Анализ и управление рисками ИБ

1.

Анализ и управление рисками ИБ
Комплексный обзор подходов, стандартов и методик

2.

Определение и расчет риска ИБ
Риск информационной безопасности (ИБ)
Вероятность реализации угрозы ИБ вследствие уязвимостей активов, приводящая к негативным
последствиям или материальному ущербу для организации.
Базовая формула расчета величины риска:
Risk = Asset × Threat × Vulnerability (Риск = Актив × Угроза × Уязвимость)
• Asset (Ценность актива): Стоимость или критичность ресурса.
• Threat (Вероятность угрозы): Частота возникновения опасного события.
• Vulnerability (Уровень уязвимости): Степень защищенности актива от данной угрозы.

3.

Подходы к построению систем обеспечения
ИБ
1. Базовый (Compliance-driven)
2. Риск-ориентированный (Risk-based)
Ориентирован на выполнение обязательных
формальных требований законодательства и
стандартов.
Строится на основе непрерывного анализа и
приоритизации реальных угроз для ключевых активов.
• Достоинства: Простота внедрения, гарантированное
соответствие регуляторам, прозрачность для аудита.
• Недостатки: Шаблонный характер, защита «на
бумаге», не учитывает уникальные риски конкретного
бизнеса.
• Достоинства: Оптимальное распределение бюджетов,
защита наиболее критичных зон, гибкость к
изменениям ландшафта угроз.
• Недостатки: Высокая сложность и стоимость,
необходимость в экспертных кадрах, субъективность
экспертных оценок.

4.

Цели и этапы анализа рисков ИБ
Цели анализа рисков:
Основные этапы процесса:
• Идентификация уязвимых мест системы.
• Обоснование затрат на безопасность.
• Поддержка принятия управленческих решений.
• Выбор оптимальных мер защиты.
1. Идентификация активов (что защищаем).
2. Выявление угроз и уязвимостей (от чего и почему).
3. Оценка вероятности и потенциального ущерба.
4. Вычисление итогового уровня риска.
5. Разработка плана обработки рисков.

5.

Обработка рисков и модель с полным
перекрытием
Способы обработки киберрисков:
Модель с полным перекрытием:
• Снижение (Mitigation): Внедрение СЗИ для
уменьшения вероятности или ущерба.
• Уклонение (Avoidance): Изменение бизнес-процессов
для исключения риска.
• Передача (Transfer): Страхование киберрисков или
аутсорсинг ИБ.
• Принятие (Acceptance): Осознанное согласие с риском,
если меры защиты дороже ущерба.
Теоретическая модель безопасности, предполагающая,
что для любого потенциального пути реализации угрозы
(пересечения источника угрозы, уязвимости и актива)
существует как минимум один барьер безопасности или
мера контроля.
Обеспечивает непрерывный периметр защиты без
«слепых зон», реализуя принцип эшелонированной
обороны.

6.

Стандарты ИБ: Фреймворк NIST RMF
Фреймворк NIST на базе правительственных документов США предоставляет структурированный процесс управления
рисками из 7 шагов (Prepare, Categorize, Select, Implement, Assess, Authorize, Monitor).
NIST SP 800-39 "Managing Information Security Risk" — Определяет общие верхнеуровневые принципы интегрированного
управления рисками на всех уровнях организации (руководство, бизнес-процессы, ИС).
NIST SP 800-37 "Risk Management Framework..." — Пошаговое руководство по внедрению RMF, категорированию систем, выбору
и оценке эффективности мер контроля ИБ.
NIST SP 800-30 "Guide for Conducting Risk Assessments" — Детальное руководство по проведению оценки рисков: идентификация
источников угроз, уязвимостей, расчет вероятности и ущерба.
NIST SP 800-137 "Information Security Continuous Monitoring" — Посвящен непрерывному мониторингу ИБ для оперативного
реагирования на новые угрозы и изменения в состоянии систем.

7.

Международные стандарты ISO
Стандарты ISO/IEC предлагают универсальный системный подход к менеджменту рисков и информационной
безопасности.
ISO/IEC 27005:2018 "Information security risk management" — Содержит рекомендации по организации менеджмента рисков ИБ.
Описывает циклический процесс, совместимый со стандартами СМИБ (ISO 27001).
ISO/IEC 27102:2019 "Guidelines for cyber-insurance" — Руководство по киберстрахованию. Объясняет, как использовать
страхование в качестве инструмента финансовой передачи рисков ИБ.
Серия стандартов ISO/IEC 31000:2018 "Risk management" — Базовые верхнеуровневые стандарты по управлению рисками
организации в целом. Задают принципы и общую структуру для любых типов рисков, включая ИБ.

8.

Отечественные стандарты и регуляторы
Российская нормативная база гармонизирована с международной, но имеет свою специфику:
ГОСТ Р ИСО/МЭК 17799:2005 — Исторический практический стандарт (свод правил), содержащий базовый набор механизмов
контроля безопасности.
ГОСТ Р ИСО/МЭК 27001-2006 — Определяет требования к созданию, внедрению и развитию Системы менеджмента ИБ (СМИБ)
организации.
ГОСТ Р 56939-2024 — Стандарт для разработчиков ПО. Задает общие требования к организации процессов разработки
безопасного софта (DevSecOps).
ГОСТ Р ИСО/МЭК 27005 — Отечественный аналог международного стандарта, полностью посвященный менеджменту рисков ИБ.
ГОСТ Р ИСО/МЭК 31010-2011 — Подробный справочник методов оценки рисков (матрицы, деревья отказов, FMEA и др.).
Положение 607-П ЦБ РФ — Отраслевой стандарт Банка России. Устанавливает требования к бесперебойности платежных систем
и методикам анализа операционных рисков и профилей рисков.

9.

Методики оценки рисков (CRAMM, FRAP,
OCTAVE)
Программные продукты и структурированные подходы к анализу:
CRAMM (CCTA Risk Analysis and Management Method) — Британская экспертная методика. Пошагово анализирует ценность
активов, угрозы и уязвимости. Позволяет автоматически подобрать контрмеры на основе крупной базы знаний.
FRAP (Facilitated Risk Analysis Process) — Облегченный и качественный метод экспресс-анализа рисков. Направлен на быстрое
проведение сессий (workshop) с бизнес-экспертами для выявления критичных рисков без детального анализа всех активов.
OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) — Разработана в университете Карнеги-Меллона.
Фокусируется на операционных рисках организации. Ключевая особенность — анализ силами внутренних специалистов (без
внешних консультантов).

10.

Методики оценки рисков (FMEA, FAIR, COSO
ERM)
Инженерные, количественные и стратегические фреймворки:
FMEA (Failure Modes and Effect Analysis) — Анализ видов и последствий отказов. Классический инженерный метод,
адаптированный под ИБ. Рассчитывает Индекс приоритетности риска (RPN) на основе тяжести, вероятности и возможности
обнаружения отказа.
FAIR (Factor Analysis of Information Risk) — Популярная современная методика точного количественного анализа рисков ИБ.
Декомпозирует риск на составляющие элементы и позволяет рассчитывать финансовые потери в денежном эквиваленте
методами Монте-Карло.
COSO ERM (Enterprise Risk Management) — Стратегическая концепция управления рисками всей организации. Интегрирует риски
ИБ в общую корпоративную систему управления рисками и стратегию верхнего уровня бизнеса.