Управление рисками информационной безопасности – непрерывный процесс, в котором организация определяет свои информационные активы, угрозы и уязвимости, оценивает вероятность и последствия инцидентов и выбирает способы обработки рисков. Подходы описаны в стандартах ISO/IEC 27005 и ГОСТ Р ИСО/МЭК 27005, а также в методических документах регуляторов.
Этапы
- Определение контекста и критериев приемлемого риска.
- Идентификация активов, угроз, уязвимостей.
- Анализ и оценка риска: вероятность и ущерб.
- Обработка: снижение мерами защиты, передача (страхование, аутсорсинг), принятие или избежание.
- Мониторинг и пересмотр.
Связь с российскими требованиями
- Модель угроз по методике ФСТЭК России (2021 года) для ГИС, ИСПДн, КИИ.
- Перечень недопустимых событий и оценка последствий для значимых объектов КИИ.
- Требования Банка России к управлению операционным риском и риском ИБ для финансовых организаций.
Инструменты
GRC-платформы ведут реестр активов и рисков, связывают их с мерами контроля и инцидентами, формируют отчёты для руководства.
