Методика оценки рисков

До начала оценки определите, что оценивается и по каким критериям. В этой системе это делается при создании списка рисков.

• Опишите область: организацию, процесс или систему и цели информационной безопасности.
• Выберите одну шкалу для списка: количественную (0–10 или 0–100) или качественную (3 или 5 уровней).
• Задайте критерий принятия риска — уровень, до которого риск может быть принят.

Найдите, распознайте и опишите риски — события, которые могут помешать достижению целей информационной безопасности, повлиять на него или задержать его. Риск, не выявленный на этом этапе, потерян для дальнейшего анализа.

• Выберите угрозу из БДУ ФСТЭК либо сформулируйте риск самостоятельно.
• Определите источники риска и события, способные его вызвать (событийный подход — быстрый, стратегические сценарии; подход на основе активов — детальный: активы, угрозы, уязвимости).
• Назовите владельцев риска — тех, кто подотчётен, имеет полномочия управлять риском и способен принимать обоснованные решения.

Цель — определить уровень каждого риска. Уровень риска — это комбинация последствий и вероятности.

• Последствия: опишите, что может произойти при нарушении конфиденциальности, целостности или доступности; оцените потери в деньгах или времени и затраты на восстановление; оцените тяжесть по шкале.
• Вероятность: опирайтесь на статистику, мотивацию и возможности нарушителей, случайные факторы, известные слабости и действующие меры защиты. Предпочитайте групповую оценку, внешние источники и однозначные категории («раз в год»).
• Уровень риска: система предлагает значение по последствиям и вероятности; окончательное решение принимаете вы.

Сравните результаты анализа с заранее определёнными критериями и решите, что делать дальше.

• Приемлем или нет: примените критерий принятия с учётом степени уверенности в оценке и накопленного эффекта частых мелких событий.
• Приоритет: риски, которые нельзя принять, ранжируются для обработки — чем выше уровень, тем раньше обработка.
• Сортируйте список по уровню, приоритету, владельцу или потерям, чтобы изучить его и увидеть общую картину.