ГОСТ Р ИСО/МЭК 27005—2010
Обзор процесса менеджмента риска ИБдается в разделе 6.
Все виды деятельности, связанные с менеджментом риска ИБ. представленные в разделе 6. описы
ваются далее в следующих разделах:
- Установление контекста — в разделе 7.
- Оценка риска — в разделе 8.
- Обработка риска — в разделе 9.
- Принятие риска — в разделе 10.
- Коммуникация риска — в разделе 11.
- Мониторинг и переоценка риска — в разделе 12.
Дополнительная информация о видахдеятельности, связанных с менеджментом риска ИБ, приведе
на в приложениях. Установлению контекста способствуют сведения из приложения А (определение обла
сти применения и границ процесса менеджмента риска ИБ). Определение и установление ценности активов
и оценка влияния обсуждаются в приложении В (примеры, касающиеся активов), в приложении С приведе
ны примеры типичных угроз и в приложении D — примеры типичных уязвимостей.
Примеры подходов коценке рисков ИБ представлены в приложении Е.
Ограничения, касающиеся снижения риска, представлены в приложении F.
Все виды деятельности, связанные с менеджментом риска, представленные в разделах 7—12, струк
турированы следующим образом:
Входныеданные. Определяется информация, необходимая для выполнения деятельности.
Действие. Описывается деятельность.
Руководство по реализации. Представляется руководство по выполнению действия. Некоторые реко
мендацииданных руководств могут не подходить ко всем случаям, поэтому могут быть более уместными
иные вариантыдействий.
Выходные данные. Описывается информация, полученная в результате выполнения деятельности.
5 Предпосылки создания стандарта
Систематический подход к менеджменту риска ИБ необходим для того, чтобы идентифицировать
потребности организации, касающиеся требований ИБ. и создать эффективную СМИБ. Этот подход дол
жен соответствовать условиямдеятельности организации и. в частности, должен быть согласован собщим
менеджментом рисков в масштабе организации. Усилия по обеспечению безопасности должны обеспечи
вать эффективное и своевременное реагирование на риски там и тогда, где и когда это необходимо. Ме
неджмент риска ИБ должен быть неотъемлемой частью всех видов деятельности, связанных с менедж
ментом ИБ. и должен применяться как на этапе внедрения, так и в процессе повседневного использования
СМИБорганизации.
Менеджмент риска ИБ должен быть непрерывным процессом. В рамках данного процесса следует
устанавливать контекст, оценивать и обрабатывать риски, используя для реализации рекомендации и ре
шения плана обработки рисков. До принятия решения о том. что и когда должно быть сделано для сниже ния
риска до приемлемого уровня, в рамках менеджмента риска анализируется, что может произойти и
какими могут быть возможные последствия.
Менеджмент риска ИБ должен способствовать:
- идентификации рисков;
- оценке рисков, исходя из последствий их реализации для бизнеса и вероятности их возникновения;
- осознанию и информированию о вероятности и последствиях рисков;
- установлению приоритетов в рамках обработки рисков;
- установлению приоритетов мероприятий по снижению имеющих место рисков;
- привлечению причастных сторон к принятию решений о менеджменте риска и поддержанию их
информированности о состоянии менеджмента риска;
- эффективности проводимого мониторинга обработки рисков;
- проведению регулярного мониторинга и пересмотра процесса менеджмента риска.
- сбору информации для совершенствования менеджмента риска;
- подготовке менеджеров и персонала по вопросам рисков и необходимых действий, предпринимае
мых для их уменьшения.
Процессменеджмента риска ИБ может быть применен ко всей организации, к любой отдельной части
организации (например, подразделению, филиалу, службе), к любой информационной системе, к имею-
3