ISMSystems Risk Manager

Алгоритм оценки рисков ИБ в ISM Revision: Risk Manager:

• Определение основных параметров проведения оценки рисков, к которым относятся: уровень допустимого риска, критерии оценки ущерба от реализации угроз безопасности и критерии оценки вероятности реализации угроз. В режиме «мастера оценки» в системе заранее задается рекомендованный уровень допустимого риска, а также формируется развернутый список критериев оценки ущерба и вероятности реализации угроз ИБ;
• Определение области оценки рисков. Задаются активы, в отношении которых будет проводиться оценка рисков, составляется перечень активов и определяется их ценность. При проведении оценки пользователь сможет либо обратиться к уже подготовленному аналитиками ISM Systems списку информационных активов, либо создать собственный;
• Определение угроз информационной безопасности. Для всех выявленных активов обнаруживаются возможные угрозы ИБ и способы их реализации. Специальная модель угроз содержит более 70 способов реализации возможных рисков ИБ, а также развернутые перечни источников угроз и предпосылок, достаточные для проведения оценки рисков;
• Определение вероятности и возможного ущерба от реализации угроз ИБ. Для каждой из выявленных угроз ИБ выявляются ее основные показатели: вероятность реализации и возможный ущерб от реализации угрозы. Расчет показателей автоматизирован на основании существующей модели угроз, а также оценки ценности активов;
• Определение уровня рисков ИБ. С учетом рассчитанных показателей угроз определяются уровни рисков ИБ и риски, уровень которых не является допустимым для организации. Расчет уровней рисков автоматизирован на основании параметров (вероятности, ущерба), оцененных ранее;
• Составление плана обработки рисков ИБ. Для каждого из рисков ИБ, уровень которого не является допустимым, подготавливается перечень организационных и технических мероприятий, позволяющий снизить риск, уклониться от риска или передать риск. Общий перечень мероприятий – это план обработки рисков ИБ. Пользователь также может сопоставлять этот план с выделенным бюджетом по ИБ и структурой найденных рисков.