1. Управление Риском:
Почему не работает?
Конференция UISGCON8
Владимир Гнинюк
ген. директор ООО «Глобал АйТи Сервис»

2. Зачем нужно управление Риском?
• Риск и Цели
• Аргументы
• Обмен информацией
• Установление приоритетов
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 2

3. Источники проблем
• Silos
• Framework
• Подготовка
• Зрелость
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 3

4. Проблема периметра (ISO)
CONTEXT ESTEBLISHMENT
RISK ASSESSMENT
RISK MONITORING AND REVIEW
RISK IDENTIFICATION
RISK COMMUNICATION
RISK ESTIMATION
RISK EVALUATION
No
RISK TREATMENT
No
RISK ACCEPTENCE
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 4

5. Установление Контекста
• Внешний контекст
• Внутренний контекст
• Stakeholders
• Культура
• Цели
• Контекст процесса управления Риском
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 5

6. Внешний Бизнес Контекст
• производственные
• рыночные
• технологические
• социальные
• геополитические
• экологические
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 6

7. Техники: PESTLE-анализ
Аспекты внешней среды, которые влияют на Бизнес:
Political - политические
Economic - экономические
Social - социальные
Technological - технологические
Legal - правовые
Environmental – окружающая среда
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 7

8. Внутренний Бизнес Контекст
• организационная структура
• бизнес процессы
• персонал (HR)
• технологически активы
• информационные активы
• физические активы
• ключевые продукты и услуги
• существующие
стратегии достижения бизнес устремлений
• взаимоотношение и связи среди перечисленного
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 8

9. Техники: SNW-анализ
Strength – сильные стороны
Neutral – нейтральные стороны
Weakness – слабые стороны
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 9

10. Stakeholders - это
• непосредственный «шеф»
• «генеральный»
• «хозяин»
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 10

11. Примеры Stakeholders
Внутренние Внешние
shareholders shareholders
Совет директоров Кредиторы
Руководство Клиенты
Сотрудники Поставщики/Партнеры
Профсоюзы Общество
Агентства (информ.,
рейтинговые и т.п.)
Государство
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 11

12. Культура
• этика взаимоотношений
• "tone at the top"
• риск-культура
• вовлеченность совета директоров
• стиль руководства и управления
• отношение сотрудников к компании
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 12

13. Устремления. Цели.
• Миссия и Видение
• Ценности
• Бизнес цели
• Риск-аппетит. Критерии принятия решения
• Индикаторы. Цели. Допуски
• Согласованность Мисси-Виденья-Ценностей
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 13

14. Шаблоны Картины мира
Business Model for Information
Security от ISACA (2010)
Понятия ИБ ГОСТ Р ИСО/МЭК
15408-1-2002
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 14

15. Зачем так много и нудно?
• Обмен информацией
• Количественная vs Качественная
• Потери vs Возможности
• Нарратив
• Черные лебеди
• Снижение Неопределенности
• Проблема референтных классов
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 15

16. Мониторинг и Пересмотр
Что влияет на частоту анализ и пересмотра
Рисков?
Скорость изменения контекста
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 16

17. Свежий взгляд
• Предотвратимые риски
• Стратегические риски
• Внешние риски
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 17

18. Еще несколько проблем
• Риск-апетит
• Rule-based подход
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 18

19. Итоги
Контекст - это все!
© Владимир Гнинюк, 2012 Конференция UISGCON8 Страница 19

20. В поисках взаимопонимания ИБ и Бизнеса
Вопросы
Владимир Гнинюк
e-mail: vgninyuk@global-it-service.com.ua
Блог: «Make IT Secure» http://vgninyuk.blogspot.com/
Тел. +380 50 44 008 44