Урок 1.4 Риск менеджмент ИСО27001

Мое субъективное мнение, но я считаю пункт стандарта 6.1.3 - одним из самых “сочных” и самых сложных во всём стандарте 27001.
Ребята, напоминаю Вам обязательно нужен стандарт.
Риск - это комбинация события и его последствий. Риск менеджмент - это инструмент, который позволяет предвидеть негативные явления и основывать свое предвидение на фактах. Основной философии стандарта 27001, является поиск и управление инцидентами, которые могут произойти. А затем, выявление наиболее подходящих путей предотвращения таких инцидентов. Другими словами, мы можем сказать, что управления этими инцидентами это тоже самое оценка рисков. А уже выявление наиболее подходящих путей, это обработка рисков. То есть, здесь появляется та технология, которая указана в этом стандарте.

Что вам необходимо проверить как аудиторию по этому пункту?

Вам необходимо чтобы организация предоставила перечень рисков и проверить какие действия она запланировала в наиболее критических точках. И соответственно, вообще ли определены эти критические точки. Вам там же надо убедиться, какая методика применяется при планировании системы и её процессов. Но, очень важно, Вам самим надо обязательно разбираться хотя бы в нескольких разных подходах или в методиках, каким образом эти требования внедряются в организациях.

Почему это всё так важно?
Потому, что философия ISO 27001 - это поиск инцидентов, которые могут произойти. То есть, другими словами это оценка рисков, а затем это выявление наиболее подходящих путей предотвращения таких инцидентов. И конечно же, мы помним, что организация должна оценивать важность каждого риска, таким образом, чтобы сфокусироваться только на наиболее важных рисках. Несмотря на то, что этот процесс является действительно очень сложным, я думаю, что иногда многие преувеличивают сложность этой работы. Я могу вам доказать это на своем личном примере. Непосредственно у меня в компании, мы применили методику 6 шагов.
И я вам сейчас коротко расскажу, как это выглядело чтобы закрыть требования этого стандарта.

Шаг 1 - нам необходимо разработать методику оценки рисков.

Шаг 2 - внедрение оценки рисков.
.

Шаг 3 - внедрение обработки рисков.


Шаг 4 - это отчёт по оценке риска .


Шаг 5 - положение о применимости.