационной сети?
Я склоняюсь к тому, что каждый по отдельности.

при проведении категорирования Субъект КИИ помимо всего прочего  рассматривает возможные действия нарушителей, анализирует угрозы БИ, которые могут привести к возникновению КИ. Затем включает сведения об угрозах и категориях нарушителей в "Сведения о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий". Чтобы два раза не подходить к снаряду, я бы рекомендовал сразу делать МУ.

В 187-фз нет никаких требований по обеспечению безопасности незначимых ОКИИ, так что и приказов не может быть, только об инцидентах сообщать, но это уже приказы фсб