Что такое риск информационной безопасности
Коротко
Риск информационной безопасности — это мера того, насколько организации угрожает событие, при котором теряется конфиденциальность, целостность или доступность информации. Его оценивают через ущерб, который событие нанесёт, и вероятность, что оно произойдёт: чем выше и то и другое, тем выше риск.
Из чего складывается риск
Риск возникает, когда сходятся три вещи. Первая — актив: информация и системы, которые её хранят и обрабатывают, и ущерб от их компрометации. Вторая — угроза: событие, действие или лицо, способное навредить активу, намеренно или случайно. Третья — уязвимость: слабость в самом активе или в системе, которая его обслуживает, и через неё угроза достаёт до актива.
Угроза сама по себе риском не является. Пока в системе нет уязвимости, угроза остаётся возможностью. Риск появляется на стыке: угроза находит слабость и наносит ущерб. Поэтому работу с риском начинают не с покупки средств защиты, а с ответа на вопрос, какие активы важны и что будет, если они пострадают.
Ущерб считают по трём свойствам информации: конфиденциальности, целостности и доступности. Утечка бьёт по конфиденциальности, незаметное изменение данных — по целостности, остановка системы — по доступности. Один и тот же актив может нести разные риски по каждому из свойств, и оценивают их отдельно.
Как оценивают риск
Риск — это функция двух величин: ущерба от события и вероятности, что событие произойдёт. Формулу записывают как произведение вероятности на ущерб. Если вероятность и ущерб выражены числами, получается количественная оценка в деньгах; если словами и баллами — качественная.
Качественная оценка расставляет риски по уровням, например «низкий», «средний», «высокий», и годится, чтобы выбрать, что закрывать первым. Количественная переводит риск в сумму и позволяет сравнить стоимость меры защиты с размером риска. На практике чаще смешивают: важные активы считают в деньгах, остальные — по шкале.
Оценку проводят по каждому активу и по каждой угрозе из списка. Список угроз берут из модели угроз: утечка данных, атака шифровальщика, отказ в обслуживании, ошибка сотрудника. Итог оценки — не одно число на всю компанию, а перечень рисков с уровнями, по которому видно, что требует денег в первую очередь.
Качественная и количественная оценка
| Качественная | Количественная | |
|---|---|---|
| В чём измеряют | Уровни и баллы | Деньги и вероятность |
| Что даёт | Порядок, что закрывать первым | Сравнение риска со стоимостью защиты |
| Точность | Зависит от опыта оценщика | Зависит от исходных данных |
| Когда подходит | Пока нет статистики потерь | Когда есть данные об инцидентах и ущербе |
Как обрабатывают риск
- Модификация — снижают вероятность или ущерб мерами и средствами защиты: техническими, физическими, организационными, в том числе закрытием уязвимости обновлением. Вероятность падает, но до нуля не опускается: после всех мер остаётся остаточный риск.
- Сохранение — риск оставляют, но его величину и условия регулярно пересматривают, чтобы не пропустить рост выше приемлемого уровня.
- Избегание — отказываются от деятельности или условия, которые порождают риск: например, не хранят данные, которые не нужны для работы.
- Разделение — риск переносят на другую сторону: страховщику или подрядчику. Киберстрахование — молодой вид, и в нём много неочевидных условий, которые смотрят до покупки полиса.
Частые вопросы
Чем риск отличается от угрозы и уязвимости?
Угроза — это то, что может навредить, уязвимость — слабость, через которую угроза добирается до актива. Риск — мера того, насколько вероятно, что угроза воспользуется уязвимостью, и насколько большой ущерб это нанесёт. Первые две величины описывают обстановку, риск — её последствия для бизнеса.
Можно ли снизить риск до нуля?
Нет. После внедрения всех мер защиты остаётся остаточный риск: часть угроз реализуется вопреки защите. Задача — снизить риск до приемлемого уровня, а остаток держать под контролем или передать страховщику.
Зачем собственнику заниматься рисками информационной безопасности?
Решения о защите информации — это решения о бизнесе: за каждой мерой стоит оценка ущерба от инцидента и того, сколько компания готова потратить, чтобы его избежать. Без оценки рисков бюджет на защиту распределяют наугад, а самые дорогие для бизнеса угрозы остаются без внимания.
Что такое остаточный риск?
Это риск, который остаётся после внедрённых мер защиты. Его признают осознанно: часть угроз пройдёт защиту, и компания решает, держать этот уровень сама или передать его, например через страхование.
Как часто пересматривают оценку рисков?
Оценку обновляют, когда меняются активы, системы или обстановка с угрозами, а также на следующих стадиях жизненного цикла системы. Разовая оценка устаревает: появляются новые сервисы, новые уязвимости и новые угрозы.
Читать в журнале
Когда решаете, что защищать в первую очередь
Чтобы увидеть, где компания теряет деньги
Риск информационной безопасности — это вопрос денег: сколько стоит инцидент и сколько разумно потратить, чтобы его не допустить. Ответ виден, когда сведены данные о системах, доступах и потерях.
Я собираю цифры бизнеса на одном экране и настраиваю обновление, чтобы решения о защите опирались на факты, а не на тревогу.