Глава 5. Коммуникация риска информационной безопасности

Входными данными является вся информация о рисках, полученная в результате деятельности по управлению рисками (см. рис. 1.1).

Должен осуществляться обмен информацией о риске или ее совместное использование лицом, принимающим решение, и другими причастными сторонами.

Коммуникация риска представляет собой деятельность, связанную с достижением соглашения о том, как осуществлять управление рисками путем обмена и/или совместного использования информации о риске лицами, принимающими решения, и другими причастными сторонами. Информация включает в себя наличие, характер, форму, вероятность, серьезность, обработку и приемлемость рисков, но этими факторами не ограничивается [29].

Эффективная коммуникация между причастными сторонами имеет большое значение, поскольку она может оказывать существенное влияние на решения, которые должны быть приняты. С помощью коммуникации лица, отвечающие за осуществление управления рисками, и лица, относящиеся к заинтересованным кругам, достигают понимания основы, на которой принимаются решения, и причины необходимости выполнения определенных действий. Коммуникация является двунаправленным процессом.

Осознание риска может быть разным из-за различий в предположениях, понятиях, потребностях, проблемах и беспокойствах причастных сторон, связанных с риском или обсуждаемыми проблемами. Причастные стороны, как правило, выносят суждения о приемлемости риска на основе своего осознания риска. Поэтому очень важно обеспечить, чтобы осознание риска причастными сторонами, а также осознание ими выгод могло быть определено и документировано, а лежащие в основе причины были четко поняты и учтены.

Коммуникация риска должна осуществляться с целью достижения следующего:

- обеспечения доверия к результатам управления рисками организации;

- сбора информации о риске;

- совместного использования результатов оценки риска и представления плана обработки риска;

- предотвращения или снижения возможности возникновения и последствий нарушений ИБ из-за отсутствия взаимопонимания между принимающими решения лицами и причастными сторонами;

- поддержки принятия решений;

- получения новых знаний об ИБ;

- координации с другими сторонами и планирования реагирования с целью уменьшения последствий какого-либо инцидента;

- повышения осведомленности.

Для системы должны быть разработаны планы коммуникации риска, как для повседневной работы, так и для чрезвычайных ситуаций. Следовательно, деятельность, связанная с коммуникацией риска, должна выполняться непрерывно [21].

Глава 6. Мониторинг и переоценка риска информационной безопасности

6.1. Мониторинг и переоценка факторов риска

Входными данными является вся информация о рисках, полученная в результате деятельности по управлению рисками (см. рисунок 1).

При этом должны подвергаться управлению и переоценке риски и их факторы (т. е. ценность элементов, влияние, угрозы, уязвимости, вероятность возникновения) с целью определения любых изменений в контексте системы на ранней стадии, и должно поддерживаться общее представление о всей картине риска.

Риски не являются статичными. Угрозы, уязвимости, вероятность или последствия могут изменяться неожиданно, без каких-либо признаков изменений. Поэтому для выявления изменений необходимо непрерывное управление. Оно может поддерживаться внешними сервисами, которые предоставляют информацию о новых угрозах или уязвимостях.

Для систем должно обеспечиваться проведение непрерывного управление следующих факторов:

- новых элементов, которые были включены в область действия управления рисками;

- необходимой модификации ценности элементов, например, вследствие изменившихся требований;

- новых угроз, которые могут действовать вне и внутри системы и которые еще не были оценены;

- вероятности того, что новые или возросшие уязвимости могут сделать возможным использование их угрозами;

- выявленных уязвимостей для определения тех из них, которые становятся подверженными новым или повторно возникающим угрозам;

- возросшего влияния или последствий оцененных угроз, уязвимостей и рисков, объединенное действие которых имеет результатом неприемлемый уровень риска;

- инцидентов ИБ.

Новые угрозы, уязвимости или изменения вероятности или последствий могут увеличивать риски, ранее оцененные как низкие. Процесс переоценки низких и принятых рисков должен рассматривать каждый риск отдельно, а также все риски как единое целое, чтобы оценивать их возможное суммарное влияние. Если риски не попадают в категорию низких или приемлемых рисков, они должны обрабатываться с использованием одного или нескольких вариантов.

Факторы, влияющие на вероятность и последствия возникающих угроз, могут изменяться, как могут изменяться факторы, влияющие на применимость или стоимость различных вариантов обработки. Основные изменения, влияющие на систему, должны служить основанием для более детальной переоценки. Следовательно, деятельность по управлению рисками должна регулярно повторяться, и выбранные варианты обработки риска должны периодически переоцениваться.

Результаты деятельности по управлению рисками могут быть входными данными для другой деятельности по переоценке риска. Для системы должны переоцениваться все риски регулярно, а также когда имеют место существенные изменения.

Результатом переоценки рисков будет служить постоянное согласование управление рисками с целями защиты системы и критериями принятия риска [54].