Оценка рисков информационной безопасности

Защита от утечек данных DLP

MFA • PAM • IDM

vCISO • vDPO • vCompliance • vКИИ • Подписка на ИБ • Vulnerability mgmt

Защита от утечек и взломов

Аутсорсинг ИБ

11 услуг

Безопасность разработки

9 услуг

Анализ угроз • Анализ кода • Внедрение и сертификация процессов

Безопасность ИИ

11 услуг

Оценка зрелости и рисков • LLMSecOps • Red Teaming LLM • ISO 42001

Социотехнический пентест

Оценка уровня осведомленности сотрудников правилами ИБ

Пентесты цифровых продуктов

Сайт • Веб-приложения • Мобильные приложения • Анализ исходного кода

Пентесты инфраструктуры

Внешний периметр • Внутренний периметр • Wi-Fi

Пентесты >

Системы менеджмента ISO

7 услуг

Проектирование и внедрение: 27001, 27701, 22301, 20000, 42001

Требования Банка России

16 услуг

Комплаенс для банков • 716-П, 833-П, 850-П, 851-П, SWIFT CSCF, ГОСТ 57580

Защита АСУ ТП

5 услуг

Категорирование • Проектирование • Внедрение • Испытания

Защита ГИС

7 услуг

Оценка зрелости • Проектирование • Аттестация • СМЭВ

Защита объектов КИИ

5 услуг

Категорирование • Проектирование • Внедрение • Испытания

Персональные данные

11 услуг

Аудит 152-ФЗ • Моделирование угроз • ТЗ/ТП СЗПДн • Оценка эффективности

Аудит и оценка рисков

Аудит • Киберчекап • Стратегия ИБ • Оценка и управление рисками

Аудит и консалтинг

Аудит и оценка зрелости ИБ со скидкой 33%

Главная
→
Услуги
→
Аудит и консалтинг
→
Оценка зрелости и рисков ИБ

Бережливая безопасность

Оценка рисков информационной безопасности

Рациональное использование ресурсов для защиты приоритетных бизнес-активов

Получить консультацию

Подробнее об услуге

> 15 лет

на рынке ИБ

> 250 инженеров

в команде

> 320 проектов

реализовано

Более 320 проектов
реализовано

Команда инженеров по анализу и оценке рисков информационной безопасности

Более 250 инженеров
в команде

15 лет на рынке обследование информационной безопасности

Более 15 лет
на рынке ИБ

Оценка рисков безопасности, как мост между ИБ и бизнесом

Оценка рисков безопасности устраняет главный разрыв корпоративной кибербезопасности — между ИБ, которая не может обосновать бюджет, и бизнесом, который не понимает, за что платит. Бизнес сообщает, какие процессы критичны, — ИБ определяет, какая защита нужна и почему.

оценка информационной безопасности таблца зависимости

Для чего нужна оценка ИБ рисков

Этапы проведения анализа и оценки информационной безопасности:

Оценка зрелости

Проведем обследование в соответствии с общепризнанными международными практиками

Результат:

Протоколы интервью

Отчет по результатам обследования, включая мероприятия для повышения уровня ИБ Компании

Диаграмма зрелости процессов

Оценка рисков ИБ

Проведем количественную оценку рисков ИБ с учетом бизнес-контекста

Результат:

Реестр рисков ИБ

План обработки рисков ИБ

Инструмент в формате .xlsm для расчета уровня риска

Проектирование целевого состояния

Построим дорожную карту развития, включающую портфель проектов на 2- 3 года с оценкой сроков и трудозатрат

Результат:

Дорожная карта развития ИБ с приоритизированными мероприятиями

Проект целевого состояния функции КБ

Краткая презентация для руководства

Ко всем аудитам информационной безопасности

Наш арсенал в оценке эффективности обеспечения информационной безопасности

Управление рисками кибербезопасности — это не один инструмент, а целая система взаимосвязанных элементов. Мы подходим к задаче комплексно, объединяя методологическую экспертизу и практический опыт.

Ключевые фреймворки
- ISO/IEC 27005
- ISO 31000
- Open FAIR™ Risk Analysis
- NIST SP 800-30
- Mitre ATT&CK
Подходы к идентификации рисков
- Top-down (от недопустимых для бизнеса событий)
- Bottom-up (от несоответствий на операционном уровне)
Подходы к расчету рисков
- Качественный (Высокий, Средний, Низкий)
- Количественный (100 р., 1000 р., 10 000 р.)
- Полуколичественный (качественные значения выражаются в количественных показателях)
Методики расчета рисков
- Экспертно
- На основе статистики
- На основе математического распределения
- На основе декомпозиции на факторы

Этапы проекта

Подробный перечень шагов по реализации аудита

Этап 1. Оценка зрелости информационной безопасности

Оценка зрелости

Анализ контрольной среды проводится в соответствии с международными стандартами по ИБ. Итогом является оценка уровня зрелости ИБ в Компаниии.

Читать далее

оценка состояния информационной безопасности

Диаграмма оценки зрелости КБ: пример

Этап 2. Оценка рисков ИБ

ШАГ 1

Устанавливаем контекст области оценки

Прежде чем искать риски, необходимо очертить границы: что именно оцениваем, в каком бизнес-контексте, какие цели и ограничения учитываем.

Читать далее

ШАГ 2

Идентифицируем активы

Определяем, что именно нуждается в защите: информационные системы, данные, процессы, инфраструктура.

Читать далее

ШАГ 3

Идентифицируем агентов угроз ИБ

Выявляем, кто или что может причинить вред: внешние злоумышленники, инсайдеры, технические сбои, человеческий фактор.

Читать далее

Реестр агентов угроз нарушителей оценки безопасности информационных технологий

Реестр агентов угроз (нарушителей): пример

ШАГ 4

Идентифицируем сценарии рисков ИБ

На основе всех собранных данных формируются наиболее критичные и релевантные сценарии реализации рисков ИБ.

Читать далее

ШАГ 5

Оцениваем риски ИБ

Реестр рисков: пример

Каждый сценарий получает количественную или качественную оценку: вероятность реализации и масштаб потенциального ущерба.

Читать далее

Величина воздействия рассчитывается через бизнес-метрики, напрямую связанные со сценарием: количество затронутых клиентов и сделок, средняя прибыль, затраты на расследование инцидента, маркетинговые издержки на восстановление клиентской базы и иные релевантные показатели. Такой подход позволяет выразить последствия реализации риска в конкретных финансовых и репутационных терминах, понятных бизнесу, и обеспечить объективную приоритизацию рисков для последующей работы с ними.

Итоговая оценка каждого риска складывается из двух составляющих. Вероятность реализации определяется через вероятность события угрозы (как часто агент вступает в контакт с активом и насколько он склонен к действию) и уязвимость актива (насколько сила контролей способна противостоять потенциалу агента).

ШАГ 6

Обрабатываем риски ИБ и считаем RoSI

RoSI (return on security investment) – показатель возврата инвестиций в безопасность, который характеризует экономическую эффективность систем защиты информации.

Определяем стоимость реализации каждого из мероприятий и рассчитываем RoSI для обоснования бюджета перед руководством по формуле:

Для удобства мониторинга рисков мы предоставляем инструмент в формате .xlsm:

Инструмент для оценки рисков ИБ

Оценка угроз кибербезопасности и оценка рисков защиты информации

Количество рисков и угроз информационной безопасности

Общий уровень рисков информационной безопасности

Доля анализа и оценки рисков иб по недопустимым событиям

Количественные показатели способов обработки рисков иб

Получить консультацию Получить расчет стоимости

Этап 3. Проектирование целевого состояния

Определение целевого уровня зрелости ИБ

Профилирование компании с учетом ее контекста и особенностей реализации бизнес-процессов на основании следующих критериев: обработка чувствительной информации, масштаб инфраструктуры, распределенность филиальной сети, маркетинговая связь с головным предприятием. Целевой уровень зрелости определяется на основании контекста компании, особенностей ИТ-ландшафта с привязкой к трендовым рискам ИБ.

Результаты работ:

Целевой уровень зрелости, подкрепленный приоритетами из дорожной карты развития. Это позволит понять, каким должен быть результат развития ИБ через 2 – 3 года и оценить разрыв между текущим и желаемым состоянием.

Получить консультацию Получить расчет стоимости

оценка информационной безопасности организации

Каждое мероприятие по обработке рисков оценивается по четырём критериям приоритизации. Это позволяет в первую очередь реализовывать те меры, которые дают максимальный защитный эффект при разумных затратах.

Формирование и визуализация дорожной карты развития КБ на горизонт 2-3 года

По результатам формирования плана обработки рисков формируется дорожная карта реализации проектов ИБ в виде диаграммы Ганта

Дорожная карта проектов по развитию ИБ оценка деятельности информационной безопасности

Дорожная карта реализации проектов по развитию ИБ: пример

Определение целевого состояния кибербезопасности

Процессная модель

Разработка целевой структуры процессов, документации и ключевых артефактов по ИБ с учетом контекста бизнеса компании и дорожной карты развития ИБ.

Результаты работ:
Состав и структура документации по ИБ, сформированные с учетом реальных условий работы компании. Это позволит понять, какие документы нужны, в каком порядке их разрабатывать и как они соотносятся между собой, не тратя ресурсы на избыточные артефакты.

Состав и структура документации по ИБ. обследование иб

Кадровый дизайн

Формируем организационную структуру и ресурсный план кибербезопасности с учетом планов по развитию, закрепленных в дорожной карте.

Результаты работ:
Кадровая модель, определяющая минимальное количество работников функции ИБ на основании расчета эквивалента полной занятости (FTE). Это позволит избежать как дефицита ресурсов при реализации дорожной карты, так и избыточных затрат на персонал.

критериев, влияющие на численность функции ИБ и уровень компетенций персонала

Пример ключевых критериев, влияющих на численность функции ИБ и уровень компетенций персонала

ресурсы ИБ с учетом эквивалента полной занятости FTE

Пример распределения ресурсов ИБ с учетом эквивалента полной занятости FTE

Узнать подробнее про кадровый дизайн

Ландшафт средств защиты информации (СЗИ)

Определение целевого состава СЗИ в разрезе каждого процесса ИБ с учетом мероприятий, определенных в дорожной карте развития ИБ.

Результаты работ:
Состав технических средств защиты, который учитывает текущий ИТ-ландшафт, приоритеты дорожной карты и применимые трендовые риски ИБ. Ландшафт СЗИ помогает компании планировать закупки: понимать какой инструмент влияет на снижение трендовых рисков ИБ и не тратить ресурсы, не соответствующие зрелости процессов.

Узнать подробнее про СЗИ

Остались вопросы?

Оставьте контакты и наши специалисты свяжутся с Вами, чтобы ответить на возникшие вопросы. Подберём оптимальное решение, подготовим план работ и рассчитаем стоимость.

Аккредитованы ФСТЭК и ФСБ России

Лицензия ФСБ №0013808

Лицензия ФСТЭК Л024-00107-00/00582823

Лицензия ФСБ №0011271

Лицензия ФСТЭК Л024-00107-00/00581563

Коротко о нас: факты об In4security

Более 15 лет помогаем компаниям защищать данные, ИТ-инфраструктуру и репутацию. Работаем по MSSP-модели: берём на себя аудит, внедрение средств защиты, мониторинг инцидентов и соответствие требованиям регуляторов без необходимости строить большой внутренний отдел информационной безопасности

350+ клиентов

из финансов, промышленности, телекома, госсектора, медицины и других отраслей

700+ проектов

по внедрению, аудиту, тестированию защищённости и сопровождению систем ИБ

250+ инженеров

специалистов по ИБ, инфраструктуре, комплаенсу и реагированию на инциденты

MSSP-модель

ИБ как сервис по подписке, без затрат на штат и оборудование 24/7

Сертификация In4security

Специалисты In4security имеют международные сертификаты CISM, CISA, CRISC и CISSP, а также квалификации по стандарту ISO 27001, что подтверждает наш профессиональный опыт в информационной безопасности, ИТ-аудите, управлении рисками и защите данных

Алексей Чуриков

Руководитель департамента кибербезопасности бизнеса

Руководитель отдела риск-менеджмента

Консультант отдела риск-менеджмента

экспертный опыт

С 2022 года

Страница эксперта

Наша команда

Нам доверяют

Оставить заявку на проект

Заполните форму, мы свяжемся с вами в ближайшее время, чтобы обсудить детали и согласовать условия

FAQ

С этой услугой заказывают

Сервисы на базе DLP (Data Loss Prevention)

Администрируем системы различных вендоров.
Оказываем услуги по внедрению и сопровождению вашей DLP-системы

Перейти к услуге

SOC (Security Operations Center): центр мониторинга и реагирования на инциденты ИБ

Единая точка контроля безопасности и оперативного управления киберрисками

Перейти к услуге

DRP: управление цифровыми рисками

Выявляем и блокируем цифровые угрозы из внешнего периметра до того, как они нанесут ущерб вашему бизнесу

Перейти к услуге

Статьи и полезные материалы

Виды аудита информационной безопасности: внешний, внутренний, экспертный, комплексный

Виды аудита ИБ: внешний, внутренний, экспертный, комплексный

«Аудит ИБ — это зеркало для процессов и технологий: он показывает не только, что не так, но и куда двигаться дальше. Сила аудита — в независимости, повторяемости и привязке к рискам бизнеса»

Риски информационной безопасности: что это, виды, примеры, классификация

Риск ИБ — это, по сути, язык диалога между безопасностью и бизнесом

Аудит ИБ: что это такое, цели, задачи, объекты, результаты и отчет

В стратегическом смысле аудит - это и инструмент развития. Он помогает обосновать инвестиции в ИБ, выстроить дорожную карту внедрения средств защиты, пересмотреть архитектуру и процессы, а также...

Как провести аудит ИБ: этапы, план и программа аудита в 2026 году

Хороший аудит ИБ - это не охота на ведьм, а навигация по рискам: он показывает, где компания находится сейчас, куда двигаться дальше и какие ориентиры помогают не сбиться с курса на этом пути.