В одной из наших статей мы уже рассказывали об оценке рисков, однако она является только одним из этапов управления рисками. После выявления и анализа требуется определить стратегию обработки риска.

В международной практике для этого применяются различные подходы и методологии управления рисками, включая ISO 31000, ISO/IEC 27005, NIST Risk Management Framework и иные. Несмотря на различия в терминологии и уровне детализации, на практике наиболее распространены четыре стратегии обработки риска.

Снижение риска (risk mitigation) направлено на уменьшение вероятности его реализации или возможных последствий. Избегание риска (risk avoidance) предполагает отказ от деятельности или решений, создающих неприемлемый риск. Принятие риска (risk acceptance) означает осознанное решение сохранить существующий уровень риска без внедрения дополнительных мер защиты.

Стратегия передачи риска (risk transfer) применяется, когда организация принимает решение перераспределить часть связанных с риском обязательств и (или) возможных последствий между собой и другой стороной. Наиболее распространенными примерами являются страхование и передача отдельных функций внешнему поставщику услуг.

При страховании организация может компенсировать часть финансовых потерь, связанных с реализацией риска. Однако страховой полис не способен восстановить утраченные данные, предотвратить простой в работе бизнес-процессов или вернуть доверие клиентов.

Аналогичная ситуация возникает при передаче функций информационной безопасности внешнему поставщику услуг. Подрядчик может выполнять мониторинг событий ИБ, реагирование на инциденты или эксплуатацию средств защиты информации. При этом последствия серьезного инцидента, включая нарушение непрерывности бизнес-процессов, репутационный ущерб или претензии со стороны клиентов и регуляторов, в конечном итоге затрагивают саму организацию.

Таким образом, передача риска является способом перераспределения части последствий и ответственности, но не механизмом полного избавления от риска.

#Викторины