Оценка рисков ИБ – процесс определения возможных негативных для бизнеса событий, связанных с ИБ, и оценки вероятности их реализации с учетом принятых мер защиты.

Существуют различные методики оценки рисков, например, ISO, NIST RMF, РС БР ИББС-2.2-2009, ГОСТ Р ИСО/МЭК 27005, FAIR, ISF и др., которые делятся на качественные и количественные, а также их комбинации.

Основные этапы оценки рисков ИБ:

1. Определение активов и их ценности для бизнеса.
При качественной оценке определяются показатели критичности, при количественной – стоимость актива.

2. Анализ угроз и нарушителей.
Определяется актуальность угроз и сложность их эксплуатации, нарушители категорируются по потенциалу и уровню доступа к активам.

3. Определение применяемых к активам и угрозам мер защиты.

4. Анализ собранных данных для оценки степени вероятного ущерба.
• При качественном подходе рискам ИБ присваиваются качественные значения уровня критичности.
Качественный подход требует меньших ресурсов, т.к. допускает экспертную оценку факторов с минимумом расчетов.
• При количественном подходе вычисляется стоимость ущерба в случае реализации риска.
Количественный подход позволяет точнее соотнести стоимость внедрения мер со стоимостью потерь в случае реализации рисков.

5. Выбор способа обработки риска:
• Снижение (митигирование) риска – меры по снижению вероятности реализации риска или вероятного ущерба.
• Перенос (трансфер) риска – полная / частичная передача ответственности за последствия третьему лицу (например, страхование).
• Уход (уклонение) от риска – прекращение бизнес-процесса или отказ от системы.
• Принятие риска – осознанный отказ от любых действий по обработке риска.

6. Реализация выбранных мероприятий и регулярная переоценка рисков как по итогам принятых мер, так и в связи с изменяющимся ландшафтом угроз, а также непрерывных изменениях в бизнес-процессах и системах.

Таким образом, оценка рисков ИБ позволяет оценить соответствие применяемых мер защиты потребностям бизнеса и приоритизировать активности по развитию функции ИБ.

#ИБ
#ПолезноЗнать