Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27005 «Інформаційна технологія - Методи і засоби забезпечення…

- - - - Ідентифікація існуючих засобів контролю
        
        Ідентифікація існуючих засобів контролю повинна бути зроблена, щоб уникнути непотрібної роботи або витрат, наприклад, при дублюванні засобів контролю.
      - Ідентифікація уразливості
        
        Необхідно ідентифікувати уразливості, які можуть бути використані загрозами, щоб завдати шкоди активам або організації
      - Ідентифікація загроз
        
        Інформація про погрози, отримана в результаті аналізу інциденту, від власників активів, користувачів, а також з інших джерел, включаючи реєстри зовнішніх загроз.
      - Ідентифікація наслідків
        
        Повинні бути ідентифіковані наслідки для активів, які можуть бути результатом втрати конфіденційності, цілісності та доступності. Наслідком може бути втрата ефективності, несприятливі операційні умови, втрата бізнесу, збиток, нанесений репутації і т.д.
      - Ідентифікація активів
        
        Активом є щось, що має цінність для організації і, отже, що потребує захисту. При ідентифікації активів слід мати на увазі, що інформаційна система складається не тільки з апаратних і програмних засобів.
        Ідентифікацію активів слід здійснювати на відповідному рівні деталізації, що забезпечує достатню інформацію для оцінки ризику. Рівень деталізації, який використовується при ідентифікації активів, впливає на загальний обсяг інформації, зібраної під час оцінки ризику. Цей рівень може бути більш деталізований при подальших ітераціях оцінки ризику.
      - Введення в ідентифікацію ризиків
        
        Метою ідентифікації ризику є визначення того, що могло б статися, якщо нанести потенційну шкоду, для того щоб отримати уявлення про те, як, де і чому могла мати місце ця шкода. Етапи, описані нижче, повинні збирати вхідні дані для діяльності по кількісній оцінці ризику.
    - - Оцінка наслідків
        
        Вплив бізнесу на організацію, яка може бути результатом можливих або фактичних інцидентів ІБ, має бути оцінений з урахуванням наслідків порушення інформаційної безпеки, таких як втрата конфіденційності, цілісності або доступності активів
      - Оцінка ймовірності інциденту
        
        Перелік ідентифікованих доречних сценаріїв інцидентів, включаючи ідентифікацію загроз, активи, які зачіпаються, використовувані уразливості і наслідки для активів і бізнес-процесів. Крім того, список всіх існуючих і планованих засобів контролю, їх ефективності і стану реалізації та використання.
      - Методологія вимірювання ризику
        
        Методологія вимірювання може бути якісною або кількісною, або їх комбінацією, в залежності від обставин. На практиці якісна оцінка часто використовується першою для отримання загальних відомостей про рівень ризику і виявлення основних значень ризиків.
      - Вимірювання рівня ризику
        
        При вимірюванні ризику присвоюються значення ймовірності і наслідків ризику. Ці значення можуть бути якісними або кількісними. Вимірювання ризику ґрунтується на оцінених наслідки і ймовірності. Крім того, воно може також враховувати вартісні переваги, проблеми причетних сторін та інші змінні, що використовуються при оцінюванні ризику. Виміряний ризик є комбінацією ймовірності небажаного сценарію і його наслідків.