Когда нужен Каталог рисков

При проектировании архитектуры предприятия При оценке уязвимостей и рисков При планировании мер по снижению рисков

Когда Каталог рисков не нужен

Для описания конкретных программных модулей Для учёта физических объектов инфраструктуры Для фиксации требований к работе системы

Типичные ошибки: Каталог рисков

Смешивание каталога рисков с каталогом мер защиты, хотя это разные сущности. Игнорирование того, что риски рассматриваются как отдельная точка зрения, а не просто список ошибок. Попытка описать в этом каталоге технические детали реализации, а не источники рисков.

Каталог рисков Risk Register

На какой вопрос отвечает «Какие риски существуют для предприятия и как с ними бороться?»

Реестр проблем, связанных с рисками предприятия. Описывает источники рисков и механизмы их устранения или смягчения. Включает аспекты безопасности, надёжности, секретности и адаптации.

Аналогия Это как список всех возможных поломок в доме с записью, как каждую из них чинить или предотвращать.

Разобраться

Зачем это нужно

Нужно, чтобы архитекторы видели полную картину рисков и выбирали механизмы защиты. Это основа для решений по безопасности и надёжности систем.

Применить

Когда это нужно, а когда нет

Когда нужно

При проектировании архитектуры предприятия
При оценке уязвимостей и рисков
При планировании мер по снижению рисков

Когда не нужно

Для описания конкретных программных модулей
Для учёта физических объектов инфраструктуры
Для фиксации требований к работе системы

Типичные ошибки

01Смешивание каталога рисков с каталогом мер защиты, хотя это разные сущности.
02Игнорирование того, что риски рассматриваются как отдельная точка зрения, а не просто список ошибок.
03Попытка описать в этом каталоге технические детали реализации, а не источники рисков.

Сверить с первоисточниками

Что говорят стандарты

Определения из источников с переводом и ссылкой на раздел. Категория показывает назначение каждого подхода.

каталог рисков.

Раздел стандарта

Проблемы, касающиеся рисков предприятия, позволяют архитектору формировать точки зрения, связанные с рисками. Соответствующие представления описывают и отображают источники рисков для предприятия и средства и механизмы устранения риска или смягчения его воздействия. Отображение риска, возникающее из проекции контента модели, разработанной по типу одной или нескольких моделей, установленных соответствующей точкой зрения, обращается к проблемам, связанным с рисками, включая охрану, секретность, безопасность, надежность и адаптацию. В то время как риск идентифицирован как отдельная точка зрения, проблемы на базе рисков остро ощущаются на предприятиях…

Перевод Перспектива заинтересованной стороны и порождаемая ею точка зрения. Стандарт называет восемь точек зрения и для четырёх из них прямо отсылает к ИСО 19440.

ГОСТ Р ИСО 15704-2022 (ISO 15704:2019, IDT)