Каковы основные этапы риск-ориентированной оценки информационной безопасности?

Некоторые этапы риск-ориентированной оценки информационной безопасности:

1. Идентификация и определение приоритетов ИТ-активов. 2 К активам относятся серверы, принтеры, ноутбуки и другие устройства, а также данные, такие как контактная информация клиентов, сообщения электронной почты и интеллектуальная собственность. 2 Важно определить важность каждого актива и разделить их на категории, например, критические, основные или второстепенные. 2
2. Определение угроз. 2 Угроза — это всё, что может причинить вред организации. 2 Это могут быть внешние угрозы, вредоносное ПО, злонамеренные действия пользователей или ошибки недостаточно подготовленных администраторов. 2
3. Определение уязвимостей. 2 Уязвимость — это слабое место, которое может позволить угрозе нанести вред организации. 2 Уязвимости можно выявить с помощью анализа, аудиторских отчётов, оценки информационной безопасности, тестирования на проникновение и автоматизированных средств сканирования уязвимостей. 2
4. Анализ существующих средств контроля. 2 Нужно проанализировать имеющиеся средства контроля для снижения вероятности использования уязвимостей. 2 Примерами технических средств контроля являются шифрование, системы обнаружения вторжений и многофакторная аутентификация (MFA). 2 К нетехническим средствам контроля можно отнести политики безопасности. 2
5. Определение вероятности инцидентов. 2 Нужно определить, какова вероятность их возникновения. 2
6. Оценка возможного воздействия угрозы. 2 Необходимо оценить, какой вред может нанести угроза. 2
7. Приоритезация рисков. 2 По результатам оценки сотрудники ИБ-отдела могут расставить приоритеты по устранению возникающих угроз. 2
8. Составление рекомендаций. 2 Часто в отчёте об оценке рисков указываются ключевые шаги по исправлению ситуации, которые позволяют снизить многочисленные риски. 2
9. Документация результатов оценки. 2

Оценка риска часто проводится за две (или более) итерации. 4 Сначала проводится высокоуровневая оценка для идентификации потенциально высоких рисков, служащих основанием для дальнейшей оценки. 4