Риск-ориентированный подход: практика и уровни зрелости

Решения по защите принимаются исходя из того, что и насколько вероятно может случиться.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Записаны главные угрозы вашим системам и данным.
2. Гигиенический	Ведётся реестр рисков с оценкой и владельцами; решения (снизить, принять, передать) фиксируются; пересмотр не реже раза в год.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

Модель угроз и уровни защищённости ИСПДн: как определить и что выполнить
Порядок определения уровня защищённости ПДн в информационной системе по постановлению Правительства № 1119: тип угроз, категории данных, число субъектов, требования каждого уровня, модель угроз, акт и контроль.
Оценка вреда субъектам ПДн: порядок, акт и связь с мерами защиты
Практика оценки вреда субъектам персональных данных по пункту 5 части 1 статьи 18.1 152-ФЗ: что и как оценивается, шкала, оформление акта, связь с мерами защиты и пересмотр.
Реестр рисков ИБ: простая методика оценки для небольшой компании
Как построить реестр рисков ИБ в небольшой компании: что считать риском, шкалы вероятности и ущерба, матрица, четыре решения по риску, владельцы, пересмотр и скрипт расчёта.