Моделирование угроз
Баланс между безопасностью, конфиденциальностью и удобством использования - одна из первых и самых сложных задач, с которыми вы столкнетесь на пути к конфиденциальности. Все является компромиссом: чем более безопасно что-либо, тем больше ограничений или неудобств оно обычно вызывает. Часто люди понимают, что проблема с рекомендуемыми инструментами заключается в том, что их сложно начать использовать!
Если вы хотите использовать наиболее безопасные инструменты, то вам придется пожертвовать множеством удобств. Но даже в этом случае ничто не будет полностью безопасным. Существует высокий уровень безопасности, но не существует полной безопасности. Поэтому модели угроз очень важны.
Итак, что же из себя представляют эти модели угроз?
Модель угроз - это список наиболее вероятных угроз для вашей безопасности и конфиденциальности. Поскольку невозможно защититься от каждой атаки, вам следует сосредоточиться на наиболее вероятных угрозах. В компьютерной безопасности угроза - это потенциальное событие, которое может подорвать ваши усилия по обеспечению приватности и безопасности.
Сосредоточившись на важных для вас угрозах, вы меньше думаете о выборе необходимой защиты, что приводит к правильному выбору необходимых инструментов.
Создание вашей собственной модели угроз¶
Чтобы определить, что может случиться с ценными для вас вещами и от кого их нужно защитить, ответьте на эти 5 вопросов:
- Что я хочу защитить?
- От кого я хочу это защитить?
- Насколько вероятно, что мне понадобится это защищать?
- Насколько серьезными будут последствия, если я потерплю неудачу?
- Через какие трудности я готов пройти, чтобы попытаться предотвратить возможные последствия?
Что я хочу защитить?¶
То, что вы хотите защитить, должно быть ценным и нуждаться в защите. В контексте цифровой безопасности: такой объект - это, как правило, некая информация. Например, ваша электронная почта, списки контактов, мгновенные сообщения, местоположение и файлы. Ваши устройства также могут являться объектом защиты.
Составьте список с данными, которые вы хотите защитить, и ответьте на вопросы: где они хранятся, кто имеет к ним доступ и что мешает другим получить к ним доступ.
От кого я хочу это защитить?¶
Чтобы ответить на этот вопрос, важно определить, кто может хотеть вашу информацию. Физическое или юридическое лицо, представляющее угрозу для ваших активов, является "противником". Примерами потенциальных противников являются ваш начальник, ваш бывший партнер, ваш деловой конкурент, ваше правительство или хакер в публичной сети.
Составьте список ваших противников или тех, кто может захотеть завладеть вашим имуществом. В ваш список могут входить отдельные люди, государственные учреждения или корпорации.
Depending on who your adversaries are, this list might be something you want to destroy after you've finished developing your threat model.
Насколько вероятно, что мне понадобится это защищать?¶
Риск - это вероятность того, что конкретная угроза может действительно возникнуть. Риск идет рука об руку с возможностями. Например: ваш мобильный оператор имеет возможность получить доступ ко всем вашим данным, но риск того, что они разместят ваши личные данные в Интернете, чтобы нанести ущерб вашей репутации, невелик.
Важно понимать различие между тем, что может произойти, и вероятностью того, что это может произойти. Например, существует угроза обрушения вашего здания, но риск того, что это произойдет гораздо выше в Сан-Франциско (где землетрясения происходят часто), чем в Стокгольме (где их нет).
Оценка рисков - это личный и субъективный процесс. Многие люди считают определенные угрозы недопустимыми независимо от вероятности их возникновения, потому что само присутствие угрозы при любой вероятности не стоит затрат. В других случаях люди могут игнорировать высокие риски, потому что не считают угрозу проблемой.
Запишите, какие угрозы вы собираетесь воспринимать всерьез, а какие могут быть слишком редкими или слишком безобидными (или слишком сложными для борьбы), чтобы беспокоиться о них.
Насколько серьезными будут последствия, если я потерплю неудачу?¶
Существует множество способов, с помощью которых противники могут получить доступ к вашим данным. Например, противник может прочитать ваши личные сообщения, проходящие через сеть, или удалить или повредить ваши данные.
Мотивы противников сильно различаются, как и их тактика. Правительство, пытающееся предотвратить распространение видео, демонстрирующего насилие со стороны полиции, может довольствоваться простым удалением или уменьшением доступности этого видео. А политический противник может захотеть получить доступ к секретному контенту и опубликовать его без вашего ведома.
Моделирование угроз предполагает понимание того, насколько серьезными могут быть последствия, если противник успешно получит доступ к вашему защищаемому объекту. Чтобы определить последствия, вы должны рассмотреть возможности вашего противника. Например, ваш оператор мобильной связи имеет доступ ко всем записям ваших телефонных разговоров. Хакер, находящийся в открытой Wi-Fi-сети, может получить доступ к вашим незашифрованным сообщениям. Ваше правительство может иметь более мощные возможности.
Подумайте, что ваш противник может захотеть сделать с вашими конфиденциальными данными.
Через какие трудности я готов пройти, чтобы попытаться предотвратить возможные последствия?¶
Не существует идеального варианта обеспечения безопасности. Не все имеют одинаковые приоритеты, проблемы или доступ к ресурсам. Оценка рисков позволит вам разработать правильную стратегию лично для вас, которая будет сочетать в себе и удобство, и цену, и конфиденциальность.
Например: адвокат, представляющий клиента в деле о национальной безопасности, готов приложить больше усилий для защиты сообщений (например, использовать зашифрованную электронную почту), чем мать, которая регулярно отправляет своей дочери смешные видео с котиками.
Запишите, какими способами вы можете справиться с вашими уникальными угрозами. Обратите внимание на то, есть ли у вас финансовые, технические или социальные ограничения.
Попробуйте сами: Защита вашего имущества¶
Эти вопросы могут быть применимы к самым разным ситуациям, как онлайн, так и офлайн. Чтобы показать, как работают эти вопросы, давайте составим план по обеспечению безопасности для вашего дома и имущества.
Что вы хотите защитить? (Или что у вас есть такого, что стоит защищать?) :
Ваше имущество может включать ювелирные изделия, электронику, важные документы или фотографии.
От кого вы хотите это защитить? :
Среди ваших противников могут быть грабители, соседи или гости.
Насколько вероятно, что вам понадобится это защищать? :
Есть ли в вашем районе история краж со взломом? Доверяете ли вы вашим соседям по комнате или гостям? Каковы возможности ваших противников? Какие риски вы должны учитывать?
Насколько серьезными будут последствия, если вы потерпите неудачу? :
Есть ли у вас в доме что-то, что вы не можете заменить? Есть ли у вас время или деньги на замену этих вещей? Есть ли у вас страховка, покрывающая вещи, украденные из вашего дома?
Через какие трудности вы готовы пройти, чтобы попытаться предотвратить возможные последствия? :
Готовы ли вы купить сейф для секретных документов? Можете ли вы позволить себе купить высококачественный замок? Есть ли у вас время открыть банковскую ячейку в банке и хранить там свои ценности?
Только после того, как вы зададите себе эти вопросы, вы сможете оценить, какие меры следует предпринять. Если ваше имущество ценно, но вероятность взлома мала, то, возможно, вы не захотите тратить слишком много денег на хороший замок. Но если вероятность взлома высока, лучше приобрести лучший замок на рынке и рассмотреть возможность установки системы безопасности.
Составление плана безопасности поможет вам понять, какие угрозы характерны только для вас, оценить ваше имущество, ваших противников и их возможности, а также вероятность рисков, с которыми вы можете столкнуться.
К дальнейшему прочтению¶
Для людей, желающих повысить уровень конфиденциальности и безопасности в Интернете, мы составили список распространенных угроз или целей среди наших посетителей, чтобы дать вам некоторое вдохновение и продемонстрировать основу наших рекомендаций.
Источники¶
You're viewing the C.UTF-8 copy of Privacy Guides, translated by our fantastic language team on Crowdin. If you notice an error, or see any untranslated sections on this page, please consider helping out! Visit Crowdin
You're viewing the English copy of Privacy Guides, translated by our fantastic language team on Crowdin. If you notice an error, or see any untranslated sections on this page, please consider helping out!