Управление рисками информационной безопасности и нормативное регулирование

1.

Управл
Управление безопасностью
информации. Нормативно-правовое
регулирование в области ИБ
безопасностью информации.
Нормативно-правовое
регулирование в области ИБ

2.

Определение риска ИБ
Риск информационной безопасности (ИБ)
Вероятность реализации угрозы ИБ вследствие уязвимостей активов, приводящая к негативным
последствиям или материальному ущербу для организации.

3.

Подходы к построению систем обеспечения
ИБ
1. Неформальный (описательный ) подход
2.Формальный подход
Здесь фокус на том, чтобы разобрать комплекс
вопросов защиты по направлениям, которые
соответствуют основным угрозам. Для каждой угрозы
(например, несанкционированный доступ, вредоносное
ПО, утечка данных) разрабатывают свой набор мер и
механизмов защиты.
В его основе — чёткое определение политики
безопасности (набора правил и требований) и
математическое доказательство того, что построенная
система гарантированно их выполняет. Используются
формальные модели (например, модели Белла —
ЛаПадулы, Биба), которые описывают взаимодействие
субъектов и объектов доступа в абстрактном виде.
• Достоинства: гибкость и адаптивность , наглядность.,
подходит для начальных этапов.
• Недостатки: риск разрозненности, сложность
обеспечения комплексности, меньше формальных
доказательств корректности.
• Достоинства: высокая степень уверенности,
прозрачность и воспроизводимость, подходит для
критических систем.
• Недостатки: сложность и дороговизна., ограниченная
гибкость, риск «переусложнения».

4.

Цели и этапы анализа рисков ИБ
Цели анализа рисков:
Основные этапы процесса:
• Идентификация уязвимых мест системы.
• Обоснование затрат на безопасность.
• Поддержка принятия управленческих решений.
• Выбор оптимальных мер защиты.
1. Идентификация активов (что защищаем).
2. Выявление угроз и уязвимостей (от чего и почему).
3. Оценка вероятности и потенциального ущерба.
4. Вычисление итогового уровня риска.
5. Разработка плана обработки рисков.

5.

Базовая формула расчета величины риска:
Risk = Asset × Threat × Vulnerability (Риск = Актив × Угроза ×
Уязвимость)
• Asset (Ценность актива): Стоимость или критичность ресурса.
• Threat (Вероятность угрозы): Частота возникновения опасного события.
• Vulnerability (Уровень уязвимости): Степень защищенности актива от данной угрозы.

6.

Обработка рисков и модель с полным
перекрытием
Способы обработки киберрисков:
Модель с полным перекрытием:
• Снижение (Mitigation): Внедрение СЗИ для
уменьшения вероятности или ущерба.
• Уклонение (Avoidance): Изменение бизнес-процессов
для исключения риска.
• Передача (Transfer): Страхование киберрисков или
аутсорсинг ИБ.
• Принятие (Acceptance): Осознанное согласие с риском,
если меры защиты дороже ущерба.
Теоретическая модель безопасности, предполагающая,
что для любого потенциального пути реализации угрозы
(пересечения источника угрозы, уязвимости и актива)
существует как минимум один барьер безопасности или
мера контроля.
Обеспечивает непрерывный периметр защиты без
«слепых зон», реализуя принцип эшелонированной
обороны.

7.

Стандарты ИБ: Фреймворк NIST RMF
Фреймворк NIST на базе правительственных документов США предоставляет структурированный процесс управления
рисками из 7 шагов (Prepare, Categorize, Select, Implement, Assess, Authorize, Monitor).
NIST SP 800-39 "Managing Information Security Risk" — Определяет общие верхнеуровневые принципы интегрированного
управления рисками на всех уровнях организации (руководство, бизнес-процессы, ИС).
NIST SP 800-37 "Risk Management Framework for Information Systems and Organization "— Пошаговое руководство по внедрению
RMF, категорированию систем, выбору и оценке эффективности мер контроля ИБ.
NIST SP 800-30 "Guide for Conducting Risk Assessments" — Детальное руководство по проведению оценки рисков: идентификация
источников угроз, уязвимостей, расчет вероятности и ущерба.
NIST SP 800-137 "Information Security Continuous Monitoring" — Посвящен непрерывному мониторингу ИБ для оперативного
реагирования на новые угрозы и изменения в состоянии систем.

8.

Международные стандарты ISO
Стандарты ISO/IEC предлагают универсальный системный подход к менеджменту рисков и информационной
безопасности.
ISO/IEC 27005:2018 "Information security risk management" — Содержит рекомендации по организации менеджмента рисков ИБ.
Описывает циклический процесс, совместимый со стандартами СМИБ (ISO 27001).
ISO/IEC 27102:2019 "Guidelines for cyber-insurance" — Руководство по киберстрахованию. Объясняет, как использовать
страхование в качестве инструмента финансовой передачи рисков ИБ.
Серия стандартов ISO/IEC 31000:2018 "Risk management" — Базовые верхнеуровневые стандарты по управлению рисками
организации в целом. Задают принципы и общую структуру для любых типов рисков, включая ИБ.

9.

Отечественные стандарты и регуляторы
Российская нормативная база гармонизирована с международной, но имеет свою специфику:
ГОСТ Р ИСО/МЭК 17799:2005 — Исторический практический стандарт (свод правил), содержащий базовый набор механизмов
контроля безопасности.
ГОСТ Р ИСО/МЭК 27001-2006 — Определяет требования к созданию, внедрению и развитию Системы менеджмента ИБ (СМИБ)
организации.
ГОСТ Р 56939-2024 — Стандарт для разработчиков ПО. Задает общие требования к организации процессов разработки
безопасного софта (DevSecOps).
ГОСТ Р ИСО/МЭК 27005 — Отечественный аналог международного стандарта, полностью посвященный менеджменту рисков ИБ.
ГОСТ Р ИСО/МЭК 31010-2011 — Подробный справочник методов оценки рисков (матрицы, деревья отказов, FMEA и др.).
Положение 607-П ЦБ РФ — Отраслевой стандарт Банка России. Устанавливает требования к бесперебойности платежных систем
и методикам анализа операционных рисков и профилей рисков.

10.

Методики оценки рисков (CRAMM, FRAP,
OCTAVE)
Программные продукты и структурированные подходы к анализу:
CRAMM (CCTA Risk Analysis and Management Method) — Британская экспертная методика. Пошагово анализирует ценность
активов, угрозы и уязвимости. Позволяет автоматически подобрать контрмеры на основе крупной базы знаний.
FRAP (Facilitated Risk Analysis Process) — Облегченный и качественный метод экспресс-анализа рисков. Направлен на быстрое
проведение сессий (workshop) с бизнес-экспертами для выявления критичных рисков без детального анализа всех активов.
OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) — Разработана в университете Карнеги-Меллона.
Фокусируется на операционных рисках организации. Ключевая особенность — анализ силами внутренних специалистов (без
внешних консультантов).

11.

Методики оценки рисков (FMEA, FAIR, COSO
ERM)
Инженерные, количественные и стратегические фреймворки:
FMEA (Failure Modes and Effect Analysis) — Анализ видов и последствий отказов. Классический инженерный метод,
адаптированный под ИБ. Рассчитывает Индекс приоритетности риска (RPN) на основе тяжести, вероятности и возможности
обнаружения отказа.
FAIR (Factor Analysis of Information Risk) — Популярная современная методика точного количественного анализа рисков ИБ.
Декомпозирует риск на составляющие элементы и позволяет рассчитывать финансовые потери в денежном эквиваленте
методами Монте-Карло.
COSO ERM (Enterprise Risk Management) — Стратегическая концепция управления рисками всей организации. Интегрирует риски
ИБ в общую корпоративную систему управления рисками и стратегию верхнего уровня бизнеса.