Модель угроз
Отвечает на вопрос, какие угрозы актуальны для информационной системы. Разрабатывается по методическим документам ФСТЭК России, нужна регулятору и служит основанием для выбора мер защиты.
Документ соответствия — для регулятора
Консалтинг
Оценка и управление рисками информационной безопасности
Выстраиваем риск-менеджмент информационной безопасности: строим модель рисков и план их обработки — определяем, что именно в вашей организации может произойти, какой ущерб при этом возникнет, что нужно обрабатывать в первую очередь и в какие сроки.
На выходе — не список уязвимостей, а приоритизированный план с оценкой ущерба, ответственными и бюджетом. Документ, с которым можно идти к руководству и защищать статью расходов.
Когда обращаются
Когда эта услуга нужна
- Руководство спрашивает, какие расходы на защиту действительно необходимы, а какие можно отложить
- Бюджет на информационную безопасность нужно обосновать в цифрах, а не в перечне продуктов
- Мер защиты много, но непонятно, закрывают ли они то, что действительно опасно
- Требуется процесс управления рисками для соответствия отраслевым или корпоративным требованиям
- Организация растёт, меняется инфраструктура, а карта рисков не пересматривалась
- Произошёл инцидент, и нужно понять, какие ещё сценарии реализуемы
- Головная компания или заказчик требует представить оценку рисков
- Нужно подготовить материалы для совета директоров, комитета по рискам или бюджетного комитета
- Крупный заказчик или условия тендера требуют подтвердить наличие процесса управления рисками ИБ
- Планируется киберстрахование и нужно понимать, какие риски передавать страховщику
Частая путаница
Модель угроз и модель рисков — это разные документы
Их регулярно путают, и из-за этого организация получает не то, что ей нужно.
Модель рисков
Отвечает на другие вопросы: что произойдёт с организацией, если угроза реализуется, сколько это будет стоить, насколько это вероятно и что из этого нужно устранять первым.
Документ управления — для руководства
Подготовка
Что нужно для старта работ
Чем больше из этого списка уже есть, тем короче обследование и точнее результат. Отсутствие части материалов не блокирует работу — недостающее собираем в ходе обследования.
Перечень информационных систем и сервисов
Описание ключевых бизнес-процессов и их владельцев
Схема сети и описание инфраструктуры
Перечень критичных информационных активов, если он ведётся
Модель угроз, если она разрабатывалась
Результаты аудитов, тестирований на проникновение, сканирований уязвимостей
Сведения о произошедших инцидентах
Действующие политики и организационно-распорядительные документы по ИБ
Требования регуляторов, головной организации и ключевых заказчиков
Контакты сотрудников, с которыми предстоит работать: ИТ, ИБ, владельцы процессов
Этапы проекта
Что входит в работу
Определяем область оценки и критерии
Согласуем границы: какие процессы, системы и активы оцениваем. Определяем шкалы вероятности и ущерба в понятных организации величинах, критерии значимости и приемлемый уровень риска — риск-аппетит. Если в компании уже действует корпоративная система управления рисками, согласуем методику с ней.
Инвентаризируем активы и процессы
Выявляем, что защищаем: информационные активы, критичные бизнес-процессы, поддерживающие их системы и инфраструктуру, зависимости между ними. Определяем владельцев.
Определяем недопустимые для организации события
Формулируем, что для конкретно вашего бизнеса означает катастрофу: остановка производства или продаж, утечка определённой категории данных, потеря управления технологическим процессом, срыв обязательств перед регулятором или ключевым заказчиком.
Выявляем риски и оцениваем их
Строим сценарии реализации: источник угрозы, уязвимость, путь реализации, последствие. Оцениваем вероятность и ущерб, учитываем уже действующие меры защиты, получаем остаточный уровень риска.
Формируем реестр и модель рисков
Сводим риски в единый реестр с оценками, владельцами и связью с активами и процессами. Визуализируем распределение по уровням, чтобы картина читалась без погружения в таблицы.
Разрабатываем план обработки рисков
Для каждого значимого риска определяем способ обработки и конкретные меры: что делать, кто отвечает, в какой срок, какой ресурс требуется и до какого уровня снизится риск после выполнения.
Передаём процесс заказчику
Оценка рисков имеет смысл только как повторяемая процедура. Готовим методику и регламент, обучаем ответственных сотрудников, показываем, как пересматривать реестр при изменениях в инфраструктуре и после инцидентов.
Способы обработки
Четыре способа обработки риска — и что мы можем закрыть
План обработки не сводится к «купить средство защиты». Для каждого риска выбирается способ, соразмерный его уровню и стоимости мер.
Снизить
Внедрить организационные и технические меры, уменьшающие вероятность или ущерб. Проектирование и внедрение системы защиты — наша основная компетенция.
Передать
Перенести финансовые последствия на третью сторону — через страхование или условия договора с подрядчиком. У нас есть отдельная услуга киберстрахования: готовим риск-профиль и материалы для обсуждения условий. Итоговые условия определяются страховщиком по результатам андеррайтинга.
Избежать
Отказаться от процесса, технологии или сервиса, порождающего риск, либо изменить схему работы так, чтобы риск не возникал.
Принять
Сознательно оставить риск, если стоимость мер превышает возможный ущерб. Принятие фиксируется документально, с указанием того, кто именно его принял и на каком основании.
Результат
Что вы получаете
01
Перечень информационных активов и критичных процессов с владельцами
02
Перечень недопустимых для организации событий
03
Методику оценки рисков со шкалами и критериями, согласованными с вами
04
Реестр рисков с оценкой вероятности, ущерба и текущего уровня
05
Модель рисков информационной безопасности как документ
06
Карту распределения рисков по уровням в наглядном виде
07
План обработки рисков: меры, способ обработки, владелец, срок, ориентировочный ресурс, целевой уровень риска
08
Оценку остаточного риска после выполнения плана
09
Регламент управления рисками и порядок пересмотра
10
Материалы для доклада руководству — в виде, пригодном для защиты бюджета
11
Рекомендации по интеграции процесса с управлением инцидентами, непрерывностью деятельности и корпоративной системой управления рисками
Стандарты
Методология
Работаем на основе национальных и международных стандартов, адаптируя глубину проработки под масштаб организации.
ГОСТ Р ИСО 31000принципы и руководство по менеджменту риска
ГОСТ Р 58771технологии оценки риска, выбор конкретных методов
ГОСТ Р ИСО/МЭК 27005менеджмент риска информационной безопасности
Методические документы ФСТЭК Россиипо оценке угроз безопасности информации — источник актуальных угроз для сценариев
ГОСТ Р 57580.3для финансовых организаций, где управление риском реализации информационных угроз — отдельное требование
Отраслевые и корпоративные требования заказчикаесли оценка рисков должна быть совместима с методикой холдинга или головной организации
Сроки
Сроки и стоимость
Срок и стоимость зависят от области оценки, а не от размера компании как таковой. На объём работ влияет:
Количество процессов и информационных систем в границах оценки
Территориальная распределённость и число площадок
Наличие технологического контура и АСУ
Состояние документации: есть ли актуальный перечень активов, модель угроз, результаты аудита
Нужна ли только оценка или ещё и постановка процесса с обучением
Требуется ли совместимость с корпоративной методикой заказчика
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- Офисы в Самаре, Оренбурге, Нижнем Новгороде и Москве
- Лицензии ФСТЭК и ФСБ
- Мы не только оцениваем риски, но и реализуем меры по их обработке: проектирование, внедрение, сопровождение и передача риска через страхование
- Опыт оценки рисков в организациях с технологическим контуром, распределённой инфраструктурой и требованиями регуляторов
- Методику согласуем с заказчиком и передаём вместе с процессом, а не оставляем отчёт, который невозможно повторить без нас
Вопросы
Частые вопросы
Чем оценка рисков отличается от аудита информационной безопасности?
Аудит показывает фактическое состояние защиты: что настроено, что нет, где несоответствия. Оценка рисков отвечает на вопрос, что из этого действительно опасно для организации и в каком порядке это устранять. Аудит часто становится источником данных для оценки рисков.
У нас уже есть модель угроз. Нужна ли ещё и модель рисков?
Это разные документы с разным адресатом. Модель угроз нужна регулятору и обосновывает выбор мер защиты. Модель рисков нужна руководству и обосновывает приоритеты и бюджет. Актуальные угрозы при этом используются как входные данные для оценки рисков, так что работа не дублируется.
Можно ли оценить риски только по части инфраструктуры?
Да, и часто это разумный старт: взять один критичный процесс или одну систему, отработать методику, а затем распространить её на остальное.
Как часто нужно пересматривать оценку?
Как минимум при существенных изменениях: новые системы и сервисы, изменение процессов, инциденты, изменение требований регуляторов. В остальном — с периодичностью, которую вы сами закрепите в регламенте.
Вы считаете ущерб в деньгах?
Если у организации есть данные для расчёта — да, в деньгах или в диапазонах. Если данных недостаточно, применяем согласованные качественные или полуколичественные шкалы: они не дают точной суммы, но обеспечивают сопоставимость рисков между собой, а для принятия решения о приоритетах нужна именно сопоставимость.
Что делать, если после оценки на все меры не хватает бюджета?
Это нормальная и ожидаемая ситуация — собственно, ради неё оценка и делается. План обработки строится так, чтобы меры можно было выполнять очередями, начиная с рисков наивысшего уровня, а остальные риски — осознанно принять и задокументировать до появления ресурса.
Начать проект
Начать с оценки рисков
Расскажите о задаче — обосновать бюджет на защиту, выполнить требование головной организации или регулятора, разобраться в приоритетах после инцидента или поставить процесс управления рисками с нуля. Проведём короткое обследование и предложим план работ.