Главная мысль
В реестре укажите актив, сценарий, последствия, вероятность, меры, остаточный риск и владельца решения; для принятого риска назначьте дату пересмотра.
Определите активы и зависимости бизнес-процессов
Включите данные, приложения, аккаунты, сети, поставщиков и процессы в реестр. Для каждого актива укажите владельца, чувствительность данных, требования к доступности и зависимые сервисы. Для выявленной технической проблемы определите, какие операции и данные она может затронуть и как повлияет на затраты на восстановление.
Оцените сценарии угроз
Опишите сценарий: захват аккаунта, извлечение данных из открытого облачного ресурса, эксплуатация уязвимости, атака программы-вымогателя или сбой поставщика. На основе имеющихся данных оцените вероятность, эффективность защитных мер и последствия; отдельно укажите неопределённость. Одной технической оценки недостаточно, чтобы определить приоритет для бизнеса.
Определите приоритет и владельца риска
Оценивайте вместе критичность актива, возможность эксплуатации уязвимости, достоверные сведения об угрозах, эффективность защитных мер и последствия. Назначьте представителя бизнеса с полномочиями принимать риск; исполнитель технического исправления может быть другим. Определите, при каком уровне риска требуется решение вышестоящего руководителя. Различайте исходный риск до применения защитных мер и остаточный риск после выполнения выбранных мер.
Зафиксируйте меры и принятый риск
Выбирайте способ управления риском с учётом последствий сценария для бизнеса. Зафиксируйте ответственного за решение и условие его пересмотра; договор или страхование не устраняют угрозу и не передают всю ответственность.
| Решение | Что меняется | Что зафиксировать |
|---|---|---|
| Снизить | Меры контроля или исправления снижают риск. | Ответственный, действие, срок и проверка результата. |
| Передать часть последствий | Договор или страхование перераспределяют согласованные последствия. | Покрытие, исключения и остающаяся ответственность. |
| Избежать | Остановить или изменить рискованную деятельность. | Последствия для бизнеса и решение об остановке или изменении деятельности. |
| Принять | Лицо с соответствующими полномочиями принимает остаточный риск. | Обоснование, оставшиеся последствия, меры и дата или условие пересмотра. |
Обновляйте оценку после инцидентов и изменений
Новая уязвимость, угроза, сервис, поставщик или облачная конфигурация могут изменить оценку риска. После инцидента внесите в реестр сведения о последствиях, времени обнаружения, реагировании и восстановлении. Докладывайте о высоком остаточном риске, просроченных задачах по его снижению, повторяющихся причинах инцидентов и необходимых решениях.
Что риск означает для бизнеса
Оценка риска не ограничивается подсчётом технических недостатков. Рассматривайте потерю корпоративных данных и интеллектуальной собственности, остановку сервиса, затраты на восстановление, влияние на людей и выполнение договоров. Для сценария недоступности продаж через сайт укажите длительность простоя и зависимые процессы. Проверяйте предположения с ответственным представителем бизнеса.
Финансы, доверие и рабочие процессы
При выборе мер оценивайте затраты на восстановление, непрерывность работы сервисов, приносящих доход, и ответственное обращение с данными. Учитывайте, как понятные политики, обучение и информирование при инциденте влияют на доверие клиентов и сотрудников. Отслеживайте взаимодействие команд и время на кризисные и плановые ИТ-задачи. По фактическим результатам проверяйте, помогают ли распределение задач и порядок передачи сложных вопросов руководству. В обсуждениях с клиентами и поставщиками используйте результаты проверок, подтверждающие работу защитных мер.
Измеряйте непрерывность работы и результаты программы
Задавайте цели восстановления и проводите проверки резервных копий. Отслеживайте время с момента выявления рисков, просроченные задачи по их снижению, повторные инциденты и простой. Сравнивайте показатели для одного и того же набора активов и сервисов; используйте их при пересмотре принятого риска и решений об инвестициях. Обновляйте план при изменении сервиса или угроз. До инцидента отрабатывайте распределение ролей при реагировании на учениях.