Оценка рисков в SGRC RVision

Abstract

Современные системы класса SGRC (Security Governance, Risk and Compliance) предназначены для автоматизации процессов управления информационной безопасностью и обеспечивают организационно-техническую поддержку процессов риск-менеджмента. Такие системы представляют собой комплексные средства, включающие управление активами, угрозами, уязвимостями и инцидентами, а также инструменты для оценки и мониторинга рисков. В работе рассматривается полный цикл проведения оценки рисков, включающий формирование рабочей группы, идентификацию рисков, их последующую оценку, формирование плана обработки, подготовку отчетности и фиксацию результатов в системе RVision 5.0.23-lts. RVision поддерживает создание нескольких типов отчётов: сводного и детализированного реестра рисков и плана обработки рисков. Рассматриваются два основных режима оценки рисков: автоматическая без участия экспертов и оценка с привлечением экспертов тремя способами (вручную, автоматически или путём копирования оценки другого эксперта). На этапе обработки рисков представлены мероприятия по снижению, уходу или передаче рисков с указанием типа мероприятия, актива, ответственного исполнителя, сроков реализации и финансовых параметров. Все этапы оценки рисков, начиная с этапа формирования рабочей группы, наглядно иллюстрируются скрин шотами с экрана.