Риск менеджмент в ИБ, есть ли практические материалы?

Question

[Alister O]

Добрый день, читаю книги по риск менеджменту применительно к ИТ, почти во всех книгах половина просто вода, пишут об абстрактном, думаю мало толку от таких книг. Хотел спросить у вас уважаемые специалисты по ИБ, как вы осуществляете Риск менеджмент, можете на примере написать, последовательность этапов при риск менеджменте.
заранее очень благодарен.

Answer 1

[Андрей]

Если Вы занимаетесь ИБ на практике, то риск-менеджмент осуществляете постоянно и непрерывно. Любое изменение инфраструктуры, нацеленное на повышение ИБ, либо внедрение выделенных средств защиты - это деятельность, порожденная некоторыми угрозами. То есть риск-менеджмент у Вас есть всегда.

Другое дело, что для многих специалистов данный процесс гораздо проще осуществлять, если он будет формализован, если кто-то извне разложит по полочкам все возможные риски, с которыми сталкиваются компании данного уровня или данной сферы деятельности.

Вот поэтому в ходе различных аудитов и т.п. приветствуется а иногда и требуется, чтобы процедура риск-менеджмента была формализована. Большинству (как с реализующей так и с проверяющей стороны) так проще, яснее, прозрачнее; меньше вероятность что-то упустить.

Если над Вами нет никаких надзорных органов - принимайте решение о формализации риск-менеджмента сами, а неформализованно - он существует всегда.

Comments

[Андрей]

P.S. Из прикладных ("пошаговых") инструкций мне наиболее симпатичен NIST 800-30