ГОСТ Р ИСО/МЭК 27005—2010
Коммуникация риска должна осуществляться с целью достижения следующего:
- обеспечения доверия к результатам менеджмента риска организации:
- сбора информации о риске:
- совместного использования результатов оценки риска и представления плана обработки риска,
- предотвращения или снижения возможности возникновения и последствий нарушений ИБ из-за
отсутствия взаимопонимания между принимающими решения лицами и причастными сторонами:
- поддержки принятия решений.
- получения новых знаний об ИБ;
- координации сдругими сторонами и планирования реагирования с целью уменьшения последствий
какого-либо инцидента;
- выработки чувства ответственности по отношению к рискам у лиц. принимающих решения, и прича
стныхсторон:
- повышения осведомленности.
Организация должна разрабатывать планы коммуникации риска какдля повседневной работы, так и
для чрезвычайных ситуаций. Следовательно, деятельность, связанная с коммуникацией риска, должна
выполняться непрерывно.
Координация междулицами, принимающими окончательные решения, и иными причастными сторо
нами может бытьдостигнута путем создания комитета, который будет обсуждать проблемы возникновения
рисков, назначать приоритеты и вырабатывать решения по обработке и принятию рисков.
Важно поддерживать сотрудничество с соответствующим отделом по связям с общественностью
или информационным отделом организации, чтобы координировать все задачи, связанные с коммуникаци
ей риска. Это крайне важно в случаях сообщения одействиях в кризисных ситуациях, например в ответ на
определенные инциденты.
Выходные данные. Постоянное понимание процесса менеджмента риска ИБ организации.
12 Мониторинг и переоценка риска информационной безопасности
12.1 Мониторинг и переоценка факторов риска
Входные данные. Вся информация о рисках, полученная в результате деятельности по менеджменту
риска (см. рисунок 1).
Действие. Должны подвергаться мониторингу и переоценке риски и их факторы (т. е. ценность акти
вов. влияние, угрозы, уязвимости, вероятность возникновения) с целью определения любых изменений в
контексте организации на ранней стадии, и должно поддерживаться общее представление о всей картине
риска.
Руководство по реализации. Риски не являются статичными. Угрозы, уязвимости, вероятность или
последствия могут изменяться неожиданно, без каких-либо признаков изменений. Поэтому для выявления
изменений необходим непрерывный мониторинг. Он может поддерживаться внешними сервисами, кото
рые предоставляют информацию о новых угрозах или уязвимостях.
Организации должны обеспечивать проведение непрерывного мониторинга следующихфакторов:
- новых активов, которые были включены в областьдействия менеджмента риска:
- необходимой модификации ценности активов, например, вследствие изменившихся бизнес-требо
ваний;
- новых угроз, которые могутдействовать вне и внутри организации и которые еще не были оценены;
- вероятности того, что новые или возросшие уязвимости могут сделать возможным использование
их угрозами;
- выявленных уязвимостей для определения тех из них. которые становятся подверженными новым
или повторно возникающим угрозам;
- возросшего влияния или последствий оцененных угроз, уязвимостей и рисков, объединенноедей
ствие которых имеет результатом неприемлемый уровень риска;
- инцидентов ИБ.
Новые угрозы, уязвимости или изменения вероятности или последствий могут увеличивать риски,
ранее оцененные какнизкие. Процесс переоценки низких и принятых рисковдолжен рассматривать каждый
риск отдельно, а также все риски как единое целое, чтобы оценивать их возможное суммарное влияние.
Если риски не попадают в категорию низких или приемлемых рисков, они должны обрабатываться с ис
пользованием одного или нескольких вариантов, рассмотренных в разделе 9.
19