ГОСТ Р 53131— 2008
- оборудования;
- строений или среды;
- информационной технологии или системы:
- процессов менеджмента и защитных мер ИВ, включая обеспечение таких характеристик, как кон
фиденциальность. целостность и доступность;
- проектов (планов).
Все идентифицированные риски должны быть указаны в плане обеспечения непрерывности в ин
формационной сфере организации.
5.2 Для каждого риска, который идентифицирован какзначимый, может быть разработан докумен
тированный профиль риска, определяющий:
- характер риска и источники его происхождения (природа риска);
- правдоподобность/вероятность возникновения риска, включая подробности о любых обстоятель
ствах. в которых правдоподобность/вероятность риска может меняться;
- описание потенциального воздействия риска на бизнес, включая оценки расходовдля бизнеса от
непринятия мер для предотвращения или уменьшения этого воздействия;
- подробности о возможных признаках возникновения риска и о способахобнаружения этих призна
ков;
- оценку возможности/вероятности обнаружения риска и меры, которые могут быть приняты для
повышения степени этой вероятности;
- подробности о существующих защитных мерах, предназначенныхдля мониторинга признаков и
условий наступления рискового события, предотвращения его возникновения или снижения его воздей
ствия. включая оценки расходов на реализацию и поддержание защитных мер;
- предложения, касающиеся дополнительных защитных мер или изменений существующих защит
ных мердля предотвращения возникновения рискового события и уменьшения его воздействия, вклю
чая подробности о необходимых средствах, оборудовании и персонале, оценке времени, усилий и рас
ходов. необходимыхдля реализации и поддержания дополнительных защитных мер;
- предполагаемую экономию, получаемую вследствие реализации предложенных защитных мер в
случае возникновения рискового события.
Формализация профиля рисков обеспечивает основу для анализа затрат и выгод, которая может
служить основанием для принятия решений о том. какие действия следует предпринять в рамках мони
торинга риска, модификации риска, передачи риска и мероприятий, связанных с планированием обеспе
чения непрерывности бизнеса.
5.3 В целом обеспечение непрерывности в информационной сфере организациидолжно быть осно
вано на понимании потенциальных рисков и их влияния на достижение целейдеятельности организации.
На этапах восстановления штатнойдеятельности после ЧС организация может пойти на существенные
риски, не компенсированные мерами обеспечения ИБ ИТС в случаях, если последствия невозможности
восстановления той или инойдеятельности сопряжены с существенными потерями для организации.
Потери в информационной сфере (в части персонала, управления или компонентов инфраструкту
ры) обычно ведут к утрате возможности эксплуатации и управления информационной инфраструктурой
организации с последующим ухудшением или утратой критических информационных сервисов/приложе-
ний и данных. Степень воздействия этой потери наорганизацию зависит от вида деятельности организа
ции.
5.4 Необходимо установить требования ко времени восстановления информационных сервисов и
мер обеспечения ИБ ИТС. значимых для реализации критических видовдеятельности организации.
5.5 Необходимо установить требования кактуальности данных, используемых при восстановлении
информационных сервисов и мер обеспечения ИБ ИТС. Требования к актуальности данных, используе
мых при восстановлении мер обеспечения ИБ ИТС, должны содержать порядок определения важности
информации о конфигурации системы и используемых мерах обеспечения ИБ ИТС.
Невозможность получения актуальной информации о конфигурации и используемых мерах обеспе
чения ИБ ИТС может создать риски прерывания деятельности организации. Указанные факторы рисков
должны быть учтены в рамках менеджмента непрерывности в информационной сфере организации.
Вопросы получения актуальной информации о конфигурации и используемых мерах обеспечения
ИБ ИТСдолжны быть рассмотрены в контексте:
- требований к устойчивости и доступности ИТС;
- основных поставщиков и привлекаемых сторон;
10