Оценка риска информационной безопасности
Уровень риска ИБ считается по одной формуле для всех подразделений и систем — и каждое отклонение от расчёта остаётся в журнале с именем того, кто его сделал
От анкеты подразделения до итогового уровня критичности Level 1…Level 5: фиксированные веса и пороги вместо экспертного «на глаз», обязательное обоснование любой ручной корректировки, согласование по принципу четырёх глаз и 29 типов аудируемых действий по каждому контролю.
На демо-показе разбираем расчёт на модельной информационной системе: анкета и несоответствия, проблема, присущий и остаточный риск, уровень критичности, маршрут согласования и запись в журнале. Занимает около 40 минут, без установки на вашей стороне.
- Признаки SOX и OCC WP уже в расчёте целостности: любой из них переводит информационную систему в High, дописывать правило под проверку не нужно.
- Разделение полномочий на маршруте: сотрудник, отправивший бизнес-единицу на согласование, не может сам её активировать или вернуть в черновик.
- Ответ на вопрос «кто и когда изменил оценку» — это выгрузка из журнала, а не переписка: 29 типов аудируемых действий и отдельная история согласований по пяти объектам.
- Внешние и внутренние информационные системы разделены типом: внешний источник угрозы или удалённый доступ дают вероятность High сразу, без промежуточного расчёта.
- Категория персональных данных и класс защиты информации участвуют в расчёте конфиденциальности напрямую: информация ограниченного доступа — это High без исключений.
- Задвоить периодический контроль нельзя: для приложения не может быть двух активных контролей типа TimeTrigger — при большом парке систем это снимает целый класс дублей.
- Покрытие оргструктуры не задваивается: на подразделение — одна неархивная бизнес-единица, плюс предупреждение, если единица уже заведена на вышестоящем подразделении.
- Доступность берётся из справочной матрицы «признак OCC WP × критичность для бизнеса»: правило меняется данными, а не пересборкой системы.
- Контроли выстраиваются в иерархию: дочерний контроль наследует приложение и тип родителя, уровень вложенности хранится в самой записи.
Нужна методика, а не презентация: как считается риск, контроль и анкета, согласование и аудит, реестры и отчётность.
Разработчик — ООО «Ланселот-ИТ», Москва Справочники модуля — на русском и английском
Модуль в числах
Сокращение трудозатрат здесь не в «разах», а в том, что исчезает: сверка версий расчётных файлов, поиск автора правки и восстановление логики расчёта по памяти. Числа на этой странице взяты из состава модуля, а не из маркетингового замера.
Рабочий экран
Весь путь риска — в одной карточке контроля
Анкета, проблемы, оценка риска и история согласований лежат вкладками одной карточки: между ними нет ручного переноса данных и нет второго файла, в котором «настоящие» цифры.
| № | Вопрос | Ответ | Статус NCI |
|---|---|---|---|
| 14 | Права доступа пересматриваются с установленной периодичностью | Да | — |
| 15 | Действия администраторов пишутся в отдельный журнал | Нет | Необработан |
| 16 | Съёмные носители контролируются техническими средствами | Нет | Связан с Issue |
| 17 | Требование применимо к внешним подрядчикам | Не применимо | — |
Ответ «Нет» в завершённой анкете становится необработанным несоответствием автоматически — переносить его руками некуда и незачем.
| Идентификатор | Наименование проблемы | Статус | Оценка вероятности | ID внешней проблемы |
|---|---|---|---|---|
| 341 | Действия администраторов не журналируются отдельно | Завершено | Medium | PRB-4821 |
| 338 | Съёмные носители не контролируются техническими средствами | Завершено | High | PRB-4790 |
| 330 | Не описан порядок вывода системы из эксплуатации | Шаблон | Low | — |
В одной проблеме нельзя смешивать анкетные несоответствия и ручные дефициты, а несоответствие, уже связанное с другой проблемой, повторно связать нельзя.
| ID | Проблемы | Статус | NCI | Итоговая вероятность | Присущий рейтинг | Остаточный риск | Уровень критичности |
|---|---|---|---|---|---|---|---|
| 128 | 341 | Завершено | 6 | Medium | High | 1.5 | Level 3 |
| 127 | 338, 336 | Завершено | 11 | High | High | 4.5 | Level 2 |
| 126 | 330 | Шаблон | 2 | Low | Low | 0.3 | Level 4 |
Строка 128: влияние по конфиденциальности High (вес 5), вероятность Medium (вес 0.3) — присущий риск 1.5, это рейтинг High по порогу 1.5; сумма остаточных рисков трёх осей 3.3 попадает в Level 3.
| Дата и время | Действие | Пользователь |
|---|---|---|
| 18.03.2026 14:20 | Анкета завершена | Е. Ковалёва |
| 19.03.2026 09:05 | Проблема создана | Е. Ковалёва |
| 20.03.2026 11:42 | Оценка риска создана | Е. Ковалёва |
| 21.03.2026 10:15 | Оценка риска отправлена на согласование | Е. Ковалёва |
| 21.03.2026 16:30 | Оценка риска одобрена | А. Северов |
Отправитель и согласующий — разные люди: переход запрещён тому же сотруднику, который инициировал предыдущее требуемое состояние.
Экран можно прокрутить вбок.
До и после
Один экран вместо десятка таблиц
Расчёт риска почти всегда где-то уже ведётся. Вопрос в том, где живут веса, кто помнит пороги и в каком файле лежит версия, на которую сослались в отчёте.
Расчётный файл версии в имени, раскраска руками, пороги в голове
Веса в трёх копиях расходятся, цвет строки ставится вручную, автор правки восстанавливается по имени файла, а обоснование корректировки — по памяти автора.
Реестр оценок риска одна формула, пороги в справочных данных, автор у каждой правки
ОР-128 вероятность Medium · рейтинг High Level 3
ОР-127 вероятность High · рейтинг High Level 2
ОР-126 вероятность Low · рейтинг Low Level 4
ОР-125 вероятность Medium · рейтинг Medium Level 3
Веса и пороги одни на всех, матрицы лежат в справочных данных, ручная корректировка невозможна без обоснования, а каждое действие попадает в историю согласований и в журнал.
Как устроен путь
От контроля до уровня критичности
Пять стадий, между которыми нет ручного переноса данных: несоответствие рождается из ответа в анкете, проблема — из несоответствий, оценка риска — из проблем.
Схему можно прокрутить вбок.
Механизм 1
Расчёт закреплён правилами, а не экспертным мнением
Веса, пороги и матрицы свёртки не спрятаны в чьей-то голове и не меняются от подразделения к подразделению. Их можно прочитать, проверить и повторить на бумаге — ниже ровно те значения, по которым считает система.
| Значение | Вес влияния | Вес вероятности |
|---|---|---|
| Very High | 5 | 1.0 |
| High | 5 | 0.9 |
| Medium | 3 | 0.3 |
| Low | 1 | 0.1 |
| Условие | Результат |
|---|---|
| Присущий риск ≥ 1.5 | High |
| Присущий риск > 0.49 | Medium |
| Иначе | Low |
| Сумма остаточных рисков ≤ 0.9 | Level 5 |
| Сумма < 3.0 | Level 4 |
| Сумма ≤ 9.0 | Level 3 |
| Сумма ≤ 15.0 | Level 2 |
| Больше 15.0 либо ручная корректировка «Very High» | Level 1 |
Пороги вероятности угрозы
Вероятность считается по трём параметрам — источник угрозы, требуемый доступ, уровень подготовленности нарушителя.
> 0.6 → High · > 0.432 → Medium · иначе Low
Плюс три коротких правила, которые дают High сразу: внешний источник, удалённый доступ и неструктурированный нетехнический уровень угрозы.
Свёртка по трём осям
По каждой оси — конфиденциальность, целостность, доступность — берётся максимум из четырёх факторов влияния.
присущий = максимум влияния × вес итоговой вероятности
Остаточный риск пересчитывается только при ручной корректировке; результат округляется до двух знаков по правилу «половина вверх».
Консервативная агрегация
Итоговая вероятность оценки риска равна максимальной вероятности среди связанных проблем — «средней температуры» по контролю не бывает.
Обоснование собирается конкатенацией уникальных обоснований связанных проблем, поэтому источник цифры виден целиком.
Матрицы — в данных, а не в коде
Сводная матрица 3×3×3 на 27 строк для общего рейтинга ИТ-риска и матрица доступности на 6 строк вынесены в справочные данные.
Правило меняется данными: пересборка системы для смены свёртки не нужна. Если хотя бы одна из трёх осей пуста, общий рейтинг не рассчитывается.
Двуязычие на уровне данных
Все справочники модуля хранят русское и английское наименование.
Нормализация значений вероятности и влияния принимает и русские,
и английские формулировки: «высокая» и high — одно и то же
значение, а не две разные строки в отчёте.
Классификатор ИТ-риска приложения
Конфиденциальность считается от класса защиты информации и категории персональных данных, целостность — от признаков вроде SOX и OCC WP, доступность — по справочной матрице.
Расчётное значение можно переопределить вручную — но только с обоснованием.
Механизм 2
Каждое отклонение — с именем и обоснованием
Ручная корректировка не запрещена: запрещено сделать её молча. Система не даёт ни изменить расчётное значение без причины, ни подтвердить собственный переход статуса.
Принцип четырёх глаз на переходах бизнес-единицы
Переход запрещён тому же сотруднику, который инициировал предыдущее требуемое состояние. Проверка стоит на четырёх переходах:
- На согласовании → Активна
- На согласовании → Черновик
- Согласование архивации → Архив
- Согласование архивации → Черновик
Обойти это назначением себе второй роли нельзя: сравнение идёт с автором предыдущего состояния, а не с набором прав.
Обоснование обязательно при любом расхождении расчёта и решения
- расчётная вероятность отличается от итоговой — нужно обоснование расхождения;
- вероятность скорректирована вручную в оценке риска — нужно обоснование корректировки;
- расчётное значение классификатора переопределено или объект возвращён на доработку — нужны обоснование и комментарий.
Без заполненного поля переход и сохранение не проходят.
Сквозной аудит контроля
29 типов аудируемых действий: создание и обновление дефицита, работа с несоответствиями, запуск, отправка, возврат, завершение и одобрение анкеты, создание, обновление, завершение, отправка, возврат и одобрение оценки риска.
Плюс отдельная история согласований по пяти объектам.
Ролевая модель
Право выдаётся на пару «объект безопасности — тип объекта» с пятью флагами действий: чтение, запись, добавление, удаление, действие. К праву можно добавить фильтр строк.
Типов объектов безопасности четыре, включая видимость узлов навигатора: нет права на чтение — раздел не появляется в дереве.
Изоляция прав и журнал безопасности
У модуля собственная схема базы данных с таблицами ролей, назначений, прав и журнала безопасности.
Запись журнала фиксирует администратора, пользователя, действие и описание изменения «до и после».
Механизм 3
Данные не разъезжаются между людьми и файлами
Большая часть правил модуля — не про расчёт, а про дисциплину ввода: что нельзя завести дважды, что нельзя редактировать после согласования и что обязано быть заполнено, прежде чем объект получит статус.
Анкета собирается сама
По итогам определения области влияния ответы «Да» разворачиваются в набор вопросов; флаг «Весь TimeTrigger» включает все активные вопросы. Дубликаты по вопросу не создаются.
Активными считаются вопросы с незаполненной датой закрытия.
Ответ «Нет» превращается в несоответствие
В завершённой анкете отрицательный ответ автоматически становится необработанным несоответствием со своим жизненным циклом: «Необработан», «Отменён», «Дубликат», «Связан с проблемой».
Целостность проблемы
В одной проблеме нельзя смешивать источники несоответствий — анкетные и ручные дефициты. Несоответствие, уже связанное с другой проблемой, повторно связать нельзя.
Оргструктура покрывается один раз
На одно подразделение — только одна неархивная бизнес-единица. Если единица уже заведена на вышестоящем подразделении, система предупреждает о дублировании покрытия.
Параллельных контролей не бывает
Новый контроль бизнес-единицы недоступен, пока есть незавершённый. Для приложения не может быть двух активных контролей типа TimeTrigger.
Редактируемость привязана к статусу
Анкета редактируема, только пока она не «Завершено», не «Одобрено» и не «На согласовании». Ответы правятся лишь в статусах «Заполнение» и «Шаблон (с дополнением)».
Обязательные поля как контроль качества
Бизнес-единица: наименование, подразделение, офицер ИБ и старший офицер ИБ. Приложение: наименование, тип и статус, а для активного — привязка к бизнес-единице. Проектный контроль: идентификатор и наименование проекта.
Наследование контролей
Контроли приложения образуют иерархию: у дочернего контроля есть родитель и уровень вложенности, приложение и тип он наследует от родителя.
Реестры и выгрузка в Excel
Представление реестра описывает колонки, шаблоны значений с форматом даты, ширину, порядок и сортировку по умолчанию — например, реестр проблем сортируется по идентификатору по убыванию.
isra_business_units.xlsx · isra_applications.xlsx · isra_business_unit_controls.xlsx · isra_application_controls.xlsx
Область применения
Кому подходит и что входит
Модуль устроен вокруг повторяемого расчёта и разделения полномочий: одни и те же веса, пороги и матрица работают на всю организацию.
Подходит
- оценка риска ИБ ведётся регулярно — по подразделениям и по информационным системам, а не разово к проверке;
- нужен воспроизводимый результат: одинаковые веса, пороги и матрицы для всех подразделений;
- в организации есть разделение полномочий и отдельный согласующий, а не один человек на весь маршрут;
- нужно отвечать на вопрос «кто изменил значение, когда и на каком основании» — выгрузкой, а не памятью;
- оргструктура сложная: холдинг, филиалы, большой парк информационных систем с иерархией контролей.
Что входит
- единый расчёт: фиксированные веса влияния и вероятности, пороги рейтинга и сводная матрица 3×3×3 классификатора ИТ-риска приложения;
- анкета по областям влияния, несоответствия (NCI) и проблемы — связанной цепочкой от вопроса до оценки риска;
- фиксированные статусные модели согласования с принципом четырёх глаз: подтверждает переход не тот, кто его инициировал;
- обязательные обоснования расхождения расчётной и итоговой вероятности и любой ручной корректировки;
- 29 типов аудируемых действий по контролю, журнал безопасности и история изменений данных;
- реестры и выгрузки по настроенным представлениям — бизнес-единицы, информационные системы, оценки риска.
С кем мы работаем
Посмотреть, как это считается на ваших данных
Показываем расчёт на модельной информационной системе: анкета, несоответствия, присущий и остаточный риск, уровень критичности и маршрут согласования.
Записаться на демо-показ Как проходит пилот
ООО «Ланселот-ИТ» · +7 (499) 380-74-23 · info@lancelot-it.ru