Риски информационной безопасности бизнеса: оценка и управление

Риск информационной безопасности — это сочетание вероятности того, что угроза воспользуется уязвимостью, и ущерба, который компания при этом понесёт. Управлять рисками — значит регулярно проходить один круг: собрать активы и угрозы, оценить вероятность и ущерб, принять решение по каждому значимому риску и вернуться к оценке, когда инфраструктура изменилась.

Что такое риск информационной безопасности

Риск описывается парой величин: вероятностью события и его последствиями. Оценивать только одну из них бессмысленно: редкое событие с остановкой продаж на неделю опаснее ежедневных мелких сбоев. На этом определении построен ISO/IEC 27005:2022 — стандарт, который описывает управление рисками информационной безопасности.

Сам риск складывается из трёх частей, и достаточно убрать одну из них, чтобы риск исчез.

• Актив — то, что имеет ценность: клиентская база, договоры, сервер с учётной системой, сайт, почта, деньги на счёте.
• Угроза — возможная причина инцидента: внешний злоумышленник, ошибка сотрудника, подрядчик с лишним доступом, отказ оборудования.
• Уязвимость — слабое место, которым угроза может воспользоваться: необновлённый сервер, общий пароль на отдел, открытая в интернет панель управления.

Последствия описывают через три свойства информации: конфиденциальность — данные видит только тот, кому положено; целостность — данные не изменены и не удалены; доступность — система работает, когда она нужна. Один инцидент задевает сразу несколько свойств: шифровальщик и выкладывает данные наружу, и делает их недоступными.

Какие риски встречаются чаще всего

Срабатывают не экзотические атаки, а известные незакрытые уязвимости, украденные пароли и ошибки людей. Это видно по отчётам, которые собирают статистику по реальным расследованиям.

• 31 % утечек начинаются с эксплуатации уязвимости — это первый вектор доступа в отчёте Verizon DBIR 2026
• 48 % утечек связаны с программами-вымогателями, при этом 69 % пострадавших не заплатили выкуп (Verizon DBIR 2026)
• 4,99 млн $ — средняя стоимость утечки в мире, рекорд за всё время наблюдений (IBM, 2026)

Набор рисков, который есть почти у любой компании, выглядит так:

• утечка клиентской базы или данных сотрудников;
• шифровальщик, который останавливает работу и добирается до резервных копий;
• компрометация почты руководителя и поддельные платёжные поручения;
• лишние права доступа и доступы, не отозванные после увольнения;
• подрядчик или облачный сервис, через который уходят данные;
• отказ единственного сервера, для которого нет проверенной копии;
• уязвимость в сайте или API, открытом в интернет.

Список полезен только как заготовка. Дальше каждый пункт нужно довести до конкретики: какой именно актив пострадает, сколько это будет стоить компании и что уже мешает этому произойти.

Как оценить риск: вероятность и ущерб

Оценка — это две шкалы и одна таблица: вероятность события, ущерб от него и уровень риска на их пересечении. NIST SP 800-30 Rev. 1 предлагает качественные шкалы из пяти уровней — от «очень низкого» до «очень высокого». Компании без собственной службы безопасности этого хватает: числа в деньгах и процентах потребуют данных, которых у неё всё равно нет.

Вероятность удобно привязать к частоте, а не к ощущениям.

• Очень низкая — событие возможно, но случаев в отрасли почти не встречается.
• Низкая — раз в несколько лет.
• Умеренная — примерно раз в год.
• Высокая — несколько раз в год.
• Очень высокая — ежемесячно или чаще.

Ущерб считают в том, что понятно руководителю: прямые расходы на восстановление, часы простоя, сорванные сделки, юридические последствия, отток клиентов. Уровень риска берут из матрицы; уровни в ней те же пять, что в шкалах NIST.

Совет Не спорьте о точных цифрах вероятности. Достаточно, чтобы вся команда одинаково понимала, что означает «умеренная» и «высокая», и чтобы шкала не менялась от риска к риску.

Реестр рисков: что в нём записывают

Реестр рисков — таблица, в которой каждый риск описан так, что по нему можно поручить работу и проверить результат. Без владельца и срока запись остаётся наблюдением, а не задачей.

• актив: что защищаем и в чьей это зоне ответственности;
• угроза и уязвимость: что может случиться и через что;
• вероятность и ущерб по принятой шкале;
• уровень риска из матрицы;
• владелец риска — руководитель, который принимает решение;
• выбранное решение и конкретные меры;
• срок и ответственный за внедрение мер;
• остаточный риск после мер и дата следующего пересмотра.

Строка выглядит так: «CRM с клиентской базой — выгрузка базы уволенным менеджером — вероятность высокая, ущерб высокий, риск высокий — владелец: коммерческий директор — меры: роли и лимиты на экспорт, отзыв доступов в день увольнения — срок: месяц». Как это настраивается в самой системе, разобрано в статье о правах доступа в CRM.

Пример: пять рисков небольшого интернет-магазина

Разбор понятнее на компании без своей службы безопасности: сайт, CRM, бухгалтерия, около десяти сотрудников, данные покупателей и оплаты через платёжные сервисы.

Пять строк уже задают порядок работ: сначала обновления и резервные копии, потом доступы и обучение людей, а к суточному простою хостинга компания готова сознательно. Это и есть результат оценки — не список страхов, а очередь задач с ценой.

Какие решения принимают по риску

По каждому значимому риску принимают одно из четырёх решений — их называет ISO/IEC 27005:2022. Выбор делает владелец риска, а не системный администратор: это решение про деньги и ответственность.

Разделение не снимает ответственность. Перед клиентами и уполномоченным государственным органом за персональные данные отвечает компания, даже если инфраструктуру ведёт подрядчик, а за событиями следит внешняя команда. Чем такая услуга отличается от программ вроде SIEM и EDR, разобрано в статье о мониторинге и реагировании на инциденты.

Риск, который остался после внедрения мер, называют остаточным. Его тоже записывают в реестр и принимают отдельным решением, иначе получается, что меры внедрили, а риск как будто исчез сам.

Правовые риски: что требует законодательство Узбекистана

Часть рисков возникает не от атаки, а от несоблюдения закона. Закон «О персональных данных» № ЗРУ-547 в статье 27 обязывает собственника и оператора принимать правовые, организационные и технические меры защиты, а в статье 31 — определить подразделение или должностное лицо, ответственное за обработку и защиту персональных данных.

Статья 27-1 в редакции закона ЗРУ-1125 от 26 марта 2026 года требует хранить в Узбекистане биометрические и генетические данные, а также данные пользователей услуг операторов телекоммуникаций. Базы с такими данными регистрируют в Государственном реестре баз персональных данных (статья 20). Остальные персональные данные можно хранить и обрабатывать за рубежом при выполнении одного из условий части третьей статьи 27-1.

В реестре рисков это отдельные строки: база не зарегистрирована, ответственный не назначен, согласий на обработку нет, сканы документов лежат в общей папке. Ответственность за нарушения и порядок действий при утечке разобраны в статье об утечке персональных данных, а как собрать вокруг этого роли, политику и документы — в материале о внедрении СУИБ.

Как часто пересматривать риски и кто за них отвечает

Оценку пересматривают по расписанию и по событиям: раз в год целиком и сразу после заметного изменения. Инфраструктура меняется быстрее документов: приходят сотрудники, подключаются сервисы, появляются новые требования.

1. Раз в год — полный пересмотр реестра вместе с владельцами рисков.
2. Раз в квартал — проверка, что принятые меры внедрены и работают.
3. После каждого инцидента — разбор причины и правка оценки.
4. При запуске новой системы или подключении подрядчика — оценка до запуска, а не после.
5. При изменении закона или требований банка и партнёров — сверка правовых рисков.

Владелец риска — руководитель, чьи деньги и процессы пострадают: за клиентскую базу отвечает коммерческий директор, за учётную систему — финансовый. IT-специалист внедряет меры, но не решает, какой риск компания готова принять.

Ошибка Реестр, который ведут «для проверяющих», не работает. Признак: в нём нет ни одного принятого риска и ни одного просроченного срока — значит, его ни разу не обсуждали с руководителями.

Сколько стоит оценка рисков и как работаем мы

Цена зависит от числа систем и площадок, количества сотрудников и того, есть ли уже схемы и документы. Оценить риски своими силами можно и полезно, но у этого есть предел: собственные процессы кажутся привычными, а часть уязвимостей находится только проверкой снаружи.

Мы в Syntra Systems делаем аудит информационной безопасности — от 1 200 $. Составляем карту того, что нужно защищать: данные, сервисы, доступы. Проверяем серверы, сети, почту, сайты и рабочие места на известные уязвимости, смотрим, у кого какие доступы и что происходит при увольнении сотрудника, оцениваем соответствие требованиям законодательства по персональным данным. На выходе — отчёт: риск, вероятность, последствия, что делать в первую очередь, и разбор результатов с вашей командой на понятном языке.

Дальше по реестру закрывают найденное: защита данных и доступов — от 4 000 $, мониторинг и реагирование по согласованному регламенту — от 800 $ в месяц. Состав работ — на странице кибербезопасности для бизнеса. Проверить на практике, реализуем ли конкретный риск, помогает тестирование на проникновение.

Частые вопросы