Please enable JavaScript.

Coggle requires JavaScript to display documents.

УПРАВЛІННЯ РИЗИКАМИ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ. ISO/IEC 27005 - Coggle Diagram

- - - - область діяльності і межі (scope and boundaries);
      - організація процесу управління ризиками (детальна структура для запуску процесу, включаючи ресурси).
      - основні критерії;
    - - Підготовка Плану безперервності бізнесу (business continuity plan).
      - Підготовка Плану реакції на інциденти (incident response plan)
      - Відповідність законодавчим/Юридичним нормам і підтвердження due diligence (належної старанності).
      - Опис вимог безпеки для продуктів, сервісів чи механізму.
      - Підтримка СУІБ.
  - - - Існує кілька методологій Risk Estimation , які можна охарактеризувати як якісні, кількісні і комбіновані. Що використовувати - природно не регламентується і не висловлюються уподобання/рекомендації.На практиці часто спочатку роблять якісний високорівневий аналіз , а потім для критичних напрямків - кількісний.При оцінки активів - важливо цінність не тільки «відновлення», а й цінність його для Бізнесу компанії (її місії). Ще наприклад, імідж, репутація Тільки власники Активів і процесів можуть це адекватно оцінити – ні IT- шники.
        
        Їх можна розділити на наступні 2 незалежні категорії:
        
        Перша - Організаційні, Технічні, Менеджерські і Комбінації з них.
        
        Друга - Підтримуючі, Запобіжні, Детектуючі і Відновлюючі.
    - - Вхід процесу - Список ризиків, з присвоєними величинами на попередньому кроці.
      - Вихід процесу - Список ризиків з пріоритетами у відповідності з заданими критеріями оцінки (у разі сценаріїв інциденту, які ведуть до тих ризиків).
    - - Активи (і їх Owner - и - їх визначення дуже важливо - тому що від них буде завісити рішення за ризиками).
      - Загрози (та їх джерела - природні та штучні).
      - Уразливості.
      - Вплив (в термінах System Mission [BIA], System&Data Critically, System&Data Sensitivity - тріада).
      - Контролі (існуючі і плановані)
  - - - зменшити (що зазвичай і робиться - за гроші Компанії);
      - надіслати комусь іншому (страхування/outsourcing);
      - уникнути зовсім (ліквідувати першопричину);
      - прийняти (неможливо досягти тотальної безпеки).