Риски информационной безопасности при передаче систем на аутсорсинг

Передача организацией на основании договора определенных бизнес-процессов или производных функций на обслуживание другой компании, специализирующейся в соответствующей области.
Аутсорсинг –
ИТ аутсорсинг (ITO) –
Передача части (всех) функций по поддержке и обслуживанию собственных информационных систем сторонней компании, специализирующейся в этой сфере.

Модели аутсорсинга
Выбранная модель и состав передаваемых функций определяют возникающие риски информационно безопасности

Какие системы передать на аутсорсинг?
Какая информация содержится в системе и какова её ценность?
Какие требования по безопасности предъявляются?
Какие ИТ функции передать, а какие оставить?
Кому? На каких условиях?
Какие риски принять, а какие обработать?
Определение контекста

Новые условия окружения
Резко сужается круг доверенных лиц
Более активное использование внешних каналов связи
Неизвестная исходная защищенность инфраструктуры провайдера
Неизвестный круг третьих лиц, получающих доступ к инфраструктуре и системе, включая физический уровень
Отсутствие контроля над регламентами и их исполнением на стороне провайдера
Отсутствие оперативной обратной связи и информирования по инцидентам ИБ на стороне провайдера

Источники (факторы) риска
Готов ли менеджмент Компании-Заказчика к обработке рисков взаимодействия?
Готова ли Компания-Аутсорсер обеспечить обработку взятых на себя рисков? Имеет ли она необходимые меры контроля, снижающие риски до приемлемого уровня?
1
2

Новые риски
От выбранной модели и полноты передаваемых функций зависит итоговый перечень актуальных угроз и рисков ИБ, которые следует проанализировать!

Общий подход к менеджменту рисков
* Качественный, количественный или комбинированный подход
*

Применение менеджмента рисков к передаче систем на аутсорс
Выделить области изменений в системе в связи с передачей на аутсорс
Оценить в выделенных областях текущие риски в с учетом существующих контролей
Оценить в выделенных областях будущие риски с учетом известных контролей аутсорсера
Принять решение об управлении рисками
Оценить стоимость контракта с учетом требований к аутсорсеру по реализации контролей
Принять решение о передаче на аутсорс
Принять решение о модификации аутсорсингового контракта

Основные этапы управления рисками
Идентификация активов
Оценка активов
Идентификация угроз и уязвимостей
Идентификация имеющихся контролей
Оценка рисков

Факторы влияющие на уровень риска
эффективность мер контроля
Потенциал нарушителя
Степень воздействия
Ценность активов
Вероятность
Последствия
УРОВЕНЬ РИСКА
Мотивация
Возможности

Результаты работ
Перечень новых рисков, возникающих в связи с передаче систем на аутсорсинг
Для рисков выше приемлемого уровня – рекомендуемые контроли по снижению рисков
Рекомендации по составу требований к аутсорсеру по реализации контролей

Ключевые моменты работ
Согласование шкал и критериев оценки активов и последствий
Увязка с существующими в организациями подходами к оценке и управлению рисками
Определение уровня приемлемого риска
Получение объективной информации о наличии контролей у аутсорсера

Пример оценки

Пример контролей по снижению риска

Пример шкалы оценки активов по свойству конфиденциальности

Возможные трудности
Нечеткая классификация информации на стороне клиента
Плохо формализованные требования на стороне клиента
Невозможность сформулировать стоимость информации на стороне клиента
Отсутствие сведений о контролях на стороне аутсорсера

«Хороший» провайдер
Готов фиксировать в договорных обязательствах свою ответственность за нарушение режима КТ и инциденты ИБ
Готов идти на регулярный внешний аудит ИБ по требованиям Заказчика
Имеет сертифицированную систему управления ИБ с «правильной» областью деятельности
Готов предоставлять журналы регистраций событий ИБ по первому требованию
Готов строить интегрированную систему управления инцидентами ИБ и мониторинга состояния защищенности информации Заказчика