Методы автоматизации управления рисками

МЕТОДЫ АВТОМАТИЗАЦИИ УПРАВЛЕНИЯ РИСКАМИ
Алексей Бугров – заместитель генерального директора ЗАО
«Лета»

Мария Акатьева – директор департамента продуктов и услуг /
руководитель направления
систем менеджмента ИБ и НБ ЗАО «Лета»

+7 (495) 921 1410 / www.leta.ru

СОДЕРЖАНИЕ

• Общая информация

• Методы автоматизация процесса
управления рисками ИБ

• Метод автоматизация оценки рисков ИБ –
разработка ЗАО «Лета»

• Услуга по управлению рисками ИБ

• Выводы

УПРАВЛЕНИЕ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ +7 (495) 921 1410 / www.leta.ru 2

ЗАДАЧИ ИБ
• Защитить информацию, которая критична
для бизнеса и может быть использована в
конкурентной борьбе;

• Достичь соответствия обязательным
требованиям в части ИБ

• Управлять рисками, которые существенны
для компании

• Управлять инцидентами ИБ

• Оценить эффективность работы средств и
процессов ИБ


ОБЯЗАННОСТИ, ВОЗЛАГАЕМЫЕ НА
ПОДРАЗДЕЛЕНИЕ ИБ

Руководители ИБ уже не Менеджеры информационных
просто специалисты рисков
техническим решениям ИБ

возлагается роль


ЧТО МЫ ЗНАЕМ О РИСКЕ?
Требования  Инвентаризация активов
 ISO 27001  Определение ценности
 SOX активов
 Basel II  Идентификация угроз и
уязвимостей
 Письмо ЦБ РФ N 76-Т
 Определение вероятностей
 СТО БР ИББС-1.0-2006
 Оценка ущерба
 PCI DSS и т.д.
 Оценка риска

Анализ рисков
Стандарты и методики
 ISO 27003
 CRAMM Принятие решений
Мониторинг
 OCTAVE рисков
по обработке
рисков
 NIST 800-30
 Microsoft. The Security Risk
Management Guide Обработка рисков


ОСНОВНЫЕ ПРОБЛЕМЫ ПРИ АНАЛИЗЕ
РИСКОВ

• Неправильно выбрана область, глубина
и момент времени для оценки!

• Оцениваются риски для информации, а
не риски для бизнеса!

• Мы говорим с руководством на
непонятном языке!


ОСНОВНЫЕ БЛОКИ АНАЛИЗА РИСКОВ ИБ


Управление Оценка риска
риском ИБ ИБ
(процедура) (методика)


МЕТОДЫ АВТОМАТИЗАЦИИ УПРАВЛЕНИЯ
РИСКОМ ИБ

Altiris CMDB
инвентаризация активов

Altiris SMP
портальное решение

Symantec Workflow
организация
взаимодействия


ВЗАИМОДЕЙСТВИЕ ПО УПРАВЛЕНИЮ
РИСКАМИ


ВЗАИМОДЕЙСТВИЕ ПО УПРАВЛЕНИЮ
РИСКАМИ
Неактуал Problem_creator
ьна
Вторичные Редактирован
П
ктивы из системы ие проблемы
CMDB

Отклонена П

На Неактуал
Регистрация ен
А повторное
проблемы П
согласован Р
ие Risk_creator
Неактуал
Problem_creator М
ьна
Редактирован
ие риска
Согласование НЕТ М Внедрена
П
проблемы

Зарегистриров Приводит к
На М Внедряется
ана Problem_reviewer П новому
повторное
риску? Р
согласован
Подтверждена ДА ие М К внедрению

Регистрация Отклонен Р
М Предложена
риска А
Risk_creator

Risk_creator Первичные К обработке Регистрация и
активы из редактирован
Р
системы ие мер
CMDB Согласование контроля
Р
A Активы риска Control_creator
Зарегистрирован
Принятие
Risk_reviewer решения по
П Проблемы (уязвимости) обработке
риска

Р Риски Risk_approver

Р
М Меры обработки рисков Конец жизненного цикла объекта
Принят


ВОЗМОЖНОСТИ РЕШЕНИЙ ПО УПРАВЛЕНИЮ
РИСКАМИ ИБ
• Формализуют порядок выявления,
поступления на обработку и согласование
риска

• Позволяют интегрировать процесс
управления риском в каждодневную
деятельность Организации

• Четко распределить ответственность при
согласовании и принятии решений по
обработке риска


ВОЗМОЖНОСТИ РЕШЕНИЙ ПО УПРАВЛЕНИЮ
РИСКАМИ ИБ
• Позволяют держать на контроле исполнение
сроков и качества по обработке риска –
контроль эффективности

• Позволяют предоставлять понятную
руководству отчетность по управлению
риском

• Однако не предусматривают методику по
оценке риска …


ОСНОВНЫЕ МОМЕНТЫ АНАЛИЗА РИСКОВ


Управление Оценка риска
риском ИБ ИБ
(процедура) (методика)


ОЦЕНКА РИСКОВ ИБ

Аsset Inventory
Module

Risk Assessment
Module

Reports


МЕТОДИКА АНАЛИЗА РИСКОВ.
ИНСТРУМЕНТАРИЙ
• Соответствует требованиям ISO 27001

• При разработке решения были использованы лучшие
мировые практики в области анализа рисков ИБ ISO
27002, ISO 27005, COBIT, NIST и т.д.

• Решение было одобрено международным органом по
сертификации BSI, успешно опробовано и применено
в СУИБ ЗАО «Лета»

http://www.leta.ru/press-center/news/2011/06/16/id_635.html


МЕТОДИКА АНАЛИЗА РИСКОВ.
ИНСТРУМЕНТАРИЙ

Аsset Inventory Risk Assessment
Module Module

Reports


УПРАВЛЕНИЕ АКТИВАМИ - АSSET INVENTORY
MODULE


УПРАВЛЕНИЕ РИСКАМИ - RISK ASSESSMENT
MODULE


ОСОБЕННОСТИ РЕШЕНИЯ
• Проведение оценки ущерба по различным
критериям
• Присвоение информации категории на основании
полученных оценок


• Глубоко проработанная модель нарушителя ИБ


• Гибкая система справочников угроз и уязвимостей


• Определение первичного актива (информации) с
привязкой к конкретным ресурсам Компании


• Описание бизнес-процессов Компании


• Оценка рисков в случае нарушения трех свойств
информации


• Ведение базы контрмер с оценкой степени внедрения
контрмер и степени влияния на риск ИБ


• Проработанный набор угроз и уязвимостей на базе
каталогов угроз и уязвимостей BSI с привязкой к классу
контрмер


• Возможность оценивать риски для группы
активов


• Формирование подробного описания профиля
риска


• На основе полученной информации возможность
стоить до 15 различных отчетов в зависимости от
нужд Заказчика


• Возможность демонстрации руководству стоимостную
оценку риска, контрмеры и остаточного риска ИБ –
обоснование бюджетирования в области ИБ



• Возможность следить за состоянием риска ИБ во
времени и строить аналитику для руководства


• Сильный математический аппарат методики заложен
в систему, расчет проводится автоматически


СОСТАВ УСЛУГИ ПО УПРАВЛЕНИЮ
РИСКАМИ ИБ


ГИБКАЯ СХЕМА КОММУНИКАЦИИ.
ВОЗМОЖНОСТИ ПО АУТСОРСИНГУ
Заказчик Исполнитель


ПРОЦЕСС УПРАВЛЕНИЯ РИСКАМИ ИБ

Очень трудоемкие этапы


ДОКУМЕНТИРОВАННЫЕ РЕЗУЛЬТАТЫ

• Процедура управления рисками
• Методики оценки ценности
активов и оцени рисков ИБ
• Отчет по инвентаризации
активов с оценкой их ценности
и определения категории
конфиденциальности для
информации
• Отчет по результатам оценки
рисков ИБ
• План обработки рисков ИБ


ЭТАПЫ ВЫПОЛНЕНИЯ РАБОТ

• Выбор области проведения работ
• Обследование
• Согласование методики оценки рисков, шкал
• Инвентаризация и категорирование активов
• Проведение анализа мер по ИБ Заказчика
• Проведение анализа рисков ИБ
• Проведение оценки рисков ИБ
• Подготовка отчетной документации
• Презентация по результатам работ
• Определение порядка взаимодействия в случае переоценки
рисков по изменениям в инфраструктуре


ВЫВОДЫ
• Формирование бюджета в области ИБ должно
проводится на базе оценки рисков ИБ для
бизнеса!
• Управление рисками – это процесс + методика
оценки рисков ИБ. Автоматизировать можно
обе части !!
• При выборе способа по управлению рисками ИБ
нужно:
• оценить масштаб и структуру Организации
• оценить насколько возможно и удобно использовать его в
каждодневной работе
• оценить трудоемкость процесса на небольшой области
внедрения перед тем, как масштабировать на всю Организацию


ВЫВОДЫ

• Методика оценки рисков должна быть основана
на стандартах и международных практиках,
чтобы быть принятой руководством
Организации!

• При проведении анализа рисков следует
рассмотреть, какие его части возможно
передать на аутсорсинг для снятия с
подразделения ИБ дополнительной нагрузки!


КОНТАКТНАЯ ИНФОРМАЦИЯ

СПАСИБО ЗА ВНИМАНИЕ!

LETA IT-company
109129, Россия, Москва, ул. 8-я Текстильщиков, д.11, стр. 2
Тел./факс: +7 (495) 921-1410
Единая служба сервисной поддержки: + 7 (495) 921-1410
www.leta.ru


Методы автоматизации управления рисками

Recommandé

Recommandé

Contenu connexe

Plus de LETA IT-company

Plus de LETA IT-company (20)

Методы автоматизации управления рисками