Управління ризиками інформаційної безпеки в компанії

Інформаційні технології широко визнані як двигун, що рухає національну економіку, надає промисловості конкурентні переваги на світових ринках, дозволяє уряду надавати кращі послуги громадянам і сприяє підвищенню продуктивності для держави. Для успішного виконання своїх місій та бізнес-функцій, компанії у державному та приватному секторах залежать від технологічно розвинених інформаційних систем.

Інформаційні системи піддаються специфічним загрозам, які можуть негативно вплинути на діяльність компанії (її місію, функції, імідж або репутацію), активи самої компанії, її окремих осіб, інші організації та державу в цілому, використовуючи як відомі, так і невідомі слабкі місця для порушення конфіденційності, цілісності або доступності інформації, що обробляється, зберігається або передається цими системами.

Управління ризиками інформаційної безпеки, як і управління ризиками загалом поєднує в собі найкращі спільні ідеї окремих осіб і груп в компанії, відповідальних за стратегічне планування, нагляд, управління та поточну діяльність, забезпечуючи як необхідні, так і достатні заходи реагування на ризики для належного захисту місії та бізнес-функцій цих компаній.

Архітектура інформаційної безпеки є невід'ємною частиною корпоративної архітектури компанії. Архітектура інформаційної безпеки також враховує вимоги безпеки, що містяться в законодавстві, директивах, політиках, регламентах, стандартах, нормах і керівних принципах. Зрештою, архітектура інформаційної безпеки забезпечує детальну дорожню карту, яка дозволяє простежити шлях від стратегічних цілей компанії найвищого рівня, через конкретні потреби захисту бізнесу, до конкретних рішень з інформаційної безпеки, що надаються людьми, процесами та технологіями.

Вимоги до інформаційної безпеки реалізуються у вигляді управлінських, операційних і технічних рішень. Управління ризиками в інформаційній безпеці включає в себе встановлення методів для проведення оцінки ризиків, аналізу цих ризиків, їх обробки, а також постійний перегляд та вдосконалення процесу.

Таким чином, питання управління ризиками можуть бути вирішені шляхом:

· розробки сегментованої структури, пов'язаної зі стратегічними цілями та завданнями компанії;

· визначення сфер, де ефективне реагування на ризики є критично важливим для успішного виконання місії та бізнес-функцій компанії;

· визначення відповідних вимог до інформаційної безпеки на рівні компанії, керуючись стратегією управління ризиками;

· перетворення вимог інформаційної безпеки з сегментованої структури в конкретні заходи безпеки для ІТ-систем/операційних середовищ;

· розподіл управлінських, операційних та технічних заходів безпеки для інформаційних систем та операційних середовищ, визначених структурою інформаційної безпеки;

· документування рішень з управління ризиками на всіх рівнях структури компанії.

Метою управління ризиками є виявлення потенційних подій, які можуть вплинути на суб'єкт господарювання та досягнення ним цілей, а також утримання ризику на узгодженому (розумному) рівні.

Відтак, процес управління ризиками складається з наступних етапів, які утворюють замкнутий цикл:

· Визначення контексту

Перший етап управління ризиками передбачає визначення контексту - стратегічного, організаційного та пов'язаного з ризиком контексту. Під бізнес-контекстом слід розуміти сукупність зовнішніх і внутрішніх факторів, що впливають на функціонування бізнесу, його цілі та способи їх реалізації. Зовнішній контекст формують, зокрема, культурні, соціальні, правові, фінансові, технологічні, а також економічні чинники.

· Ідентифікація ризиків

Ідентифікація ризиків полягає у визначенні причин і способів реалізації небажаних інцидентів. Вона включає ідентифікацію інформаційних ресурсів (активів), загроз та їх джерел, вразливостей та потенційних наслідків і втрат від ідентифікованих інцидентів.

· Аналіз (оцінка) ризиків

Суть аналізу ризиків полягає в оцінці величини ймовірності та наслідків (збитків) настання раніше ідентифікованих ризиків.

· Оцінка ризиків

Оцінка ризику відповідає на питання: чи є даний ризик прийнятний? Цей етап складається з порівняння величини оціненого ризику з прийнятими критеріями оцінки, що дозволяє впорядкувати ризики та визначати пріоритети для роботи з ним.

· Робота з ризиками

Зазвичай стратегії роботи з ризиками включають: зменшення ризику, уникнення ризику, передача або утримання ризику.

· Прийняття ризику

Прийняття ризиків, що залишилися після впровадження захисних механізмів, які називаються залишковим ризиком. Це ризик, який неможливо повністю усунути. Важливим питанням у зв'язку з цим є встановлення керівництвом компанії критеріїв прийняття ризику та його рівня.

· Інформування про ризики

Суть інформування про ризик полягає в тому, щоб кожен власник ризику усвідомлював свою роль, свої обов'язки та відповідальність.

· Моніторинг та аналіз ризиків

Цей етап покликаний відповісти на питання чи відповідає система управління ризиками своїм цілям, чи політики і процедури, встановлені в ній, залишаються актуальними, доречними та ефективними. Крім того, моніторинг ризиків має на меті гарантувати, що всі нові ризики були своєчасно виявлені та визначені пріоритети для вжиття заходів.

Отож, управління ризиками інформаційної безпеки вимагає адекватного планування, організації управління та контролю ресурсів. Це також процес, який вимагає прихильності та співпраці всіх сторін, які обробляють інформацію, щоб досягти консенсусу щодо визначення вимог і вибору варіантів реагування на ризики.

Зниження ризиків можна досягти шляхом повної інтеграції процесів управління в компанії, забезпечуючи тим самим вищий рівень безпеки, конфіденційності, надійності та економічної ефективності, з метою виконання місії та бізнес-функцій компанії.

Структурований підхід до консолідації, стандартизації та оптимізації ІТ-ресурсів, що використовуються в компанії дозволяє більш послідовно застосовувати принцип «розумного використання» технологій, оптимізувати компроміси між цінністю, яку приносять ІТ-системи для підтримки місії та бізнес-функцій компанії, і ризиками, які несуть ці системи.