Идентификация рисков

На этапе идентификации рисков информационной безопасности с использованием разработанной процедуры анализа рисков специалистами компании-консультанта проводятся:

• идентификация угроз информационной безопасности в отношении сформированного перечня активов;

• идентификация уязвимостей, которые могут привести к реализации угроз;

• идентификация потенциального ущерба (последствий реализации угроз), к которому может привести нарушение информационной безопасности активов.

Результатом данных работ является документированный набор идентифицированных рисков.

Оценка рисков

Оценка рисков информационной безопасности является важнейшим элементом процесса анализа рисков ИБ и включает в себя целый комплекс мероприятий:

• оценка ущерба для бизнеса, который возможен в результате нарушения информационной безопасности активов;

• оценка возможности нарушения информационной безопасности активов с учетом идентифицированных для данных активов угроз, уязвимостей и ущерба, а также используемых механизмов информационной безопасности;

• определение уровней (величин) рисков.

Выбор мер противодействия рискам

Заключительным этапом процесса анализа рисков ИБ является выбор мер противодействия. Данный этап подразумевает сопоставление определенных уровней рисков с выбранными на предыдущих этапах критериями для их принятия или снижения.

Результатом является комплекс механизмов контроля, направленный на снижение выявленных рисков. Разрабатывается и утверждается высшим руководством организации «План обработки рисков», описывающий решения по их принятию или снижению с указанием выбранных мер и мероприятий. В плане также указываются приоритеты снижения, действия конкретных исполнителей, бюджетируются конкретные мероприятия и средства защиты информации.

Реализация разработанного плана обработки рисков ИБ является основой для бизнес-ориентированного подхода к обеспечению информационной безопасности в организации.

Результаты анализа рисков иб

Результатом работ по анализу рисков информационной безопасности, как правило, является:

• описание обследованных автоматизированных систем и сервисов, применяемых административных, организационных мер, программно-технических средств обеспечения ИБ;

• карта рисков информационной безопасности;

• план обработки рисков, который включает комплекс внедряемых административных, организационных мер и программно-технических средств, направленных на снижение уровня рисков информационной безопасности, оценку стоимости внедрения, а также график мероприятий по внедрению мер обеспечения ИБ (а в некоторых случаях полученные данные могут быть представлены в виде эскизного проекта реализации системы информационной безопасности ИС заказчика).

Обеспечение требований бизнеса к информационной безопасности

Цели, задачи и направления развития информационной безопасности должны определяться на основе требований бизнеса в лице руководства, функциональных и вспомогательных подразделений, участвующих в процессе производства. Именно бизнес, являясь основным «владельцем» информационных активов организации, должен определять требования по их защите. Формирование требований происходит путем взаимной увязки целей бизнеса и ИБ. В настоящее время основным способом достижения этого является разработка стратегии информационной безопасности.