Приложение Б (справочное). Пример перечня угроз

Приложение Б
(справочное)

Пример
перечня угроз

Перечень угроз безопасности информации в процессе сопровождения системы может включать (в части, свойственной этому процессу):

- угрозы, связанные с объективными и субъективными факторами, воздействующими на защищаемую информацию (по ГОСТ Р ИСО/МЭК 27002 и ГОСТ Р 51275);

- угрозы государственным информационным системам, информационным системам персональных данных, автоматизированным системам управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, значимым объектам критической информационной инфраструктуры Российской Федерации (по [21]-[24]);

- угрозы безопасности функционированию программного обеспечения, оборудования и коммуникаций, используемых в процессе сопровождения системы (по ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 54124);

- угрозы безопасности информации при подготовке и обработке документов (по ГОСТ Р ИСО/МЭК 27002, ГОСТ Р 51583, ГОСТ Р 56939, ГОСТ Р 58412);

- угрозы компрометации информационной безопасности приобретающей стороны (заказчика) [по ГОСТ Р ИСО/МЭК 27002, ГОСТ Р ИСО/МЭК 27005-2010 (приложение С), ГОСТ Р ИСО/МЭК 27036-2];

- угрозы компрометации информационной безопасности приобретающей стороны, угрозы возникновения ущерба репутации и/или потери доверия поставщика к конкретной приобретающей стороне, информация и информационные системы которой были скомпрометированы (по ГОСТ Р ИСО/МЭК 27036-2, ГОСТ Р ИСО/МЭК 27036-4, ГОСТ Р 59215);

- угрозы, связанные с приобретением или предоставлением облачных услуг, которые могут оказать влияние на информационную безопасность организаций, использующих эти услуги (по ГОСТ Р ИСО/МЭК 27036-4, ГОСТ Р 59215);

- угрозы, связанные с нарушением интеллектуальной собственности;

- прочие соответствующие угрозы безопасности информации, связанные с человеческим фактором, для информационных систем и автоматизированных систем управления производственными и технологическими процессами критически важных объектов из Банка данных угроз, сопровождаемого государственным регулятором.