Управление ИТ-рисками — это применение методов управления рисками к информационным технологиям с целью управления ИТ-рисками . Существуют различные методологии управления ИТ-рисками, каждая из которых включает определенные процессы и шаги. [1]
Система управления ИТ-рисками (ITRMS) является компонентом более широкой системы управления корпоративными рисками (ERM). [2] ITRMS также интегрированы в более широкие системы управления информационной безопасностью (ISMS). Постоянное обновление и поддержка ISMS, в свою очередь, является частью системного подхода организации к выявлению, оценке и управлению рисками информационной безопасности. [3]
В руководстве по проверке сертифицированных аудиторов информационных систем 2006 года, составленном ISACA, дается следующее определение управления рисками: « Управление рисками — это процесс выявления уязвимостей и угроз информационным ресурсам, используемым организацией для достижения бизнес-целей, и принятия решения о том, какие контрмеры , если таковые имеются, следует предпринять для снижения риска до приемлемого уровня, исходя из ценности информационного ресурса для организации » . [4]
По данным NIST, « Управление рисками позволяет ИТ-менеджерам сбалансировать эксплуатационные и экономические затраты на защитные меры с целями миссии путем обеспечения безопасности ИТ-систем и данных » . [5]
Американский национальный центр обучения и образования в области обеспечения информации определяет управление рисками в сфере ИТ следующим образом: [6]
Хотя конкретные методы могут различаться, процессы управления рисками обычно включают установление контекста, проведение оценки рисков и управление рисками. Методологии управления рисками из таких стандартов, как ISO/IEC 27005 , BS 7799 , NIST SP 800-39 и Risk IT, подчеркивают структурированный подход к этим процессам. [1] В следующей таблице сравниваются ключевые процессы в ведущих фреймворках:
Первым шагом в структуре ISO/IEC 27005 является установление контекста. Этот шаг включает сбор соответствующей информации об организации и определение критериев, области действия и границ деятельности по управлению рисками. Это включает в себя соблюдение правовых требований, обеспечение должной осмотрительности и поддержку создания системы управления информационной безопасностью (ISMS). Область действия может охватывать планы отчетности об инцидентах, планы обеспечения непрерывности бизнеса или сертификацию продуктов.
Ключевые критерии включают оценку риска, принятие риска и оценку воздействия, на которые влияют: [7]
Решающее значение имеет определение миссии, ценностей, структуры, стратегии, местоположений и культурной среды организации, а также документирование ограничений, таких как бюджетные, культурные, политические и технические факторы, которые будут определять процесс управления рисками.
Оценка рисков, критически важный компонент управления ИТ-рисками, выполняется в определенные моменты времени (например, ежегодно или по требованию) и обеспечивает моментальный снимок оцененных рисков. Она формирует основу для постоянного управления рисками, которое включает анализ, планирование, реализацию, контроль и мониторинг мер безопасности.
Оценки рисков могут быть итеративными, начиная с высокоуровневых оценок для определения основных рисков, за которыми следует более подробный анализ в последующих итерациях. Обычно включаются следующие шаги: [6]
Стандарт ISO 27005 делит процесс на следующие этапы: [7]
Этот процесс определяет активы (как основные, так и вспомогательные), угрозы и уязвимости , которые могут повлиять на организацию. Кроме того, он включает определение бизнес-процессов и существующих или планируемых мер безопасности. Результатом этого шага является список рисков, угроз и потенциальных последствий, связанных с активами и бизнес-процессами. [7]
Оценка риска оценивает вероятность и последствия выявленных рисков. Два распространенных подхода:
В обоих методах значения риска рассчитываются для каждого актива, а результаты документируются в реестре рисков .
На этом этапе результаты анализа рисков сравниваются с критериями принятия рисков организации. Список рисков расставляется по приоритетам, и даются рекомендации по обработке рисков. Риски, смягчение которых слишком затратно, могут быть приняты или переданы (например, через страхование).
Смягчение риска включает в себя определение приоритетов и реализацию мер по снижению риска, рекомендованных в ходе оценки риска. Поскольку устранение всех рисков нецелесообразно, организации должны применять наиболее экономически эффективные средства контроля, чтобы снизить риск до приемлемого уровня, одновременно минимизируя влияние на другие операции.
Обычно рассматриваются следующие стратегии: [5]
Остаточные риски, которые сохраняются после лечения, оцениваются с целью обеспечения адекватной защиты, и при необходимости могут быть приняты дополнительные меры.
Информирование о рисках — это непрерывный двунаправленный процесс, который обеспечивает общее понимание риска всеми заинтересованными сторонами. Эффективное общение влияет на принятие решений и способствует формированию культуры осведомленности о рисках в организации. Одним из методов достижения этого является метод обзора снижения рисков [9] , который представляет риски, меры и остаточные риски в понятной форме.
Управление рисками — это непрерывный процесс, требующий регулярного мониторинга и обзора для обеспечения эффективности внедренных мер безопасности при изменении условий ведения бизнеса, угроз и уязвимостей. Регулярные аудиты и обзоры безопасности необходимы для проверки контроля безопасности и оценки остаточных рисков. [1]
Новые уязвимости, такие как атаки нулевого дня , должны устраняться посредством постоянного мониторинга, управления исправлениями и обновления элементов управления. Сопоставление с лучшими практиками и участие в мероприятиях по профессиональному развитию важны для поддержания современных методов управления рисками.
Для обеспечения эффективности мер безопасности необходимо постоянно тестировать и проверять элементы управления, включая как технические системы, так и процедурные элементы управления. Тесты на проникновение и оценки уязвимости являются распространенными методами проверки эффективности элементов управления безопасностью. Регулярные проверки и повторная авторизация систем необходимы при внесении существенных изменений. [5]
Управление рисками также должно быть интегрировано в жизненный цикл разработки систем (SDLC), чтобы гарантировать, что риски рассматриваются на протяжении всего жизненного цикла ИТ-систем. Каждая фаза SDLC выигрывает от определенных видов деятельности по управлению рисками, от первоначального планирования до утилизации системы. [10]
Эффективное управление рисками полностью интегрировано в жизненный цикл разработки систем (SDLC). SDLC обычно включает пять фаз: инициирование, разработка или приобретение, внедрение, эксплуатация или обслуживание и утилизация. Действия по управлению рисками остаются последовательными на протяжении всех этих фаз, гарантируя, что потенциальные риски идентифицированы, оценены и смягчены на каждом этапе. [11]
Включение безопасности в SDLC необходимо для предотвращения дорогостоящих уязвимостей, которые могут возникнуть на более поздних этапах жизненного цикла системы. Ранняя интеграция мер безопасности на этапах инициирования и разработки может значительно снизить стоимость устранения уязвимостей безопасности. Это также позволяет повторно использовать установленные стратегии и инструменты безопасности, что приводит к повышению безопасности и эффективности затрат. [12]
В SDLC интегрированы следующие соображения безопасности:
Внедряя эти практики, организации могут гарантировать безопасность своих ИТ-систем с самого начала, снижая вероятность возникновения уязвимостей и дорогостоящих инцидентов безопасности на поздних этапах жизненного цикла системы.
Управление рисками как методология подвергалось критике за свою субъективность, особенно при оценке стоимости активов, вероятности и воздействия угроз. Часто используемые вероятностные модели могут чрезмерно упрощать сложные риски. Несмотря на эту критику, управление рисками остается важным инструментом для управления ИТ-рисками. [1]
Различные методы поддерживают процесс управления ИТ-рисками. Некоторые из наиболее широко используемых включают: [1]
Различные стандарты содержат рекомендации по управлению ИТ-рисками, включая серию ISO/IEC 27000 и NIST SP 800-30.
{{cite journal}}: Цитировать журнал требует |journal=( помощь ){{cite journal}}: Цитировать журнал требует |journal=( помощь ){{cite journal}}: Цитировать журнал требует |journal=( помощь ){{cite journal}}: Цитировать журнал требует |journal=( помощь )