Управление рисками информационной безопасности (УРИБ) — это фундаментальный процесс для защиты активов организации. Хаотичный подход к защите неэффективен: ресурсы тратятся впустую, а критические уязвимости остаются незамеченными. Стандартизация приносит системность, повторяемость и понятный язык для общения между техническими специалистами, менеджментом и регуляторами.

В данной статье рассматриваются ключевые международные, национальные (Россия) и отраслевые стандарты, регулирующие процесс управления рисками ИБ, их взаимосвязь и практику применения.

Международные стандарты серии ISO/IEC 27000

Семейство стандартов ISO/IEC 27000 является де-факто глобальным бенчмарком в области ИБ. Оно обеспечивает комплексный подход: от общей терминологии до конкретных мер контроля.

ISO/IEC 27001 — Требования к СУИБ

Это основной сертифицируемый стандарт. Он устанавливает требования к созданию, внедрению, поддержке и непрерывному улучшению Системы управления информационной безопасностью (СУИБ).

• Роль УРИБ: Раздел 6 (Планирование) и Приложение А (Меры контроля) жестко привязаны к процессу оценки и обработки рисков. Организация обязана определить методологию оценки рисков, провести оценку, выбрать меры обработки и составить Отчет об оценке рисков (Risk Assessment Report) и Заявление применимости (Statement of Applicability — SoA).
• Ключевой принцип: Подход, основанный на рисках (Risk-based approach). Меры контроля из Приложения А применяются не формально, а только если они необходимы для снижения выявленных рисков.

ISO/IEC 27002 — Меры контроля (Code of Practice)

Обновленная версия 2022 года структурирует 93 меры контроля по 4 темам: Организационные, Люди, Физические, Технологические. Это справочник «лучших практик» для реализации Заявления применимости (SoA) по результатам оценки рисков.

ISO/IEC 27005 — Руководство по управлению рисками ИБ

Это единственный стандарт серии, полностью посвященный методологии управления рисками. Он не сертифицируем, но является методологическим ядром для ISO 27001.

• Описывает полный цикл: Контекст → Оценка рисков (Идентификация, Анализ, Оценка) → Обработка рисков → Принятие решения → Мониторинг и пересмотр → Коммуникация и консультирование.
• Не навязывает конкретную методику (качественную, количественную или смешанную), а дает рамки для разработки собственной.
• Версия 2022 года усилила акцент на интеграции с управлением рисками на уровне предприятия (ERM) и сценариях атак.

ISO/IEC 27000 — Словарь терминов

Обеспечивает единое понимание терминов: «риск», «угроза», «уязвимость», «актив», «вероятность», «воздействие». Без этого стандарта невозможно корректное чтение остальных документов серии.

Стандарты общего управления рисками (ISO 31000)

ISO 31000:2018 «Управление рисками, Руководящие принципы» — это родительский стандарт для любого управления рисками в организации (финансовые, операционные, репутационные, ИБ).

• Принципы: Интегрированность, Структурированность и всесторонность, Индивидуальный подход, Включение заинтересованных сторон, Динамичность, Лучшая доступная информация, Человеческий и культурный факторы, Непрерывное улучшение.
• Рамка (Framework): Лидерство и приверженность, Интеграция, Проектирование, Реализация, Оценка, Улучшение.
• Процесс: Область, контекст, критерии → Оценка рисков → Обработка рисков → Мониторинг и пересмотр → Записи и отчетность.

Взаимосвязь: ISO 27005 — это профильное применение ISO 31000 в области ИБ. Аудиторы ISO 27001 часто проверяют, соответствует ли процесс УРИБ принципам ISO 31000.

Национальные стандарты Российской Федерации (ГОСТ Р)

Для российских организаций, госсектора, КИИ (Критической информационной инфраструктуры) и ГИС (Государственных информационных систем) применение национальных стандартов часто является обязательным в силу законодательства (152-ФЗ, 187-ФЗ, Постановления Правительства, ФСТЭК/ФСБ руководства).

ГОСТ Р ИСО/МЭК 27001-2021 / 27002-2022 / 27005-2023

Официальные русские версии международных стандартов ISO. Тексты идентичны оригиналам. Применение ГОСТ Р вместо ISO допускается при сертификации в российских системах сертификации и при взаимодействии с регуляторами (ФСТЭК, ФСБ, Банк России).

ГОСТ Р 57580-2017 (ISO 31000:2009) — Управление рисками. Руководящие принципы

Национальный стандарт, основанный на более старой версии ISO 31000 (2009), но все еще широко используемый в российской нормативной базе и методических документах регуляторов. Ожидается обновление на базе ISO 31000:2018.

Отраслевые стандарты ФСТЭК и ФСБ

Это специфический слой регулирования для объектов КИИ, ГИС и гостайны.

• Методические документы ФСТЭК России: Например, «Методика оценки угроз безопасности персональных данных» (утв. ФСТЭК ), «Методика оценки рисков нарушений безопасности персональных данных». Они задают жесткие алгоритмы расчета рисков для ПДн.
• Руководящие документы ФСБ: Для систем защиты гостайны и криптографической защиты.
• Приказы ФСТЭК (№ 239, № 17, № 21 и др.): Устанавливают требования к модели угроз, оценке рисков и составу мер защиты для объектов КИИ и ГИС.

Важно: В отличие от ISO (где методологию выбирает организация), регуляторные методики ФСТЭК часто предписывают конкретные формулы расчета уровня риска (например, матрицы «Вероятность × Воздействие» с заданными шкалами).

Отраслевые и специальные стандарты

Банковский сектор (Банк России)

• 326-П / 382-П / 456-П: Требования к управлению операционным риском и ИБ в кредитных организациях.
• Стандарт БДО (Безопасность платежных карт) / PCI DSS: Требование 12.10.1 — ежегодная формальная оценка рисков. PCI DSS v4.0 усилил требования к целевым оценкам рисков (Targeted Risk Analysis) для обоснования компенсирующих мер.

NIST Cybersecurity Framework (CSF) и NIST SP 800-30

Популярен в международных корпорациях и организациях, работающих с США.

• NIST SP 800-30 Rev. 1: «Руководство по проведению оценок рисков». Детально описывает количественные и качественные подходы, модели угроз (включая ATT&CK), тиражирование результатов на уровне миссии/бизнеса, миссии/бизнес-процессов и информационных систем.
• NIST CSF 2.0 (2024): Функция Govern (Управление) и Identify (Идентификация) формализуют управление рисками ИБ как часть ERM.

ISACA, COBIT 2019 / Risk IT

Фреймворки для IT-управления и управления ИТ-рисками. Risk IT фокусируется на интеграции ИТ-рисков в корпоративное управление рисками (ERM), определяет аппетит к риску (Risk Appetite) и ответственных за риски (Risk Owners).

FAIR (Factor Analysis of Information Risk)

Единственный открытый международный стандарт количественного анализа рисков ИБ (ISO/IEC 27005 и NIST 800-30 допускают его, но не регламентируют). FAIR разлагает риск на факторы: Частота событий угрозы (Threat Event Frequency), Уязвимость (Vulnerability), Потери (Loss Magnitude). Позволяет выразить риск в денежном эквиваленте (например, «Риск утечки БД клиентов = 15 млн руб. в год»).

Сравнительная таблица подходов

Практический алгоритм выбора и внедрения стандарта

1. Определите правовое поле: Являетесь ли вы субъектом КИИ? Оператором ПДн? Участником платежных систем? Банком? От этого зависит, какие стандарты обязательны (ФСТЭК, Банк России, PCI DSS), а какие, рекомендательны (ISO, NIST).
2. Выберите базовую методологию:
   • Для соответствия законодательству РФ → Методики ФСТЭК + ГОСТ Р ИСО 27005.
   • Для международного бизнеса / сертификации → ISO 27001 + ISO 27005.
   • Для интеграции с ERM / отчетности перед советом директоров → ISO 31000 + FAIR (для квантификации ключевых рисков).
3. Разработайте Политику управления рисками ИБ: Документ, утверждаемый топ-менеджментом, фиксирующий: область применения, критерии приемлемости риска (Risk Criteria), аппетит к риску, роли (Владелец риска, Владелец актива, Процесс-онер), частоту переоценки.
4. Создайте/Адаптируйте Каталог активов и Каталог угроз: Без них оценка невозможна. Для КИИ/ГИС используйте каталоги ФСТЭК. Для ISO — собственные + открытые базы (MITRE ATT&CK, ENISA Threat Landscape).
5. Выберите инструментарий (Tooling): Excel подходит для старта (до 50-100 активов). Далее требуются GRC-платформы (SimpleRisk, RSA Archer, ProcessGene, российские аналоги: Solar Dozor, Positive Technologies MaxPatrol SIEM/GRC модули, *).
6. Проведите пилотную оценку: На одном бизнес-процессе или системе. Проверьте: понятны ли критерии? Есть ли данные для оценки вероятности? Согласованы ли меры обработки с владельцами бизнеса?
7. Запустите непрерывный цикл: Оценка рисков — не разовый акт. Триггеры для переоценки: инциденты, изменения инфраструктуры, новые угрозы (Zero-day), изменения законодательства, результаты аудита/пентэста.

Типичные ошибки при работе со стандартами

• Формализм («Галочки»): Заполнение таблиц рисков за день до аудита без участия владельцев активов и бизнеса. Результат: риски не управляются, меры контроля не работают.
• Смешивание уровней: Оценка рисков на уровне «сервера» (технический) без агрегации на уровень бизнес-процесса. Топ-менеджмент не понимает, почему нужно тратить бюджет.
• Игнорирование контекста: Копирование каталога угроз из интернета без учета специфики бизнеса (например, риски ИБ для металлурга и для финтеча кардинально отличаются).
• Отсутствие критериев приемлемости: Если не определено, какой риск «приемлем», а какой нет — невозможно принять решение об обработке.
• Разрыв с планированием бюджета: План мероприятий по снижению рисков не попадает в IT-бюджет и план закупок на следующий год.

Тенденции развития стандартизации (2024–2025)

• Автоматизация сбора данных для оценки рисков: Интеграция GRC-систем с CMDB, сканерами уязвимостей (VA), SIEM, SOAR, Threat Intelligence платформами. Переход от экспертных оценок к данным (Data-driven Risk Assessment).
• Учет цепочек поставок (Supply Chain Risk): ISO 27001:2022 (пункт А.5.19, А.5.20), NIST CSF 2.0, новые приказы ФСТЭК требуют оценки рисков не только внутри периметра, но и у критических подрядчиков/поставщиков ПО.
• Кибер-резилиентность (Cyber Resilience): Смещение фокуса с «предотвращения» на «выживание и восстановление». Стандарты (ISO 27001:2022, NIST CSF 2.0) требуют оценки рисков недоступности и времени восстановления (RTO/RPO) как приоритетных.
• Квантификация для бизнеса (CRQ — Cyber Risk Quantification): Распространение FAIR и аналогичных моделей для перевода технических рисков на язык денег (Cyber Risk Quantification) для страхования (Cyber Insurance) и отчетности перед Советом директоров.
• Регуляция ИИ (AI Risk Management): Появление ISO/IEC 42001 (AI Management System) и NIST AI RMF 1.0. Управление рисками ИБ теперь должно учитывать риски использования ИИ (утечки данных в LLM, отравление моделей, биас).

Стандарты в области управления рисками ИБ — это не бюрократия, а «навигатор» в условиях неопределенности. Выбор стандарта диктуется регуляторными требованиями, зрелостью организации и целями бизнеса.

Оптимальная стратегия для крупной российской организации сегодня: построить базовый процесс УРИБ на ГОСТ Р ИСО/МЭК 27005 (для совместимости с ISO 27001 и понимания международными партнерами), жестко соблюдать методики ФСТЭК для объектов КИИ/ГИС/ПДн (как обязательный минимум), и параллельно внедрять элементы FAIR / CRQ для квантификации топ-уровневых рисков в язык финансов для принятия решений топ-менеджментом.

Успешное управление рисками — это не идеально заполненный реестр рисков, а процесс, который позволяет организации принимать обоснованные решения о том, где инвестировать в защиту, а где риск принять и контролировать.

Данная статья носит информационный характер и не является юридической или консультационной рекомендацией. Для принятия управленческих решений обратитесь к актуальным версиям стандартов и квалифицированным аудиторам/консультантам. Контакты специалистов: *