Please enable JavaScript.

Coggle requires JavaScript to display documents.

МІЖНАРОДНИЙ СТАНДАРТ BS ISO/IEC 27005: 2011 Частина 3 - Coggle Diagram

- - - - Для обробки ризику є чотири варіанти
        
        • зниження ризику
        
        • збереження ризику
        
        • уникнення (запобігання) ризику
        
        • перенесення ризику
      - Діяльність обробки ризику
      - Варіанти обробки ризику повинні вибиратися на основі
        
        o результатів оцінки ризику,
        
        o очікуваної вартості реалізації цих варіантів
        
        o очікуваної вигоди від цих варіантів.
      - Чотири варіанти обробки ризиків не є взаємовиключними.
      - Деякі види обробки ризиків можуть бути ефективними для більш ніж одного ризику.
      - План обробки ризику повинен чітко визначати порядок пріоритетів, в якому повинна реалізовуватися обробка окремих ризиків.
      - Варіанти обробки ризику повинні враховувати:
        
        o найбільш відповідні шляхи комунікації з цими сторонами.
        
        o як ризик усвідомлюється зацікавленими сторонами;
      - Всі обмеження - організаційні, технічні, структурні та інші, які повинні бути визначені протягом діяльності, пов'язаної з встановленням контексту, слід брати до уваги протягом обробки ризику.
      - Вихідні дані: План обробки ризику і залишкові ризики – предмет обговорення для прийняття рішення керівництвом організації.
    - - o зменшення,
      - o збереження,
      - o уникнення
      - o перенесення ризиків
      - o визначення план обробки ризиків.
  - - - Повинні бути вибрані відповідні і обґрунтовані засоби контролю для того, щоб задовольняти вимогам, ідентифікованим за допомогою оцінки ризику і процесу обробки ризику.
      - Такий вибір повинен враховувати
        
        o критерії прийняття ризиків
        
        o правові, регулюючі та договірні вимоги.
      - В цілому, засоби контролю можуть забезпечувати один або декілька з наступних видів захисту:
        
        o виправлення,
        
        o виключення,
        
        o попередження,
        
        o зменшення впливу,
        
        o стримування,
        
        o виявлення,
        
        o відновлення,
        
        o моніторинг
        
        o інформованість.
      - При формуванні рекомендацій і в процесі реалізації повинні прийматися в розрахунок різні обмеження. Типовими обмеженнями є:
        
        • тимчасові обмеження;
        
        • фінансові обмеження;
        
        • технічні обмеження;
        
        • операційні обмеження;
        
        • культурні обмеження;
        
        • етичні обмеження;
        
        • обмеження, пов'язані з навколишнім середовищем;
        
        • юридичні обмеження;
        
        • простота використання;
        
        • кадрові обмеження;
        
        • обмеження, що стосуються інтеграції нових та існуючих засобів контролю
  - - - • припинення програми
      - • або відмови від запланованої
      - • або існуючої діяльності,
      - • або сукупності дій
      - • або зміни умов, при яких проводиться діяльність (дії).
  - - - Перенесення ризику включає в себе рішення розділити певні ризики з зовнішніми сторонами.
      - Перенесення ризику може створювати нові ризики або модифікувати існуючі ідентифіковані ризики.
- - - - • У планах обробки ризику повинно описуватися те, як оцінювати ризики, які слід обробляти для того, щоб відповідати критеріям прийняття ризиків.
      - • Важливо, щоб відповідальні менеджери переглядали і підтримували пропоновані плани обробки ризику і випливаючі з них залишкові ризики, а також реєстрували всі умови, пов'язані з підтримкою прийнятих рішень.
      - • У деяких випадках рівень залишкового ризику може не відповідати критеріям прийняття ризику, оскільки застосовувані критерії не враховують превалюючі обставини
- - - - • пов'язану з досягненням угоди про те,
      - • як здійснювати менеджмент ризиків
      - • шляхом обміну та/або спільного використання інформації
      - • про ризик між особами, які приймають рішення, та іншими причетними сторонами.
      - Така інформація включає в себе, але не обмежується
        
        • існуванням,
        
        • природою,
        
        • формою,
        
        • ймовірністю,
        
        • серйозністю,
        
        • обробкою
        
        • прийнятність ризиків
    - - • припущеннях,
      - • поняттях,
      - • потреби,
      - • проблеми
      - • занепокоєння причетних сторін, які пов'язані з ризиком або обговорюваними проблемами.
    - - • забезпечення довіри до результатів менеджменту ризику організації;
      - • збору інформації про ризик;
      - • спільного використання результатів оцінки ризику та подання плану обробки ризику;
      - • запобігання або зниження виникнення і наслідків порушень інформаційної безпеки через відсутність взаєморозуміння між особами, які приймають рішення, та причетними сторонами;
      - • підтримки прийняття рішень;
      - • отримання нових знань про інформаційну безпеку;
      - • координації з іншими сторонами і планування реагування для зменшення наслідків будь-якого інциденту;
      - • вироблення почуття відповідальності по відношенню до ризиків у осіб, які приймають рішення, та причетних сторін;
      - • підвищення обізнаності
- - - - Постійний моніторинг і перегляд необхідні для забезпечення впевненості в тому, що контекст, результат оцінки ризику і обробки ризику, а також плани менеджменту залишаються доречними і відповідають обставинам.
      - Організація повинна регулярно перевіряти, що критерії, використовувані для вимірювання ризику і його елементів, як і раніше залишаються дійсними і узгоджуються з бізнес-цілями, стратегіями і політиками, і що зміни бізнес-контексту беруться до уваги на адекватному рівні під час процесу ризик-менеджменту інформаційної безпеки.
      - Ця діяльність по моніторингу та перегляду повинна приділяти увагу наступним:
        
        • правовому контексту і контексту навколишнього середовища;
        
        • контексту конкуренції;
        
        • підходу до оцінки ризику;
        
        • цінності і категоріям активів;
        
        • критеріям впливу;
        
        • критеріям оцінювання ризику;
        
        • критеріям прийняття ризику;
        
        • повної вартості експлуатації активів;
        
        • необхідних ресурсів.
      - Моніторинг менеджменту ризику може мати результатом модифікацію або доповнення підходу, методології або інструментальних засобів, що використовуються в залежності від наступного:
        
        • ідентифікованих змін;
        
        • ітерації оцінки ризику;
        
        • цілі процесу ризик-менеджменту інформаційної безпеки
        
        • об'єкта процесу ризик-менеджменту інформаційної безпеки
  - - - Організації повинні забезпечувати, щоб проводився безперервний моніторинг наступних факторів:
        
        • нові активи, які були включені в область дії менеджменту ризику;
        
        • необхідна модифікація цінності активів, наприклад, внаслідок зміни бізнес-вимог;
        
        • нових загроз, які можуть бути активними поза і всередині організації, і які ще не оцінювалися;
        
        • ймовірності того, що нові або збільшені уразливості можуть дозволити загрозам використовувати ці нові або змінені уразливості;
        
        • ідентифіковані уразливості для визначення тих вразливостей, які стають схильними до нових або повторно виникаючих загроз;
        
        • підвищений вплив наслідків оцінених загроз, вразливостей і ризиків, об'єднання яких має результатом неприйнятний рівень ризику;
        
        • інциденти інформаційної безпеки
      - .
        
        • Нові загрози, вразливості або зміни ймовірності або наслідків можуть збільшувати ризики, які раніше були оцінені як низькі.
        
        • Процес перегляду низьких і прийнятих ризиків повинен розглядати кожен ризик окремо, а також всі ці ризики як сукупне ціле, щоб оцінювати їх потенційний сумарний вплив.
        
        • Головні зміни, що впливають на організацію, повинні служити підставою для більш специфічного перегляду.
        
        • Організація повинна переглядати всі ризики регулярно, а також, коли мають місце значні ризики.