❔ Как по приказу №117 корректно формировать набор мер защиты
Сложный алгоритм простыми словами👇
После вступления в силу приказа №117 и выхода методического документа ФСТЭК от 12 апреля перед командами ИБ встала задача пересмотреть подход к выбору мер защиты.
Возвращение таблиц для К1, К2 и К3 создало иллюзию привычного механизма: достаточно определить класс и перенести отмеченные меры в документацию.
Однако современная парадигма требует многоуровневого анализа, учитывающего как нормативные требования, так и специфику ИТ-инфраструктуры.
В результате формируется последовательная цепочка:
класс защищённости → базовый набор → обоснованные исключения → сопоставление с моделью угроз → итоговый состав мер.
Таблицы остаются каркасом, а модель угроз становится инструментом тонкой настройки под конкретную инфраструктуру. Такой подход позволяет не ограничиваться формальным выполнением приказа №117, а учитывать реальные условия эксплуатации системы.
#Владислав_Крылов
📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст
Сложный алгоритм простыми словами👇
После вступления в силу приказа №117 и выхода методического документа ФСТЭК от 12 апреля перед командами ИБ встала задача пересмотреть подход к выбору мер защиты.
Возвращение таблиц для К1, К2 и К3 создало иллюзию привычного механизма: достаточно определить класс и перенести отмеченные меры в документацию.
Однако современная парадигма требует многоуровневого анализа, учитывающего как нормативные требования, так и специфику ИТ-инфраструктуры.
🧩Ключевым этапом становится формирование базового набора мер, определяемого строго в соответствии с классом защищённости. Меры, отмеченные в таблице знаком «+», формируют минимально допустимый набор, выступающий фундаментом для дальнейшей кастомизации.
❗️Здесь важно не просто механически копировать строки, а осмысленно интерпретировать каждую меру в контексте действующих регламентов и отраслевой специфики.
🧩Следующий шаг — адаптация базового набора под архитектуру конкретной системы. Необходимо учитывать технологический контекст: используемые платформы, интеграционные связи с внешними системами, особенности обработки данных и сценарии эксплуатации.
❗️Допускается исключение мер, неприменимых к текущей инфраструктуре, но каждое такое решение должно сопровождаться формализованным обоснованием, подкреплённым анализом рисков и уязвимостей.
🧩Третий этап — проверка покрытия угроз. Он требует корреляции модели угроз с выбранным набором контрмер. Для каждой идентифицированной угрозы должна быть определена мера, нивелирующая риск её реализации либо минимизирующая вероятность инцидента.
❗️Если базовый набор демонстрирует пробелы, его необходимо дополнить или усилить, опираясь на актуальные методики оценки защищённости и требования регуляторов.
В результате формируется последовательная цепочка:
класс защищённости → базовый набор → обоснованные исключения → сопоставление с моделью угроз → итоговый состав мер.
Таблицы остаются каркасом, а модель угроз становится инструментом тонкой настройки под конкретную инфраструктуру. Такой подход позволяет не ограничиваться формальным выполнением приказа №117, а учитывать реальные условия эксплуатации системы.
#Владислав_Крылов
📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст