Приложение Б (справочное). Пример перечня угроз

Приложение Б
(справочное)

Пример
перечня угроз

Перечень угроз безопасности информации в процессах приобретения и поставки продукции и услуг для системы может включать (в части, свойственной этим процессам):

- угрозы, связанные с объективными и субъективными факторами, воздействующими на защищаемую информацию, - по ГОСТ Р ИСО/МЭК 27002, ГОСТ Р ИСО/МЭК 27036-2, ГОСТ Р 51275, ГОСТ Р 59215;

- угрозы государственным информационным системам, информационным системам персональных данных, автоматизированным системам управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, значимым объектам критической информационной инфраструктуры Российской Федерации - по [21]-[24];

- угрозы безопасности функционирования программного обеспечения, оборудования и коммуникаций, используемых в процессе работы, - по ГОСТ Р ИСО/МЭК 27002 и ГОСТ Р 54124;

- угрозы возникновения уязвимостей в рамках цепи поставок, угрозы, связанные с отсутствием наглядности, прозрачности и прослеживаемости, а также управлением физически рассредоточенными многоуровневыми цепями поставок (например, поставок информационно-коммуникационных технологий), - по ГОСТ Р 59215;

- угрозы, связанные с глобальной цепью поставок для продукции и услуг, которые могут оказать влияние на информационную безопасность организаций, использующих эти продукцию и услуги (например, наличие контрафактной продукции информационно-коммуникационных технологий), - по ГОСТ Р 59215;

- угрозы компрометации информационной безопасности приобретающей стороны, угрозы возникновения ущерба репутации и/или потери доверия поставщика к конкретному заказчику, информация и информационные системы которого были скомпрометированы, - по ГОСТ Р 59215;

- угрозы, связанные с приобретением или предоставлением облачных услуг, которые могут оказать влияние на информационную безопасность организаций, использующих эти услуги, - по ГОСТ Р ИСО/МЭК 27036-4;

- прочие соответствующие угрозы безопасности информации и уязвимости для информационных систем и автоматизированных систем управления производственными и технологическими процессами критически важных объектов из Банка данных угроз, сопровождаемого государственным регулятором.