RM

Управляйте рисками кибербезопасности осознанно, а не интуитивно

Платформа для цифровизации процессов управления рисками, которая объединяет моделирование угроз, экспертные оценки, реестры рисков и планы их обработки в единый контролируемый контур.

Запросить демо-доступ

Вы тратите миллионы на защиту, но не можете уверенно сказать, какие риски действительно критичны для бизнеса, а какие — субъективны и надуманы? Оценки проводятся эпизодически, раз в год, и сразу теряют актуальность? А когда приходит время отчитываться перед руководством или регулятором, приходится заново собирать данные с владельцев систем? Решение есть: Security Vision RM (Risk Management).

Это система, которая позволяет выстроить непрерывный, циклический процесс управления рисками кибербезопасности. Вы проводите моделирование угроз (по методике ФСТЭК России или по собственной методологии), формируете экспертные группы и просите их членов заполнить опросные листы, проводите качественную или количественную оценку рисков с использованием преднастроенных или своих собственных методик, автоматически рассчитываете итоговые показатели, ведете реестр рисков, создаете задачи на их обработку (принять, избежать, передать, минимизировать) и контролируете выполнение. Всё — с возможностью переоценки по расписанию и интеграцией со смежными системами и средствами защиты для получения актуальной информации о случаях реализации рисков.

Как это работает

Security Vision RM начинается с идентификации активов и угроз: вы ведете справочник результатов моделирования угроз (возможности нарушителей, уязвимости, способы реализации угроз, негативные последствия, меры защиты). Затем формируете экспертную группу из владельцев информационных систем, ИБ-специалистов, риск-менеджеров и приглашенных экспертов. Через систему рассылаются опросные листы для оценки опасности и вероятности реализации угроз и эффективности мер защиты, а интеграция с ресурсно-сервисной моделью активов позволяет автоматически учитывать их характеристики для расчета рисков. На основе заполненных данных система автоматически рассчитывает уровень рисков по выбранной методологии (качественной, количественной или комбинированной). Результаты попадают в реестр рисков, на их основе формируются планы обработки (создание задач по внедрению дополнительных мер, снижению вероятности или последствий). Процесс циклически повторяется по расписанию, позволяя отслеживать динамику и эффективность принятых мер.

Ключевые возможности
и их ценность для бизнеса

Идентификация рисков кибербезопасности

Идентификация киберрисков и анализ сценариев их реализации на основе результатов моделирования киберугроз по собственной методологии и методике ФСТЭК России с использованием данных БДУ ФСТЭК и проекта MITRE ATT&CK. Учет объектов воздействия (с использованием данных ресурсно-сервисной модели компании), угроз ИБ и последствий их реализации, потенциала нарушителя, существующих мер защиты, способов реализации.

Ценность для бизнеса

Вы получаете структурированную, документированную базу знаний о киберрисках, в которой перечислено, что именно угрожает вашим информационным системам и какая защита уже есть. Это фундамент для всех дальнейших оценок — вместо субъективной и предвзятой оценки угроз вы получаете объективную модель, привязанную к реальной инфраструктуре.

Оценка рисков с привлечением экспертов

Формирование экспертной группы, заполнение опросных листов, оценка составляющих риска (потенциальный ущерб, вероятность способов реализации, эффективность мер защиты и т.д.) самостоятельно аналитиком или с привлечением экспертов и владельцев информационных систем. Поддержка качественной, количественной и комбинированной методик оценки уровня рисков ИБ.

Ценность для бизнеса

Вы вовлекаете в процесс оценки рисков владельцев активов и ИТ-подразделения — тех, кто лучше всех знает специфику систем. Опросные листы, заполненные в веб-интерфейсе или в импортируемом файле, обеспечивают единый подход и повышают объективность оценки. Автоматический расчет уровня рисков сводит к минимуму ошибки ручного подсчета и экономит время экспертов.

Формирование реестра рисков и планов обработки

Автоматическое формирование реестра рисков с указанием уровня, причин, существующих и требуемых мер. Создание задач по обработке рисков (принять, избежать, передать, минимизировать) с назначением ответственных и контролем исполнения.

Ценность для бизнеса

Вы не просто знаете, какие риски существуют, но и управляете ими. Каждый риск имеет владельца, план обработки, сроки и статус. Руководство видит, какие риски снижены, какие требуют дополнительных действий, а какие приняты осознанно.

Мониторинг рисков

В продукт заложен функционал мониторинга рисков, работающий через механизм индикаторов риска, а также функционал переоценки рисков. Индикаторы позволяют контролировать уровни рисков и оповещать об их превышении, а переоценка рисков позволяет поддерживать актуальность расчетов уровней рисков путем регулярного запуска процедур повторной оценки. Security Vision RM позволяет автоматизировано собирать и агрегировать данные из различных внешних источников, таких как системы управления инцидентами, уязвимостями и активами, что помогает рассчитывать актуальные значения индикаторов риска в реальном времени.

Ценность для бизнеса

Ваши возможности управления и мониторинга рисков повышаются с функционалом мониторинга индикаторов риска. Вы можете видеть полную картину текущих рисков в реальном времени, используя объективные и актуальные данные из ИТ/ИБ-систем. При превышении пороговых значений индикаторов рисков ответственные автоматически получают уведомления. За счет регулярной переоценки рассчитанные значения рисков не устаревают через месяц после проведения оценки, и риск-менеджмент становится «живым» процессом, а не разовым формальным мероприятием.

Интеграция с другими системами и моделирование рисков

Интеграция со смежными системами (AM, VM, SOAR, CMDB) для автоматического получения данных об активах, уязвимостях, инцидентах для мониторинга уровня связанных рисков. Адаптация рабочих процессов, справочников, содержимого опросных листов под любую методологию в удобном графическом No-Code редакторе.

Ценность для бизнеса

Вы не тратите время на ручной перенос данных из ваших ИТ/ИБ-систем — они подтягиваются автоматически. Такая интеграция позволяет видеть актуальную картину текущих рисков — на основе объективных данных из инфраструктурных и защитных решений. Любая методология оценки рисков реализуется в системе без доработок со стороны разработчика. Применение метода Монте-Карло в моделировании рисков позволяет не только выявлять наиболее вероятные события, но и анализировать влияние различных факторов на конечный результат.

Гибкая отчетность и дашборды

Формирование отчетов по собственным шаблонам с настройкой шрифтов, цветов, диаграмм в форматах PDF, DOCX, XLSX, CSV и др. Дашборды с аналитикой в реальном времени по реестру рисков, динамике уровня риска, статусу обработки, индикаторам риска.

Ценность для бизнеса

Вы всегда готовы к отчету перед руководством, советом директоров или регулятором. Отчет о рисках формируется за секунды, содержит актуальные данные и визуализацию динамики. Руководство видит ключевые метрики на дашбордах (и может погрузиться в детали через функционал "drill down") — и может принимать обоснованные управленческие решения.

Результаты

Обоснованность инвестиций в ИБ

Вместо интуитивного выбора защитных мер и попыток получить под них бюджет — экономически обоснованный перечень контрмер для снижения конкретных рисков с демонстрацией ожидаемого эффекта (минимизация ущерба, снижение вероятности инцидентов, повышение устойчивости бизнеса). Это позволяет говорить с руководством на языке бизнеса, а не технических деталей, и обосновывать бюджет.

Прозрачность для руководства и регуляторов

Вы используете единый, актуальный реестр рисков, привязанный к конкретным активам и процессам. Уровень рисков, причины, планы обработки, статусы — всё структурировано и доступно. Это идеальная основа для отчетности по требованию ЦБ РФ, ФСТЭК России или внутреннего аудита.

Снижение числа инцидентов

Системное управление рисками позволяет проактивно выявлять и обрабатывать угрозы до того, как они приведут к инцидентам. Вы перестаете «тушить пожары» и начинаете управлять кибербезопасностью осознанно.

Непрерывность процесса

Риски переоцениваются по расписанию, динамика отслеживается, а планы обработки контролируются. Риск-менеджмент становится непрерывным процессом, а не разовым формальным мероприятием.

Соответствие требованиям

Сертифицированное решение (ФСТЭК России, ФСБ‑РФ, МО‑РФ) с готовыми интеграциями с ГосСОПКА и ФинЦЕРТ входит в Реестр отечественного ПО и закрывает требования 152‑ФЗ, 161‑ФЗ и 187‑ФЗ, приказов ФСТЭК России №117, 21, 31, положений и стандартов ЦБ РФ, ГОСТ 57580 и стандарта PCI DSS.

Хотите говорить с руководством на понятном ему бизнес-языке рисков и денег, а не сложных технических терминов? Security Vision RM — ваш инструмент для прозрачного, управляемого и зрелого процесса риск-менеджмента.

Техническая информация

Обзор продукта

Security Vision RM позволяет повысить качество принятия управленческих решений за счёт цифровизации и прозрачности процессов: проведение моделирования угроз (например, согласно ФСТЭК), учёт любой выбранной методологии оценки рисков (количественная, качественная, комбинированная).

Методику «из коробки» можно расширить при помощи интеграций со смежными системами, а также адаптации рабочих процессов, справочников, содержимого опросных листов и других объектов.

Применение продукта

Идентификация рисков кибербезопасности

Ведение справочника результатов моделирования угроз (объекты воздействия, угрозы ИБ, потенциал нарушителя, меры защиты, способы реализации и др.) согласно собственной методологии и рекомендаций ФСТЭК

Оценка рисков

Формирование экспертной группы, заполнение опросных листов, оценка вероятности реализации угроз и эффективности мер защиты с привлечением экспертов и владельцев информационных систем по качественной/количественной или комбинированной методике

Циклическая минимизация рисков

Непрерывный и повторяющийся во времени процесс формирования области оценки рисков ИБ, управления экспертными группами с автоматическим расчётом указанных ими показателей и управление задачами по обработке рисков

Продукт соответствует требованиям регуляторов

Федеральным законам № 152-ФЗ, 161-ФЗ, приказам ФСТЭК № 17, 21 и 31, СТО БР ИББС и РС БР ИББС-2.5—2014, а также международному стандарту PCI DSS. Продукт сертифицирован ФСТЭК и Минобороны России и входит в реестр отечественного ПО.