1. Активы. Сюда входят все критически важные ресурсы, которые необходимо защищать, например данные, приложения, системы, инфраструктура и персонал.
2. Субъекты угрозы: это относится к людям или группам, которые представляют потенциальную угрозу для активов. Это могут быть внешние, такие как хакеры, киберпреступники или субъекты национального государства, или внутренние, такие как сотрудники или подрядчики со злым умыслом.
3. Векторы угроз: это методы или пути, с помощью которых злоумышленники могут атаковать активы. Сюда входят кибератаки, такие как фишинг, вредоносное ПО, программы-вымогатели и социальная инженерия, физические атаки, такие как кража, вандализм или саботаж.
4. Уязвимости. Это слабые места или недостатки в активах или среде, которые могут быть использованы злоумышленниками. Сюда входят известные уязвимости в программных или аппаратных системах, неправильные конфигурации или отсутствие средств контроля безопасности.
5. Вероятность и влияние. Чтобы определить серьезность угрозы, необходимо оценить вероятность и влияние успешной атаки на активы. Это помогает в первую очередь расставить приоритеты и смягчить наиболее важные угрозы.
6. Снижение риска. На основе оценки угрозы, уязвимости, вероятности и воздействия разрабатываются стратегии снижения риска для снижения риска до приемлемого уровня. Сюда могут входить элементы управления безопасностью, политики и процедуры, программы обучения и повышения осведомленности или планы аварийного восстановления.
Дата публикации: