Введение. Безопасная работа информационной системы предполагает идентификацию, оценку, обработку, мониторинг на регулярной основе рисков выхода ее из строя, а также контроль за эффективностью и постоянным совершенствованием, своевременное предоставление руководству предприятия или организации полной и достоверной информации, необходимой для принятия управленческих решений по данному вопросу.
Риск нарушения работоспособности системы — это риск реализации угроз безопасности информации, которые обусловлены недостатками систем информационной безопасности, прикладного программного обеспечения, а также несоответствием указанных процессов деятельности организации [1].
Угроза — потенциально возможное событие, действие (воздействие), которое может нарушить бизнес-процесс или состояние защищенности актива.
Уязвимость — недостаток актива или мер его защиты, который может быть использован одной или несколькими угрозами [2].
Существуют следующие подпроцессы управления рисками информационной безопасности:
1. Идентификация риска кибербезопасности.
2. Оценка риска.
3. Обработка риска.
4. Сбор, регистрация и оценка потерь от событий риска.
5. Мониторинг и контроль.
6. Формирование отчетности.
7. Риск-культура [1, 3].
Необходимо оценить риск информационной безопасности для расчета и анализа последующих действий. Оценка должна быть независимой, чтобы иметь возможности для определения дополнительных рисковых зон, не выявленных во время разработки их подразделениями, непосредственно занимающимися данной проблемой.
Основная часть. Идентификация риска кибербезопасности. Для идентификации риска информационной безопасности могут использоваться различные инструменты (способы) его выявления. Например, анализ новых продуктов (процессов) включает в себя организацию и выполнение действий по идентификации рисков кибербезопасности (КБ) в них непосредственно при разработке или перед запуском.
При разработке новых продуктов (процессов) на предприятии осуществляется их анализ на предмет выполнения требований информационной безопасности. В случае выявления экспертом невыполненных требований информационной безопасности или отсутствия возможности их выполнения по объективным причинам (сроки, ресурсы) определяются возможные риски кибербезопасности в соответствии с картой присущих рисков (таблица 1).