Я про содержание поля "Возможные меры по устранению уязвимости"

Не. Я вообщем про бедных новоиспеченных скии :)

И я вообщем)

Просто не до конца вычитали. В документе 83 страницы)

🤝

Эти сказки "за все несёт ответственность руководитель" уже на зубах скрипят

В Методике же теперь 4 уровня нарушителя базовый, базовый повышенный, средний, высокий) , в БДУ все еще три, как их соотнести теперь? или я что-то не так понимаю.....🤔

Все просто, это из 18045-2013 там их 4

Ну, можно любые госты смотреть, в методике то на БДУ указание. И менно на основе БДУ в итоге нужно актуальность выводить

Просто средний придеться дотягивать до высокого

Сзи ведь тоже под 3 уровня

Хотя.... Вот только заметил, в bdu средний - это базовый повышенный или умеренны

Умеренный? Раньше казалось все просто, совмещал с требованиями к СЗИ и 17 приказом, там все четко базовый, базовый повышенный и высокий

Парни, можно вернуться к методе расчета показателей значимости -  у меня вопрос как ФСТЭК собирается проверять обоснование расчета? Есть инструмент автоматизации? Разрабатывая этот документ как они видели результат его проверки - только результат - больше меньше, а вся формула ради полноты эксперимента?!

Правда здорово,  что вышел документ, который должен чётко определять подход в построении МУ, а мы гадаем как выполнить этот процесс. Одно радует - есть цветные картинки

Не, сначала все четко и логично.  Но когда дошла до "Определение сценариев предусматривает установление последовательности возможных тактик и соответствующих им техник, применение которых возможно актуальным нарушителем с соответствующим уровнем возможностей, а также доступности интерфейсов для использования соответствующих способов реализации угроз безопасности информации" - резко поплохело.  По каждой угрозе из БДУ мини-сочинение выкладывать? как то в голове не укладывается схема. Особенно, если подумать, что для любой мало-мальской испдн это нужно будет делать.  Но может это пока в теории так, а на практике все будет стройно и красиво

результат больше меньше - это 8.2.
А в 8.3 как раз нужно описать обоснование. По экономике, в частности, расписывать
какие учитывали величины затрат и потерь субъекта КИИ, которые могут быть вызваны прекращением или нарушением критических процессов, обеспечиваемых объектом КИИ (в суммах),
значения возможного времени нарушения выполнения (невыполнения) рассматриваемых критических процессов и почему такие
объем выплат (отчислений) субъекта КИИ в бюджеты
и т.д.

там же в приложениях есть примеры как это видится в идеале

Каждая МУ - докторская

Вот прям докторская))))