Moluch 114 c indd

Менеджмент рисков информационной безопасности как непрерывный процесс

Макеев Андрей Сергеевич, студент
Дальневосточный федеральный университет


В данной статье рассматривается риск-менеджмент как непрерывный процесс. Описываются инфра- структура и процесс менеджмента рисков с точки зрения цикла PDCA. Выявляются преимущества внедрения риск-ориентированного подхода в области информационной безопасности.
Ключевые слова: риск-менеджмент, непрерывный процесс, цикл PDCA, инфраструктура риск-менед- жмента, процесс менеджмента рисков.

И
нформатизация деятельности организаций и увели- чение объемов обрабатываемой информации тре- буют внедрения системного подхода к обеспечению ин- формационной безопасности. Для эффективной защиты от информационных угроз уже недостаточно реализовать отдельные контрмеры. В свою очередь, с целью поддер- жания постоянной защищённости объекта на должном уровне необходимо рассматривать вопросы обеспечения
безопасности, прежде всего, как непрерывный процесс.

История термина «риск»

История термина «риск» имеет древние корни и свя- зана с отношением человека к будущему [1]. В частности, с появлением мировых религий стало очевидно, что бу- дущее неоднозначно. Зародилось понимание того, что от поведения человека в жизни зависит его положение в за- гробном мире. Появилась ответственность за послед- ствия своих действий. Однако, в обиходе это слово на- чало употребляться только в средние века и было связано именно с мореплаванием. Данный термин моряки ис- пользовали при проходе узкостей. Так, выражение «ри- сковать» (итал. risicare) означало «лавировать между скалами». Первый механизм управления рисками связы- вают именно со страхованием торговых судов от кораб- лекрушения. К началу XXI века риск-менеджмент начал рассматриваться как эффективное средство управления ресурсами организации применительно к различным об-

ластям. Если еще полвека назад данное направление раз- вивалось в рамках экономической теории, то в наши дни риск-ориентированный подход играет важную роль, в том числе, и в области безопасности (рис. 1).

Цикл Деминга-Шухарта

При рассмотрении риск-менеджмента с точки зрения процесса осуществляется его условное деление на четыре этапа: планирование, реализация, проверка, действие. Эти этапы взаимосвязаны так, что вход одного является выходом другого, образуя тем самым непрерывный про- цесс или цикл. Родоначальником данного цикла считают Уильяма Шухарта [2]. В своих работах ученый выделяет три стадии управления качеством: разработка специфи- кации, производство продукции, контроль произведенной продукции. Данные стадии представляют собой цикл из четырех шагов:

• 
  Разработка продукта
  
• 
  Изготовление и проверка на производственной линии
  
• 
  Поставка на рынок
  
• 
  Проверка в работе
  

Шухарт утверждал, что необходимо постоянно улуч- шать качество продукции. Для этого он предложил также процессный подход не только при контроле над каче- ством, но и при организации производственных связей от операции к операции, обосновал необходимость органи-

Рис. 1. Применение риск-менеджмента

зации производства не по функциональным признакам, а следуя процессу производства.
Концепция Шухарта о непрерывном улучшении ка- чества получила развитие в работах Эдварда Деминга, который предложил использовать цикл PDCA: плани- рование (Plan), реализация (Do), проверка (Check), дей- ствие (Action).
В наши дни цикл PDCA является распространенной моделью непрерывного улучшения процессов и приме- няется в различных областях деятельности. В частности,
идеи данного цикла лежат в основе процесса менед- жмента рисков информационной безопасности и его ин- фраструктуры.

Инфраструктура риск-менеджмента

При изучении вопросов управления рисками зачастую все внимание уделяется именно процессу менеджмента рисков. Между тем, понимание инфраструктуры риск-ме- неджмента и его основных принципов крайне необходимо

Рис. 2. Инфраструктура риск-менеджмента

для внедрения эффективного процесса, способного пре- доставлять воспроизводимые результаты (рис. 2). Цель данной инфраструктуры заключается в оказании помощи организациям, внедряющим риск-менеджмент в общую систему менеджмента [3].
Компонент принципы риск-менеджмента отражает его сущность. А именно, риск-менеджмент:

• 
  способствует достижению целей
  
• 
  является неотъемлемой частью всех организаци- онных процессов
  
• 
  связан с неопределенностью
  
• 
  представляет собой структурированный процесс
  
• 
  основан на наилучшей доступной информации
  
• 
  учитывает интересы заинтересованных сторон
  
• 
  является динамичным процессом