4.Этапы анализа и оценки рисков.

Процесс анализа рисков делится на несколько этапов:

1. идентификация информационных ресурсов;

2. выбор критериев оценки и определение потенциального негативного воздействия на ресурсы и приложения;

3. оценка угроз;

4. оценка уязвимостей;

5. оценка рисков;

6. оценка эффективности существующих и предполагаемых средств обеспечения информационной безопасности.

Оценка риска зависит от ряда факторов:

1. ценности ресурсов;

2. вероятности реализации угроз;

3. простоты использования уязвимости для реализации угроз;

4. существующих или планируемых к внедрению средств обеспечения ИБ, которые уменьшают число уязвимостей, вероятность возникновения угроз и возможность негативных воздействий.

Мой ответ(из слайдов):

Процесс анализа рисков можно разделить на несколько последовательных этапов:

• Идентификация ключевых ресурсов;

• Определение важности тех или иных ресурсов;

• Идентификация существующих угроз безопасности и уязвимостей, делающих возможным осуществление угроз;

• Вычисление рисков, связанных с осуществлением угроз безопасности.

5. Управление рисками. Цели управления рисками. Что включает в себя управление рисками.

Управления риском - процесс принятия и выполнения управленческих решений, направленных на снижение вероятности возникновения неблагоприятного результата и минимизацию возможных потерь, вызванных его реализацией. 

Цель: повышение защиты от реализации рисков.

Методы управления риском:

•  избежание риска- происходит в том случае, если осуществление деятельности ведет к нарушению принципов исследования рисков.

•  снижение риска - сутью является уменьшение вероятности наступления риска и уменьшение объемов возможных потерь.

•  принятие риска на себя - означает оставление всего (или части) риска за компанией и покрытие возможных потерь собственными средствами. 

•  передача части или всего риска третьим лицам применяются в том случае, если риски весьма вероятны и размер ущерба невелик либо если вероятность наступления ущерба низка, однако его размер значителен. В этом случае производится сравнение затрат на передачу риска с ожидаемым результатом. Наиболее часто используемым методом этой группы является страхование.

6. Уровни зрелости организации, определяемые международными стандартами.

Уровень зрелости (оценка, балл)	Характеристика уровня
Уровень 1	Начальный, нулевой уровень Работники действуют исхода из своих личных представлений о целях работы. Отсутствуют внутренние регулирующие документы. Действия не документируются, бизнес-знания не отделены от работников (знания пропадают при увольнении работников). Бизнес-процессы в организации не описаны и, соответственно, не классифицированы. Деятельность компании непрозрачна даже для основного персонала.
Уровень 2	Уровень осознания Руководство компании решило превзойти начальный уровень. Появляются внутренние стандарты, описывающие основные бизнес-процессы компании. Возникает повторяемость: выполнение новых проектов основывается на опыте выполнения предыдущих проектов.
Уровень 3	Уровень управляемости В организации задокументированы и стандартизированы все бизнес-процессы. Система управления оказывается отделенной от всего персонала организации, т.е. появляется внутренний «свод законов». Этим законам следует весь персонал организации, включая топ-менеджмент.
Уровень 4	Уровень измеряемости В компании вводится количественная система оценки эффективности бизнес-процессов (используются как финансовые, так и натуральные показатели). Одновременно используется та или иная система оценки работы персонала, например, система ключевых показателей. Обе системы, описание бизнес-процессов и оценки персонала синхронизированы между собой — эффективная деятельность компании приводит к стимулированию персонала
Уровень 5	Уровень совершенствования На основе анализа количественных показателей в компании проводится корректировка (реинжиниринг) бизнес-процессов. Коррекции отражаются во внутренних документах. Важно то, что процесс коррекции носит постоянный, системный характер.

Мой ответ(из крнспекта):

Начальный уровень- осознание проблемы отсутствует, организацией принимаются фрагментальные меры противодействия угрозы.

Второй уровень-определяется ответственность за решение вопросов ИБ, делаются попытки решения интегрированных решений, центролизованным управлением средствами ИБ.

Третий уровень-характеризуется применением процессного подхода к управлению рисками ИБ.