Оценка рисков позволяет определить, что может пойти не так, насколько это вероятно и во сколько это обойдется. Она составляет приоритетный список рисков, чтобы ресурсы направлялись туда, где они наиболее важны. Без нее расходы на безопасность — это гадание на кофейной гуще. С ней же решения обретают логику. Больница может поставить утечку данных пациентов на первое место по степени риска. Производитель может поставить простой производства выше по этому показателю. Рейтинг зависит от конкретного бизнеса, а не от общего контрольного списка.

Процесс начинается с идентификации активов. Что вы защищаете? Данные клиентов, интеллектуальную собственность, финансовые системы, физическую инфраструктуру. Затем моделирование угроз. Кто может атаковать эти активы и как? Затем анализ уязвимостей. Какие существуют слабые места? Наконец, оценка воздействия и вероятности. Качественная оценка использует такие обозначения, как высокий, средний и низкий. Количественная оценка присваивает денежные значения и вероятности. Большинство организаций используют смешанный подход. Качественная оценка быстрее и достаточно эффективна для определения приоритетов. Количественная оценка более обоснована при утверждении бюджета. Оценка не является разовым событием. Бизнес меняется. Появляются новые системы. Старые риски исчезают. Оценка рисков двухлетней давности — это исторический документ.

Этапы оценки рисков

• Определите активы и их стоимость.
• Выявление угроз и субъектов угроз.
• Выявление уязвимостей
• Оцените вероятность и последствия.
• Расставьте приоритеты и задокументируйте.
• Регулярно пересматривайте и обновляйте.

Оценка рисков, на основе которой никто ничего не предпринимает, — это чисто теоретическое упражнение. Ценность заключается в решениях, которые она позволяет принимать.