ГОСТ Р ИСО/МЭК 27002-2012
Оценки рисков следует выполнять периодически, чтобы учитывать изменения в
требованиях безопасности и в ситуации, связанной с риском, например в отношении
активов, угроз, уязвимостей, воздействий, оценивания рисков, а также при значительных
изменениях. Такие оценки рисков следует проводить систематически, способом, дающим
сравнимые и воспроизводимые результаты.
Чтобы быть эффективной, оценка рисков информационной безопасности должна
иметь четко определенную область применения и, при необходимости, взаимосвязь с
оценками рисков в других областях.
Областью применения оценки рисков может быть целая организация, ее
подразделения,отдельнаяинформационнаясистема,определенныекомпоненты
системы, или услуги, где это возможно, реально и полезно. Примеры методик оценки
рисков рассматриваются в ИСО/МЭК ТО 13335-3 (4].
4.2 Обработка рисков безопасности
Прежде чем рассмотреть обработку некоего риска, организация должна выбрать
критерии определения приемлемости или неприемлемости рисков. Риски могут быть
приняты, если, например они оцениваются как низкие, или когда стоимость обработки
невыгодна для организации. Такие решения необходимо регистрировать.
В отношении каждого из выявленных рисков, вслед за оценкой рисков, необходимо
принимать решение по его обработке. Возможные варианты обработки рисков включают
в себя:
a) применение соответствующих мер и средств контроля и управления для
снижения рисков;
b
) сознательное и объективное принятие рисков в том случае, если они,
несомненно, удовлетворяют политике и критериям организации в отношении принятия
рисков;
c) предотвращение рисков путем недопущения действий, которые могут стать
причиной возникновения рисков;
d) перенос взаимодействующих рисков путем разделения их с другими сторонами,
например страховщиками или поставщиками.
6