Управление рисками информационной безопасности в России
Наши партнёры Наши проекты: IT Worldall CIOIT Contact
ВходРегистрация
X

Логин

Пароль

Запомнить

Забыли свой пароль?

Управление рисками информационной безопасности в России

Управление рисками информационной безопасности в России

| 19.02.2014

История доказывала много раз, что стабильность, какой бы идеальной она ни была на первый взгляд, ведет к деградации. Развитие невозможно без риска. Вся наша жизнь складывается из вероятностей, оценивания возможностей и решений, приводящих к успеху или поражению. Многое зависит от нас.

Например, благополучный исход прыжка с парашютом зависит от того, правильно ли уложен сам парашют, знаете ли вы порядок действий при прыжке и т. д. Нет, риск и теперь не равен нулю, но своими действиями вы способны существенно снизить его. Помимо индивидуальных, выделяют риски социальные, технологические и пр. Мы же сосредоточимся на рисках информационной безопасности и управлении ими.

Стандарт управления рисками ISO 31000:2009 дает определение риска как «результата неопределенности в отношении целей, где результат – это отклонение от предполагаемого исхода (положительного или отрицательного), а неопределенность – состояние недостаточности информации, связанной с пониманием события или знаниями о нем, его последствиями или вероятностью». Учитывая, что большинство рисков невозможно свести к нулевым значениям, на первое место как в глобальном, так и в локальном масштабе выходит управление ими. К сожалению, в том случае, когда действие происходит раньше анализа (а именно такая ситуация характерна для многих российских компаний), эффективность предпринятых мер также отдается на волю случая (все равно что использовать бензопилу в качестве топора, не прочитав инструкцию по применению). Вот почему, прежде чем браться за управление рисками ИБ, следует разобраться с наработками и стандартами в этой области.

От общего к частному

Рассматривая управление рисками в фокусе ИБ, полезно иметь представление о нескольких более общих документах, таких как:

·         международный стандарт ISO 31000:2009;

·         концептуальные основы управления рисками «Комитета спонсорских организаций комиссии Тредвея» (COSO);

·         стандарт управления рисками Института рисков менеджмента (IRM) ассоциации «Риск менеджмента и страхования» (AIRMIC), а также национального форума «Риск менеджмента в общественном секторе Великобритании».

ISO 31000:2009 – основной международный стандарт по управлению рисками для организаций – дает основные определения и принципы, которыми должна руководствоваться организация после принятия решения о внедрении системы управления рисками. Этот документ можно использовать в качестве руководства для первых шагов, так как он описывает именно менеджмент риска, то есть архитектуру.

  img

Более подробные инструкции содержатся в концептуальных основах управления рисками COSO ERM. В частности, помимо самого документа, практическую пользу представляют дополнительные материалы, выпущенные COSO:

·         ERM Risk Assessment in Practice («Практика проведения оценки рисков в системе управления рисками»);

·         Enterprise Risk Management for Cloud Computing («Управление рисками для систем облачных вычислений»);

·         Enterprise Risk Management Understanding and Communicating Risk Appetite («Понимание и коммуникация риск-аппетита в системе управления рисками»);

·         Embracing Enterprise Risk Management: Practical Approaches for Getting Started («Практические подходы для начала внедрения системы управления рисками») и др.

Их цель – подробное раскрытие всех аспектов, изложенных в концептуальных основах, что в конечном счете позволяет ставить описанные принципы на практические рельсы.

Однако стоит упомянуть один важный нюанс, который может приводить к некоторой путанице при попытке совмещения описанных выше стандартов,  – различия в определениях. Например, определение понятия риска в стандарте ISO – это вероятность и положительного, и негативного последствия, а в стандарте COSO – вероятность только негативного последствия, для положительного есть отдельный термин – возможность. Тем не менее, учитывая перманентное развитие стандарта, он заслуживает самого пристального внимания.

Еще один полезный документ – «Стандарт управления рисками» Института риска менеджмента (IRM) и ассоциации «Риск менеджмента и страхования (AIRMIC), а также национального форума «Риск менеджмента в общественном секторе Великобритании». Взяв за основу терминологию ISO, данный стандарт более детально раскрывает процесс управления рисками:

 img

Описанный стандарт будет крайне полезен для СМБ, так как способен выступать в качестве единого и единственного документа для внедрения качественной системы управления рисками.

Таким образом, перед тем как перейти к частным вопросам управления рисками информационной безопасности, можно сделать промежуточные выводы по рассмотренным стандартам:

·         ISO 31000:2009 подойдет в качестве основного для любой организации.

·         AIRMIC ориентирован на практику и подойдет в качестве основного документа для малого и среднего бизнеса, а также в качестве отправной точки для крупных компаний.

·         COSO ERM выступает в качестве основного документа для практического внедрения системы управления рисками в любой организации, однако изначально тяготеет к крупному бизнесу.

Управление рисками ИБ

На сегодняшний день информатизация общества вкупе с автоматизацией процессов развивается столь стремительно, что игнорирование возрастающих рисков в области ИТ становится недопустимым. Доступность ЦОДов измеряется пятью и шестью девятками, а сбои в ИС крупных компаний становятся новостями мирового масштаба. Как следствие, в организациях создаются отдельные подразделения по информационной безопасности и IT-рискам.

Спрос породил предложение. Так, международной организацией ISO был выпущен стандарт по управлению рисками ИБ в организации: ISO 27005:2008 «Информационные технологии – техники безопасности – управление рисками информационной безопасности». Однако существуют и другие, не менее полезные документы, как то:

·         «Рабочая среда по управлению IT-рисками» (The Risk IT Framework) и «Инструкция по применению для IT-рисков» (The Risk IT Practitioner Guide), основанные на стандарте Cobit организации ISACA.

·         Авторская «Методика управления рисками информационных систем» Кена Джаворски (Ken Jaworski).

В стандарте ISO 27005:2008 дается определение риска ИБ как вероятности того, что заданная угроза использует уязвимости актива или группы активов и таким образом нанесет вред организации. В соответствии со стандартом процесс управления рисками ИБ позволяет организовать следующее:

·         идентификацию рисков;

·         риски оцениваются в терминах последствий для бизнеса и вероятности их появления;

·         вероятности и последствия рисков сообщаются и осознаются;

·         выстроен порядок приоритетов для обработки рисков;

·         выстроен приоритет для действий по уменьшению вероятности возникновения рисков;

·         заинтересованные лица вовлечены в процесс принятия решений по управлению рисками и информируются о статусе процесса управления рисками;

·         мониторинг эффективности обработки рисков;

·         риски и процесс управления рисками регулярно отслеживаются и пересматриваются;

·         выявление информации для улучшения подхода к управлению рисками;

·         менеджеры и сотрудники обучаются выявлению рисков и действиям по их снижению.

Примечательно, что схема процесса управления рисками ИБ совпадает со схемой стандарта 31000, представленной ранее, что еще раз подтверждает одинаковый подход к управлению рисками в серии стандартов ISO. Стандарт носит теоретический характер, но будет полезен в качестве основы для дальнейшего внедрения системы управления рисками.

Рабочая среда по управлению IT-рисками (The Risk IT Framework), основанная на стандарте Cobit организации ISACA, включает в себя теоретическую базу, инструкцию по применению (методологию и практические примеры). В данном документе дается определение IT-риска: «это бизнес-риск, в частности бизнес-риск, ассоциированный с использованием, владением, произведением действий, вовлечением, влиянием или адаптацией ИТ в организации». Процессная модель данной среды состоит из трех доменов:

·         Управление риском (Risk Governance).

·         Оценка риска (Risk Evaluation).

·         Реагирование на риск (Risk Response).

 img

В документе тщательно рассмотрена вся трехдоменная модель. Приведены необходимые определения, разобраны ролевая модель по перечисляемым процессам, а также порядок внедрения.

Инструкция по применению в области IT-рисков (The Risk IT Practitioner Guide) является логическим продолжением рабочей среды, ориентированным на практическое внедрение трехдоменной модели в организации. В документе представлены шаблоны, таблицы и другие документы, которые можно при необходимости изменить и использовать в системе управления рисками вашей организации. Кроме того, дается описание лучших практик внедрения систем по управлению IT-рисками.

«Методика управления рисками информационных систем» Кена Джаворски (Ken Jaworski) основана на стандарте ISO и акцентирует внимание на практических аспектах внедрения системы управления рисками. Содержит необходимые шаблоны и способы расчета влияния рисков на деятельность организации.

Подводя итоги, можно сделать вывод, что в области управления рисками информационной безопасности наблюдается прогресс, позволяющий заинтересованным специалистам переходить от теоретических описаний к практическим действиям. Так, международный стандарт ISO 27005:2008 служит отправной теоретической точкой. Дальнейший практический путь, несмотря на индивидуальный подход каждой организации, может быть эффективно реализован с помощью как минимум двух методик.

Заключение

Система управления рисками как часть корпоративного управления уже доказывает свою эффективность в тех компаниях, где ее начинают внедрять или уже внедрили. В связи с кризисным состоянием мировой экономики на данный момент можно предполагать распространение в будущем подобных систем и в госсекторе. Это возможно даже сегодня, так как уже сейчас существуют стандарты и другие документы по системе управления рисками, позволяющие внедрить данную систему качественно и в относительно короткие сроки.

Принципиально важным моментом является тот факт, что, помимо общих документов, существуют отраслевые стандарты управления рисками, в частности управления рисками ИТ/ИБ. Однако, учитывая специфику российской экономики, многие организации больше рассчитывают на поддержку государства или так называемый «административный ресурс», уделяя недостаточно внимания системе  корпоративного управления и управления рисками в частности. Как следствие, в нашей стране возрастает предрасположенность к более крупным, чем в США, банкротствам. Вот только бездействие вряд ли будет способствовать разрешению проблемы.

Автор: Антон Макарычев, руководитель направления ИБ, ГК «Компьюлинк»

Теги: информационная безопасность, СМБ, ЦОД

Еженедельник IT Weekly

Навигация:   РынокБезопасность


ВКонтакт Facebook Google Plus Одноклассники Twitter Livejournal Liveinternet Mail.Ru

Другие материалы рубрики

Apple вела «жесткую политику» по отношению к местным сотовым операторам: не разрешала им продавать пользователям iPhone старых поколений, которые, соответственно, стоят заметно дешевле, чем новые модели...

мероприятия

| 29.09.2016
Выставка-конференция «Интернет вещей» 2016

Москва, Центр Международной Торговли

| 29.09.2016
Выставка-конференция «Интернет вещей» 2016

Москва, World Trade Center Moscow

| 05.10.2016 — 06.10.2016
DIF 2016: Сonnect!

Иннополис

| 20.10.2016
Уникальный проектный опыт - на Docsvision User Day 2016!

Москв, Swissôtel Красные Холмы

| 28.10.2016 — 29.10.2016
Конференция «Разработка ПО»

Москва, центр Digital October

| 28.10.2016
Бизнес-форум 1С:ERP 2016

Москва, Конгресс-центр ЦМТ) (Краснопресненская наб., д. 12, подъезд 4).

Также смотрите

Самое главное – продолжать вести бизнес честно и не поддаваться на ежесекундные выгоды...
В рамках мониторинга ствола скважины DAS-технология производит порядка 2 Тбайт информации в день только по одному стволу. А это уже настоящие Big Data...
Active World Business ForumФорум для тех, кто хочет быть эффективнее не только в бизнесе, но и в других сферах жизни. Мечтая о великом, начните с малого, но конкретного действия...

Фоторепортажи

Мы в социальных сетях

Компании сообщают