През октомври 2022 г. бе публикувано новото издание на ISO/IEC 27005 Сигурност на информацията, киберсигурност и защита на неприкосновеността. Указания за управление на рисковете за сигурността на информацията.
ISO/IEC 27005:2022 е четвъртото издание на стандарта и отменя и заменя ISO/IEC 27005:2018. Новото издание е технически преработено и предоставя актуализирани насоки за управление на рисковете за сигурността на информацията.
Публикуването му следва новото издание на ISO/IEC 27001:2022, което определя изискванията към системите за управление на сигурността на информацията (СУСИ).
 
Какво представлява ISO/IEC 27005:2022?
ISO/IEC 27005:2022 предоставя насоки за управление на рисковете за сигурността на информацията.
Документът подпомага организациите при:

• изпълнение на изискванията на ISO/IEC 27001, свързани с действията за справяне с рисковете за сигурността на информацията;
• извършване на дейности по управление на риска за сигурността на информацията и по-специално оценяване и третиране на риска.

Стандартът е приложим за всички организации независимо от техния вид, размер или сфера на дейност.
ISO/IEC 27005 не замества ISO/IEC 27001. Двата стандарта имат различна роля – ISO/IEC 27001 определя изискванията към СУСИ, а ISO/IEC 27005 предоставя по-подробни насоки за управление на рисковете за сигурността на информацията.
 
Какви са основните промени в ISO/IEC 27005:2022?
ISO/IEC 27005:2022 представлява техническа ревизия на изданието от 2018 г.
Основните промени са:

• насоките са съгласувани с ISO/IEC 27001:2022 и ISO 31000:2018;
• терминологията е приведена в съответствие с терминологията на ISO 31000:2018;
• структурата на точките е подредена на равнище, съответстващо на ISO/IEC 27001:2022;
• въведена е концепцията за сценарии на риска;
• подходът за идентифициране на риска, основан на събитията, е сравнен с подхода, основан на активите;
• съдържанието на приложенията е ревизирано и преструктурирано в едно приложение.

Тези промени са посочени изрично в предговора на новото издание.
 
По-тясна връзка с ISO/IEC 27001:2022
Една от основните характеристики на новото издание е съгласуването му с ISO/IEC 27001:2022.
ISO/IEC 27001 изисква организацията да дефинира и прилага процес за оценяване на риска за сигурността на информацията. Той включва установяване и поддържане на критерии за риск, идентифициране на рисковете, техния анализ и преценяване.
Организацията трябва да дефинира и прилага и процес за третиране на риска за сигурността на информацията.
ISO/IEC 27005:2022 предоставя по-подробни насоки за практическото реализиране на тези процеси. В структурата му са разгледани установяването на контекста, оценяването на риска, третирането на риска и последващите дейности, включително комуникация и консултации, документирана информация, мониторинг и преглед и непрекъснато подобряване.
 
Установяването на контекста е отправна точка
Управлението на риска не започва директно с изготвяне на списък със заплахи или избор на механизми за контрол.
ISO/IEC 27005:2022 отделя специално внимание на установяването на контекста, включително аспектите на организацията и идентифицирането на основните изисквания на заинтересованите страни.
При установяването на контекста се определят и поддържат критериите за риска за сигурността на информацията. Те включват критерии за приемане на риска и критерии за извършване на оценявания на риска.
По този начин организацията създава основата, спрямо която впоследствие ще идентифицира, анализира и преценява конкретните рискове.

Оценяването на риска – идентифициране, анализ и преценяване
Процесът за оценяване на риска за сигурността на информацията включва три основни етапа:

• идентифициране на риска;
• анализ на риска;
• преценяване на риска.

При идентифицирането организацията определя и описва рисковете за сигурността на информацията и техните собственици.
При анализа се оценяват потенциалните последствия и вероятността за съответните сценарии и се определя нивото на риска.
При преценяването резултатите от анализа се сравняват с определените критерии за риск и се определят приоритетите за третиране на анализираните рискове.
 
Сценариите на риска – важен елемент в новото издание
Една от съществените промени в ISO/IEC 27005:2022 е въвеждането на концепцията за сценарии на риска.
Стандартът определя сценария на риска като последователност или комбинация от събития, водещи от първоначалната причина до последствията.
Сценариите подпомагат структурирането на информацията за риска и позволяват да се разгледат връзките между източниците на риск, събитията, засегнатите активи и възможните последствия.
В Приложение A са дадени практически примери и техники за разработване и използване на такива сценарии при оценяването на риска.
 
Подход, основан на събитията, и подход, основан на активите
ISO/IEC 27005:2022 разглежда два подхода, които могат да се използват при идентифицирането на рисковете за сигурността на информацията:

• подход, основан на събитията;
• подход, основан на активите.

При подхода, основан на събитията, се идентифицират стратегически сценарии чрез разглеждане на източниците на риск и начина, по който те могат да доведат до последствия за организацията.
При подхода, основан на активите, се идентифицират оперативни сценарии, свързани по-подробно с активите, заплахите и уязвимостите.
Двата подхода не трябва да се разглеждат като взаимно изключващи се. Стандартът допуска използването на подходящ подход или комбинация от подходи в зависимост от контекста и потребностите на организацията.
Това представлява развитие спрямо ISO/IEC 27005:2018, който беше базиран на метода за идентифициране на риска чрез активи, заплахи и уязвимости, макар да допускаше използването и на други подходи.
 
От оценяването към третирането на риска
След оценяването организацията трябва да определи как да третира идентифицираните рискове.
ISO/IEC 27005:2022 разглежда различни възможности за третиране, включително:

• избягване на риска чрез решение да не се започва или да не се продължава дейността, която поражда риска;
• модифициране на риска;
• поемане на риска;
• споделяне на риска с други страни.

Въз основа на избраните варианти за третиране се определят необходимите механизми за контрол.
Стандартът прави и ясна връзка с ISO/IEC 27001:2022: определените механизми за контрол трябва да бъдат сравнени с тези в Приложение A на ISO/IEC 27001, за да се провери дали не е пропуснат необходим механизъм за контрол.
 
Декларацията за приложимост и планът за третиране
ISO/IEC 27005:2022 предоставя и подробни насоки относно следващите стъпки след избора на механизми за контрол.
Сред тях са:

• сравняване на определените механизми за контрол с Приложение A на ISO/IEC 27001:2022;
• изготвяне на Декларация за приложимост (Statement of Applicability – SoA);
• разработване на план за третиране на риска;
• одобряване на плана от собствениците на риска;
• приемане на остатъчните рискове.

Така оценяването на риска се свързва непосредствено с решенията за механизмите за контрол и с документирането на начина, по който организацията управлява установените рискове.
 
Мониторингът и прегледът остават съществена част от процеса
Рисковете за сигурността на информацията не са статични.
Промени в технологиите, процесите, активите, заплахите, уязвимостите, законовите и регулаторните изисквания или дейността на организацията могат да променят както вероятността за дадено събитие, така и потенциалните последствия.
Затова ISO/IEC 27005:2022 разглежда мониторинга и прегледа както на факторите, влияещи върху рисковете, така и на самия процес за управление на риска.
Стандартът разглежда също прегледа от ръководството, коригиращите действия и непрекъснатото подобряване.

Едно приложение с практически техники
Съществена структурна промяна спрямо изданието от 2018 г. е преструктурирането на приложенията.
ISO/IEC 27005:2022 съдържа едно информативно Приложение A „Примери за техники за подпомагане на процеса за оценяване на риска“.
То включва практически примери и насоки относно:

• критерии, свързани с оценяването на риска;
• качествени и количествени подходи;
• скали за последствия и вероятност;
• определяне на нивото на риска;
• компоненти на риска за сигурността на информацията;
• активи;
• източници на риск и нежелани крайни състояния;
• подход, основан на събитията;
• подход, основан на активите;
• сценарии на риска;
• мониторинг на събития, свързани с риска.

По този начин приложението предоставя практически техники, които могат да подпомогнат организациите при изграждането или усъвършенстването на техния подход към оценяването на риска.
 
Какво означава ISO/IEC 27005:2022 за организациите?
Новото издание не означава, че всички организации трябва да използват една и съща методика или една и съща матрица за оценяване на риска.
ISO/IEC 27005:2022 предоставя рамка и практически насоки, които позволяват подходът да бъде адаптиран към контекста, целите и потребностите на конкретната организация.
За организациите, които прилагат ISO/IEC 27001:2022, новото издание на ISO/IEC 27005 е възможност да прегледат съществуващия си процес за управление на риска и да оценят дали:

• критериите за риск са ясно определени;
• идентифицирането на риска обхваща значимите за организацията сценарии;
• последствията и вероятността се оценяват по последователен начин;
• резултатите от оценяването позволяват определяне на ясни приоритети;
• решенията за третиране са свързани с подходящи механизми за контрол;
• остатъчните рискове се приемат от определените отговорни лица;
• рисковете и факторите, които ги влияят, се наблюдават и преглеждат периодично.

ISO/IEC 27005:2022 поставя управлението на риска в основата на решенията за сигурността на информацията. Целта не е просто да бъде създаден регистър на рисковете, а организацията да разполага с последователен процес за идентифициране, оценяване, третиране, мониторинг и преглед на рисковете, който подпомага функционирането и непрекъснатото подобряване на системата за управление на сигурността на информацията.