Что такое управление рисками ИБ: этапы и методика
Управление рисками ИБ — определение
Управление рисками информационной безопасности — систематический процесс идентификации, анализа, оценки и обработки рисков, связанных с нарушением конфиденциальности, целостности и доступности информации. Является ключевым элементом системы управления ИБ (СУИБ) по ISO 27001 и обязательным требованием для ГИС (приказ ФСТЭК № 117) и объектов КИИ (187-ФЗ).
Нормативная база: ГОСТ Р ИСО/МЭК 27005 (управление рисками ИБ),Методика оценки угроз ФСТЭК России 2021, NIST SP 800-30.
Покажем на демо, какие этапы управления рисками закрывает платформа
Этапы управления рисками ИБ
- Идентификация активов — инвентаризация информационных ресурсов, ПО, оборудования и процессов
- Идентификация угроз и уязвимостей — анализ БДУ ФСТЭК, CVE, внутренних уязвимостей
- Оценка рисков — расчёт вероятности реализации угрозы и потенциального ущерба
- Приоритизация — ранжирование рисков по критичности для бизнеса
- Обработка рисков — снижение, принятие, передача или избегание
- Мониторинг и пересмотр — регулярная актуализация реестра рисков
Что даёт КиберОснова для оценки рисков
Отдельного модуля управления рисками в КиберОснова нет. Система ведёт исходные данные для оценки: реестр активов, уязвимости из БДУ ФСТЭК с привязкой к активам и критичностью по CVSS 4.0, задачи ИБ с ответственным и сроком.
Реестр рисков и саму оценку ведут по выбранной методике — например, по ISO 27005 с учётом требований российских регуляторов.
Вопросы об управлении рисками ИБ
Начните с учёта активов и уязвимостей
Учёт активов, уязвимости из БДУ ФСТЭК и задачи ИБ — исходные данные для оценки рисков.
