Axborot xavfsizligiga tahdidlarni baholash tartibi

12.4 Axborot xavfsizligiga tahdidlarni baholash tartibi

• 
  axborot xavfsizligiga tahdidlarning umumiy ro‘yxati;
  
• 
  ma’lumotlar bazalarida va Internetda nashr etilgan boshqa manbalarda (CAPEC, ATT & CK, OWASP, STIX, WASC va boshqalar) mavjud bo‘lgan kompyuter hujumlarining vektorlari (naqshlari) tavsiflari;
  
• 
  tizimlar va tarmoqlar uchun hujjatlar (xususan: tizimlar va tarmoqlarni yaratish uchun texnik topshiriqlar, himoya tizimini yaratish uchun shaxsiy topshiriqlar, maqsad va funktsiyalar to‘g‘risidagi ma’lumotlarni o‘z ichiga olgan dasturiy ta'minot (dizayn) va operatsion (qo‘llanmalar, ko‘rsatmalar) hujjatlari , tizimlar va tarmoqlarning tarkibi va arxitekturasi, foydalanuvchilar guruhlari va ularning vakolatlari darajasi va kirish turlari, tashqi va ichki interfeyslar to‘g‘risida, shuningdek tizimlar va tarmoqlarga qo‘yiladigan talablarda ko‘zda tutilgan boshqa hujjatlar. axborotni muhofaza qilish yoki milliy standartlar);
  
• 
  ma’lumotlar markazining axborot va telekommunikatsiya infratuzilmasidan yoki xizmat ko‘rsatuvchi provayderning bulutli infratuzilmasidan foydalanish shartlarini o‘z ichiga olgan shartnomalar, bitimlar yoki boshqa hujjatlar (ma’lumotlarning axborot-telekommunikatsiya infratuzilmasi asosida tizimlar va tarmoqlar ishlayotgan taqdirda). markaz yoki bulutli infratuzilma);
  
• 
  tizimlar va tarmoqlarning maqsadi, vazifalari (funktsiyalari) tavsifi, qayta ishlangan axborot tarkibi va uning huquqiy rejimiga muvofiq tizimlar va tarmoqlar yaratiladigan va faoliyat yuritadigan normativ-huquqiy hujjatlar;
  
• 
  texnologik, ishlab chiqarish xaritalari yoki axborot egasining, operatorning (bundan buyon matnda asosiy deb yuritiladi) funktsiyalari (vakolatlari) yoki faoliyatining bir qismi sifatida boshqaruv, tashkiliy, ishlab chiqarish va boshqa asosiy jarayonlar (biznes jarayonlari) tavsifini o‘z ichiga olgan boshqa hujjatlar. tanqidiy) jarayonlar);axborot egasi va (yoki) operator tomonidan amalga oshirilgan xavfni (zararni) baholash natijalari.
  

• 
  xavflarni baholash asoslari, shuningdek tizimlar va tarmoqlarning ishlashini buzish va qayta ishlangan axborot xavfsizligini buzishdan kelib chiqadigan asosiy xavflar (keyingi o‘rinlarda - axborot xavflari);
  
• 
  axborot xavfsizligiga tahdidlar va ularni amalga oshirish usullari (mavjudligi);kompyuter hujumlarini amalga oshirishning taktikasi va texnikasi (axborot xavfsizligiga tahdidlarni amalga oshirish);
  
• 
  kompyuter hodisalarining asosiy turlari va ularning sabablari;
  
• 
  tizimlar va tarmoqlarning asosiy zaifliklari;
  
• 
  tizimlar va tarmoqlarni yaratish va ulardan foydalanish, ulardagi axborotni muhofaza qilish (xavfsizlik), axborot egasi va (yoki) operatorining asosiy (muhim) jarayonlari (biznes-jarayonlari) bo‘yicha normativ-huquqiy hujjatlar;
  
• 
  axborot risklarini baholash; axborot xavfsizligiga tahdidlarni tasniflash va baholash;
  
• 
  axborot xavfsizligiga tahdidlarni amalga oshirish stsenariylarini (taktikalari, texnikasi) aniqlash;
  
• 
  kompyuter hodisalarining manbalari va sabablarini aniqlash;
  
• 
  tegishli avtomatlashtirilgan vositalardan foydalangan holda tizimlar va tarmoqlarni inventarizatsiya qilish, zaifliklarni tahlil qilish, tizimlar va tarmoqlarning kirish testlarini o‘tkazish;
  
• 
  tizimlar va tarmoqlarning xavfsizlik darajasini (auditini) va ulardagi ma’lumotlarni baholash.