The level of impact on enterprise operations, assets, or individuals resulting from the operation of an information system given the potential impact of a threat and the likelihood of that threat occurring [NIST SP 800-65].
Риск безопасности SecurityRisk
На какой вопрос отвечает «Насколько опасна для предприятия работа конкретной информационной системы?»
Это оценка того, насколько сильно работа информационной системы может навредить бизнесу, активам или людям. Оценка складывается из двух факторов: потенциального ущерба от конкретной угрозы и вероятности её наступления.
Аналогия Как страховая компания оценивает риск: смотрит, насколько дорог автомобиль и насколько часто в этом районе происходят аварии.
Разобраться
Зачем это нужно
Нужно для определения уровня воздействия на операции и активы. Помогает понять, какие системы требуют более строгого контроля из-за высокого потенциального ущерба.
Применить
Когда это нужно, а когда нет
Когда нужно
- При анализе влияния ИТ-систем на бизнес-процессы
- При оценке последствий реализации угроз для активов
- При определении приоритетов защиты на основе вероятности и ущерба
Когда не нужно
- Когда нужно описать саму угрозу или её источник (брать «Риск» или «Угроза»)
- Когда речь идёт о технических параметрах системы без связи с бизнес-ущербом
- Когда оценивается только вероятность события без учёта масштаба последствий
Типичные ошибки
- 01Смешение понятия с общей категорией риска, игнорируя специфическую связь с работой информационной системы.
- 02Оценка только вероятности угрозы без учёта потенциального масштаба ущерба для активов.
- 03Применение к статичным активам, не участвующим в операционной деятельности предприятия.
Сверить с первоисточниками
Что говорят стандарты
Определения из источников с переводом и ссылкой на раздел. Категория показывает назначение каждого подхода.
С чем связано
Связи понятия и его место в структуре подхода.
UAF
Безопасность (Security)
- Обобщение — таксономическое отношение «частное → общее»Risk
Связанные понятия
Понятия, которые обычно смотрят рядом с этим.
14 дней бесплатно
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Попробовать бесплатно Без банковской карты
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей