1. Исходные допущения и контекст моделирования

Разработка модели нарушителя осуществляется на основе ряда принципиальных допущений, которые определяют границы моделирования и связывают её с нормативными требованиями, технической архитектурой и управлением рисками. Эти допущения являются фундаментом для реалистичной оценки возможностей, мотивации и векторов атаки потенциального злоумышленника.

1. Принцип нормативного соответствия Модель исходит из того, что система защиты информации (СЗИ) ИСПДн проектируется и функционирует в полном соответствии с установленным правовым полем. Это включает выполнение требований 152-ФЗ, профильных приказов ФСТЭК России и иных нормативных актов

Следствие: Модель нарушителя строится в предположении, что базовый уровень защищённости обеспечен, и злоумышленник действует в условиях противодействия легально реализованным организационным и техническим мерам.

2. Принцип системной целостности и взаимозависимости Эффективность СЗИ рассматривается не изолированно, а как свойство всей информационной системы. Работа таких средств, как межсетевое экранирование (NGFW), системы предотвращения вторжений (IPS) и управления доступом (IAM), напрямую зависит от корректной конфигурации и безаварийного функционирования всех смежных компонентов ИСПДн (серверов, сетевого оборудования, ОС, СУБД)

Следствие: Нарушитель может целенаправленно искать и эксплуатировать не слабости отдельных средств защиты, а уязвимости или ошибки администрирования в общей инфраструктуре, что позволяет обойти защитные периметры.

3. Принцип ограниченности технических мер против инсайдерских угроз Модель признаёт, что технические средства защиты не могут в полной мере парировать угрозы со стороны инсайдера - легитимного пользователя, злоупотребляющего своими правами доступа. Для противодействия умышленным или неосторожным действиям персонала, ведущим к утечке или искажению ПДн, требуются, в первую очередь, организационно-кадровые меры (разделение обязанностей, контроль действий, обучение, аудит)

Следствие: В модели нарушителя отдельно и детально прорабатывается категория «Внутренний нарушитель», чьи возможности определяются его легальным уровнем доступа, а не способностью преодолевать технические барьеры.

4. Принцип контекстуальности (учёт типа актуальных угроз) Характеристики нарушителя напрямую зависят от типа угроз, актуальных для конкретной ИСПДн, определяемого по методике ФСТЭК:

• Тип 1: Нарушитель, использующий недокументированные возможности (НДВ) в системном ПО (например, в ОС, гипервизорах).

• Тип 2: Нарушитель, использующий НДВ или уязвимости в прикладном ПО (СУБД, веб-приложения, специализированное ПО).

• Тип 3: Нарушитель, реализующий угрозы, не связанные с НДВ: социальная инженерия, хищение носителей, организационные просчёты, физический доступ.

Следствие: Модель фокусируется на профиле нарушителя, соответствующем выявленному типу угроз, что позволяет избежать избыточности и точно таргетировать меры защиты.

5. Принцип градации возможностей нарушителя по уровням защищённости (УЗ) Модель строится иерархически, в привязке к требуемому уровню защищённости (УЗ) ИСПДн (от УЗ-1 до УЗ-4). УЗ определяется категорией, объёмом обрабатываемых ПДн и типом актуальных угроз

Следствие: Потенциал, ресурсы и тактика моделируемого нарушителя масштабируются в зависимости от УЗ. Для системы УЗ-4 рассматривается высококвалифицированный нарушитель (вплоть до уровня спецслужб), в то время как для УЗ-1 фокус смещается на более распространённые угрозы и нарушителей с ограниченными возможностями.