Риск ИБ, - это то на что стоит обратить внимание

Понятно (мне точно 😅), что риск ИБ - это существенный риск, в случае реализации которого ваша организация и ваш бизнес может серьёзно пострадать.

Что касается финсектора и кредитных организаций, то такие организации, будучи напрямую связаны с финансовыми потоками, - являются привлекательными с точки зрения злоумышленников. Если совершён успешный несанкционированный перевод денежных средств, то далее недалеко до вывода в крипту (считай обезличивания) и дальнейшего вывода через N бирж по всему миру.

Расследование конечно проведут, но средства вернуть вряд ли удастся.

Аналогичные риски есть у любых организаций, у которых, например есть главбух или любой сотрудник, который обладает правом перевести денежные средства.

Успешная атака с фишингом или социальной инженерией и перевод будет совершён с большей долей вероятности, нежели в том же банке, т.к. в организациях фин.сектора обычно бывает больше тренировок и повышения осведомлённости о возможных сценариях атак.

Банк России отдельно выделяет Риск ИБ и посвящает ему целую Главу 7 ранее упомянутого Положения 716-П.

Глава 7 устанавливает специальные требования к управлению риском ИБ как к одному из ключевых видов операционного риска. Она определяет, что понимается под риском ИБ, как должны классифицироваться связанные с ним события, и какие функции и процедуры должны быть реализованы.

По сути, эта глава формализует интеграцию деятельности службы ИБ в общую СУОР и закрепляет это на уровне Политики ИБ, функций и отчётности службы ИБ, а также оценки эффективности того как служба ИБ управляет соответствующими рисками.

Такой уровень отношения к рискам ИБ видит Банк России в регулируемых организациях.

🔹Можем ли мы позволить себе иной уровень отношения к Рискам ИБ ?

🔹 Да, конечно, можем. Можно построить неплохую Систему ИБ и без такой оценки.

Но если мы не оценим риски, то будем точнее понимать на сколько наша СОИБ эффективна и не тратим ли мы больше, чем можем потерять.

Непросто оценить Риски ИБ, особенно если СУОР сам по себе непростой, а службе ИБ с риском ИБ надо "встроиться".

И чтобы это сделать эффективно ИБэшинкам (которые итак нагружены обычно в финсекторе), - Банк России уточняет для них кому и как работать с Риском ИБ в своих рекомендациях и отдельном стандарте ГОСТ Р 57580.3-2022.

Кто хочет понять как с практической точки зрения построить управление Риском ИБ - 716-П + 57580.3-2022 - готовая связка для изучения и построения, выполняй требования и сможешь построить СУОР так, как это видит Банк России для регулируемых им организаций.

И если вы обратили на Риск ИБ внимание, то изучение указанных документов (считай видение того как могут быть выстроены описываемые процессы), - может стать для вас тем, что поможет вам построить свою СУОР и достичь своей Точки "Б" в части процесса управления рисками.

#ТриадаИБ #СистемныйПодход #ИБ_без_слез
Присоединяйтесь → t.me/osipov_sec