Разработка методики анализа рисков

Для любой организации характерны свои риски, в том числе и риски информационной безопасности. Именно поэтому при их оценке необходимо учитывать все специфические моменты, связанные с функционированием организации. Такой учет проводится на этапе разработки методики анализа рисков ИБ.

Рис. 2 Практика применения статистических и нестатистических методик анализа рисков ИБ

  Существуют различные методики анализа рисков ИБ. Условно их можно разделить на статистические и нестатистические методики ( Рис.2 ).

Статистические методики применяются в случае, если в организации накоплена достаточная база событий ИБ, поскольку данный метод основывается как раз на собранных статистических данных об инцидентах, связанных с нарушением информационной безопасности.

Но что делать, если таких событий мало? Тогда используются нестатистические методы, к которым относятся, например, вариационный метод, метод имитационного моделирования, а также наиболее популярная в настоящее время методика анализа сценариев. Она, в частности, применяется для оценки рисков редких событий с большими операционными потерями, а также в случае, если внутренних исторических данных недостаточно для применения статистических методик. Использование методики анализа сценариев является, к примеру, требованием соглашения Basel II при оценке рисков редких событий в кредитно-финансовых организациях. При создании методики анализа рисков ИБ большое значение имеет разработка процедуры анализа рисков, которая должна учитывать специфику бизнес-процессов заказчика. Она утверждается высшим руководством организации.

На этапе разработки методики анализа рисков ИБ также осуществляется выбор шкалы уровней риска, определение приемлемого уровня риска, а также разработка критериев, на основании которых достигается снижение критичных рисков до приемлемого уровня.