Чем оценка рисков отличается от аудита ИБ?

Аудит проверяет соответствие применимым требованиям или лучшим практикам. Оценка рисков отвечает на более широкий вопрос: какие угрозы наиболее опасны именно для вашего бизнеса и каков будет ущерб от их реализации. Это управленческий инструмент, а не технический чеклист.

Какие методологии оценки рисков вы используете?

Работа строится на признанных международных фреймворках: ISO/IEC 27005, NIST SP 800-30, Open FAIR™, Mitre ATT&CK и других. В зависимости от задач применяется качественный, количественный или полуколичественный подход к расчёту рисков.

Как вы учитываете специфику нашей отрасли?

Отраслевой контекст — один из ключевых элементов методологии. На этапе интервью детально изучаются бизнес-процессы, стратегия и специфика компании, а при оценке агентов угроз и сценариев рисков используется российская и мировая статистика инцидентов в вашей отрасли.

Как долго длится оценка и что от нас потребуется?

Полный цикл занимает около 2–3 месяцев. Потребуется участие ключевых работников в интервью — представителей бизнеса, ИТ и ИБ, — а также предоставление документации.

Оценка рисков — это только для крупного бизнеса?

Оценка рисков актуальна для любого бизнеса, у которого есть данные, клиенты и процессы, которые нельзя потерять. Для небольших компаний она особенно важна: ресурсов меньше, а цена неправильного приоритета выше. Глубина и объём работ адаптируются под реальный масштаб и бюджет.

Какой результат мы получим на выходе?

Реестр рисков с количественной или качественной оценкой каждого, план обработки рисков с приоритизированными мероприятиями, дорожная карта развития ИБ на 2–3 года. Опционально — расчёт ROI от внедрения защитных мер для обоснования бюджета перед руководством.

Оценка зрелости и рисков информационной безопасности

«Бережливая безопасность» - рациональное использование ресурсов для защиты приоритетных бизнес-активов

Получить консультацию Заказать оценку

портфель из 320 проектов в информационной безопасности

Более 320 проектов
реализовано

Более 250 инженеров
в команде

15 лет на рынке информационной безопасности

Более 15 лет
на рынке ИБ

Оценка рисков как мост между ИБ и бизнесом

Одна из главных проблем корпоративной кибербезопасности — разрыв между теми, кто защищает, и теми, кто финансирует защиту. ИБ говорит на языке угроз, уязвимостей и технических мер. Бизнес говорит на языке денег, процессов и стратегических целей. Без общего контекста диалог не складывается: ИБ не может обосновать бюджет, а бизнес не понимает, за что платит.
Оценка рисков устраняет этот разрыв. Бизнес передаёт в контур оценки информацию о том, какие процессы для него действительно важны и критичны. ИБ, опираясь на эти данные, определяет, какая защита необходима и почему. На выходе формируется план инвестиций в ИБ, который бизнес способен понять, оценить и одобрить — потому что он напрямую связан с защитой того, что компании дорого.

Для чего нужна оценка рисков

Защищаем то, что действительно важно для бизнеса

Бюджет на кибербезопасность всегда ограничен, а угроз всегда больше, чем ресурсов для их устранения. Оценка рисков информационной безопасности дает ответ на главный вопрос: куда направить усилия, чтобы защита была не формальной, а реальной.
Расставить приоритеты в условиях ограниченного бюджета

Не всё можно защитить одновременно - и это нормально. Оценка рисков позволяет выявить наиболее уязвимые и критически важные активы и сосредоточить ресурсы там, где потенциальный ущерб наиболее высок.
Говорить с бизнесом на одном языке

Аргумент «нам нужны деньги на безопасность» редко убеждает руководство. Оценка рисков переводит технические угрозы в бизнес-термины: потенциальные потери, вероятность инцидента, стоимость последствий. Это превращает запрос на финансирование в обоснованное управленческое решение.
Понять реальную цену киберинцидента

Кибератака - это не только затраты на восстановление систем. Это простой бизнеса, репутационный ущерб, регуляторные санкции, потеря клиентов. Оценка рисков позволяет заранее увидеть полную картину возможных последствий — и принять взвешенное решение о том, во сколько обойдётся защита в сравнении с ценой бездействия

Наш арсенал в битве с рисками

Эффективное управление рисками кибербезопасности — это не один инструмент, а целая система взаимосвязанных элементов. Мы подходим к задаче комплексно, объединяя методологическую экспертизу и практический опыт.

Ключевые фреймворки
- ISO/IEC 27005
- ISO 31000
- Open FAIR™ Risk Analysis
- NIST SP 800-30
- Mitre ATT&CK
Подходы к идентификации рисков
- Top-down (от недопустимых для бизнеса событий)
- Bottom-up (от несоответствий на операционном уровне)
Подходы к расчету рисков
- Качественный (Высокий, Средний, Низкий)
- Количественный (100 р., 1000 р., 10 000 р.)
- Полуколичественный (качественные значения выражаются в количественных показателях)
Методики расчета рисков
- Экспертно
- На основе статистики
- На основе математического распределения
- На основе декомпозиции на факторы

Подробный перечень шагов по реализации аудита

Этапы проекта

(01)

Шаг 1

Устанавливаем контекст области оценки

Прежде чем искать риски, необходимо очертить границы: что именно оцениваем, в каком бизнес-контексте, какие цели и ограничения учитываем. Без чёткого контекста оценка теряет фокус и практическую ценность.

Для этого проводится серия интервью с ключевыми представителями бизнеса. В результате формируется четкая область оценки - с разбивкой по бизнес-процессам, подразделениям, площадкам и услугам, — которая становится фундаментом для всей последующей работы по анализу рисков информационной безопасности.

Узнать подробнее

Этапы оценки рисков интервью в сфере информационной безопасности

(02)

Шаг 2

Идентифицируем активы

Определяем, что именно нуждается в защите: информационные системы, данные, процессы, инфраструктура.
Все активы делятся на две категории. Основные - это то, ради чего организация функционирует: информация (данные, документы, базы знаний) и бизнес-процессы, реализующие ключевые функции компании.

Поддерживающие активы обеспечивают работу основных: информационные системы, на которых обрабатываются данные, и оборудование - серверы, рабочие станции, сетевая инфраструктура.
Составление полного перечня ключевых активов в обеих категориях позволяет убедиться, что ни один значимый объект защиты не останется вне поля оценки рисков.

Узнать подробнее

Перечень ключевых активов в информационной безопасности при оценке рисков

(03)

Шаг 3

Идентифицируем агентов угроз ИБ

Выявляем, кто или что может причинить вред: внешние злоумышленники, инсайдеры, технические сбои, человеческий фактор. Понимание источника угрозы - первый шаг к её нейтрализации.

Работа выстроена в три этапа. Сначала идентифицируются все возможные агенты угроз - хакеры, недобросовестные сотрудники, конкуренты и другие - на основе интервью, внутренней статистики инцидентов ИБ, а также российской и мировой отраслевой статистики. Затем каждый агент оценивается по трём параметрам: его потенциал (возможности и ресурсы), вероятность совершения враждебных действий и частота контакта с активами компании. На выходе агенты угроз ранжируются по степени критичности, что позволяет сосредоточить усилия на наиболее значимых источниках риска.

Узнать подробнее

оценка рисков и угроз в информационной безопасности

Реестр агентов угроз (нарушителей): пример

(04)

Шаг 4

Идентифицируем существующие контроли ИБ

Анализируем меры защиты, которые уже применяются. Это позволяет не переоценивать уязвимость там, где защита уже выстроена, и не тратить ресурсы на дублирование.

Анализ контрольной среды проводится по трём направлениям: изучение документации и артефактов ИБ, интервью с ответственными работниками и непосредственный анализ консолей ключевых средств защиты информации. Полученные данные оцениваются на соответствие международным и отраслевым стандартам. Итогом становится определение уровня зрелости киберзащиты компании: именно он показывает, насколько существующие контроли реально снижают вероятность и последствия реализации угроз.

Узнать подробнее

Анализ контрольной среды при оценке рисков и угроз в иб

(05)

Шаг 5

Идентифицируем сценарии рисков ИБ

На основе всех собранных данных - области оценки, недопустимых для бизнеса событий, реестра ключевых активов, актуальных агентов угроз и результатов обследования зрелости кибербезопасности - формируются наиболее критичные и релевантные сценарии реализации рисков ИБ.

Каждый сценарий описывается через четыре ключевых вопроса: что произошло, кто является инициатором, каков охват инцидента и каковы его последствия. При этом каждый сценарий рассматривается в разрезе триады КЦД - возможного нарушения конфиденциальности, целостности или доступности активов, — что обеспечивает полноту охвата и не позволяет упустить значимые векторы атак.

Узнать подробнее

(06)

Шаг 6

Оцениваем риски ИБ

Каждый сценарий получает количественную или качественную оценку: вероятность реализации и масштаб потенциального ущерба. На выходе - приоритизированный перечень рисков.

Итоговая оценка каждого риска складывается из двух составляющих. Вероятность реализации определяется через вероятность события угрозы (как часто агент вступает в контакт с активом и насколько он склонен к действию) и уязвимость актива (насколько сила контролей способна противостоять потенциалу агента).

приоритизированный перечень рисков кб в иб

(06)

Величина воздействия рассчитывается через бизнес-метрики, напрямую связанные со сценарием: количество затронутых клиентов и сделок, средняя прибыль, затраты на расследование инцидента, маркетинговые издержки на восстановление клиентской базы и иные релевантные показатели. Такой подход позволяет выразить последствия реализации риска в конкретных финансовых и репутационных терминах, понятных бизнесу, и обеспечить объективную приоритизацию рисков для последующей работы с ними.

Итоговая оценка каждого риска складывается из двух составляющих. Вероятность реализации определяется через вероятность события угрозы (как часто агент вступает в контакт с активом и насколько он склонен к действию) и уязвимость актива (насколько сила контролей способна противостоять потенциалу агента).

Узнать подробнее

Реестр рисков в информационной безопасности

Реестр рисков: пример

(07)

Шаг 7

Обрабатываем риски ИБ

Для каждого риска определяется стратегия: принять, снизить, передать или избежать. Формируется план обработки, назначаются ответственные, устанавливаются сроки.
План обработки рисков связывает конкретные мероприятия с соответствующими сценариями рисков, которые они закрывают. Каждое мероприятие оценивается по четырём критериям приоритизации: уровень влияния на риск, скорость внедрения, стоимость реализации и количество связанных рисков, на которые оно одновременно воздействует. Это позволяет в первую очередь реализовывать те меры, которые дают максимальный защитный эффект при разумных затратах.

Также опциональной задачей является расчет ROI от внедрения мер, что делает результаты оценки рисков весомым аргументом при защите бюджета на ИБ.

Узнать подробнее

(08)

Шаг 8

Обрабатываем риски ИБ

После завершения цикла - мониторинг: контроль реализации принятых решений, отслеживание изменений в ландшафте угроз и своевременный запуск нового витка оценки.

Для удобства мониторинга рисков мы предоставляем инструмент в формате .xlsm:

Узнать подробнее

Количество рисков и угроз информационной безопасности

Общий уровень рисков информационной безопасности

Количественные показатели способов обработки рисков иб

Получить консультацию Получить коммерческое предложение

Определение целевого состояния кибербезопасности

Формирование и визуализация дорожной карты развития КБ на горизонт 2-3 года

По результатам формирования плана обработки рисков формируется дорожная карта реализации проектов ИБ в виде диаграммы Ганта

Дорожная карта реализации проектов по развитию ИБ: пример

Кадровый дизайн

Формируем организационную структуру и ресурсный план кибербезопасности с учетом планов по развитию, закрепленных в дорожной карте.

Результаты работ:
Кадровая модель, определяющая минимальное количество работников функции ИБ на основании расчета эквивалента полной занятости (FTE). Это позволит избежать как дефицита ресурсов при реализации дорожной карты, так и избыточных затрат на персонал.