Кому все-таки угрожают? 🤔

Смотрю интересное выступление Екатерины Рудиной (Лаборатория Касперского) про модели угроз. В самом начале разбираются ключевые понятия ИБ/КБ: угроза, уязвимость, опасность, риск. Принципиально не соглашусь с их трактовкой и предложенной схемой 🧐

Опасность не является синонимом угрозы. Риск является причиной ущерба, а не наоборот. Уязвимость не является характеристикой системы. Угрожают не информационной/компьютерной безопасности, а конкретному субъекту. Cубъект, который оценивает величину ущерба вреда, из схемы вообще исключен 🤷

На второй схеме, наверное, имелась в виду "оценка ущерба от реализации угрозы", то есть атаки 🤔

Со стороны может показаться, что это несущественные мелочи, но эти понятия служат основой для создания модели угроз 🤔

Что предлагаю?

↘️ Корректный глоссарий расположен по ссылке 👨‍🎓 , а его объяснение смотрите в подробных беседах 📕

Дополнительно по теме

— Почему термин "риск ИБ" некорректен по своей сути, статья в блоге Алексея Лукацкого 🤠

#теория_иб