Управление рисками информационной безопасности определяет реализацию и направления развития всей системы информационной безопасности компании. Результативность при этом зависит от соблюдения часто недооцениваемых принципов.

Александр Ковалев

Ведущий аудитор ISO/IES 27001 и эксперт Infosecurity

Содержание

Вовлеченность руководства
Регулярная оценка рисков
Сквозная интеграция
Принятие решений
Почувствуйте разницу
Заключение
Читайте также

Цель этой статьи - рассмотреть, какие слагаемые важны для успешного риск-менеджмента, раскрыть значимость каждого из них.

Вовлеченность руководства

Управление рисками ориентируется на бизнес-цели, а его основными задачами являются:

предотвращение недопустимых событий, способных привести к ущербу (включая финансовые потери, репутационный ущерб и даже остановку ключевых процессов);
снижение масштаба потенциального ущерба в случае возникновения недопустимых событий.

Эффективный риск-менеджмент невозможен без участия людей, принимающих управленческие решения. Топ-менеджеры определяют стратегию ИБ, задают риск-аппетит (допустимый уровень риска, который организация готова принять) и принимает решения о выделении ресурсов.

Без вовлечения и поддержки руководства процесс риск-менеджмента перестает быть частью стратегического планирования, часто не оправдывает ожидания и теряет вес при принятии управленческих решений.

Регулярная оценка рисков

Важность регулярности обосновывается тем, что это не разовая задача или проект, а непрерывный процесс, направленный на постоянное улучшение состояния ИБ организации.

Риски не статичны и могут меняться с течением времени (например, при изменениях в архитектуре ИТ и средств защиты, появлении новых регуляторных требований, эволюции атак и изменении ландшафта угроз).

Проводя регулярную оценку, специалисты получают объективную информацию о защищенности организации от информационных угроз и о наличии «слабых мест». Ретроспективное сравнение полученных результатов дает возможность оценить эффективность принимаемых мер и динамику изменения состояния информационной безопасности, позволяет разумно спланировать ее развитие.

Объективность выводов о динамике рисков зависит от сопоставимости результатов оценки, которая достигается, в частности, благодаря применению единых (или схожих) подходов и методик.

Сквозная интеграция

С учетом количества взаимосвязанных процессов и функций «точечный» риск-менеджмент (например, для отдельного бизнес-процесса, функции или области деятельности) создает опасность появления «слепых зон». Угрозы могут реализоваться в неохваченной области, иметь непредсказуемый характер и вектор влияния, привести к критическим последствиям.

Риск-менеджмент ИБ будет верно рассматривать как сквозной процесс, охватывающий всю деятельность компании, включая:

все бизнес- и поддерживающие функции (HR, ИТ, юридическое и проектное сопровождение, комплаенс и другие);
управление ИТ-инфраструктурой (в том числе, удаленными объектами и облачными средами);
все процессы информационной безопасности, составляющие комплексную систему ИБ организации).

Для полного покрытия деятельности компании во всех областях и на всех этапах бизнес- и ИТ-инициатив риск-менеджмент ИБ должен быть интегрирован в операционную деятельность. Это позволит обеспечить целостность подхода к управлению рисками, выстроить продуктивный диалог между бизнесом, ИТ и информационной безопасностью, сделать расходы на ИБ более прогнозируемыми и экономически обоснованными.

Управление рисками ИБ – важная составляющая эволюции других процессов ИБ. Регулярно проводя оценку, мы можем анализировать влияние применяемых мер защиты на динамику рисков и выявлять необходимость корректировки существующих процессов и мер безопасности.

Принятие решений

Конечная цель риск-менеджмента ИБ – не в проведении регулярных оценок как процедуры, а в повышении защищенности бизнеса путем совершенствования системы управления ИБ и ее отдельных процессов. Оценка рисков будет бесполезной рутинной процедурой, если не использовать ее результаты для принятия мер по повышению зрелости ИБ (например, внедрение организационных и технических мер, пересмотр процессов ИБ, совершенствование ИТ-архитектуры).

Меры по совершенствованию ИБ могут потребовать выделения дополнительного бюджета, расширения функций и штатного состава подразделения ИБ, использования сторонних услуг. Здесь мы возвращаемся к важности вовлечения руководства. С объективной оценкой рисков топ-менеджмент может сопоставить требуемые ресурсы с возможным ущербом от реализации угроз и принять обоснованные управленческие решения.

Почувствуйте разницу

Давайте представим абстрактную организацию с несколькими направлениями деятельности. В компании внедрены процессы ИБ и руководство считает, что обеспечивается достаточный уровень безопасности.

Оценка рисков проводилась один раз 3 года назад и выявила ряд угроз, способных привести к негативным последствиям. Некоторые из выявленных рисков специалист по ИБ счел критичными и даже довел отчет до руководителя. Руководитель прочитал отчет, остался доволен тем, что процедура оценки выполнена, и теперь отчет лежит в архиве почты руководителя.

За 3 года в компании произошли определенные события:

были зарегистрированы серьезные инциденты, анализ которых показал, что инциденты связаны с недостатками процессов ИБ, недостаточным покрытием инфраструктуры средствами защиты информации и устаревшими технологиями защиты, не учитывающими современные методы атак;
компания расширила сферу деятельности, стала субъектом КИИ (осуществляет разработку и поддержку ПО для государственного сектора);
компания перенесла часть своей ИТ-инфраструктуры в облачную среду стороннего провайдера.

Что мы видим на практике и какие преимущества получила бы компания, соблюдая принципы управления рисками ИБ?

Текущая ситуация	Ситуация при соблюдении принципов
Руководство представляет оценку рисков как стандартную процедуру «для галочки», не рассматривает риски как реальную угрозу для бизнеса.	Руководство вовлечено в процесс, рассматривает риски в контексте влияния на реализацию бизнес-целей.
Руководство не принимает решения по снижению уровня рисков. Направление ИБ не обладает достаточными ресурсами и не может адекватно противодействовать угрозам.	Руководством принимаются взвешенные управленческие решения по снижению уровня рисков и повышению устойчивости бизнеса, выделяется необходимый бюджет и другие ресурсы.
Не имея поддержки руководства, функция ИБ сталкивается с сопротивлением других подразделений внедрению мер безопасности.	Руководство обеспечивает распространение решений на всю компанию и взаимодействие направления ИБ с бизнесом.
Отсутствие регулярной оценки рисков не позволило учесть произошедшие изменения – необходимость соблюдения требований для субъектов КИИ, трансформацию ИТ-инфраструктуры. Новые угрозы остались вне зоны внимания.	Регулярная оценка позволяет контролировать все изменения, адаптировать сценарии рисков к новым условиям и контексту деятельности. Учитываются новые угрозы, связанные с развитием технологий и методов атак.
Руководство представляет оценку рисков как стандартную процедуру «для галочки», не рассматривает риски как реальную угрозу для бизнеса.	Руководство вовлечено в процесс, рассматривает риски в контексте влияния на реализацию бизнес-целей.

Заключение

Слагаемые эффективного риск-менеджмента ИБ, которые мы рассмотрели, тесно связаны между собой и напрямую влияют на его результативность. Без следования этим принципам достижение целей управления рисками и, соответственно, бизнес-целей организации с точки зрения обеспечения ИБ, не представляется возможным.

Грамотное построение управления рисками ИБ является наиболее важным аспектом обеспечения ИБ компании, так как служит основой для его реализации, развития и обеспечения эффективности.

Остались вопросы?

Оставьте свои контактные данные, чтобы мы могли связаться с вами для дальнейших шагов.

КИИ

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Постановление № 92 от 06.02.2026: новые правила категорирования КИИ в банках, ежегодная отчётность, штрафы по ст. 13.12.2 КоАП и что делать банкам.

06.11.2026

Читать

Законодательство

Cookie и персональные данные: что нужно учитывать владельцам сайтов

Когда cookie считаются персональными данными, какие можно без согласия, что указать в cookie-баннере и почему мало политики конфиденциальности.

07.11.2026

Читать

Ai / Безопасность ИИ

Этапы подготовки к сертификации ISO/IEC 42001

Что такое ISO/IEC 42001 и как подготовиться к сертификации: структура стандарта, 5 этапов от обследования до аудита, цикл PDCA.

10.11.2026

Читать

Сертификация ISO

10 шагов по внедрению ISO/IEC 27001

Пошаговый план внедрения ISO/IEC 27001 в 10 шагов: от области применения СУИБ до внутреннего аудита. Типовой срок подготовки — 5–12 месяцев.

05.11.2026

Читать

Другие статьи

Все статьи

Получайте новости из мира кибербезопасности, полезные материалы и специальные предложения для бизнеса. Отправляем только актуальную информацию — без лишних писем.

Оставайтесь на шаг впереди

Дайджесты

Акции

Чек-листы

Памятки

Новые услуги

Слагаемые успешного управления рисками информационной безопасности

Содержание

Вовлеченность руководства

Регулярная оценка рисков

Сквозная интеграция

Принятие решений

Почувствуйте разницу

Заключение

Читайте также:

Остались вопросы?

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Cookie и персональные данные: что нужно учитывать владельцам сайтов

Этапы подготовки к сертификации ISO/IEC 42001

10 шагов по внедрению ISO/IEC 27001

Другие статьи

feeds:title