Управление рисками информационной безопасности
Управление рисками ИБ — определение
Управление рисками информационной безопасности — систематический процесс идентификации, анализа, оценки и обработки рисков, связанных с нарушением конфиденциальности, целостности и доступности информации. Является ключевым элементом системы управления ИБ (СУИБ) по ISO 27001 и обязательным требованием для ГИС (Приказ ФСТЭК №17) и объектов КИИ (187-ФЗ).
Нормативная база: ГОСТ Р ИСО/МЭК 27005 (управление рисками ИБ),Методика оценки угроз ФСТЭК России 2021, NIST SP 800-30.
Этапы управления рисками ИБ
- Идентификация активов — инвентаризация информационных ресурсов, ПО, оборудования и процессов
- Идентификация угроз и уязвимостей — анализ БДУ ФСТЭК, CVE, внутренних уязвимостей
- Оценка рисков — расчёт вероятности реализации угрозы и потенциального ущерба
- Приоритизация — ранжирование рисков по критичности для бизнеса
- Обработка рисков — снижение, принятие, передача или избегание
- Мониторинг и пересмотр — регулярная актуализация реестра рисков
Автоматизация управления рисками в КиберОснова
Модуль управления рисками КиберОснова позволяет вести реестр рисков в едином интерфейсе: связывать риски с активами, угрозами из БДУ ФСТЭК, назначать ответственных и отслеживать статус обработки.
Встроенные методологии оценки (качественная и количественная) соответствуют требованиям российских регуляторов — ФСТЭК, ФСБ, ЦБ РФ.
Вопросы об управлении рисками ИБ
Автоматизируйте управление рисками ИБ
Реестр рисков, оценка по ФСТЭК/ISO 27005, контроль обработки — всё в КиберОснова.