Выстраивание системы управления рисками информационной безопасности
Срок: 1–2 месяца
Стоимость: от 800 000 ₽
реализовано
в команде
на рынке ИБ
Этапы управления рисками иб
1. Обследование текущей процедуры управления рисками
Результат:
- Иерархия и зависимости процессов управления рисками ИБ в Компании
2. Проектирование этапов, определение ролей, полномочий
Результат:
- Ролевая модель процесса
- Этапы процесса
3. Выстраивание системы управления, включая жизненный цикл риска КБ
Результат:
- Политика управления рисками КБ
- Регламент управления рисками КБ
- Методика определения уровня риска КБ
5. Обучение оценке рисков КБ
Результат:
- Обучающие материалы (памятки, схемы, шаблоны, каталоги)
- Проведение обучающих встреч
1. Обследование текущей процедуры управления рисками
2. Проектирование этапов, определение ролей, полномочий
Базовая матрица ролей по управлению рисками кибербезопасности
3. Выстраивание системы управления, включая жизненный цикл риска КБ
Фрагмент схемы процесса (пример)
Результатом этапа являются документы по управлению рисками информационной безопасности:
Политика
Нормативный документ, определяющий требования к управлению рисками ИБ
- отражает принцип риск-ориентированного подхода
- содержит требования к управлению рисками КБ (идентификация, оценка, обработка, информирование, реализация плана обработки рисков, мониторинг)
Регламент
Нормативный документ, описывающий процесс управления рисками ИБ
- участники, их функции, полномочия
- установление контекста управления рисками (определение области оценки рисков, используемых методик и критериев)
- описание этапов управления рисками (идентификация, оценка, обработка, информирование, реализация плана обработки рисков, мониторинг)
- отчетные формы
Методика
Нормативный документ, описывающий алгоритм расчета риска ИБ
4. Оценка рисков КБ
Результатом этапа является реестр рисков ИБ, план обработки рисков и инструмент расчета рисков.
5. Обучение оценке рисков КБ
Участники не понимают, как выявлять риски и какую роль они играют?
Обучаем, вовлекаем и превращаем управление рисками ИБ в повседневную практику.
Определяем целевые группы обучения
Не все участники процесса взаимодействуют с рисками одинаково - а значит, и обучение не может быть универсальным.
На этом этапе определяется, кто и в какой роли вовлечён в управление рисками: топ-менеджмент, владельцы бизнес-процессов, функции ИТ и ИБ и другие.
Для каждой группы формируется своя программа — с учётом уровня погружения и зоны ответственности.
Формируем обучающие материалы
Разрабатываются содержательные, практически ориентированные материалы: презентации, инструкции, справочники, шаблоны.
Всё создаётся под специфику компании — без лишней теории и с акцентом на то, что участникам действительно нужно знать для работы.
Проводим обучающие встречи
Материалы передаются через живое взаимодействие: обучающие сессии с каждой целевой группой, разбор практических кейсов, ответы на вопросы.
Цель — не поставить галочку, а добиться реального понимания.
Каталоги для оценки (пример)
Описание последствий в части ИБ
Тип последствий в части ИБ
Сценарий реализации
Негативные для бизнеса события с т.з. ИБ
Запустим процесс управления рисками безопасности информационных систем организаций, который компания сможет вести самостоятельно
Типы нарушителей и соответствующие сценарии угроз
Пример каталога нарушителей
Хакерская группировка
Преступные группа, совершающая кибератаки по заказу конкурентов или других государств.
Когда выбрать:
Угроза проникновения внешнего нарушителя в ИТ-инфраструктуру Компании и реализации масштабной атаки:
- массовой утечки чувствительной информации;
- модификации (подмены) значительного объема информации.
Работник (рядовой)
Штатный работник компании без привилегированных прав доступа, но с доступом к чувствительной коммерческой информации.
Когда выбрать:
Угроза несанкционированных действий / непреднамеренных ошибок работника с непривилегированными правами доступа, однако являющегося специалистом бизнес-направления (например, менеджер по работе с клиентами).
Администратор ИР/СЗИ
Штатный работник компании с привилегированными правами доступа к информационным ресурсам и / или СЗИ.
Когда выбрать:
Угроза несанкционированных действий / непреднамеренных ошибок работника с привилегированными правами доступа.
Проблемы управления рисками информационной безопасности
Кейс №1
Для эффективной работы необходимо выстроить «3 линии защиты».
Кейс №2
Распределение ответственности можно сопоставить с уровнем риска. Передача полномочий должна быть формализована в Компании через официальные документы и процессы.
Кейс №3
Чтобы управление рисками не превращалось в формальность, важно задать правильную точку отсчёта.
- Невозможность устранения уязвимости
- Внедрение изменений без тестирования
- Отсутствие АВЗ на части устройств
- Появление нового сервиса
- Привлечение третих сторон
- Изменение состава активов
- Изменение требований применимых стандартов ИБ
- Изменения в применимом законодательстве
Методика расчета риска
Читать далее
Оценка ущерба
Оценка вероятности
Выгода от услуги
Системность вместо реактивности
Оценка рисков КБ перестаёт быть ситуативным ответом на возникающие угрозы, становится неотъемлемой частью корпоративной деятельности. Процесс работает непрерывно - независимо от того, случился инцидент или нет.
Методология, адаптированная под компанию
Вместо универсальных шаблонов, которые плохо ложатся на реальную специфику бизнеса, выстраивается собственный подход к оценке — с учётом отраслевого контекста, структуры активов и реального профиля угроз.
Руководство принимает решения на основе данных
Топ-менеджмент на регулярной основе получает актуальную, структурированную информацию о рисках — достаточную для того, чтобы принимать взвешенные управленческие решения: где усилить защиту, где принять риск, а где скорректировать стратегию управления риском информационной безопасности. Кибербезопасность перестаёт быть «чёрным ящиком», и становится понятным инструментом управления.
Разработаем методику оценки рисков под вашу компанию
FAQ
Сертификаты Infosecurity
Нам доверяют
Команда
МГТУ им. Н.Э. Баумана
Компетенции
- Построение систем менеджмента ИБ
- Проведение оценки рисков ИБ
- Разработка документации по ИБ
- Проведение аудитов по ИБ
- Проведение оценки зрелости процессов ИБ
- Разработка контента для обучающих курсов по ИБ
Курсы и сертификаты
- Certified Information Systems Auditor (CISA)
- Certified in Risk and Information Systems Control (CRISC)
- ISO/IEC 27001 Lead Auditor
Релевантный опыт реализации
- Внедрение и сопровождение систем менеджмента ИБ, разработка документации по ИБ, проведение аудитов по ИБ;
- Выстраивание процесса управления рисками и проведение оценки рисков ИБ в организациях из различных отраслей – финансовый сектор, ритейл, операторы связи;
- Проведение оценки зрелости процессов ИБ для организаций финансового сектора;
- Разработка контента для профильноориентированных курсов повышения осведомленности работников в области ИБ для промышленной организации.
Опыт в сфере ИБ
Специалист по ИБ – 6 лет
Ведущий консультант – 3 года
ФГБОУ ВПО «Рязанский государственный радиотехнический университет»
Компетенции
- Построение систем менеджмента ИБ
- Построение систем управления рисками ИБ, оценка рисков ИБ
- Аудит и формализация процессов ИБ
- Разработка корпоративных стандартов по ИБ для группы компаний
- Построение систем менеджмента непрерывности бизнеса
Курсы и сертификаты
- ISO/IEC 27001 LeadImplementer
- ISO/IEC 27001 LeadAuditor
Релевантный опыт реализации
- Внедрение систем менеджмента ИБ более чем в 20 компаниях различных отраслей – ядерная энергетика, государственный сектор, авиаотрасль, облачные провайдеры, разработчики ПО.
- Выстраивание систем управления рисками ИБ, оценка рисков ИБ – операторы связи, ядерная энергетика, государственный сектор, крупнейшие ИТ-компании, авиаотрасль, облачные провайдеры, разработчики ПО.
- Аудит и формализация процессов ИБ более чем в 30 компаниях различных отраслей - ядерная энергетика, государственный сектор, крупнейшие ИТ-компании, авиаотрасль, облачные провайдеры, разработчики ПО.
- Проведение BIA, разработка планов непрерывности деятельности для компаний из различных отраслей – ретейл, автомобилестроение, аутсорсинговые компании.
- Методологическое сопровождение внедрения GRC-систем.
Опыт в сфере ИБ
Инженер внедрения - 4 года
Ведущий консультант / Архитектор – 8 лет
ФГБОУ ВО «МГТУ им. Г. И. Носова»
Компетенции
- Оценка рисков ИБ
- Оценка зрелости ИБ
- Формализация процессов ИТ\ИБ
Релевантный опыт реализации
- Участие в организации и проведении встреч в рамках аудита ИБ заказчика.
- Проведение качественной и количественной оценки рисков ИБ.
- Разработка практических рекомендаций по внедрению технических контролей и организационных мер.
- Проведение сравнительного анализа текущих процессов ИБ заказчика с лучшими отраслевыми практиками и требованиями стандартов. Подготовка стратегических рекомендаций по повышению уровня зрелости ИБ.
- Разработка внутренних организационно-распорядительных документов в области обеспечения ИБ.
Опыт в сфере ИБ
Специалист по ИБ – 4 года
Бесплатная консультация
У Вас остались вопросы?
Оставьте заявку и мы свяжемся с вами в ближайшее время.