Как управлять рисками информационной безопасности? Стандарты в области управления рисками информационной безопасности.

Одной из важнейших задач управления информационной безопасностью организации и ее КИСС является управление рисками, или менеджмент риска - скоординированная деятельность по управлению организацией в отношении риска. В контексте рисков информационной безопасности рассматриваются только негативные последствия (потери).

В плане достижения бизнес-целей организации управление риском - это процесс создания и динамичного развития экономически целесообразной системы обеспечения информационной безопасности и эффективной системы управления информационной безопасностью . Поэтому управление риском - одна из главных задач и обязанностей руководства организации.

Управление рисками использует свой понятийный аппарат, который является в настоящее время стандартизованным, и приведен в стандартах ГОСТ Р ИСО/МЭК 13335-1-2006, ГОСТ Р ИСО/МЭК 27001-2006. Стандарт ISO/IEC 27005:2008 «Информационная технология. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности» предоставляет руководство концептуального характера по менеджменту риска информационной безопасности и поддерживает общие концепции и модель СУИБ, определенные в ГОСТ Р ИСО/МЭК 27001-2006. Он построен на базе британского стандарта BS 7799-3:2006 и в определенной степени перекликается с американским стандартом NIST SP 800-30:2002, также представляющим руководство по управлению рисками для систем информационных технологий, и предназначен для содействия адекватному обеспечению информационной безопасности организации и ее КИСС на основе подхода, связанного с менеджментом риска. Подготовлен проект российского национального стандарта ГОСТ Р ИСО/МЭК 27005-2008, гармонизированного с ISO/IEC 27005:2008.

В этих стандартах риск определяется как потенциальная опасность нанесения ущерба организации в результате реализации некоторой угрозы с использованием уязвимостей актива или группы активов. Риск информационной безопасности - возможность того, что данная угроза будет использовать уязвимости информационного актива (группы активов) и, тем самым, нанесет вред организации. Он измеряется комбинацией вероятности нежелательного события и его последствий (возможного ущерба).

Управление риском информационной безопасности охватывает несколько процессов, важнейшие из которых - оценка риска, включающая анализ и оценивание риска, и обработка риска - выбор и реализация мер по модификации риска с использованием результатов оценки. Управление рисками информационной безопасности - итеративный процесс, который требует контроля и периодического пересмотра.

В зависимости от области применения, объекта и целей менеджмента риска могут применяться различные подходы к управлению и оценке риска информационной безопасности - высокоуровневая и детальная оценка риска. Подход может быть также разным для каждой итерации.

Анализ (идентификация и измерение) риска может быть осуществлен с различной степенью детализации в зависимости от критичности активов, распространенности известных уязвимостей и прежних инцидентов, касавшихся организации. Форма анализа должна согласовываться с выбранными критериями оценивания риска. Методология измерения может быть качественной или количественной, или их комбинацией, в зависимости от обстоятельств. На практике качественная оценка часто используется первой для получения общих сведений об уровне риска и выявления основных значений рисков. Позднее может возникнуть необходимость в осуществлении более специфичного или количественного анализа основных значений рисков, поскольку обычно выполнение качественного анализа по сравнению с количественным является менее сложным и менее затратным.

При выборе подхода к управлению и оценке рисков принимаются во внимание три группы основных критериев - критерии оценивания риска, критерии влияния, критерии принятия риска. Они должны быть разработаны и определены.

Критерии оценивания рисков информационной безопасности организации должны разрабатываться, учитывая следующее:

• - стратегическую ценность обработки бизнес-информации;
• - критичность затрагиваемых информационных активов;
• - правовые и регулирующие требования и договорные обязательства;
• - операционную важность и важность для бизнеса доступности, конфиденциальности и целостности информации;
• - ожидания восприятия причастных сторон, а также негативные последствия для «неосязаемого капитала» и репутации.

Кроме того, критерии оценивания рисков могут использоваться для определения приоритетов для обработки рисков.

Критерии влияния идентифицируются с критериями возможной утраты конфиденциальности, целостности и доступности активов и отражают неблагоприятное изменение уровня достигнутых бизнес-целей.

Критерии влияния должны разрабатываться и определяться, исходя из степени ущерба или расходов для организации, вызываемых событием, связанным с информационной безопасностью, учитывая следующее:

• - уровень классификации информационного актива, на который оказывается влияние;
• - нарушения информационной безопасности (например, утрата конфиденциальности, целостности и доступности);
• - ухудшенные операции (внутренние или третьих сторон);
• - потеря ценности бизнеса и финансовой ценности;
• - нарушение планов и конечных сроков;
• - ущерб для репутации;
• - нарушение законодательных, регулирующих или договорных требований.

Критерии принятия риска соответствуют «критериям принятия рисков и идентификации приемлемого уровня риска», определенным в ГОСТ Р ИСО/МЭК 27001-2006. Они должны быть разработаны и определены. Критерии принятия риска зачастую зависят от политик, намерений, целей организации и интересов причастных сторон.

Организация должна определять собственные шкалы для уровней принятия риска. При разработке следует учитывать следующее:

• - критерии принятия риска могут включать многие пороговые значения, с желаемым целевым уровнем риска, но при условии, что при определенных обстоятельствах высшее руководство будет принимать риски, находящиеся выше указанного уровня;
• - критерии принятия риска могут выражаться как соотношение количественно оцененной выгоды (или иной выгоды бизнеса) к количественно оцененному риску;
• - различные критерии принятия риска могут применяться к различным классам риска, например, риски несоответствия директивам и законам не могут быть приняты, в то время как принятие рисков высокого уровня может быть разрешено, если это определено в договорном требовании;
• - критерии принятия риска могут включать требования, касающиеся будущей дополнительной обработки, например, риск может быть принят, если имеется одобрение и согласие на осуществление действия по его снижению до приемлемого уровня в рамках определенного периода времени.

Критерии принятия риска могут различаться в зависимости от того, насколько долго, предположительно, риск будет существовать, например, риск может быть связан с временной или кратковременной деятельностью. Критерии принятия риска должны устанавливаться с учетом критериев бизнеса; правовых и регулирующих аспектов; операций; технологий; финансов; социальных и гуманитарных факторов.

В соответствии с ISO/IEC 27005:2008 управление риском информационной безопасности охватывает следующие процессы: установление контекста, оценка риска, обработка риска, принятие риска, коммуникация риска, а также мониторинг и пересмотр риска.

Как видно из рис. 3.5, процесс менеджмента риска информационной безопасности может быть итеративным для таких видов деятельности, как оценка риска и/или обработка риска. Итеративный подход к проведению оценки риска может увеличить глубину и детализацию оценки при каждой итерации. Итеративный подход дает хороший баланс между временем и усилиями, затрачиваемыми на определение средств контроля (средств защиты и обеспечения безопасности), в то же время, по-прежнему обеспечивая уверенность в том, что высокоуровневые риски рассматриваются должным образом.

В СУ И Б и четырехфазной модели ПДПД установление контекста, оценка риска, разработка плана обработки риска и принятие риска являются частью фазы «планируй». В фазе «делай» действия

Рис. 3.5.

и средства контроля, требуемые для снижения риска до приемлемого уровня, реализуются в соответствии с планом обработки риска. В фазе «проверяй» менеджеры определяют потребность в пересмотре обработки риска с учетом инцидентов и изменений обстоятельств. В фазе «действуй» осуществляются любые необходимые работы, включая повторное инициирование процесса менеджмента риска информационной безопасности.

В табл. 3.3 приводятся виды деятельности (процессы), связанные с менеджментом риска, значимые для четырех фаз процесса СУИБ на основе модели ПДПД.

Таблица 3.3

Соотношение фаз процесса СУИБ и процессов и подпроцессов менеджмента рисков информационной безопасности

Установление контекста менеджмента риска информационной безопасности включает установление основных критериев (оценивания рисков, влияния или принятия рисков), определение сферы действия и границ и установление соответствующей организационной структуры для осуществления менеджмента риска.

Контекст впервые устанавливается тогда, когда проводится оценка высокоуровневого риска. Высокоуровневая оценка дает возможность определения приоритетов и хронологии действий. Если она обеспечивает достаточную информацию для эффективного определения действий, требуемых для снижения риска до приемлемого уровня, то задача является выполненной и следует обработка риска. Если информация является недостаточной, то проводится другая итерация оценки риска с помощью пересмотренного контекста (например, с помощью критериев оценки рисков, принятия рисков или критериев влияния), возможно на ограниченных частях полной области применения (см. рис. 3.5, точка принятия решений о риске № 1).

При внедрении системы управления информационной безопасностью (СУИБ) в организации одной из основных точек преткновения обычно становится система управления рисками. Рассуждения об управлении рисками информационной безопасности сродни проблеме НЛО. С одной стороны никто из окружающих вроде бы этого не видел и само событие представляется маловероятным, с другой стороны существует масса свидетельств, написаны сотни книг, имеются даже соответствующие научные дисциплины и объединения ученых мужей, вовлеченных в данный исследовательский процесс и, как водится, спецслужбы обладают в этой области особым тайным знанием.

Александр Астахов, CISA, 2006

Введение

Среди специалистов по информационной безопасности в вопросах управления рисками нет единодушия. Кто-то отрицает количественные методы оценки рисков, кто-то отрицает качественные, кто-то вообще отрицает целесообразность и саму возможность оценки рисков, кто-то обвиняет руководство организации в недостаточном осознании важности вопросов безопасности или жалуется на трудности, связанные с получением объективной оценки ценности определенных активов, таких, например, как репутация организации. Другие, не видя возможности обосновать расходы на безопасность, предлагают относиться к этому как к некой гигиенической процедуре и тратить на эту процедуру столько денег, сколько не жалко, либо сколько осталось в бюджете.

Какие бы не существовали мнения по вопросу управления рисками ИБ и как бы мы не относились к этим рискам, ясно одно, что в данном вопросе кроется суть многогранной деятельности специалистов по ИБ, непосредственно связывающая ее с бизнесом, придающая ей разумный смысл и целесообразность. В данной статье излагается один из возможных подходов к управлению рисками и дается ответ на вопрос, почему различные организации относятся к рискам информационной безопасности и управляют ими по-разному.

Основные и вспомогательные активы

Говоря о рисках для бизнеса мы имеем ввиду возможность с определенной вероятностью понести определенный ущерб. Это может быть как прямой материальный ущерб, так и косвенный ущерб, выражающийся, например, в упущенной выгоде, вплоть до выхода из бизнеса, ведь, если риском не управлять, то бизнес можно потерять.

Собственно, суть вопроса заключается в том, что организация располагает и использует для достижения результатов своей деятельности (своих бизнес целей) несколько основных категорий ресурсов (далее будем использовать непосредственно связанное с бизнесом понятие актива). Актив – это все что имеет ценность для организации и генерирует ее доход (другими словами это то, что создает положительный финансовый поток, либо сберегает средства)

Различают материальные, финансовые, людские и информационные активы. Современные международные стандарты также определяют еще одну категорию активов – это процессы. Процесс - это агрегированный актив, который оперирует всеми другими активами компании для достижения бизнес целей. В качестве одного из важнейших активов также рассматриваются имидж и репутация компании. Эти ключевые активы для любой организации, являются ни чем иным как особой разновидностью информационных активов, поскольку имидж и репутация компании – это ни что иное как содержание открытой и широко распространенной информацией о ней. Информационная безопасность занимается имиджевыми вопросами постольку, поскольку проблемы с безопасностью организации, а также утечка конфиденциальной информации крайне негативно влияют на имидж.

На результаты бизнеса влияют различные внешние и внутренние факторы, относящиеся к категории риска. Влияние это выражается в отрицательном воздействии на одну или одновременно несколько групп активов организации. Например, сбой сервера влияет на доступность хранящейся на нем информации и приложений, а его ремонт отвлекает людские ресурсы, создавая их дефицит на определенном участке работ и вызывая дезорганизацию бизнес процессов, при этом временная недоступность клиентских сервисов может негативно повлиять на имидж компании.

По определению, для организации важны все виды активов. Однако у каждой организации есть основные жизненно важные активы и активы вспомогательные. Определить какие активы являются основными очень просто, т.к. это те активы, вокруг которых построен бизнес организации. Так, бизнес организации может быть основан на владении и использовании материальных активов (например, земли, недвижимости, оборудования, полезных ископаемых), бизнес также может быть построен на управлении финансовыми активами (кредитная деятельность, страхование, инвестирование), бизнес может быть основан на компетенции и авторитете конкретных специалистов (консалтинг, аудит, обучение, высокотехнологичные и наукоемкие отрасли) или бизнес может вращаться вокруг информационных активов (разработка ПО, информационных продуктов, электронная коммерция, бизнес в Интернет). Риски основных активов чреваты потерей бизнеса и невосполнимыми потерями для организации, поэтому на этих рисках в первую очередь сосредоточено внимание владельцев бизнеса и ими руководство организации занимается лично. Риски вспомогательных активов обычно приводят к восполнимому ущербу и не являются основным приоритетом в системе управления организации. Обычно управлением такими рисками занимаются специально назначаемые люди, либо эти риски передаются сторонней организации, например, аутсорсеру или страховой компании. Для организации это скорее вопрос эффективности управления, нежели выживания.

Существующие подходы к управлению рисками

Поскольку риски информационной безопасности являются основными далеко не для всех организаций, практикуются три основных подхода к управлению этими рисками, различающиеся глубиной и уровнем формализма.

Для некритичных систем, когда информационные активы являются вспомогательными, а уровень информатизации не высок, что характерно для большинства современных российских компаний, существует минимальная необходимость в оценке рисков. В таких организациях следует вести речь о некотором базовом уровне ИБ, определяемом существующими нормативами и стандартами, лучшими практиками, опытом, а также тем, как это делается в большинстве других организаций. Однако, существующие стандарты, описывая некоторый базовый набор требований и механизмов безопасности, всегда оговаривают необходимость оценки рисков и экономической целесообразности применения тех или иных механизмов контроля для того, чтобы выбрать из общего набора требования и механизмов те их них, которые применимы в конкретной организации.

Для критичных систем, в которых информационные активы не являются основными, однако уровень информатизации бизнес процессов очень высок и информационные риски могут существенно повлиять на основные бизнес процессы, оценку рисков применять необходимо, однако в данном случае целесообразно ограничиться неформальными качественными подходами к решению этой задачи, уделяя особое внимание наиболее критичным системам.

Когда же бизнес организации построен вокруг информационных активов и риски информационной безопасности являются основными, для оценки этих рисков необходимо применять формальный подход и количественные методы.

Во многих компаниях одновременно несколько видов активов могут являться жизненно важными, например, когда бизнес диверсифицирован или компания занимается созданием информационных продуктов и для нее могут быть одинаково важны и людские и информационные ресурсы. В этом случае, рациональный подход заключается в проведении высокоуровневой оценки рисков, с целью определения того, какие системы подвержены рискам в высокой степени и какие имеют критическое значение для ведения деловых операций, с последующим проведением детальной оценки рисков для выделенных систем. Для всех остальных некритичных систем целесообразно ограничиться применением базового подхода, принимая решения по управлению рисками на основании существующего опыта, экспертных заключений и лучшей практики.

Уровни зрелости

На выбор подхода к оценке рисков в организации, помимо характера ее бизнеса и уровня информатизации бизнес процессов, также оказывает влияние ее уровень зрелости. Управление рисками ИБ – это бизнес задача, инициируемая руководством организации в силу своей информированности и степени осознания проблем ИБ, смысл которой заключается в защите бизнеса от реально существующих угроз ИБ. По степени осознания прослеживаются несколько уровней зрелости организаций, которые в определенной степени соотносятся с уровнями зрелости, определяемыми в COBIT и других стандартах:

1. На начальном уровне осознание как таковое отсутствует, в организации предпринимаются фрагментарные меры по обеспечению ИБ, инициируемые и реализуемые ИТ специалистами под свою ответственность.
2. На втором уровне в организации определена ответственность за ИБ, делаются попытки применения интегрированных решений с централизованным управлением и внедрения отдельных процессов управления ИБ.
3. Третий уровень характеризуется применением процессного подхода к управлению ИБ, описанного в стандартах. Система управления ИБ становится настолько значимой для организации, что рассматриваться как необходимый составной элемент системы управления организацией. Однако полноценной системы управления ИБ еще не существует, т.к. отсутствует базовый элемент этой системы – процессы управления рисками.
4. Для организаций с наивысшей степенью осознания проблем ИБ характерно применение формализованного подхода к управлению рисками ИБ, отличающегося наличием документированных процессов планирования, реализации, мониторинга и совершенствования.

Процессная модель управления рисками

В марте этого года был принят новый британский стандарт BS 7799 Часть 3 – Системы управления информационной безопасностью - Практические правила управления рисками информационной безопасности. Ожидает, что до конца 2007 года ISO утвердит этот документ в качестве международного стандарта. BS 7799-3 определяет процессы оценки и управления рисками как составной элемент системы управления организации, используя ту же процессную модель, что и другие стандарты управления, которая включает в себя четыре группы процессов: планирование, реализация, проверка, действия (ПРПД), что отражает стандартный цикл любых процессов управления. В то время как ISO 27001 описывает общий непрерывный цикл управления безопасностью, в BS 7799-3 содержится его проекция на процессы управления рисками ИБ.

В системе управления рисками ИБ на этапе Планирования определяются политика и методология управления рисками, а также выполняется оценка рисков, включающая в себя инвентаризацию активов, составление профилей угроз и уязвимостей, оценку эффективность контрмер и потенциального ущерба, определение допустимого уровня остаточных рисков.

На этапе Реализации производится обработка рисков и внедрение механизмов контроля, предназначенных для их минимизации. Руководством организации принимается одно из четырех решений по каждому идентифицированному риску: проигнорировать, избежать, передать внешней стороне, либо минимизировать. После этого разрабатывается и внедряется план обработки рисков.

На этапе Проверки отслеживается функционирование механизмов контроля, контролируются изменения факторов риска (активов, угроз, уязвимостей), проводятся аудиты и выполняются различные контролирующие процедуры.

На этапе Действия по результатам непрерывного мониторинга и проводимых проверок, выполняются необходимые корректирующие действия, которые могут включать в себя, в частности, переоценку величины рисков, корректировку политики и методологии управления рисками, а также плана обработки рисков.

Факторы риска

Сущность любого подхода к управлению рисками заключается в анализе факторов риска и принятии адекватных решений по обработке рисков. Факторы риска – это те основные параметры, которыми мы оперируем при оценке рисков. Таких параметров всего семь:

• Актив (Asset)
• Ущерб (Loss)
• Угроза (Threat)
• Уязвимость (Vulnerability)
• Мехнизм контроля (Сontrol)
• Размер среднегодовых потерь (ALE)
• Возврат инвестиций (ROI)

Способы анализа и оценки этих параметров определяются используемой в организации методологией оценки рисков. При этом общий подход и схема рассуждений примерно одинаковы, какая бы методология не использовалась. Процесс оценки рисков (assessment) включает в себя две фазы. На первой фазе, которая определяется в стандартах как анализ рисков (analysis), необходимо ответить на следующие вопросы:

• Что является основным активом компании?
• Какова реальная ценность данного актива?
• Какие существуют угрозы в отношении данного актива?
• Каковы последствия этих угроз и ущерб для бизнеса?
• Насколько вероятны эти угрозы?
• Насколько уязвим бизнес в отношении этих угроз?
• Каков ожидаемый размер среднегодовых потерь?

На второй фазе, которая определяется стандартами как оценивание рисков (evaluation), необходимо ответить на вопрос: Какой уровень риска (размер среднегодовых потерь) является приемлемым для организации и, исходя из этого, какие риски превышают этот уровень.

Таким образом, по результатам оценки рисков, мы получаем описание рисков, превышающих допустимый уровень, и оценку величины этих рисков, которая определяется размером среднегодовых потерь. Далее необходимо принять решение по обработке рисков, т.е. ответить на следующие вопросы:

• Какой вариант обработки риска выбираем?
• Если принимается решение о минимизации риска, то какие механизмы контроля необходимо использовать?
• Насколько эффективны эти механизмы контроля и какой возврат инвестиций они обеспечат?

На выходе данного процесса появляется план обработки рисков, определяющий способы обработки рисков, стоимость контрмер, а также сроки и ответственных за реализацию контрмер.

Принятие решения по обработке рисков

Принятие решения по обработке рисков – ключевой и наиболее ответственный момент в процессе управления рисками. Для того чтобы руководство могло принять правильное решение, сотрудник, отвечающий за управление рисками в организации, должен предоставить ему соответствующую информацию. Форма представления такой информации определяется стандартным алгоритмом делового общения, который включает в себя четыре основных пункта:

• Сообщение о проблеме: В чем заключается угроза для бизнеса (источник, объект, способ реализации) и в чем причина ее существования?
• Степень серьезности проблемы: Чем это грозит организации, ее руководству и акционерам?
• Предлагаемое решение: Что предлагается сделать для исправления ситуации, во сколько это обойдется, кто это должен делать и что требуется непосредственно от руководства?
• Альтернативные решения: Какие еще способы решения проблемы существуют (альтернативы есть всегда и у руководства должна быть возможность выбора).

Пункты 1 и 2, а также 3 и 4 могут меняться местами, в зависимости от конкретной ситуации.

Методы управления рисками

Существует достаточное количество хорошо себя зарекомендовавших и достаточно широко используемых методов оценки и управления рисками. Одним из таких методов является OCTAVE, разработанный в университете Карнеги-Мелон для внутреннего применения в организации. OCTAVE – Оценка критичных угроз, активов и уязвимостей (Operationally Critical Threat, Asset, and Vulnerability Evaluation) имеет ряд модификаций, рассчитанных на организации разного размера и области деятельности. Сущность этого метода заключается в том, что для оценки рисков используется последовательность соответствующим образом организованных внутренних семинаров (workshops). Оценка рисков осуществляется в три этапа, которым предшествует набор подготовительных мероприятий, включающих в себя согласования графика семинаров, назначения ролей, планирование, координация действий участников проектной группы.

На первом этапе, в ходе практических семинаров, осуществляется разработка профилей угроз, включающих в себя инвентаризацию и оценку ценности активов, идентификация применимых требований законодательства и нормативной базы, идентификацию угроз и оценку их вероятности, а также определение системы организационных мер по поддержанию режима ИБ.

На втором этапе производится технический анализ уязвимостей информационных систем организации в отношении угроз, чьи профили были разработаны на предыдущем этапе, который включает в себя идентификацию имеющихся уязвимостей информационных систем организации и оценку их величины.

На третьем этапе производится оценка и обработка рисков ИБ, включающая в себя определение величины и вероятности причинения ущерба в результате осуществления угроз безопасности с использованием уязвимостей, которые были идентифицированы на предыдущих этапах, определение стратегии защиты, а также выбор вариантов и принятие решений по обработке рисков. Величина риска определяется как усредненная величина годовых потерь организации в результате реализации угроз безопасности.

Аналогичный подход используется и в широко известном методе оценки рисков CRAMM, разработанном в свое время, по заказу британского правительства. В CRAMM основной способ оценки рисков – это тщательно спланированные интервью, в которых используются подробнейшие опросники. CRAMM используется в тысячах организаций по всему миру, благодаря, кроме всего прочего, и наличию весьма развитого программного инструментария, содержащего базу знаний по рискам и механизмам их минимизации, средства сбора информации, формирования отчетов, а также реализующего алгоритмы для вычисления величины рисков.

В отличие от метода OCTAVE, в CRAMM используется несколько иная последовательность действий и методы определения величины рисков. Сначала определяется целесообразность оценки рисков вообще и если информационная система организации недостаточно критична, то к ней применятся стандартный набор механизмов контроля описанный в международных стандартах и содержащихся в базе знаний CRAMM.

На первом этапе в методе CRAMM строиться модель ресурсов информационной системы, описывающая взаимосвязи между информационными, программными и техническими ресурсами, а также оценивается ценность ресурсов, исходя из возможного ущерба, который организация может понести в результате их компрометации.

На втором этапе производится оценка рисков, включающая в себя идентификацию и оценку вероятности угроз, оценку величины уязвимостей и вычисление рисков для каждой тройки: ресурс – угроза – уязвимость. В CRAMM оцениваются «чистые» риски, безотносительно к реализованным в системе механизмам контроля. На этапе оценки рисков предполагается, что контрмеры вообще не применяются и набор рекомендуемых контрмер по минимизации рисков, формируется, исходя из этого предположения.

На заключительном этапе инструментарием CRAMM формируется набор контрмер по минимизации идентифицированных рисков и производится сравнение рекомендуемых и существующих контрмер, после чего формируется план обработки рисков.

Инструментарий для управления рисками

В процессе оценки рисков мы проходим ряд последовательных этапов, периодически откатываясь на предыдущие этапы, например, переоценивая, определенный риск после выбора конкретной контрмеры для его минимизации. На каждом этапе необходимо иметь под рукой опросники, перечни угроз и уязвимостей, реестры ресурсов и рисков, документация, протоколы совещаний, стандарты и руководства. В связи с этим нужен некий запрограммированный алгоритм, база данных и интерфейс для работы с этими разнообразными данными.

Для управления рисками ИБ можно применять инструментарий, например, как в методе CRAMM, либо RA2 (показан на рисунке), однако это не является обязательным. Примерно также об этом сказано и в стандарте BS 7799-3. Полезность применения инструментария может заключаться в том, что он содержит запрограмированый алгоритм рабочего процесса оценки и управления рисками, что упрощает работу неопытному специалисту.

Использование инструментария позволяет унифицировать методологию и упростить использование результатов для переоценки рисков, даже если она выполняется другими специалистами. Благодаря использованию инструментария есть возможность упорядочить хранение данных и работу с моделью ресурсов, профилями угроз, перечнями уязвимостей и рисками.

Помимо собственно средств оценки и управления рисками программный инструментарий может также содержать дополнительные средства для документирования СУИБ, анализа расхождений с требованиями стандартов, разработки реестра ресурсов, а также другие средства, необходимые для внедрения и эксплуатации СУИБ.

Выводы

Выбор качественного или количественного подходов к оценке рисков, определяется характером бизнеса организации и уровнем его информатизации, т.е. важностью для него информационных активов, а также уровнем зрелости организации.

При реализации формального подхода к управлению рисками в организации необходимо опираться, прежде всего, на здравый смысл, существующие стандарты (например, BS 7799-3) и хорошо зарекомендовавшие себя методологии (например, OCTAVE или CRAMM). Может оказаться полезным использовать для этих целей программный инструментарий, который реализует соответствующие методологии и в максимальной степени отвечает требованиям стандартов (например, RA2).

Эффективность процесса управления рисками ИБ определяется точностью и полнотой анализа и оценки факторов риска, а также эффективностью используемых в организации механизмов принятия управленческих решений и контроля их исполнения.

Ссылки

• Астахов А.М., «История стандарта BS 7799», http://www.globaltrust.ru/shop/osnov.php?idstat=61&idcatstat=12
• Астахов А.М., «Как построить и сертифицировать систему управления информационной безопасностью?»,

«Ничто так не удивляет людей, как здравый смысл и действия по плану».

Ральф Эмерсон, американский писатель

После того как решения по обработке рисков были приняты, должны быть определены и спланированы действия по реализации этих решений. Каждое мероприятие должно быть четко определено и разбито на такое количество действий, которое необходимо для четкого распределения ответственности между исполнителями, оценки требований к выделению ресурсов, установки вех и контрольных точек, определения критериев достижения целей и мониторинга продвижения.

Решения руководства по обработке рисков оформляются в виде «Плана обработки рисков». Этот документ является производным от «Реестра информационных рисков», определяющим для каждой группы угроз и уязвимостей перечень мер по обработке риска, позволяющих уменьшить максимальный для данной группы угроз уровень риска до уровня остаточного риска, приемлемого для организации. План обработки рисков также определяет сроки реализации, выделяемые ресурсы и ответственных исполнителей.

Процесс планирования должен включать в себя идентификацию ключевых владельцев активов и бизнес-процессов, консультирование с ними по выделению временных, финансовых и прочих ресурсов на реализацию плана обработки рисков, а также получение санкции руководства соответствующего уровня на использование ресурсов.

___________________________________

Разработка и реализация плана обработки рисков включает в себя следующие меры:

• определение последовательности мероприятий по реализации принятых решений по обработке рисков;
• детализацию и приоритетизацию мероприятий по обработке рисков;
• распределение ответственности между исполнителями;
• выделение необходимых ресурсов;
• определение вех и контрольных точек;
• определение критериев достижения целей;
• мониторинг продвижения.

______________________________________

Должны быть правильно расставлены приоритеты по реализации мер обработки риска. Время, когда может предприниматься каждое действие, зависит от его абсолютного приоритета по отношению к другим действиям, доступности ресурсов (включая финансовые и кадровые ресурсы), а также от мероприятий, которые должны быть завершены, прежде чем процесс может быть запущен. План обработки рисков должен быть скоординирован с другими бизнес-планами. Любые зависимости между этими планами должны быть идентифицированы.

Приоритетизация мер по обработке рисков может осуществляться следующим образом:

1. Все контрмеры разделяются на группы по уровню риска, для уменьшения которого они предназначены. Наивысший приоритет присваивается контрмерам, служащим для уменьшения самых больших рисков.

2. В каждой группе на первое место ставятся те меры, которые быстрее и проще реализовать и которые дают скорейший эффект.

3. Повышается приоритет контрмер, обеспечивающих наибольший возврат инвестиций ROI.

4. Первичным контрмерам, от которых зависит успешность реализации других контрмер, присваивается более высокий приоритет.

5. Учитываются все прочие соображения, способные повлиять на порядок реализации контрмер, включая связь с другими планами, доступность тех или иных ресурсов, политические, экономические и прочие соображения.

На выходе данного процесса получаем приоритетный перечень мер по обработке рисков, на базе которого производится дальнейшее более детальное планирование, выделение ресурсов и реализация решений по управлению рисками.

Координация всех шагов по реализации плана обработки рисков (включая приобретение, внедрение, тестирование механизмов безопасности, заключение договоров страхования и аутсорсинга и т.п.) осуществляется менеджером информационной безопасности или риск-менеджером, который должен контролировать, чтобы реализация мероприятий осуществлялась в соответствии с планом, с надлежащим качеством и в рамках выделенных финансовых, временных и кадровых ресурсов. При внедрении контрмер в информационную систему должно проводиться тестирование с целью подтверждения надежности и работоспособности реализованных механизмов безопасности, а также измерение эффективности их функционирования.

• Для комментирования войдите или зарегистрируйтесь

Как правильно оценивать риски информационной безопасности - наш рецепт

Задача оценки рисков информационной безопасности сегодня воспринимается экспертным сообществом неоднозначно, и тому есть несколько причин. Во-первых, здесь не существует золотого стандарта или общепринятого подхода. Многочисленные стандарты и методики хоть и схожи в общих чертах, но значительно различаются в деталях. Применение той или иной методики зависит от области и объекта оценки. Но выбор подходящего способа может стать проблемой, если участники процесса оценки имеют различное представление о нем и о его результатах.

Во-вторых, оценка рисков информационной безопасности - это сугубо экспертная задача. Анализ факторов риска (таких как ущерб, угроза, уязвимость и т.д.), выполненный разными экспертами, часто дает различный результат. Недостаточная воспроизводимость результатов оценки ставит вопрос о достоверности и полезности полученных данных. Природа человека такова, что абстрактные оценки, особенно касающиеся вероятностных единиц измерения, воспринимаются людьми по-разному. Существующие прикладные теории, призванные учесть меру субъективного восприятия человека (например, теория проспектов), усложняют и без того непростую методологию анализа рисков и не способствуют ее популяризации.

В-третьих, сама процедура оценки рисков в ее классическом понимании, с декомпозицией и инвентаризацией активов - весьма трудоемкая задача. Попытка выполнить анализ вручную с применением обычных офисных инструментов (например, электронных таблиц) неизбежно тонет в море информации. Специализированные программные средства, предназначенные для упрощения отдельных этапов анализа рисков, в некоторой степени облегчают моделирование, но совершенно не упрощают сбор и систематизацию данных.

Наконец, до сих пор не устоялось само определение риска в контексте проблемы информационной безопасности. Достаточно взглянуть на изменения в терминологии документа ISO Guide 73:2009 в сравнении с версией от 2002 года. Если раньше риск определялся как потенциал нанесения ущерба вследствие эксплуатации уязвимости какой-либо угрозой, то теперь это эффект отклонения от ожидаемых результатов. Аналогичные концептуальные изменения произошли и в новой редакции стандарта ISO/IEC 27001:2013.

По этим, а также по ряду других причин к оценке рисков информационной безопасности относятся в лучшем случае с осторожностью, а в худшем - с большим недоверием. Это дискредитирует саму идею риск-менеджмента, что в результате приводит к саботажу этого процесса руководством, и, как следствие, возникновению многочисленных инцидентов, которыми пестрят ежегодные аналитические отчеты.

Учитывая сказанное, с какой стороны лучше подойти к задаче оценки рисков информационной безопасности?

Свежий взгляд

Информационная безопасность сегодня все больше ориентируется на бизнес-цели и встраивается в бизнес-процессы. Аналогичные метаморфозы происходят и с оценкой рисков - она приобретает необходимый бизнес-контекст. Каким критериям должна соответствовать современная методика оценки рисков ИБ? Очевидно, что она должна быть простой и достаточно универсальной, чтобы результаты ее применения вызывали доверие и были полезны всем участникам процесса. Выделим ряд принципов, на которых должна базироваться такая методика:

1. избегать излишней детализации;
2. опираться на мнение бизнеса;
3. использовать примеры;
4. рассматривать внешние источники информации.

Суть предлагаемой методики лучше всего продемонстрировать на практическом примере. Рассмотрим задачу оценки рисков информационной безопасности в торгово-производственной компании. С чего все обычно начинается? С определения границ оценки. Если оценка рисков осуществляется впервые, в ее границы должны быть включены основные бизнес-процессы, генерирующие выручку, а также обслуживающие их процессы.

В случае если бизнес-процессы не документированы, общее представление о них можно получить, изучив организационную структуру и положения о подразделениях, содержащие описание целей и задач.

Определив границы оценки, перейдем к идентификации активов. В соответствии с вышесказанным мы будем рассматривать основные бизнес-процессы в качестве укрупненных активов, отложив инвентаризацию информационных ресурсов на следующие этапы (правило 1). Это обусловлено тем, что методика предполагает постепенный переход от общего к частному, и на данном уровне детализации эти данные просто не нужны.

Факторы риска

Будем считать, что с составом оцениваемых активов мы определились. Далее необходимо идентифицировать угрозы и уязвимости, связанные с ними. Однако такой подход применим только при выполнении детального анализа рисков, где объектом оценки выступают объекты среды информационных активов. В новой версии стандарта ISO/IEC 27001:2013 фокус оценки рисков сместился с традиционных ИТ-активов на информацию и ее обработку. Поскольку на текущем уровне детализации мы рассматриваем укрупненные бизнес-процессы компании, достаточно идентифицировать только высокоуровневые факторы риска, присущие им.

Фактор риска - это определенная характеристика объекта, технологии или процесса, которая является источником возникновения проблем в будущем. При этом мы можем говорить о наличии риска как такового только в том случае, если проблемы негативно скажутся на показателях деятельности компании. Выстраивается логическая цепочка:

Таким образом, задача идентификации факторов риска сводится к выявлению неудачных свойств и характеристик процессов, которые определяют вероятные сценарии реализации риска, оказывающие негативное влияние на бизнес. Чтобы упростить ее решение, воспользуемся бизнес-моделью информационной безопасности, разработанной ассоциацией ISACA (см. рис. 1):

Рис. 1. Бизнес-модель информационной безопасности

В узлах модели указаны фундаментальные движущие силы любой организации: стратегия, процессы, люди и технологии, а ее ребра представляют собой функциональные связи между ними. В этих ребрах, в основном, и сконцентрированы основные факторы риска. Как несложно заметить, риски связаны не только с информационными технологиями.

Как идентифицировать факторы риска, опираясь на приведенную модель? Нужно привлечь к этому бизнес (правило 2). Бизнес-подразделения обычно хорошо представляют себе проблемы, с которыми сталкиваются в работе. Часто вспоминается и опыт коллег по отрасли. Получить эту информацию можно, задавая правильные вопросы. Вопросы, связанные с персоналом, целесообразно адресовать службе по работе с персоналом, технологические вопросы - службе автоматизации (ИТ), а вопросы, связанные с бизнес-процессами, - соответствующим бизнес-подразделениям.

В задаче идентификации факторов риска удобнее отталкиваться от проблем. Идентифицировав какую-либо проблему, необходимо определить ее причину. В результате может быть выявлен новый фактор риска. Основная сложность здесь заключается в том, чтобы не скатиться в частности. Например, если инцидент произошел вследствие неправомерных действий сотрудника, фактором риска будет являться не то, что сотрудник нарушил положение какого-то регламента, а то, что само действие стало возможным. Фактор риска - это всегда предпосылка к возникновению проблемы.

Для того чтобы персонал лучше понимал, о чем именно его спрашивают, желательно сопровождать вопросы примерами (правило 3). Ниже приведены примеры нескольких высокоуровневых факторов риска, которые могут быть характерны для многих бизнес-процессов:

Персонал:

• Недостаточная квалификация (ребро Human Factors на рис. 1)
• Нехватка сотрудников (ребро Emergence)
• Низкая мотивация (ребро Culture)

Процессы:

• Частое изменение внешних требований (ребро Governing)
• Неразвитая автоматизация процессов (ребро Enabling & Support)
• Совмещение ролей исполнителями (ребро Emergence)

Технологии:

• Устаревшее ПО (ребро Enabling & Support)
• Низкая подотчетность пользователей (ребро Human Factors)
• Гетерогенный ИТ-ландшафт (ребро Architecture)

Важным преимуществом предложенного способа оценки является возможность перекрестного анализа, при котором два разных подразделения рассматривают одну и ту же проблему под различными углами. Учитывая это обстоятельство, очень полезно задавать интервьюируемым вопросы типа: «Что вы думаете по поводу проблем, обозначенных вашими коллегами?». Это отличный способ получить дополнительные оценки, а также скорректировать уже имеющиеся. Для уточнения результата можно провести несколько раундов такой оценки.

Влияние на бизнес

Как следует из определения риска, он характеризуется степенью оказываемого влияния на бизнес-показатели организации. Удобным инструментом, позволяющим определить характер влияния сценариев реализации риска на бизнес, является система сбалансированных показателей (Balanced Scorecards). Не углубляясь в детали, отметим, что Balanced Scorecards выделяет у любой компании 4 бизнес-перспективы, связанные иерархическим образом (см. рис. 2).

Рис. 2. Четыре бизнес-перспективы системы сбалансированных показателей

Применительно к рассматриваемой методике риск можно считать значимым, если он негативно сказывается хотя бы на одной из трех следующих бизнес-перспектив: финансы, клиенты и/или процессы (см. рис. 3).

Рис. 3. Основные показатели бизнеса

Например, фактор риска «Низкая подотчетность пользователей» может вылиться в сценарий «Утечка информации о клиентах». В свою очередь, это повлияет на бизнес-показатель «Количество клиентов».

Если в компании разработаны бизнес-метрики, это значительно упрощает ситуацию. Всякий раз, когда удается отследить влияние конкретного сценария реализации риска на один или несколько бизнес-показателей, соответствующий фактор риска может считаться значимым, а результаты его оценки необходимо зафиксировать в опросных листах. Чем выше в иерархии бизнес-метрик прослеживается влияние того или иного сценария, тем более значительны потенциальные последствия для бизнеса.

Задача анализа этих последствий является экспертной, поэтому она должна решаться с привлечением профильных бизнес-подразделений (правило 2). Для дополнительного контроля полученных оценок полезно использовать внешние источники информации, содержащие статистические данные о величине потерь в результате произошедших инцидентов (правило 4), например, ежегодный отчет «Cost of Data Breach Study».

Оценка вероятности

На завершающем этапе анализа для каждого идентифицированного фактора риска, воздействие которого на бизнес удалось определить, необходимо оценить вероятность реализации связанных с ним сценариев. От чего зависит эта оценка? В значительной степени от достаточности реализованных в компании защитных мер.

Здесь есть небольшое допущение. Логично предположить, что раз проблема была обозначена, значит, она по-прежнему актуальна. При этом реализованных мер, скорее всего, недостаточно для того, чтобы нивелировать предпосылки к ее возникновению. Достаточность контрмер определяется результатами оценки эффективности их применения, например, с помощью системы метрик.

Для оценки можно использовать простую 3-уровневую шкалу, где:

3 - реализованные контрмеры в целом достаточны;

2 - контрмеры реализованы недостаточно;

1 - контрмеры отсутствуют.

В качестве справочников с описанием контрмер можно использовать профильные стандарты и руководства, например CobiT 5, ISO/IEC 27002 и др. Каждая контрмера должна быть связана с конкретным фактором риска.

Важно помнить, что мы анализируем риски, связанные не только с использованием ИТ, но и с организацией внутренних информационных процессов в компании. Поэтому и контрмеры нужно рассматривать шире. Не зря в новой версии ISO/IEC 27001:2013 есть оговорка, что при выборе контрмер необходимо использовать любые внешние источники (правило 4), а не только Annex A, присутствующий в стандарте в справочных целях.

Величина риска

Для определения итоговой величины риска можно использовать простейшую таблицу (см. табл. 1).

Табл. 1. Матрица оценки риска

В том случае, если фактор риска затрагивает несколько бизнес-перспектив, например «Клиенты» и «Финансы», их показатели суммируются. Размерность шкалы, а также допустимые уровни рисков ИБ можно определять любым удобным способом. В приведенном примере высокими считаются риски, имеющие уровень 2 и 3.

На этом первый этап оценки рисков можно считать завершенным. Итоговая величина риска, связанного с оцениваемым бизнес-процессом, определяется как сумма составных величин по всем идентифицированным факторам. Владельцем риска можно считать лицо, ответственное в компании за оцениваемый объект.

Полученная цифра не говорит нам о том, сколько денег рискует потерять организация. Вместо этого она указывает на область концентрации рисков и характер их воздействия на бизнес-показатели. Эта информация необходима, для того чтобы в дальнейшем сфокусироваться на наиболее важных деталях.

Детальная оценка

Основное преимущество рассматриваемой методики состоит в том, что она позволяет выполнять анализ рисков информационной безопасности с желаемым уровнем детализации. При необходимости можно «провалиться» в элементы модели ИБ (рис. 1) и рассмотреть их более подробно. Например, определив наибольшую концентрацию риска в ребрах, связанных с ИТ, можно повысить уровень детализации узла «Technology». Если раньше в качестве объекта оценки рисков выступал отдельный бизнес-процесс, то теперь фокус сместится на конкретную информационную систему и процессы ее использования. Для того чтобы обеспечить требуемый уровень детализации, может потребоваться проведение инвентаризации информационных ресурсов.

Все это применимо и для других областей оценки. При изменении детализации узла «People» объектами оценки могут стать роли персонала или даже отдельные сотрудники. Для узла «Process» ими могут быть конкретные рабочие регламенты и процедуры.

При изменении уровня детализации автоматически изменятся не только факторы риска, но и применимые контрмеры. И то, и другое станет более специфичным для объекта оценки. При этом общий подход к выполнению оценки факторов риска не изменится. Для каждого идентифицированного фактора необходимо будет оценить:

• степень влияния риска на бизнес-перспективы;
• достаточность контрмер.

Российский синдром

Выход стандарта ISO/IEC 27001:2013 поставил многие российские компании в непростое положение. С одной стороны, у них уже сложился определенный подход к оценке рисков ИБ, основанный на классификации информационных активов, оценке угроз и уязвимостей. Национальные регуляторы успели выпустить ряд нормативных актов, поддерживающих этот подход, например, стандарт Банка России, приказы ФСТЭК. С другой стороны, в задаче оценки рисков давно назрела необходимость изменений, и теперь нужно модифицировать устоявшийся порядок, чтобы он отвечал и старым, и новым требованиям. Да, сегодня всё еще можно пройти сертификацию по стандарту ГОСТ Р ИСО/МЭК 27001:2006, который идентичен предыдущей версии ISO/IEC 27001, но это ненадолго.

Рассмотренная выше методика анализа рисков решает этот вопрос. Управляя уровнем детализации при выполнении оценки, можно рассматривать активы и риски в произвольном масштабе: начиная с бизнес-процессов и заканчивая отдельными информационными потоками. Этот подход удобен еще и потому, что позволяет охватить все высокоуровневые риски, не упустив ничего. При этом компания существенно снизит трудозатраты на дальнейший анализ и не потратит время на детальную оценку несущественных рисков.

Нужно отметить, чем выше детализация области оценки, тем большая ответственность возлагается на экспертов и тем большая компетенция необходима, ведь при изменении глубины анализа меняются не только факторы риска, но и ландшафт применимых контрмер.

Несмотря на все предпринимаемые попытки упрощения, анализ рисков информационной безопасности по-прежнему является трудоёмким и сложным. На руководителе этого процесса лежит особая ответственность. От того, насколько компетентно он выстроит подход и справится с поставленной задачей, будет зависеть множество вещей - от выделения бюджета на ИБ до устойчивости бизнеса.

Основные принципы управления рисками информационной безопасности

Несмотря на разные операции, продукты и услуги, организации используют пять принципов управления рисками информационной безопасности:

· Оценить риск и определить потребности

· Установить централизованное управление

· Внедрить необходимые политики и соответствующие средства контроля

· Содействовать осведомленности сотрудников

· Контролировать и оценивать эффективность политик и механизмов контроля

Существенным фактором эффективного осуществления этих принципов является связующий цикл деятельности, гарантирующий, что управление информационной безопасностью постоянно нацелено на текущие риски. Важно, чтобы высший менеджмент организации признал наличие рисков нарушения бизнес-процессов, связанных с безопасностью информационных систем. Основанием для разработки и внедрения политик и выбора необходимых средств контроля является оценка рисков отдельных бизнес-приложений. Принятые шаги позволят увеличить осведомленность пользователей о рисках и соответствующих политиках. Эффективность средств контроля подлежит оценке путем различных исследований и аудиторских проверок. Полученные результаты обеспечивают подход к последующей оценке рисков и определяют необходимые изменения в политиках и средствах контроля. Все эти действия централизовано координируются службой безопасности или штатом специалистов, состоящем из консультантов, представителей бизнес-подразделений и менеджмента организации.

Оценка риска является первым шагом реализации программы обеспечения информационной безопасности. Безопасность не рассматривается "сама по себе", но как набор политик и соответствующих средств контроля, предназначенных для обеспечения бизнес-процессов и уменьшения соответствующих рисков. Таким образом, определение бизнес-рисков, связанных с информационной безопасностью – отправная точка цикла управления риском (информационной безопасностью).

Признание рисков информационной безопасности менеджментом организации, а также набора мер, направленных на определение и управление этими рисками является важным фактором развития программы обеспечения информационной безопасности. Такой подход менеджмента позволит гарантировать, что информационная безопасность серьезно рассматривается и на более низких организационных уровнях организации, а специалисты информационной безопасности обеспечены ресурсами, необходимыми для эффективного осуществления программы.

Существуют различные методологии оценки риска, начиная от неформального обсуждения риска и заканчивая достаточно сложными методами, предусматривающими использование специализированных программных средств. Однако мировой опыт успешных процедур управления рисками описывает относительно простой процесс, предусматривающий участие различных подразделений финансовых организаций с привлечением специалистов со знаниями бизнес-процессов, технических специалистов и специалистов в области защиты информации. Стоит подчеркнуть, что понимание рисков не предусматривает их точного количественного определения, включая вероятность инцидента или стоимость ущерба. Такие данные недоступны, так как потери могут быть не обнаружены, а менеджмент не поставлен в известность. Кроме того, данные о полных затратах на устранение ущерба, вызванного слабыми механизмами контроля безопасности, а также операционной стоимости этих механизмов (механизмов контроля) ограничены. Из-за постоянных изменений технологий, а также программных средств и инструментов, доступных злоумышленникам, применение статистических данных, собранных в предыдущие годы сомнительно. В результате, трудно точно сравнить стоимость средств контроля с риском потери, чтобы определить какое средство контроля является наиболее рентабельным. В любом случае, менеджеры бизнес-подразделений и специалисты в области информационной безопасности должны полагаться на наиболее полную информацию, доступную им при принятии решения о выборе необходимых средств (методов) контроля.

Менеджеры бизнес-подразделения должны нести первичную ответственность за определение уровня безопасности (конфиденциальности) информационных ресурсов, обеспечивающих бизнес-процессы. Именно менеджеры бизнес-подразделений в наибольшей степени способны определить, какой из информационных ресурсов является наиболее критичным, а также возможное влияние на бизнес, в случае нарушения его целостности, конфиденциальности или доступности. Кроме того, менеджеры бизнес-подразделений могут указать на средства (механизмы) контроля, способные нанести вред бизнес-процессам. Таким образом, привлекая их к выбору средств контроля можно гарантировать, что средства контроля удовлетворяют поставленным требованиям, и будут успешно внедрены.

Информационной безопасности стоит уделять постоянное внимание, чтобы гарантировать адекватность и эффективность средств контроля. Современные информационные и смежные технологии, также как и факторы, относящиеся к информационной безопасности, постоянно изменяются. Такие факторы включают в себя угрозы, технологии и системные конфигурации, известные уязвимости в программном обеспечении, уровень надежности автоматизированных систем и электронных данных, критичность данных и операций. Руководящая группа выступает, прежде всего, в роли советника или консультанта бизнес-подразделений, и не может навязывать методы (средства) информационной безопасности. В целом, руководящая группа должна являться (1) катализатором (ускорителем) процесса, гарантирующим, что риски информационной безопасности рассматриваются непрерывно; (2) центральным консультационным ресурсом для подразделений организаций; (3) средством доведения до руководства организации информации о состоянии информационной безопасности и принимаемых мерах. Кроме того, руководящая группа позволяет, централизовано управлять поставленными задачами, в противном случае эти задачи могут дублироваться различными подразделениями организации. Сотрудники организации должны участвовать в различных аспектах программы информационной безопасности и обладать соответствующими навыками и знаниями. Необходимый уровень профессионализма сотрудников, может быть, достигнут с помощью тренингов, проводить которые могут как специалисты организации, так и внешние консультанты.

Политики в области информационной безопасности являются основанием принятия определенных процедур и выбора средств (механизмов) контроля (управления). Политика – первичный механизм, с помощью которого менеджмент доводит свое мнение и требования сотрудникам, клиентам и деловым партнерам. Для информационной безопасности, как и для других областей внутреннего контроля, требования политик напрямую зависят от результатов оценки уровня риска. Всесторонний набор адекватных политик, доступных и понятных пользователям, является одним из первых шагов в установлении программы обеспечения информационной безопасности. Стоит подчеркнуть важность непрерывного сопровождения (корректировки) политик для своевременного реагирования на выявляемые риски и возможные разногласия.

Компетентность пользователей является обязательным условием для успешного обеспечения информационной безопасности, а также позволяет гарантировать, что средства контроля работают должным образом. Пользователи не могут следовать политике, которую они не знают или не понимают. Не зная о рисках, связанных с информационными ресурсами организации, они не могут видеть необходимости исполнения политики, разработанной с целью уменьшения рисков.

Как и любой вид деятельности, информационная безопасность подлежит контролю и периодической переоценке, чтобы гарантировать адекватность (соответствие) политик и средств (методов) контроля поставленным целям.

Контроль должен быть сосредоточен, прежде всего, на (1) наличии средств и методов контроля и их использования, направленного на уменьшение рисков и (2) оценке эффективности программы и политик информационной безопасности, улучшающих понимание пользователей и сокращающих количество инцидентов. Такие проверки предусматривают тестирование средств (методов) контроля, оценку их соответствия политикам организации, анализ инцидентов безопасности, а также другие индикаторы эффективности программы информационной безопасности. Эффективность работы руководящей группы может быть оценена, основываясь, например, на следующих показателях (но, не ограничиваясь ими):

· число проведенных тренингов и встреч;

· число выполненных оценок риска (рисков);

· число сертифицированных специалистов;

· отсутствие инцидентов, затрудняющих работу сотрудников организации;

· снижение числа новых проектов, внедренных с задержкой из-за проблем информационной безопасности;

· полное соответствие или согласованные и зарегистрированные отклонения от минимальных требований информационной безопасности;

· снижение числа инцидентов, влекущих за собой несанкционированный доступ, потерю или искажение информации.

Контроль, безусловно, позволяет привести организацию в соответствие с принятыми политикам информационной безопасности, однако полные выгоды от контроля не будут достигнуты, если полученные результаты не используются для улучшения программы обеспечения информационной безопасности. Анализ результатов контроля предоставляет специалистам в области информационной безопасности и менеджерам бизнес-подразделений средства (1) переоценки ранее идентифицированных рисков, (2) определения новых проблемных участков, (3) переоценки достаточности и уместности существующих средств и методов контроля (управления) и действий по обеспечению информационной безопасности, (4) определения потребностей в новых средствах и механизмах контроля, (5) переадресации контрольных усилий (контролирующих действий). Кроме того, результаты могут использоваться для оценки деятельности бизнес-менеджеров, ответственных за понимание и уменьшение рисков в бизнес-подразделениях.
Важно гарантировать, что (1) специалисты в области информационной безопасности не "отстают" от разрабатываемых методов и инструментов (приложений) и располагают самой последней информацией об уязвимости информационных систем и приложений, (2) высший менеджмент гарантирует, что располагает для этого необходимыми ресурсами.

Методы анализа

РЕSТ – это аббревиатура четырех английских слов: Р – Роlitical-legal – политико-правовые, Е – Есопоmiс – экономические, S – Sосioсultural – социокультурные, Т – Тесhnological forces – технологические факторы.

РЕSТ-анализ состоит в выявлении и оценке влияния факторов макросреды на результаты текущей и будущей деятельности предприятия.

Выделяют четыре группы факторов, наиболее существенных для стратегии предприятия:

Политико-правовые;

Экономические;

Социокультурные;

Технологические.

Цель РЕSТ-анализа – отслеживание (мониторинг) изменений макросреды по четырем узловым направлениям и выявление тенденций, событий, не подконтрольных предприятию, но оказывающих влияние на результаты принятых стратегических решений.

Таблица 1. PEST анализ

Политика	Р	Экономика	Е
1. Правительственная стабильность 2. Изменение законодательства 3. Государственное влияние на отрасли 4. Государственное регулирование конкуренции в отрасли 5. Налоговая политика	1. Общая характеристика экономической ситуации (подъем, стабилизация, спад) 2. Курс национальной валюты и ставка рефинансирования 3. Уровень инфляции 4. Уровень безработицы 5. Цены на энергоресурсы
Социум	S	Технология	Т
1. Демографические изменения 2. Изменение структуры доходов 3. Отношение к труду и отдыху 4. Социальная мобильность населения 5. Активность потребителей	1. Государственная техническая политика 2. Значимые тенденции в области НИОКР 3. Новые продукты (скорость обновления и освоения новых технологий) 4. Новые патенты

Политический фактор внешней среды изучается в первую очередь для того, чтобы иметь ясное представление о намерениях органов государственной власти в отношении развития общества и о средствах, с помощью которых государство предполагает претворять в жизнь свою политику.

Анализ экономического аспекта внешней среды позволяет понять, как на уровне государства формируются и распределяются экономические ресурсы. Для большинства предприятий это является важнейшим условием их деловой активности.

Изучение социального компонента внешнего окружения направлено на то, чтобы уяснить и оценить влияние на бизнес таких социальных явлений, как отношение людей к качеству жизни, мобильность людей, активность потребителей и др.

Анализ технологического компонента позволяет предвидеть возможности, связанные с развитием науки и техники, своевременно перестроиться на производство и реализацию технологически перспективного продукта, спрогнозировать момент отказа от используемой технологии.

Порядок проведения РЕ5Т – анализа.

Выделяют следующие этапы проведения внешнего анализа:

1. Разрабатывается перечень внешних стратегических факторов, имеющих высокую вероятность реализации и воздействия на функционирование предприятия.

2. Оценивается значимость (вероятность осуществления) каждого события для данного предприятия путем присвоения ему определенного веса от единицы (важнейшее) до нуля (незначительное). Сумма весов должна быть равна единице, что обеспечивается нормированием.

3. Дается оценка степени влияния каждого фактора-события на стратегию предприятия по 5-балльной шкале: «пять» – сильное воздействие, серьезная опасность; «единица» – отсутствие воздействия, угрозы.

4. Определяются взвешенные оценки, путем умножения веса фактора на силу его воздействия и подсчитывается суммарная взвешенная оценка для данного предприятия.

Суммарная оценка указывает на степень готовности предприятия реагировать на текущие и прогнозируемые факторы внешней среды.

Таблица 2. Результаты анализа внешних стратегических факторов

В данном случае оценка 3,05 показывает, что реакция предприятия на стратегические факторы внешней среды находится на среднем уровне.

Применяемый для анализа среды метод SWOT является широко признанным подходом, позволяющим провести совместное изучение внешней и внутренней среды.

Применяя метод SWOT‑анализа, удается установить линии связи между силой и слабостью, которые присущи организации, и внешними угрозами и возможностями. Методология предполагает сначала выявление сильных и слабых сторон, а также угроз и возможностей , и после этого установление цепочек связей между ними, которые в дальнейшем могут быть использованы для формулирования стратегии организации.

Томпсон и Стрикленд предложили следующий примерный набор характеристик, заключение по которым должно позволить составить список слабых и сильных сторон организации, а также список угроз и возможностей для нее, заключенных во внешней среде.

Сильные стороны:

Выдающаяся компетентность;

Адекватные финансовые ресурсы;

Высокая квалификация;

Хорошая репутация у покупателей;

Известный лидер рынка;

Изобретательный стратег в функциональных сферах деятельности организации;

Возможность получения экономии от роста объема производства;

Защищенность (хотя бы где-то) от сильного конкурентного давления;

Подходящая технология;

Преимущества в области издержек;

Преимущества в области конкуренции;

Наличие инновационных способностей и возможности их реализации;

Проверенный временем менеджмент.

Слабые стороны:

Нет ясных стратегических направлений;

Ухудшающаяся конкурентная позиция;

Устаревшее оборудование;

Более низкая прибыльность потому, что…;

Недостаток управленческого таланта и глубины владения проблемами;

Отсутствие некоторых типов ключевой квалификации и компетентности;

Плохое отслеживание процесса выполнения стратегии;

Мучение с внутренними производственными проблемами;

Уязвимость по отношению к конкурентному давлению;

Отставание в области исследований и разработок;

Очень узкая производственная линия;

Слабое представление о рынке;

Конкурентные недостатки;

Ниже среднего маркетинговые способности;

Неспособность финансировать необходимые изменения в стратегии.

Возможности:

Выход на новые рынки или сегменты рынка;

Расширение производственной линии;

Увеличение, разнообразия во взаимосвязанных продуктах;

Добавление сопутствующих продуктов;

Вертикальная интеграция;

Возможность перейти в группу с лучшей стратегией;

Самодовольство среди конкурирующих фирм;

Ускорение роста рынка.

Возможность появления новых конкурентов;

Рост продаж замещающего продукта;

Замедление роста рынка;

Неблагоприятная политика правительства;

Возрастающее конкурентное давление;

Рецессия и затухание делового цикла;

Возрастание силы торга у покупателей и поставщиков;

Изменение потребностей и вкуса покупателей;

Неблагоприятные демографические изменения.

Подзаголовок: Методика проведения анализа и построение матрицы SWOT-анализа

Организация может дополнить каждую из четырех частей списка теми характеристиками внешней и внутренней среды, которые отражают конкретную ситуацию, в которой она находится.

После того как конкретный список слабых и сильных сторон организации, а также угроз и возможностей составлен, наступает этап установления связей между ними. Для установления этих связей составляется матрица СВОТ, которая имеет следующий вид (рис. 1).

Рис. 1. Матрица SWOT‑анализа

Слева выделяется два блока (сильные стороны, слабые стороны), в которые соответственно выписываются все выявленные на первом этапе анализа стороны организации.

В верхней части матрицы также выделяется два блока (возможности и угрозы), в которые выписываются все выявленные возможности и угрозы. На пересечении блоков образуется четыре поля:

СИВ (сила и возможности); СИУ (сила и угрозы); СЛВ (слабость и возможности); СЛУ (слабость и угрозы). На каждом из полей исследователь должен рассмотреть все возможные парные комбинации и выделить те, которые должны быть учтены при разработке стратегии поведения организации.

В отношении тех пар, которые были выбраны с поля СИВ, следует разрабатывать стратегию по использованию сильных сторон организации для того, чтобы получить отдачу от возможностей, которые появились во внешней среде.

Для тех пар, которые оказались на поле СЛВ, стратегия должна быть построена таким образом, чтобы за счет появившихся возможностей попытаться преодолеть имеющиеся в организации слабости.

Если пара находится на поле СИУ, то стратегия должна предполагать использование силы организации для устранения угрозы.

Наконец, для пар, находящихся на поле СЛУ, организация должна вырабатывать такую стратегию, которая позволила бы ей как избавиться от слабости, так и попытаться предотвратить нависшую над ней угрозу.

Вырабатывая стратегии, следует помнить, что возможности и угрозы могут переходить в свою противоположность. Так, неиспользованная возможность может стать угрозой, если ее использует конкурент. Или наоборот, удачно предотвращенная угроза может открыть перед организацией дополнительные возможности в том случае, если конкуренты не смогли устранить эту же угрозу.

Подзаголовок: Построение матрицы «возможностей»

Для успешного анализа окружения организации методом SWOT-анализа важно не только уметь вскрывать угрозы и возможности, но и уметь оценивать их с точки зрения важности и степени влияния на стратегию организации.

Для оценки возможностей применяется метод позиционирования каждой конкретной возможности на матрице возможностей (рис. 2).

Рис. 2. Матрица возможностей

Матрица строится следующим образом:

– сверху по горизонтали откладывается степень влияния возможности на деятельность организации (сильное, умеренное, малое);

– слева по вертикали откладывается вероятность того, что организация сможет воспользоваться возможностью (высокая, средняя, низкая).

Полученные внутри матрицы девять полей возможностей имеют разное значение для организации.

Возможности, попадающие на поля ВС, В, У и СС, имеют большое значение для организации, и их надо обязательно использовать.

Возможности же, попадающие на поля СМ, НУ и НМ, практически не заслуживают внимания организации.

Подзаголовок: Построение матрицы «угроз»

Похожая матрица составляется для оценки угроз (рис. 3):

– сверху по горизонтали откладываются возможные последствия для организации, к которым может привести реализация угрозы (разрушение, критическое состояние, тяжелое состояние, «легкие ушибы»).

– слева по вертикали откладывается вероятность того, что угроза будет реализована (высокая, средняя, низкая).

Рис. 3. Матрица угроз

Те угрозы, которые попадают на поля ВР, ВК и СР, представляют очень большую опасность для организации и требуют немедленного и обязательного устранения.

Угрозы, попавшие на поле ВТ, СК и НР, также должны находиться в поле зрения высшего руководства и быть устранены в первостепенном порядке.

Что касается угроз, находящихся на полях НК, СТ и ВЛ, то требуется внимательный и ответственный подход к их устранению. Хотя при этом не ставится задача их первостепенного устранения. Попавшие на оставшиеся поля угрозы также не должны выпадать из поля зрения руководства организации. Необходимо внимательно отслеживать их развитие.

Подзаголовок: Составление профиля среды

Наряду с методами изучения угроз, возможностей, силы и слабости организации для анализа среды может быть применен метод составления ее профиля. Данный метод удобно применять для составления профиля отдельно макроокружения, непосредственного окружения и внутренней среды. С помощью метода составления профиля среды удается оценить относительную значимость для организации отдельных факторов среды.

Метод составления профиля среды состоит в следующем. В таблицу профиля среды (рис. 4) выписываются отдельные факторы среды. Каждому из факторов экспертным образом дается оценка:

Важности для отрасли по шкале: 3 – большая, 2 – умеренная, 1 – слабая;

Влияния на организацию по шкале: 3 – сильное, 2 – умеренное, 1 – слабое, 0 – отсутствие влияния;

Направленности влияния по шкале: +1 – позитивная, -1 – негативная.

Рис. 4. Таблица профиля среды

Далее все три экспертных оценки перемножаются, и получается интегральная оценка, показывающая степень важности фактора для организации. По этой оценке руководство может заключить, какие из факторов среды имеют относительно более важное значение для их организации и, следовательно, заслуживают самого серьезного внимания, а какие факторы заслуживают меньшего внимания.

Анализ среды – это очень важный для выработки стратегии организации и очень сложный процесс, требующий внимательного отслеживания происходящих в среде процессов, оценки факторов и установления связи между факторами и теми сильными и слабыми сторонами организации, а также возможностями и угрозами, которые заключены во внешней среде.

Очевидно, что, не зная среды, организация не сможет существовать. Однако она не плывет в окружении как лодка, не имеющая руля, весел или паруса. Организация изучает среду, чтобы обеспечить себе успешное продвижение к своим целям. Поэтому в структуре процесса стратегического управления вслед за анализом среды следует установление миссии организации и ее целей.

9.3. Жизненный цикл товара/услуги

Любой товар (услуга) проходит свой жизненный цикл от зарождения (появление на рынке) до прекращения (выпуска последнего образца).

Можно выделить следующие основные стадии жизненного цикла (рис. 5):

Рис. 5. Обычный график жизненного цикла товара во времени

Матрица БКГ

Наиболее популярная процедура анализа положения компании на рынке - построение матриц портфеля. Обычно такие матрицы строятся на основе пары стратегически важных переменных, таких, как скорость роста отрасли, размеры рынка, долговременная привлекательность отрасли, конкурентный статус и т. д. Такие двумерные матрицы относительно просты и дают четкую рыночную обстановку. Наибольшее распространение получили матрицы БКГ (BCG - Boston Consulting Group) и «Дженерал электрик».

В основе Бостонской матрицы лежит модель жизненного цикла товара, в соответствии с которой товар в своем развитии проходит четыре стадии: выход на рынок (товар – «дикая кошка»), рост (товар – «звезда»), зрелость (товар – «дойная корова») и спад (товар – «собака»).

Для оценки конкурентоспособности отдельных видов бизнеса используются два критерия: темп роста отраслевого рынка; относительная доля рынка.

Темп роста рынка определяется как средневзвешенное значение темпов роста различных сегментов рынка, в которых действует предприятие, или принимается равным темпу роста валового национального продукта. Темпы роста отрасли 10% и более рассматриваются как высокие.

Относительная доля рынка определяется делением доли рынка рассматриваемого бизнеса на долю рынка крупнейшего конкурента.

Рис. 6. Матрица БКГ для гипотетической фирмы

Значение доли рынка, равное 1, отделяет продукты – рыночные лидеры – от последователей. Таким образом, осуществляется деление видов бизнеса (отдельных продуктов) на четыре различные группы (рис. 6).

В основе матрицы БКГ лежат два предположения:

1. Бизнес, имеющий существенную долю рынка, приобретает в результате действия эффекта конкурентное преимущество в отношении издержек производства. Отсюда следует, что самый крупный конкурент имеет наибольшую рентабельность при продаже по рыночным ценам и для него финансовые потоки максимальны.

2. Присутствие на растущем рынке означает повышенную потребность в финансовых средствах для своего развития, т.е. обновления и расширения производства, проведения интенсивной рекламы и т.д. Если темп роста рынка невелик, например зрелый рынок, то товар не нуждается в значительном финансировании.

В том случае, когда обе гипотезы выполняются, можно выделить четыре группы рынков товара, соответствующие различным приоритетным стратегическим целям и финансовым потребностям:

«Дикие кошки» (быстрый рост / малая доля): товары этой группы могут оказаться очень перспективными, поскольку рынок расширяется, но требуют значительных средств для поддержания роста. Применительно к этой группе продуктов необходимо решить: увеличить долю рынка данных товаров или прекратить их финансирование.

«Звезды» (быстрый рост / высокая доля) – это рыночные лидеры. Они приносят значительную прибыль благодаря своей конкурентоспособности, но также нуждаются в финансировании для поддержания высокой доли динамичного рынка.

«Дойные коровы» (медленный рост / высокая доля): товары, способные принести больше прибыли, чем необходимо для поддержания их роста. Они являются основным источником финансовых средств для диверсификации и научных исследований. Приоритетная стратегическая цель – «сбор урожая».

«Собаки» (медленный рост / малая доля) – это продукты, которые находятся в невыгодном положении по издержкам и не имеют возможностей роста. Сохранение таких товаров связано со значительными финансовыми расходами при небольших шансах на улучшение положения. Приоритетная стратегия – деинвестирование и скромное существование.

В идеале сбалансированный номенклатурный портфель предприятия должен включать:

2–3 товара – «коровы», 1–2 – «звезды», несколько «кошек» в качестве задела на будущее и, возможно, небольшое число товаров – «собак». Избыток стареющих товаров («собак») указывает на опасность спада, даже если текущие результаты деятельности предприятия относительно хорошие. Избыток новых товаров может привести к финансовым затруднениям.

В динамичном корпоративном портфеле выделяют следующие траектории (сценарии) развития (рис. 7).

Рис. 7. Основные сценарии развития

«Траектория товара». Инвестируя в НИОКР средства, получаемые от «дойных коров», предприятие выходит на рынок с принципиально новым товаром, который занимает место звезды.

«Траектория последователя». Средства от «дойных коров» инвестируются в товар – «кошку», на рынке которого доминирует лидер. Предприятие придерживается агрессивной стратегии наращивания доли рынка, и товар – «кошка» превращается в «звезду».

«Траектория неудачи». Вследствие недостаточного инвестирования товар-звезда, утрачивает лидирующие позиции на рынке и становится товаром – «кошкой».

«Траектория посредственности». Товару – «кошке» не удается увеличить свою долю рынка, и он вступает в следующую стадию (товар – «собака»).