Обработка рисков: принятие, передача, снижение и избежание

После выявления и анализа рисков организации должны решить, как с ними поступить. Обработка риска — это процесс выбора и реализации ответа на каждый риск с учётом его вероятности, воздействия и стоимости устранения. Существует четыре общепризнанных варианта обработки: accept, transfer, mitigate и avoid. Ни один вариант не является универсально правильным — выбор зависит от делового контекста, склонности организации к риску и доступных ресурсов.

Снижение риска уменьшает вероятность или воздействие риска посредством внедрения средств управления безопасностью. Это наиболее распространённый вариант обработки. Примеры: развёртывание межсетевого экрана для снижения вероятности проникновения в сеть, установка исправлений для устранения известных уязвимостей или внедрение MFA для уменьшения воздействия кражи учётных данных. Снижение риска не устраняет его полностью — образуется остаточный риск, который необходимо повторно оценить после применения средств управления.

Передача риска переносит финансовые последствия риска на третью сторону. Наиболее распространённый пример — киберстрахование: организация платит страховую премию, а страховщик покрывает убытки от застрахованных инцидентов. Риск также можно передать по договору: соглашения об уровне обслуживания (SLA) с облачными провайдерами могут возлагать ответственность за утечки данных на поставщика, а положения о возмещении убытков в договорах могут передавать ответственность деловым партнёрам. Важно, что передача не устраняет сам риск — она переносит только финансовое бремя.

Принятие риска означает осознанную готовность допустить риск без внедрения дополнительных средств управления, поскольку стоимость снижения риска превышает ожидаемые потери или риск находится ниже порогового значения организации. Принятие должно быть задокументированным, осознанным решением, принятым уполномоченным лицом (обычно владельцем риска или руководителем). Недокументированное молчаливое принятие — игнорирование риска из-за того, что никто не занялся его устранением, — не равно формальному принятию и приводит к замечаниям аудита.

Избежание риска полностью устраняет риск за счёт отказа от деятельности, которая его создаёт. Например, организация может решить не хранить данные платёжных карт напрямую и тем самым полностью исключить область действия PCI-DSS, передав всю обработку карт сторонней службе токенизации. Избежание подходит, когда риск неприемлемо высок и не существует экономически эффективного варианта его снижения или передачи, однако оно также может означать отказ от деловой возможности.

Выбор варианта обработки предполагает сопоставление подверженности риску с затратами на ответные меры. Если ALE составляет $50,000, а снижение риска стоит $10,000 в год, такое снижение явно экономически целесообразно. Если ALE составляет $5,000, а снижение риска стоит $30,000 в год, более разумным может быть принятие или передача риска. Организации также учитывают склонность к риску — уровень риска, который руководство готово принять, — и допустимое отклонение от склонности к риску для конкретных категорий рисков.

Склонность к риску — это широкий стратегический уровень риска, который организация готова принять для достижения своих целей; его часто определяет совет директоров. Допустимый уровень риска — это приемлемое отклонение в рамках конкретных категорий рисков. У организации может быть низкая общая склонность к риску, но более высокий допустимый уровень репутационных рисков для определённой линейки продуктов. Эти пороговые значения определяют, когда принятие риска допустимо, а когда требуется передача вопроса на более высокий уровень.

Если идеальное средство снижения риска нельзя внедрить из-за стоимости, технических ограничений или устаревших систем, компенсирующее средство управления обеспечивает альтернативное снижение риска. Например, если старая система не поддерживает MFA, компенсировать это могут усиленный мониторинг, изоляция сети и дополнительное ведение журналов. Компенсирующие средства управления официально признаются в PCI-DSS и других структурах как допустимый способ обработки риска, если они документированы с обоснованием и утверждены уполномоченным лицом.

После применения любого способа обработки риска почти всегда сохраняется некоторая доля риска. Остаточный риск — это риск, остающийся после внедрения средств управления. Владелец риска должен официально признать и принять его. Если остаточный риск всё ещё превышает допустимый порог, требуются дополнительные средства управления. Решения об обработке риска и уровни остаточного риска следует заносить в реестр рисков и проверять через установленные интервалы, особенно при изменении ландшафта угроз.

Compliance frameworks ограничивают допустимые варианты обработки риска. HIPAA не допускает отказа от обработки защищённой медицинской информации — организации должны снижать риск или передавать его. PCI-DSS предписывает конкретные controls независимо от анализа затрат и выгод. Понимание этих ограничений помогает избежать ситуаций, в которых предпочтительный для организации вариант обработки (например, принятие пробела в controls) нарушает нормативное требование, что может привести к штрафам или утрате права на обработку платежей по картам.

Обработка риска также распространяется на риск третьих сторон и цепочки поставок. Когда поставщики или партнёры получают доступ к вашим системам или данным, их состояние Security становится частью вашего профиля риска. Варианты обработки включают: договорные controls (передача), оценки Security поставщиков (снижение), выбор альтернативных поставщиков (избежание) или формальное принятие риска с периодическими проверками. Компрометации цепочки поставок (SolarWinds, XZ Utils) показывают, почему управление рисками третьих сторон является приоритетной темой экзамена Security+.

Проверьте понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что снижение риска уменьшает вероятность или воздействие с помощью controls, передача риска переносит финансовые последствия на третьи стороны, например страховщиков, принятие риска представляет собой документированное решение допустить риск, а избежание риска устраняет риск за счёт отказа от выполнения соответствующей деятельности. Далее мы рассмотрим основные фреймворки Security: NIST RMF, ISO 27001 и CIS Controls.