Классификация рисков в информационной безопасности: методики и практические рекомендации

Методики классификации и стандарты 2026 года

Стандарт ISO/IEC 27005 определяет подход к управлению рисками через идентификацию активов, угроз и уязвимостей. Риски классифицируются по уровням (низкий, средний, высокий, критический) на основе оценки вероятности реализации угрозы и степени ущерба. Методика требует разделения рисков на внутренние (ошибки персонала, сбои системы) и внешние (хакерские атаки, стихийные бедствия).

NIST CSF (Cybersecurity Framework) группирует риски по пяти основным функциям: Идентификация, Защита, Обнаружение, Реагирование и Восстановление. Внутри каждой функции выделяются категории и подриски. Например, в категории «Защита» подриском может быть отсутствие многофакторной аутентификации, что напрямую влияет на риск несанкционированного доступа.

Российские методики базируются на требованиях ФСТЭК и ГОСТ Р ИСО/МЭК 27001-2015. ФСТЭК классифицирует риски исходя из значимости информационной системы (ГИС, ИС персональных данных) и определяет уровни защищенности. Основной упор делается на анализ актуальных угроз из банка данных ФСТЭК и применение соответствующих мер компенсации. Для автоматизации проверки контрагентов на соответствие этим нормам и снижения юридических рисков используйте Legium.pro — оставьте почту, и ИИ сделает работу за вас.

Практика применения классификации в оценке и управлении рисками

Для приоритизации рисков используется матрица «вероятность — влияние». По одной оси откладывается вероятность наступления события (от «редко» до «почти наверняка»), по другой — тяжесть последствий (от «незначительно» до «катастрофично»). Риски, попавшие в красную зону (высокая вероятность и высокий ущерб), требуют немедленного внедрения мер защиты.

Определение критичности информационных активов позволяет понять, какие данные требуют максимальной защиты. Активы делятся на группы:

• Критические (базы клиентов, финансовые ключи, интеллектуальная собственность);
• Важные (внутренняя переписка, операционные инструкции);
• Вспомогательные (архивные данные, общие информационные ресурсы).

Интеграция классификации в систему управления ИБ (ISMS) превращает статичный список угроз в динамический процесс. Каждому классифицированному риску назначается владелец (ответственное лицо) и стратегия обработки: снижение (внедрение защиты), принятие (если стоимость защиты выше ущерба), передача (страхование или аутсорсинг) или избегание (отказ от опасного процесса). При передаче функций ИБ на аутсорсинг важно изучить подводные камни договора оказания услуг, чтобы ответственность за утечки не легла полностью на компанию-заказчика.

Частые вопросы

Как классифицировать риски в информационной безопасности?

Необходимо составить реестр информационных активов, определить для каждого из них возможные угрозы, соотнести их с существующими уязвимостями и распределить по категориям: технические, организационные или юридические. После этого каждому риску присваивается уровень критичности на основе матрицы вероятность-влияние.

Какие существуют уровни риска в ИБ?

Обычно выделяют четыре уровня:

• Низкий: минимальный ущерб, высокая вероятность легкого устранения.
• Средний: ощутимый ущерб, требующий ресурсов для восстановления.
• Высокий: серьезные финансовые или репутационные потери.
• Критический: угроза остановки бизнеса или полная потеря конфиденциальности ключевых данных.

Можно ли объединять технические и организационные риски в одну категорию?

Не рекомендуется. Технические риски устраняются патчами, настройками и оборудованием, а организационные — обучением, изменением регламентов и административным контролем. Объединение приводит к тому, что компания покупает дорогое ПО там, где нужно просто изменить должностную инструкцию сотрудника.

Как часто следует обновлять классификацию рисков?

Ревизия реестра рисков проводится минимум раз в год или при значимых изменениях в инфраструктуре: внедрении нового ПО, переходе на удаленный формат работы, смене законодательства или после каждого крупного инцидента ИБ.

Информация носит справочный характер. Для разработки полноценной системы управления рисками рекомендуется обратиться к сертифицированным специалистам по информационной безопасности.