1.3.1. Установление контекста

Установление контекста включает определение основных критериев, необходимых для менеджмента риска ИБ, определение области применения и границ, а также создание соответствующей организационной структуры, занимающейся менеджментом риска ИБ.

Основные критерии представляют собой правила, по которым оценивается значимость риска. Выделяют критерии оценки риска, критерии влияния, критерии принятия риска.

Критериями оценки рисков информационной безопасности обычно являются финансовые и иные последствия, связанные с событиями нарушения ИБ. Данные критериями разрабатываются для того, чтобы оценить риски информационной безопасности с учетом:

• стратегической ценности обработки бизнес-информации;

• критичности затронутых информационных активов;

• законодательно-нормативных требований и договорных обязательств;

• оперативного значения и значения для бизнеса доступности, конфиденциальности и целостности;

• ожидания и реакции причастных сторон, а также негативных последствий для нематериальных активов и репутации.

Кроме того, критерии оценки рисков могут использоваться для определения приоритетов при обработке рисков.

Критерии влияния разрабатываются и определяются исходя из степени ущерба или величины расходов, понесенных организацией вследствие события, связанного с ИБ, с учетом:

• уровня классификации информационного актива, на который оказывается влияние;

• нарушения ИБ (например, утрата конфиденциальности, целостности и доступности);

• нарушения оперативной деятельности (как собственной, так и третьих сторон);

• потери ценности бизнеса и финансовой ценности;

• нарушения планов и конечных сроков;

• ущерба для репутации;

• нарушения законодательных, нормативных или договорных требований.

Критерии принятия риска зависят от политик, намерений, целей организации и интересов причастных сторон.

Организация должна определять собственные шкалы для уровней принятия риска, при этом необходимо учитывать следующее:

• критерии принятия риска могут включать ряд пороговых значений, когда указывается желаемый целевой уровень риска, но при условии, что при определенных обстоятельствах высшее руководство будет принимать риски, находящиеся выше этого уровня;

• критерии принятия риска могут выражаться как соотношение количественно оцененной прибыли (или иной выгоды бизнеса) к количественно оцененному риску;

• различные критерии принятия риска могут применяться к различным классам риска, например, могут не приниматься риски, связанные с неисполнением законодательно-нормативных требований, в то время как принятие рисков высокого уровня может быть допустимо, если это определено договорным обязательством;

• критерии принятия риска могут включать требования о проведении в будущем дополнительной обработки риска, например, риск может быть принят, если принято решение и взяты обязательства предпринять меры по его снижению до приемлемого уровня в течение определенного периода времени.

Область применения процесса менеджмента ИБ необходимо определять для того, чтобы все значимые активы принимались в расчет при оценке риска. Кроме того, необходимо определять границы для рассмотрения тех рисков, источники которых могут находиться за данными границами.

Должна быть собрана информация об организации для определения параметров среды, в которой функционирует организация, и их влияния на процесс менеджмента риска ИБ.

При определении области применения и границ должна учитываться следующая информация, касающаяся организации:

• стратегические цели бизнеса организации, стратегии и политики;

• бизнес-процессы;

• функции и структура организации;

• правовые, нормативные и договорные требования, применимые к организации;

• политика ИБ организации;

• общий подход организации к менеджменту риска;

• информационные активы;

• местоположение организации, ее подразделений и филиалов, а также их географические характеристики;

• ограничения, влияющие на организацию;

• ожидания причастных сторон;

• социокультурная среда;

• интерфейсы (т.е. обмен информацией с внешней средой).

Примерами области применения менеджмента риска могут быть ИТ-приложение, ИТ-инфраструктура, бизнес-процесс или определенная часть организации.

Организационная структура менеджмента риска информационной безопасности

Для процесса менеджмента риска ИБ необходимо устанавливать и поддерживать организационную структуру и распределение обязанностей. В организационной структуре выделяют следующие основные роли и области ответственности:

• разработка процесса менеджмента риска ИБ, подходящего для данной организации;

• выявление и изучение причастных сторон;

• определение ролей и обязанностей всех сторон, как внутренних, так и внешних по отношению к организации;

• установление требуемых взаимосвязей между организацией и причастными сторонами, а также взаимодействия с высокоуровневыми функциями менеджмента риска организации (например, менеджмента операционного риска), а также взаимодействия с другими значимыми проектами и видами деятельности;

• определение путей передачи принятия решений на более высокий уровень и/или другим специалистам;

• определение подлежащих ведению документов.

Эта организационная структура должна одобряться соответствующим руководством организации.

Более подробную информацию об определении области применения и границ процесса менеджмента риска информационной безопасности можно найти в приложении А ГОСТ Р ИСО/МЭК 27005-2010 [18].