Risk Assessment

Տեղեկատվական անվտանգության ռիսկերի գնահատում

Տեղեկատվական անվտանգության ռիսկերի հայտնաբերում, վերլուծություն և առաջնահերթության սահմանում՝ հաշվի առնելով ենթակառուցվածքը, տվյալները, գործընթացները և բիզնեսի նպատակները։

Քննարկել ռիսկերի գնահատումը

Դիտել ծառայության արժեքը

Անվտանգությունը սկսվում է ռիսկի ընկալումից

Հնարավոր չէ բոլոր համակարգերը, տվյալներն ու գործընթացները պաշտպանել միևնույն մակարդակով։

Յուրաքանչյուր ընկերություն ունի սահմանափակումներ՝

բյուջե,
մասնագետների քանակ,
հասանելի ժամանակ,
ենթակառուցվածքի առանձնահատկություններ,
կախվածություն մատակարարներից,
օրենսդրական պահանջներ,
հաճախորդների նկատմամբ պարտավորություններ,
աշխատանքի շարունակականությունը պահպանելու անհրաժեշտություն։

Այդ պատճառով նոր պաշտպանության միջոցներ ներդնելուց առաջ կարևոր է հասկանալ՝

որ ակտիվներն են կրիտիկական,
որ սպառնալիքներն են դրանց համար առավել իրատեսական,
ինչ խոցելիություններ կարող են շահագործվել,
ինչ հետևանքների կարող է հանգեցնել միջադեպը,
ինչ միջոցներ արդեն նվազեցնում են ռիսկը,
ինչ մնացորդային ռիսկ է պահպանվում,
ինչ գործողություններ պետք է կատարել առաջին հերթին։

Ռիսկերի գնահատումը տեղեկատվական անվտանգությունը կապում է ընկերության իրական խնդիրների հետ և հնարավորություն տալիս որոշումներ ընդունել՝ ելնելով բիզնեսի համար հնարավոր հետևանքներից։

Ի՞նչ է տեղեկատվական անվտանգության ռիսկը

Ռիսկն առաջանում է, երբ գոյություն ունի հնարավոր սցենար, որի դեպքում սպառնալիքն օգտագործում է խոցելիությունը և վնաս է պատճառում ակտիվին, գործընթացին կամ կազմակերպությանը։

Օրինակ՝

կորպորատիվ համակարգը հասանելի է ինտերնետից,
համակարգում առկա է կրիտիկական խոցելիություն,
խախտողը կարող է այն շահագործել հեռավար,
համակարգը պարունակում է գաղտնի տվյալներ,
վտանգումը կարող է հանգեցնել տվյալների արտահոսքի և ծառայության դադարեցման։

Գնահատելիս անհրաժեշտ է դիտարկել ոչ միայն տեխնիկական թերությունը, այլև ամբողջ սցենարը՝

սպառնալիքի աղբյուրը,
իրականացման եղանակը,
ազդեցության ենթարկվող ակտիվը,
գործող պաշտպանության միջոցները,
հավանականությունը,
հետևանքները,
մնացորդային ռիսկը։

Միևնույն խոցելիությունը տարբեր ընկերությունների համար կարող է առաջացնել տարբեր մակարդակի ռիսկ։

Ռիսկի նշանակությունը որոշվում է կոնկրետ ենթակառուցվածքի և բիզնեսի համատեքստով։

Ինչ խնդիրներ է լուծում ծառայությունը

Կրիտիկական ակտիվների սահմանում

Հայտնաբերում ենք համակարգերը, տվյալներն ու գործընթացները, որոնց խափանումը կամ վտանգումը կարող է էապես ազդել կազմակերպության գործունեության վրա։

Սպառնալիքների հայտնաբերում

Սահմանում ենք ազդեցության իրատեսական արտաքին և ներքին սցենարները։

Խոցելիությունների վերլուծություն

Ուսումնասիրում ենք տեխնիկական, կազմակերպական և գործընթացային թերությունները, որոնք կարող են նպաստել սպառնալիքների իրականացմանը։

Հնարավոր հետևանքների գնահատում

Որոշում ենք ռիսկի ազդեցությունը՝

համակարգերի աշխատանքի,
տվյալների,
հաճախորդների,
ֆինանսների,
հեղինակության,
պայմանագրային պարտավորությունների վրա։

Հավանականության որոշում

Վերլուծում ենք, թե գործող պայմաններում որքան իրատեսական է կոնկրետ սցենարի իրականացումը։

Գործող պաշտպանության միջոցների գնահատում

Ստուգում ենք, թե ինչ մեխանիզմներ արդեն նվազեցնում են ռիսկի հավանականությունը կամ հետևանքները։

Առաջնահերթության սահմանում

Ռիսկերը դասակարգում ենք ըստ նշանակության և սահմանում հետագա գործողությունների հերթականությունը։

Մշակման ծրագրի ձևավորում

Առաջարկում ենք ռիսկի՝

վերացման,
նվազեցման,
փոխանցման,
հիմնավորված ընդունման միջոցներ։

Ռիսկերի գրանցամատյանի ստեղծում

Ձևավորում ենք միասնական կառավարչական գործիք՝ ռիսկերի կանոնավոր վերահսկման և վերանայման համար։

Ինչ օբյեկտներ կարող են գնահատվել

Գնահատման պարագծում կարող են ներառվել՝

տեղեկատվական համակարգեր,
սերվերային ենթակառուցվածք,
ամպային ռեսուրսներ,
կորպորատիվ ցանցեր,
աշխատանքային կայաններ,
վեբ հավելվածներ,
հաճախորդային ծառայություններ,
տվյալների բազաներ,
անձնական տվյալներ,
առևտրային գաղտնիք,
մտավոր սեփականություն,
նույնականացման համակարգեր,
հեռավար հասանելիություն,
պահուստային պատճենման համակարգեր,
մշակման գործընթացներ,
արտաքին կապալառուներ,
ամպային և թվային ծառայությունների մատակարարներ,
մասնաճյուղեր և հեռավար հարթակներ,
առանձին բիզնես գործընթացներ,
նոր արտադրանք կամ նախագիծ։

Պարագիծը սահմանվում է մինչև աշխատանքների մեկնարկը և պետք է համապատասխանի պատվիրատուի նպատակներին։

Ի՞նչ է համարվում տեղեկատվական ակտիվ

Ակտիվ է համարվում այն ամենը, որն արժեք ունի կազմակերպության համար և կարող է վնասվել միջադեպի հետևանքով։

Տվյալներ

հաճախորդների տեղեկատվություն,
անձնական տվյալներ,
ֆինանսական տեղեկատվություն,
պայմանագրեր,
նախագծային փաստաթղթեր,
սկզբնական կոդ,
ներքին գիտելիքների բազաներ,
առևտրային գաղտնիք։

Տեղեկատվական համակարգեր

կորպորատիվ էլեկտրոնային փոստ,
CRM,
ERP,
հաշվապահական համակարգեր,
նախագծերի կառավարման համակարգեր,
հաճախորդային հավելվածներ,
ներքին պորտալներ,
ամպային հարթակներ։

Ենթակառուցվածք

սերվերներ,
ցանցային սարքավորումներ,
միջցանցային էկրաններ,
VPN դարպասներ,
վիրտուալ և ամպային ռեսուրսներ,
աշխատանքային կայաններ,
պահուստային պատճենման համակարգեր։

Բիզնես գործընթացներ

վաճառք,
հաճախորդների սպասարկում,
վճարումների մշակում,
մատակարարում,
ծրագրային մշակում,
արտադրական գործունեություն,
պայմանագրային պարտավորությունների կատարում։

Մարդիկ և գիտելիքներ

հիմնական մասնագետներ,
ադմինիստրատորներ,
բիզնես գործընթացների սեփականատերեր,
մեկ աշխատակցի մոտ կենտրոնացած կրիտիկական գիտելիքներ։

Հեղինակություն և պարտավորություններ

հաճախորդների վստահություն,
բրենդի հեղինակություն,
լիցենզիաներ,
պայմանագրային պարտավորություններ,
իրավական համապատասխանություն,
գործընկերային հարաբերություններ։

Սպառնալիքների աղբյուրները

Գնահատման ընթացքում կարող են դիտարկվել՝

Արտաքին խախտողներ

նպատակային կիբեռհարձակումներ,
ավտոմատացված սկանավորում,
խոցելիությունների շահագործում,
հաշիվների վտանգում,
տվյալների գողություն։

Վնասաբեր ծրագրային ապահովում

ransomware,
լրտեսող ծրագրեր,
բոտնետներ,
տվյալների ոչնչացման կամ գողության գործիքներ։

Ներքին սպառնալիքներ

աշխատակցի սխալ,
լիազորությունների չարաշահում,
դիտավորյալ գործողություն,
ոչ անվտանգ աշխատանքային պրակտիկա։

Կապալառուներ և մատակարարներ

արտաքին հաշվի վտանգում,
մատակարարի ենթակառուցվածքի խափանում,
պայմանագրային պահանջների չկատարում,
մատակարարման շղթայի վտանգում։

Տեխնիկական խափանումներ

սարքավորման խափանում,
ծրագրային սխալ,
պահեստավորման վնասում,
կապի կորուստ,
էլեկտրամատակարարման խափանում։

Կազմաձևման և կառավարման սխալներ

ավելորդ հասանելիություն,
սխալ ցանցային կանոն,
չպաշտպանված ամպային ռեսուրս,
սխալ պահուստավորում,
ուշացած թարմացում։

Բնական և արտաքին իրադարձություններ

հրդեհ,
ջրհեղեղ,
շենքի կամ տվյալների կենտրոնի անհասանելիություն,
կապի օպերատորի երկարատև խափանում։

Խոցելիությունների տեսակները

Խոցելիությունը կարող է լինել ոչ միայն տեխնիկական։

Տեխնիկական

ծրագրային ապահովման հայտնի խոցելիություն,
չաջակցվող համակարգ,
թույլ կրիպտոգրաֆիա,
բաց ծառայություն,
սխալ կազմաձևում։

Ճարտարապետական

ցանցային սեգմենտավորման բացակայություն,
միասնական խափանման կետ,
չափազանց մեծ վստահություն համակարգերի միջև,
վարչական կոնտուրի անբավարար պաշտպանություն։

Կազմակերպական

պատասխանատու անձի բացակայություն,
իրավունքների չվերանայում,
փոփոխությունների չկառավարվող գործընթաց,
միջադեպերի արձագանքման պլանի բացակայություն։

Գործընթացային

պահուստային վերականգնման չփորձարկում,
խոցելիությունների վերացման չվերահսկում,
աշխատակիցների ազատումից հետո հասանելիությունների պահպանում,
կապալառուների իրավունքների չեղարկման բացակայություն։

Մարդկային

ոչ անվտանգ գաղտնաբառեր,
ֆիշինգի նկատմամբ ցածր պատրաստվածություն,
սխալ գործողություններ,
կրիտիկական գիտելիքի կախվածություն մեկ մասնագետից։

Հետևանքների գնահատում

Ռիսկի ազդեցությունը կարող է գնահատվել մի քանի ուղղությամբ։

Գաղտնիություն

Կարո՞ղ են արդյոք տվյալները հասանելի դառնալ չարտոնված անձանց։

Ամբողջականություն

Կարո՞ղ են տվյալները, կարգավորումները կամ գործարքները փոփոխվել կամ ոչնչացվել։

Հասանելիություն

Կարո՞ղ է խափանվել համակարգի կամ բիզնես գործընթացի աշխատանքը։

Ֆինանսներ

Հնարավոր են արդյոք՝

ուղղակի կորուստներ,
վերականգնման ծախսեր,
եկամտի կորուստ,
տուգանքներ,
պայմանագրային փոխհատուցումներ։

Հաճախորդներ և գործընկերներ

Կարո՞ղ է միջադեպը խաթարել ծառայությունների մատուցումը կամ վստահությունը։

Հեղինակություն

Կարո՞ղ է իրադարձությունը վնասել բրենդին կամ ընկերության շուկայական դիրքին։

Իրավական և պայմանագրային պարտավորություններ

Կարո՞ղ են խախտվել կիրառելի օրենսդրության, պայմանագրերի կամ հաճախորդների պահանջները։

Անվտանգություն և գործունեության շարունակականություն

Կարո՞ղ է միջադեպը երկարատև դադարեցնել կրիտիկական գործունեությունը։

Հավանականության գնահատում

Հավանականությունը որոշելիս հաշվի ենք առնում՝

համակարգի հասանելիությունը խախտողի համար,
շահագործման բարդությունը,
անհրաժեշտ իրավունքների մակարդակը,
հայտնի գործիքների կամ exploit-ի առկայությունը,
սպառնալիքի աղբյուրի մոտիվացիան և հնարավորությունները,
նման միջադեպերի պատմությունը,
ոլորտում հարձակումների տարածվածությունը,
գործող պաշտպանական մեխանիզմները,
հայտնաբերման և արձագանքման հնարավորությունը։

Հավանականությունը չի նշանակում իրադարձության ճշգրիտ կանխատեսում։

Այն օգտագործվում է տարբեր սցենարները համեմատելու և առաջնահերթությունները սահմանելու համար։

Սկզբնական և մնացորդային ռիսկ

Սկզբնական ռիսկ

Ռիսկի մակարդակն է՝ առանց գործող պաշտպանության միջոցների ազդեցությունը հաշվի առնելու։

Այն ցույց է տալիս սցենարի հնարավոր վտանգը սկզբնական տեսքով։

Մնացորդային ռիսկ

Ռիսկի մակարդակն է՝ գործող վերահսկողություններն ու պաշտպանության միջոցները հաշվի առնելուց հետո։

Օրինակ՝ խոցելի համակարգը կարող է հասանելի լինել ինտերնետից, սակայն ռիսկը կարող են նվազեցնել՝

միջցանցային էկրանը,
MFA-ն,
ցանցային սահմանափակումները,
մոնիթորինգը,
պահուստային պատճենումը,
արագ արձագանքման գործընթացը։

Մնացորդային ռիսկն է հիմք հանդիսանում հետագա որոշումների համար։

Ռիսկի մակարդակները

Կրիտիկական

Սցենարը կարող է հանգեցնել բիզնեսի կամ կրիտիկական ակտիվների անընդունելի հետևանքների և պահանջում է անհապաղ որոշում։

Բարձր

Ռիսկն էական է և պետք է նվազեցվի առաջնահերթ ծրագրի շրջանակում։

Միջին

Ռիսկը պահանջում է պլանային գործողություններ և կանոնավոր վերահսկում։

Ցածր

Ռիսկի ազդեցությունը սահմանափակ է կամ դրա իրականացման հավանականությունը փոքր է։

Տեղեկատվական

Սցենարը չի պահանջում անհապաղ գործողություններ, սակայն պետք է փաստաթղթավորվի կամ դիտարկվի հետագա փոփոխությունների ժամանակ։

Ռիսկի մակարդակը որոշվում է համաձայնեցված մեթոդաբանությամբ և չի սահմանվում միայն տեխնիկական խոցելիության գնահատականով։

Ռիսկերի մշակման տարբերակները

Վերացում

Փոխում ենք գործընթացը կամ տեխնոլոգիան այնպես, որ ռիսկի աղբյուրը վերանա։

Օրինակ՝ շահագործումից հանում ենք չաջակցվող համակարգը։

Նվազեցում

Ներդնում ենք միջոցներ, որոնք նվազեցնում են հավանականությունը կամ հետևանքները։

Օրինակ՝

MFA,
ցանցային սեգմենտավորում,
պահուստային պատճենում,
մոնիթորինգ,
հասանելիության սահմանափակում։

Փոխանցում

Ռիսկի ֆինանսական կամ գործառնական հետևանքների մի մասը փոխանցվում է այլ կողմի միջոցով։

Օրինակ՝

ապահովագրություն,
պայմանագրային պատասխանատվություն,
կառավարվող ծառայություն։

Փոխանցումը չի նշանակում ռիսկի ամբողջական վերացում։

Ընդունում

Ընկերությունը գիտակցաբար ընդունում է մնացորդային ռիսկը, եթե այն համապատասխանում է հաստատված չափանիշներին։

Ընդունումը պետք է լինի փաստաթղթավորված և հաստատված իրավասու անձի կողմից։

Ռիսկի սեփականատերը

Յուրաքանչյուր նշանակալի ռիսկ պետք է ունենա սեփականատեր։

Ռիսկի սեփականատերը պատասխանատու է՝

սցենարի բիզնես նշանակությունը հասկանալու,
մշակման տարբերակը հաստատելու,
անհրաժեշտ ռեսուրսներ ապահովելու,
մնացորդային ռիսկն ընդունելու կամ էսկալացնելու,
ռիսկը պարբերաբար վերանայելու համար։

Ռիսկի սեփականատերը սովորաբար այն ստորաբաժանման կամ գործընթացի ղեկավարն է, որի գործունեության վրա կարող է ազդել սցենարը։

Տեխնիկական մասնագետը կարող է իրականացնել պաշտպանության միջոցները, սակայն բիզնես ռիսկի ընդունման որոշումը չպետք է փոխանցվի միայն ՏՏ թիմին։

Ռիսկերի գրանցամատյան

Ռիսկերի գրանցամատյանը կարող է ներառել՝

ռիսկի նույնականացուցիչը,
սցենարի նկարագրությունը,
ազդեցության ենթարկված ակտիվները,
սպառնալիքի աղբյուրը,
խոցելիությունները,
հնարավոր հետևանքները,
գործող պաշտպանության միջոցները,
հավանականությունը,
ազդեցության մակարդակը,
սկզբնական ռիսկը,
մնացորդային ռիսկը,
սեփականատիրոջը,
առաջարկվող մշակման եղանակը,
վերանայման ժամկետը,
ընթացիկ կարգավիճակը։

Գրանցամատյանը պետք է լինի գործող կառավարչական գործիք, այլ ոչ միայն նախագծի ավարտին փոխանցված փաստաթուղթ։

Ռիսկերի քարտեզ

Ռիսկերի քարտեզը տեսանելի ձևով ցույց է տալիս ռիսկերի բաշխումը՝ ըստ հավանականության և ազդեցության մակարդակների։

Այն օգնում է՝

համեմատել տարբեր սցենարները,
առանձնացնել կրիտիկական ռիսկերը,
ղեկավարությանը ներկայացնել ընդհանուր պատկերը,
տեսնել առաջնահերթությունների փոփոխությունը,
հետևել ռիսկերի դինամիկային։

Քարտեզը չի փոխարինում յուրաքանչյուր ռիսկի մանրամասն նկարագրությանը։

Գնահատման մեթոդները

Որակական գնահատում

Ռիսկերը դասակարգվում են համաձայնեցված մակարդակներով, օրինակ՝ ցածր, միջին, բարձր և կրիտիկական։

Հարմար է, երբ՝

անհրաժեշտ է արագ առաջնահերթություն սահմանել,
ֆինանսական տվյալները սահմանափակ են,
գնահատումն իրականացվում է առաջին անգամ։

Կիսաքանակական գնահատում

Հավանականությանը և ազդեցությանը տրվում են թվային միավորներ, որոնք օգտագործվում են ռիսկերը համեմատելու համար։

Մեթոդը բարձրացնում է հետևողականությունը, սակայն արդյունքը չի հանդիսանում վնասի ճշգրիտ ֆինանսական կանխատեսում։

Քանակական գնահատում

Հնարավորության դեպքում ռիսկը գնահատվում է ֆինանսական արտահայտությամբ՝ հաշվի առնելով՝

միջադեպի հավանականությունը,
հնարավոր ուղղակի և անուղղակի կորուստները,
վերականգնման ծախսերը,
ծառայության դադարեցումը,
պայմանագրային հետևանքները։

Քանակական գնահատման ճշտությունը կախված է ելակետային տվյալների որակից։

Ինչ է ներառված ծառայության մեջ

Նպատակների և պարագծի սահմանում

Համաձայնեցնում ենք՝

ինչ որոշումների համար է անհրաժեշտ գնահատումը,
ինչ ակտիվներ և գործընթացներ պետք է ներառվեն,
ինչ սահմանափակումներ կան,
ինչ խորությամբ պետք է իրականացվի աշխատանքը։

Տեղեկատվության հավաքում

Ուսումնասիրում ենք՝

ենթակառուցվածքի սխեմաները,
համակարգերի ցանկերը,
բիզնես գործընթացները,
տվյալների տեսակները,
գործող պաշտպանության միջոցները,
միջադեպերի պատմությունը,
աուդիտների և տեխնիկական ստուգումների արդյունքները,
պայմանագրային ու իրավական պահանջները։

Հարցազրույցներ

Հանդիպումներ ենք անցկացնում՝

ղեկավարության,
ՏՏ թիմի,
տեղեկատվական անվտանգության մասնագետների,
համակարգերի և գործընթացների սեփականատերերի,
իրավաբանական և այլ անհրաժեշտ ստորաբաժանումների հետ։

Սցենարների ձևավորում

Կապում ենք՝

ակտիվը,
սպառնալիքը,
խոցելիությունը,
իրականացման եղանակը,
հնարավոր հետևանքները։

Հավանականության և ազդեցության գնահատում

Յուրաքանչյուր սցենարը գնահատում ենք համաձայնեցված մեթոդաբանությամբ։

Գործող միջոցների հաշվառում

Սահմանում ենք, թե առկա վերահսկողությունները որքանով են նվազեցնում ռիսկը։

Առաջնահերթության սահմանում

Ռիսկերը դասակարգում ենք և առանձնացնում անհապաղ որոշում պահանջող խնդիրները։

Մշակման ծրագրի ձևավորում

Առաջարկում ենք տեխնիկական, կազմակերպական և գործընթացային միջոցներ։

Արդյունքների ներկայացում

Քննարկում ենք արդյունքները ղեկավարության և պատասխանատու թիմերի հետ։

Աշխատանքի փուլերը

1. Նախապատրաստում

Սահմանում ենք նպատակները, պարագիծը, մեթոդաբանությունը և մասնակիցներին։

2. Ակտիվների հայտնաբերում

Հայտնաբերում ենք կրիտիկական համակարգերը, տվյալներն ու գործընթացները։

3. Սպառնալիքների և խոցելիությունների վերլուծություն

Սահմանում ենք իրատեսական սցենարները և դրանց իրականացման պայմանները։

4. Հետևանքների գնահատում

Վերլուծում ենք ազդեցությունը բիզնեսի և պարտավորությունների վրա։

5. Հավանականության գնահատում

Որոշում ենք սցենարի իրատեսականությունը գործող պայմաններում։

6. Գործող պաշտպանության միջոցների հաշվառում

Գնահատում ենք պաշտպանության փաստացի արդյունավետությունը։

7. Ռիսկերի հաշվարկ և առաջնահերթություն

Սահմանում ենք սկզբնական և մնացորդային ռիսկի մակարդակները։

8. Մշակման ծրագրի պատրաստում

Ձևավորում ենք առաջարկվող գործողությունները, պատասխանատուներն ու առաջնահերթությունները։

9. Հաշվետվություն և ներկայացում

Պատվիրատուին փոխանցում ենք արդյունքները և քննարկում կառավարչական որոշումները։

Ինչ է ստանում պատվիրատուն

Կրիտիկական ակտիվների ցանկ

Համակարգերի, տվյալների և գործընթացների ցանկ, որոնք պահանջում են առաջնահերթ պաշտպանություն։

Սպառնալիքների սցենարներ

Իրատեսական արտաքին և ներքին ազդեցությունների նկարագրություն։

Ռիսկերի գրանցամատյան

Ռիսկերի միասնական կառավարվող ցանկ՝ սեփականատերերով, մակարդակներով և կարգավիճակներով։

Ռիսկերի քարտեզ

Հավանականության և ազդեցության հիման վրա ռիսկերի տեսանելի բաշխում։

Կառավարչական ամփոփում

Ղեկավարության համար հակիրճ ներկայացում՝

հիմնական սպառնալիքներ,
կրիտիկական ակտիվներ,
առաջնահերթ ռիսկեր,
պահանջվող որոշումներ,
առաջարկվող ներդրումներ։

Ռիսկերի մշակման ծրագիր

Առաջարկվող գործողությունների ցանկ՝ առաջնահերթություններով և պատասխանատուներով։

Մեթոդաբանության նկարագրություն

Տեղեկատվություն օգտագործված չափանիշների, գնահատման սանդղակների և սահմանափակումների մասին։

Արտաքին մատակարարների ռիսկերի գնահատում

Ընկերության աշխատանքը կարող է կախված լինել՝

ամպային հարթակից,
տվյալների կենտրոնից,
ծրագրային ապահովման մատակարարից,
կապի օպերատորից,
վճարային ծառայությունից,
արտաքին մշակողից,
տեխնիկական աջակցության ընկերությունից։

Գնահատելիս կարող ենք դիտարկել՝

ինչ տվյալներ են փոխանցվում մատակարարին,
ինչ հասանելիություն ունի նրա անձնակազմը,
ինչ կլինի ծառայության խափանման դեպքում,
հնարավոր է արդյոք փոխարինել մատակարարին,
որտեղ են տեղակայված տվյալները,
ինչպես է իրականացվում պահուստավորումը,
ինչպես է մատակարարը տեղեկացնում միջադեպերի մասին,
ամրագրված են արդյոք պահանջները պայմանագրում,
որքանով է ընկերությունը կախված կոնկրետ ծառայությունից։

Գնահատումը պարտադիր չէ, որ ներառի մատակարարի լիարժեք աուդիտ։

Ստուգման խորությունը որոշվում է նրա դերի նշանակությամբ։

Տարբերությունը այլ ծառայություններից

Risk Assessment

Սահմանում է, թե ինչ սցենարներ կարող են վնաս հասցնել բիզնեսին, գնահատում է հավանականությունն ու հետևանքները և սահմանում առաջնահերթությունները։

Security Audit

Համալիր կերպով ստուգում է կառավարման, գործընթացների, տեխնոլոգիաների և փաստաթղթերի ընթացիկ վիճակը։

Security Assessment

Կենտրոնանում է կորպորատիվ ենթակառուցվածքի և տեղեկատվական համակարգերի տեխնիկական պաշտպանվածության վրա։

Vulnerability Management

Պարբերաբար հայտնաբերում է տեխնիկական խոցելիությունները և վերահսկում դրանց վերացումը։

Penetration Testing

Ստուգում է, թե հնարավոր խախտողը կարո՞ղ է գործնականում շահագործել խոցելիությունները։

Cybersecurity Strategy

Ռիսկերի գնահատման արդյունքները վերածում է երկարաժամկետ զարգացման ծրագրի։

Ռիսկերի գնահատումը և տեխնիկական խոցելիությունները

Խոցելիությունը և ռիսկը նույնը չեն։

Խոցելիությունը համակարգի, գործընթացի կամ կազմակերպման թերություն է։

Ռիսկը հնարավոր սցենար է, որի դեպքում այդ թերությունը կարող է վնաս հասցնել բիզնեսին։

Օրինակ՝ նույն ծրագրային խոցելիությունը կարող է՝

կրիտիկական ռիսկ առաջացնել ինտերնետից հասանելի ֆինանսական համակարգում,
միջին ռիսկ առաջացնել մեկուսացված ներքին սերվերում,
ցածր ռիսկ առաջացնել շահագործումից հանվող փորձնական միջավայրում։

Այդ պատճառով ռիսկերի գնահատումը չպետք է սահմանափակվի սկաների տեխնիկական գնահատականներով։

Երբ է անհրաժեշտ գնահատումը

Ծառայությունն օգտակար է, երբ ընկերությունը՝

չունի ռիսկերի միասնական պատկեր,
նախատեսում է անվտանգության բյուջե,
պատրաստվում է նոր շուկա դուրս գալ,
գործարկում է նոր թվային արտադրանք,
տեղափոխվում է ամպային միջավայր,
ընդլայնում է ենթակառուցվածքը,
փոխում է կրիտիկական համակարգերը,
գնահատում է նոր մատակարարին,
պատրաստվում է հաճախորդի կամ գործընկերոջ ստուգմանը,
ստացել է աուդիտի բազմաթիվ առաջարկություններ,
ցանկանում է հասկանալ, թե որ միջոցառումներն են առաջնահերթ,
ստեղծում է տեղեկատվական անվտանգության ռազմավարություն,
զարգացնում է Virtual CISO գործառույթը։

Գնահատման պարբերականությունը

Ռիսկերի գնահատումը պետք է վերանայվի, երբ՝

էապես փոփոխվում է ենթակառուցվածքը,
գործարկվում է նոր արտադրանք,
փոխվում է բիզնես մոդելը,
հայտնվում է նոր իրավական կամ պայմանագրային պահանջ,
տեղի է ունենում լուրջ միջադեպ,
փոխվում է կրիտիկական մատակարարը,
ընկերությունը դուրս է գալիս նոր շուկա,
ավարտվում են ռիսկերի նվազեցման էական միջոցառումները։

Կանոնավոր վերանայումը կարող է կազմակերպվել Virtual CISO կամ տեղեկատվական անվտանգության ներքին կառավարման գործընթացի շրջանակում։

Ծառայության սահմանափակումները

Ռիսկերի գնահատումը՝

չի կանխատեսում միջադեպերը բացարձակ ճշտությամբ,
հիմնված է աշխատանքի պահին հասանելի տեղեկատվության վրա,
սահմանափակվում է համաձայնեցված պարագծով,
կախված է ակտիվների և գործընթացների վերաբերյալ տվյալների ամբողջականությունից,
ինքնուրույն չի վերացնում հայտնաբերված ռիսկերը,
չի փոխարինում տեխնիկական աուդիտին կամ ներթափանցման թեստավորմանը,
չի հանդիսանում ապահովագրական կամ իրավաբանական եզրակացություն,
չի երաշխավորում բոլոր հնարավոր սպառնալիքների հայտնաբերումը։

Քանակական ֆինանսական գնահատականները մոտավոր են և կախված են պատվիրատուի կողմից տրամադրված տվյալների որակից։

Պատասխանատվության սահմանները

StrayX-ն ապահովում է

գնահատման մեթոդաբանության ձևավորումը,
ակտիվների, սպառնալիքների և խոցելիությունների վերլուծությունը,
ռիսկերի սցենարների նկարագրությունը,
հավանականության և հետևանքների գնահատումը,
գործող պաշտպանության միջոցների հաշվառումը,
առաջնահերթությունների սահմանումը,
ռիսկերի գրանցամատյանի և մշակման ծրագրի պատրաստումը,
արդյունքների ներկայացումը։

Պատվիրատուն ապահովում է

ամբողջական և ճշգրիտ տեղեկատվության տրամադրումը,
համակարգերի և գործընթացների սեփականատերերի մասնակցությունը,
անհրաժեշտ փաստաթղթերի և հասանելիությունների տրամադրումը,
բիզնես հետևանքների գնահատմանը մասնակցությունը,
ռիսկի սեփականատերերի նշանակումը,
մշակման տարբերակների հաստատումը,
ռիսկերի ընդունման վերաբերյալ որոշումների կայացումը,
առաջարկվող միջոցառումների իրականացումը։

StrayX-ը չի ընդունում բիզնես ռիսկը պատվիրատուի փոխարեն։

Ինչու StrayX

Բիզնես համատեքստ

Ռիսկերը գնահատվում են ոչ միայն տեխնիկական չափանիշներով, այլև ընկերության իրական խնդիրների ու պարտավորությունների հիման վրա։

Ինժեներական ընկալում

Սցենարներ ձևավորելիս հաշվի ենք առնում իրական ճարտարապետությունն ու տեխնիկական սահմանափակումները։

Գործնական առաջնահերթություն

Պատվիրատուն հասկանում է, թե ինչ գործողություններ պետք է կատարել առաջին հերթին։

Գործող միջոցների հաշվառում

Մենք գնահատում ենք ոչ միայն թերությունները, այլև արդեն ներդրված պաշտպանության իրական արդյունավետությունը։

Հասկանալի ներկայացում ղեկավարության համար

Տեխնիկական խնդիրները վերածվում են կառավարչական հետևանքների և որոշումների։

Ազնիվ գնահատում

StrayX-ը չի գերագնահատում ռիսկերը՝ ավելորդ տեխնոլոգիաների անհրաժեշտությունը հիմնավորելու համար, և չի թաքցնում մեթոդաբանության սահմանափակումները։

Հիմք հետագա զարգացման համար

Արդյունքները կարող են օգտագործվել ռազմավարության, բյուջեի և տեղեկատվական անվտանգության ծրագրի ձևավորման ժամանակ։

Սահմանենք՝ ինչն է իսկապես կարևոր պաշտպանել

Նկարագրեք՝

ինչ համակարգեր և գործընթացներ են կրիտիկական,
ինչ տվյալներ է մշակում ընկերությունը,
ինչ փոփոխություններ կամ նախագծեր են նախատեսվում,
ինչ պահանջներ ունեն հաճախորդներն ու գործընկերները,
ինչ որոշումների համար է անհրաժեշտ ռիսկերի գնահատումը։

StrayX-ի մասնագետները կօգնեն սահմանել պարագիծը, մեթոդաբանությունը և աշխատանքի ակնկալվող արդյունքը։

Քննարկել ռիսկերի գնահատումը

Դիտել ծառայության արժեքը