Комплексні системи захисту інформації. Проектування, впровадження, супровід

Аутсорсинг – це передача компанiею частини ii завдань або процесiв стороннiм бiльш професiйним виконавцям на умовах субпiдряду. Для цього необхiдно укласти договiр iз сторонньою органiзацiею для проведення зовнiшнього монiторингу системи та запобiгання загрозам, перш нiж вони приведуть до збиткiв.

Страхування – це можливiсть вiдшкодування збиткiв, що можуть виникнути у наслiдок реалiзацii загроз, для чого також необхiдно укласти договiр iз страховою органiзацiею.

2.4. Прийняття ризикiв

Керiвництвом органiзацii повинно бути прийнято та задокументовано рiшення про прийняття ризикiв i вiдповiдальностi за це рiшення.

В деяких випадках рiвень залишкового ризику може не вiдповiдати критерiям прийняття ризику, оскiльки вживанi критерii не враховують усiх обставин. У таких випадках керiвництво може прийняти ризики, але зобов'язано iх прокоментувати та включити обгрунтування для рiшення, пов’язаного з перевищенням стандартного критерiю прийняття ризику.

Рiшення щодо прийняття ризику можуть внести поправки до вибору заходiв i засобiв захисту. Коли властивостi запропонованих заходiв i засобiв захисту вiдомi, можна повторно провести перевiрку залишкового ризику та визначити, чи досягнуто рiвень прийнятностi ризику або необхiдно змiнити рiшення щодо його прийнятностi, щоб вiдобразити iнформацiю про властивостi запропонованих заходiв i засобiв захисту.

Пiсля того, як всi заходи i засоби захисту реалiзованi, перевiренi та визначенi ефективними, результати перевiрки прийнятностi ризику повиннi бути повторно вивченi. Ризик, пов'язаний зi спiввiдношенням загроза/вразливiсть, повинен тепер бути скорочений до прийнятного рiвня або усунуто. Якщо цi умови не дотриманi, то рiшення, прийнятi на попереднiх кроках, повиннi бути переглянутi, щоб визначити належнi заходи захисту.

3. Вибiр варiанту побудови КСЗІ

Пiсля завершення аналiзу всiх можливих ризикiв необхiдно здiйснити вибiр варiанту побудови КСЗІ в залежностi вiд ступеня обмеження доступу до iнформацii, яка обробляеться в ІТС, рiвня ii критичностi, величини можливих збиткiв вiд реалiзацii загроз, матерiальних, фiнансових та iнших ресурсiв, якi е у розпорядженнi власника ІТС.