Анализ и управление рисками ИБ в организации

Построение систем защиты начинается с определения значимости ресурсов, которыми организация обладает. В этом помогает шакала градации, особенно метод применим у ИТ-компаний. Этот же подход лежит в начале разработки политики ИБ. Данный процесс базируется на оценке рисков. Дадим определение риску и иным понятиям.
Риск – значение вероятности осуществлении установленной угрозы (использующей определенные уязвимости) и величины возможного ущерба [1]. Под данным определением понимается процесс оценки рисков и иных угроз, которым подвержена инфраструктура организации, согласно стандарту OHSAS 18001. Соответственно, оценка риска — процесс обнаружение угроз и последствий от их реализации.
Также стоит определиться с понятием «управление рисками». Это процедура, содержащая комплекс мер, предотвращающих опасность риска или вовсе сводящий их на «нет». Основной целью процесса управления рисками является минимизирование суммы затрат от убытков. На рисунке 1 представлены вопросы, которые решает процесс управления рисками

.
Отдельно стоит отметить понятие классификации рисков. Классификация дает возможность эффективно использовать ресурсы и способы защиты информации с целью блокирования угроз от рисков, схожих согласно категории соответствия.
Рисунок 1. Задачи управления рисками ИБ
С точки зрения оперативности принятия предотвращающих мер рассматривают три основных подхода к управлению рисками:
динамичный;
адаптивный;
консервативный.
Демонстрационная схема градации информационных рисков на группы представлена на рисунке 2.
Рисунок 2. Классификация рисков ИБ [2]
Цель управления рисками - ограничение убытка ущерба в рамках конкретного подразделения. Следует отметить и тот факт, что управление рисками обладает целым рядом аспектов:
финансовый аспект — это угроза доходу, капиталу, т.е. опасность стабильности благополучия;
юридический аспект – это правомочие, суд, т.е. все что обязано быть в рамках закона;
статистический аспект – формирование проектов с необходимыми базами данных.
Можно без всякого преувеличения сказать, что современный бизнес все больше зависит от информационных технологий, от качества и непрерывности предоставляемых услуг