Защитата на фирмената информация, независимо дали става дума за чувствителна търговска информация или за лични данни на клиенти, е все по-често във фокуса на организациите. Новото законодателство, като Общия регламент относно защитата на данните (GDPR), поставя бизнеса под допълнителен натиск да гарантира подходящо ниво на сигурност на информацията.
Дори подходящите технологии и добре разработените процеси обаче не са достатъчни, ако рисковете за сигурността на информацията не се идентифицират, оценяват и управляват систематично.
Ревизираният стандарт ISO/IEC 27005:2018 „Информационни технологии. Методи за сигурност. Управление на риска за сигурността на информацията“ предоставя насоки на организациите за управление на рисковете, които могат да засегнат сигурността на информацията.
ISO/IEC 27005:2018 подпомага общите концепции, заложени в ISO/IEC 27001, и е предназначен да подпомогне прилагането на информационната сигурност чрез подход, основан на управление на риска. Стандартът не съдържа директни указания за внедряване на изискванията към системата за управление на информационната сигурност (ISMS), определени в ISO/IEC 27001.

Основните промени в стандарта спрямо предишното издание са следните:

• премахнати са всички преки препратки към ISO/IEC 27001:2005;
• добавено е ясно уточнение, че документът не съдържа директни указания относно изпълнението на изискванията на ISMS, посочени в ISO/IEC 27001;
• ISO/IEC 27001:2005 е премахнат от клауза 2;
• ISO/IEC 27001 е добавен към библиографията;
• Приложение G и всички позовавания на него са премахнати;
• направени са съответните редакционни промени.

Представяме няколко начина, по които ISO/IEC 27005:2018 може да бъде полезен на ръководители, специалисти по сигурността на информацията, одитори и други заинтересовани страни в организацията.
1. Систематичен подход към управлението на риска
ISO/IEC 27005:2018 подчертава необходимостта от систематичен подход към управлението на риска за сигурността на информацията. Стандартът разглежда процеса като непрекъснат и включващ установяване на контекста, оценяване на риска, третиране на риска, приемане на риска, комуникация и консултации, както и мониторинг и преглед.
Управлението на риска следва да бъде интегрална част от дейностите по управление на сигурността на информацията и да се прилага както при внедряването, така и при текущото функциониране на ISMS.
2. Прилагане на последователна структура
Основните дейности по управление на риска в стандарта са организирани в четири последователни елемента:

• Input – информацията, необходима за извършване на съответната дейност;
• Action – описание на самата дейност;
• Implementation guidance – допълнителни насоки за изпълнение;
• Output – информацията, която се очаква да бъде получена след приключване на дейността.

Тази структура подпомага последователното прилагане на процеса и дава по-ясна представа за необходимата входна информация, действията и очакваните резултати.
3. Идентифициране и оценяване на рисковете
Процесът по управление на риска трябва да подпомага организацията при идентифицирането на рисковете, оценяването на възможните последствия и вероятността за тяхното възникване, както и определянето на приоритети за третиране.
Оценяването на риска включва идентифициране, анализ и преценяване на риска. При необходимост процесът може да бъде извършван на няколко итерации – първоначално на по-високо ниво, а след това в по-голяма дълбочина за рисковете, които изискват допълнителен анализ.
Стандартът позволява на организацията сама да избере подхода си към оценяването на риска в зависимост от целите, обхвата и необходимата степен на детайлност.
4. Подходящо третиране и приемане на риска
След оценяването на риска организацията трябва да определи подходящи възможности за неговото третиране.
ISO/IEC 27005:2018 разглежда четири основни възможности:

• модифициране на риска;
• запазване на риска;
• избягване на риска;
• споделяне на риска.

След определяне на плана за третиране трябва да бъдат оценени остатъчните рискове. Когато те бъдат приети, решението и отговорността за него трябва да бъдат официално записани. Стандартът подчертава необходимостта остатъчните рискове да бъдат изрично приети от съответните ръководители на организацията.
5. Непрекъснат мониторинг и подобряване
Рисковете не са статични. Заплахите, уязвимостите, вероятността за възникване и последствията могат да се променят с течение на времето.
Поради това ISO/IEC 27005:2018 изисква рисковете и свързаните с тях фактори да бъдат подлагани на редовен мониторинг и преглед. Организацията следва да отчита нови активи, промени в стойността на активите, нови заплахи и уязвимости, промени в последствията и възникнали инциденти.
Самият процес по управление на риска също трябва да бъде непрекъснато наблюдаван, преглеждан и подобряван, за да остане адекватен на променящите се бизнес цели и обстоятелства.
6. Гъвкав и адаптивен подход
ISO/IEC 27005:2018 не предоставя един конкретен метод за управление на риска за сигурността на информацията. Организацията сама определя своя подход в зависимост от обхвата на ISMS, контекста на управлението на риска, индустриалния сектор и други специфични фактори. В рамката на стандарта могат да се използват различни съществуващи методологии.
Чрез структуриран, систематичен и непрекъснат процес по управление на риска организацията може да съобрази решенията си за сигурността на информацията със своите цели, приоритети и променящата се среда.
ISO/IEC 27005:2018 е приложим към всички типове организации – търговски предприятия, държавни институции и организации с нестопанска цел – които възнамеряват да управляват рисковете, способни да компрометират сигурността на информацията.