Реестр рисков ИБ: простая методика оценки для небольшой компании

Риск-ориентированный подход означает простую вещь: деньги и время идут туда, где вероятнее и больнее всего ударит. Без записи рисков приоритеты задаёт тот, кто громче говорит. Реестр рисков для небольшой компании не требует сложных методик: таблица, две шкалы от 1 до 5 и решение по каждой строке. Ниже порядок составления, шаблон, готовые примеры и скрипт, который считает уровни и сортирует реестр.

Статья опирается на логику направления «Риск-ориентированный подход» из методики зрелости кибербезопасности Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Оценки в статье условные: ваши числа зависят от вашего бизнеса.

Что должно получиться

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Что считать риском

Риск — это сценарий с последствием, а не слабое место вообще. Формула записи: «из-за ЧЕГО может произойти ЧТО, и к ЧЕМУ это приведёт». «Устаревший сервер» — это уязвимость. «Через устаревший веб-сервер злоумышленник получит доступ к базе клиентов, и компания должна будет уведомлять регулятора» — это риск.

Шаг 1. Соберите перечень сценариев

Проведите встречу на два часа: ответственный за ИБ, руководитель ИТ и представитель бизнеса. Источники сценариев:

• активы и данные, без которых бизнес остановится или потеряет деньги: реестр ИТ-активов (если его нет, начните с него);
• итоги последнего сканирования и разбора уязвимостей: как читать отчёт сканера;
• прошлые инциденты и «почти инциденты» (разбор: реагирование на инцидент);
• типовые угрозы: фишинг и компрометация учётной записи, шифровальщик, утечка данных, потеря устройства, отказ оборудования, ошибка администратора, сбой подрядчика;
• требования законов: персональные данные, критическая инфраструктура.

Для первого реестра достаточно 10–20 сценариев. Больше не нужно: качество важнее количества.

Шаг 2. Оцените вероятность и ущерб

Используйте две шкалы от 1 до 5. Определения подгоните под размер своей компании:

Балл риска = вероятность × ущерб. Уровни: от 15 и выше — высокий, от 8 до 14 — средний, ниже 8 — низкий. Пороги условные: в первый год важнее сравнивать риски между собой, чем спорить об абсолютной цифре.

Шаг 3. Назначьте владельца и решение

У каждого риска один владелец: человек, который отвечает за последствия для бизнеса и может принять решение. Обычно это владелец системы или руководитель, а не ответственный за ИБ: он помогает оценивать и снижать риск, но не принимает его за бизнес. По каждому риску выберите решение:

Шаблон реестра

Скрипт расчёта и сортировки

Если реестр ведётся в таблице, экспортируйте его в CSV с колонками id,risk,likelihood,impact,owner,treatment. Скрипт считает баллы, определяет уровни и печатает реестр по убыванию. Код возврата 1, если есть высокие риски: это удобно для регулярной проверки.

#!/usr/bin/env python3
"""Считает уровень рисков из CSV и выводит реестр по убыванию.
Колонки: id,risk,likelihood,impact,owner,treatment   (вероятность и ущерб от 1 до 5)
Запуск: python3 risk_score.py risks.csv        Код возврата 1, если есть риски уровня «высокий»."""
import csv
import sys


def level(score):
    return 'высокий' if score >= 15 else 'средний' if score >= 8 else 'низкий'


def main(path):
    rows = []
    with open(path, newline='', encoding='utf-8') as f:
        for r in csv.DictReader(f):
            try:
                p, i = int(r['likelihood']), int(r['impact'])
            except (KeyError, ValueError):
                print(f"пропущена строка {r.get('id', '?')}: нужны целые likelihood и impact", file=sys.stderr)
                continue
            if not (1 <= p <= 5 and 1 <= i <= 5):
                print(f"пропущена строка {r.get('id', '?')}: значения от 1 до 5", file=sys.stderr)
                continue
            rows.append((p * i, p, i, r))
    rows.sort(key=lambda x: -x[0])
    print(f"{'ID':<6}{'Балл':<6}{'Уровень':<10}{'Владелец':<14}{'Решение':<12}Риск")
    for score, p, i, r in rows:
        print(f"{r['id']:<6}{score:<6}{level(score):<10}{r.get('owner', ''):<14}{r.get('treatment', ''):<12}{r['risk']}")
    return 1 if any(s >= 15 for s, *_ in rows) else 0


if __name__ == '__main__':
    if len(sys.argv) != 2:
        sys.exit('Использование: risk_score.py risks.csv')
    sys.exit(main(sys.argv[1]))

python3 risk_score.py risks.csv

Пример вывода на учебных данных:

ID    Балл  Уровень   Владелец      Решение     Риск
R1    20    высокий   ИТ            снизить     Утечка базы клиентов через уязвимый веб-сервер
R2    15    высокий   ИТ            снизить     Потеря данных при сбое диска без проверенных копий
R3    12    средний   ИБ            снизить     Компрометация учётной записи администратора фишингом
R4    6     низкий    ИТ            снизить     Простой сервиса из-за истёкшего сертификата
R5    6     низкий    ИТ            принять     Утрата ноутбука с рабочими данными

Принятие риска: как оформить

Принять высокий риск можно только письменно: владелец указывает, что риск принят, почему мер недостаточно или они нецелесообразны, до какой даты решение действует и что изменится в случае инцидента. Руководитель подписывает. Без срока пересмотра принятие превращается в забывание.

Когда пересматривать реестр

• раз в год целиком;
• раз в квартал: высокие риски и ход мер;
• после инцидента, крупного изменения в системах, выхода новой критической уязвимости, смены поставщика;
• при выходе из строя меры, которая снижала риск.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Риск-ориентированный подход» (карта: карта зрелости). Уровень 1 закрывает перечень главных угроз, уровень 2 добавляет реестр с оценкой, владельцами, решениями и регулярным пересмотром. Реестр рисков связывает остальные направления: уязвимости, доступ, данные и инциденты получают приоритеты из него.

Как проверить

1. В реестре есть хотя бы 10 рисков с оценкой и владельцем.
2. По каждому высокому риску есть решение, срок и задача.
3. Принятые риски оформлены письменно и подписаны руководителем.
4. Дата последнего пересмотра не старше года, высокие риски пересматривались в этом квартале.

Источники

• Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
• NIST SP 800-30 Rev. 1, Guide for Conducting Risk Assessments: csrc.nist.gov. Международная практика, не российский норматив.