ГОСТ Р ИСО/МЭК 27005—2010
9 Обработка риска информационной безопасности
9.1 Общее описание обработки риска
Входные данные Перечень рисков с назначенными приоритетами всоответствии с критериями оцен
ки рисков, касающимися сценариев инцидентов, которые приводят катим рискам.
Действие. Должны быть выбраны меры и средства контроля и управления для снижения, сохране
ния. предотвращения или переноса рисков, а также определен план обработки рисков.
Руководство по реализации. Для обработки риска имеется четыре варианта: снижение риска (см. 9.2),
сохранение риска (см. 9.3), предотвращение риска (см. 9.4) и перенос риска (см. 9.5).
П р и м е ч а н и е — В ИСО/МЭК 27001 [см. пункт 4.2.1, перечисление I) 2)) вместо термина «сохранение
риска» («retaining risk») используется термин «принятие риска» («accepting risk»).
На рисунке 2 иллюстрируется деятельность по обработке риска в рамках процесса менеджмента
риска ИБ.
Варианты обработки риска должны выбираться исходя из результатов оценки риска, предполагаемой
стоимости реализации этих вариантов и их ожидаемой эффективности.
Должны реализовываться такие варианты, при которых значительное снижение риска может быть
достигнуто при относительно небольших затратах. Дополнительные варианты повышения эффективности
могут быть неэкономичными, и необходимо принимать решение о целесообразности их применения.
Неблагоприятные последствия рисков необходимо снижать до разумных пределов независимо от
каких-либо абсолютных критериев. Редкие, но серьезные риски должны рассматриваться руководством. В
таких случаях может возникнуть необходимость реализации мер и средств контроля и управления, кото рые
являются необоснованными по причинам затратности (например меры и средства контроля и управле ния
непрерывности бизнеса, для охвата высоких специфических рисков).
tajBWIVIM «W B I
Порванто»**пометя
рмимпориока
ОИВШЩШ1Ш1Ы■я
•брввота
ВтораяТ04МЭприюты
раш имо риоса
Рисунок 2 — Деятельность по обработке риска
15