Практикум по информационной безопасности: Учебно-методическое пособие, страница 21

•  определение объема работ;

•  формирование Рабочей группы;

•  сбор информации;

•  оценка эффективности контролей;

•  обработка информации;

•  составление Плана мероприятий по снижению рисков.

Определение объема работ. Необходимо определиться в каких подразделениях, филиалах, дочерних структурах компании, т.е. на каких площадках, будет проводиться анализ рисков и какие области ИТ рисков будут предметом анализа (таблица 3).

Таблица 3. Пример определения объема работ

Формирование Рабочей группы по анализу ИТ рисков. Состав Рабочей группы формируется исходя из цели и объема работы, поставленной перед подразделениями компании, филиалами, дочерними структурами, и должен включать в себя:

•  владельцев      тех      информационных      активов,      которые      соответствуют поставленной цели и запланированному объему работ;

•  сотрудников  подразделений,  обладающих необходимыми  знаниями  бизнеспроцессов и способных оценить возможный ущерб для организации в случае реализации той или иной угрозы в каждой из областей ИТ рисков;

•  владельцев   контролей   OCTAVE,   т.е.   сотрудников   подразделений   ИЬ   и физической безопасности;

•  сотрудников подразделения внутреннего ИТ аудита и/или независимых ИТ