Сегодня информационные системы (ИС) это основа всего бизнеса.
Что-бы организовать систему защиты информации нужен список угроз. Угрозы выявляются в ходе обследования ИС.

Поэтому есть вопрос. Какими методами можно составить мат. модель ИС?

Цель: составление и обоснование модели (списка) угроз.

Кто какие методы моделирования ИС знает? Куда вообще двигаться?

Вот например, можно построить мат. модель для ИС, представленной на картинке ниже.