Підходи до управління ризиками
Оскільки ризики інформаційної безпеки є основними далеко не для всіх організацій, умовно можна виділити три основні підходи до управління цими ризиками, що розрізняються глибиною і рівнем формалізму.
Підходів до управління ризиками:
Некритичні системи - застосовується набір базових вимог безпеки, визначених досвідом, законодавством і стандартами.
Критичні системи - Високорівнева оцінка ризиків. Особливу увагу на системи з найбільшим ризиком.
Особливо критичні системи - детальна оцінка ризиків з використанням формалізованого підходу.
Для некритичних систем, коли інформаційні активи є допоміжними, а рівень інформатизації невисокий, що характерно для більшості сучасних російських компаній, існує мінімальна необхідність в оцінці ризиків. У таких організаціях слід вести мову про деяке базовому рівні ІБ, що визначається існуючими нормативами та стандартами, кращими практиками, досвідом, а також тим, як це робиться в більшості інших організацій. Однак існуючі стандарти, описуючи деякий базовий набір вимог і механізмів безпеки, завжди обумовлюють необхідність оцінки ризиків та економічної доцільності застосування тих або інших механізмів контролю для того, щоб вибрати з загального набору вимоги і механізмів ті з них, які застосовні в конкретній організації. Тому певні елементи оцінки інформаційних ризиків потрібні і для таких організацій.
Для критичних систем, в яких інформаційні активи не є основними, проте рівень інформатизації бізнес-процесів дуже високий та інформаційні ризики можуть суттєво вплинути на основні бізнес-процеси, оцінку ризиків застосовувати необхідно, але в даному випадку доцільно обмежитися неформальними якісними підходами до вирішення цього завдання , приділяючи особливу увагу найбільш критичним системам.
Коли бізнес побудований навколо інформаційних активів і ризики інформаційної безпеки є основними, необхідно застосовувати формальний підхід і проводити деталізовану оцінку ризиків по всіх активах.
У багатьох компаніях одночасно кілька видів активів можуть бути життєво важливими, наприклад, коли бізнес диверсифікований або компанія займається створенням інформаційних продуктів і для неї можуть бути однаково важливі і людські та інформаційні активи. У цьому випадку раціональний підхід полягає в проведенні високорівневої оцінки ризиків, з метою визначення того, які системи схильні до ризиків у високому ступені і які мають критичне значення для ведення ділових операцій, з подальшим проведенням детальної оцінки ризиків для виділених систем. Для всіх інших некритичних систем доцільно обмежитися застосуванням базового підходу, приймаючи рішення з управління ризиками на підставі існуючого досвіду, експертних висновків та кращої практики.
Зауважимо, що з часом частка критичних і особливо критичних інформаційних систем в організаціях будь-якої сфери діяльності неухильному підвищується.
Визначення критеріїв прийняття ризику.
Ці критерії повинні описувати обставини, за яких організація має намір приймати ризики.
Ідентифікація прийнятних рівнів ризику. Який би підхід до оцінки ризиків не був обраний, повинні бути ідентифіковані рівні ризику, які організація вважає прийнятними.
Ідентифікація та оцінка ризиків. Необхідно, щоб обраний підхід до оцінки ризиків охоплював всі фактори ризику, включаючи активи, загрози, вразливості, механізми контролю і збиток.
Охоплення всіх аспектів області дії СУІБ. Обраний підхід до оцінки ризиків повинен охоплювати всі галузі контролю, що містяться в ISO 27001, Додаток А. Деякі підходи до оцінки ризиків концентруються тільки на ІТ, не враховуючи фізичні, кадрові, організаційні та законодавчі аспекти. Такі підходи непридатні для оцінки, необхідної в ISO 27001.
Облік кожного інформаційного активу (групи активів). Ризики повинні оцінюватися для кожного інформаційного активу, а не тільки для окремих процесів або інформаційних систем.
Результати оцінки повинні бути відтворюваними. Висновки повинні бути аргументовані таким чином, щоб незалежні експерти, використовуючи ті ж методи, могли б отримати аналогічні результати.Керівництво організації повинне приймати ризики усвідомлено. Іншими словами, керівництво повинно усвідомлювати реальні розміри і ймовірність збитку.
Це досягається шляхом застосування якісних і кількісних шкал оцінки ризику та їх калібрування відповідно до правилами, описаними нижче. Для того щоб продемонструвати свою відповідність стандарту ISO 27001, наприклад, на сертифікаційному аудиті СУІБ, організація повинна не просто показати аудиторам таблицю з оцінкою ризиків, але також пояснити, на підставі чого були отримані такі оцінки по всіх елементах ризику і по кожному інформаційному активу.