Что такое остаточный риск на самом деле

Что такое остаточный риск на самом деле

«Residual risk, это не просто «оставшийся риск». Это единственный риск, о котором мы принимаем решения. Это риск, который остаётся после всех наших мер, и именно он определяет наш профиль реальной уязвимости перед внешним миром. Часто его смешивают с принятием риска, но это не одно и то же. Понимание и управление остаточным риском, это ключевой навык для тех, кто работает в сфере ИБ и регуляторики, где декларации о «нулевом риске» чаще всего означают непонимание его природы.»

Поверхностное понимание: риск, который остался

На первый взгляд всё просто. Residual risk (остаточный риск), это часть риска, которая сохраняется после применения выбранных мер безопасности. Любая защита несовершенна. Вы ставите межсетевой экран — остаётся риск ошибки в его правилах или использование атакующих методов, которые его обходят. Вы внедряете шифрование — остаётся риск компрометации ключей или атаки на конечное устройство. Этот риск нельзя свести к нулю, можно лишь контролируемо им управлять.

Практически в каждом методологическом стандарте — от ISO 27001 до документов регуляторов — присутствует схема оценки рисков: сначала выявляется исходный (inherent) риск, затем оценивается влияние внедряемых средств защиты (controls), и на выходе получается остаточный риск. Формула часто упрощается до: «Остаточный риск = Исходный риск – Эффективность средств защиты». На этом уровне остаточный риск воспринимается как технический показатель, цифра в матрице или поле в отчёте.

Глубинное понимание: единственный риск, который имеет значение

Вот где начинается путаница. Многие считают, что работа по управлению рисками заканчивается, когда остаточный риск признан «приемлемым». Но это лишь начало настоящей работы. Residual risk, это не побочный продукт, а главный объект управления. Исходный риск, это абстракция, гипотетическая угроза в «стерильной» среде. А вот остаточный риск, это конкретная, измеримая величина угрозы для вашего бизнеса здесь и сейчас, с учётом всех реально работающих (или неработающих) средств.

Фокус смещается с вопроса «Как нам снизить риск?» на вопросы: «Какой риск мы оставляем себе?», «Насколько мы осознаём его последствия?» и «Готовы ли мы нести ответственность за его материализацию?». Ответы на эти вопросы и есть суть управления остаточным риском.

Residual risk vs. Risk acceptance: критическое различие

Одна из самых распространённых ошибок — отождествление остаточного риска с принятием риска (risk acceptance). Это разные, хотя и тесно связанные, концепции.

• Residual risk (остаточный риск), это объективная, расчётная величина. Он существует вне зависимости от того, признали вы его или нет. Он — факт.
• Risk acceptance (принятие риска), это управленческое решение, процесс. Это сознательный акт со стороны владельца риска (часто — руководства бизнеса) о том, что данный уровень остаточного риска является допустимым для организации при текущих условиях и целях.

Можно иметь высокий остаточный риск, но не принимать его, это означает, что руководство либо не осведомлено о ситуации, либо намеренно игнорирует её, что является отдельной проблемой управления. И наоборот, низкий остаточный риск может быть формально принят, завершив цикл обработки риска. Ключевой момент: принятие риска должно быть документированным и осознанным решением, а не молчаливым согласием с текущим положением дел.

Практика работы с остаточным риском в российском регуляторном поле

В контексте 152-ФЗ и требований ФСТЭК концепция остаточного риска часто имплицитно присутствует, хотя прямого термина может и не быть. Например, при выполнении требований о защите персональных данных, вы выбираете класс защищённости (КЗ), который определяет набор необходимых мер (СЗПДн). Фактически, выбранный КЗ, это решение о допустимом уровне остаточного риска для конкретной информационной системы. Вы говорите: «Мы готовы принять риски, соответствующие КЗ-2, и внедряем меры, чтобы снизить исходные риски до этого уровня».

Аудит или проверка со стороны регулятора часто фокусируется именно на оценке остаточного риска: проверяют, действительно ли внедрённые меры снижают угрозы до заявленного (принятого) уровня, или между декларацией и реальностью есть разрыв.

Типичные ошибки при оценке

1. Нереалистичная оценка эффективности мер. Присвоение мерам защиты 90-100% эффективности «на бумаге», что искусственно занижает расчёт остаточного риска. В реальности эффективность многих организационных мер (например, инструктажи) или сложных технических систем редко превышает 70-80% в долгосрочной перспективе.
2. Игнорирование связанных рисков. Внедрение новой системы защиты может создать новый остаточный риск. Например, развёртывание системы DLP снижает риск утечки данных, но создаёт остаточный риск, связанный с самой системой DLP: её отказ, ложные срабатывания, уязвимости в её ПО, риски, связанные с её администраторами.
3. «Забытые» риски. Риски, для которых не были предложены или внедрены меры, автоматически переходят в категорию остаточных. Если они не были явно приняты, это создаёт «серую зону» неконтролируемых угроз.

Управление остаточным риском: непрерывный цикл

Работа с residual risk не заканчивается его принятием. Это динамическая категория. Изменения происходят постоянно: появляются новые угрозы (исходный риск растёт), средства защиты устаревают (их эффективность падает), меняется бизнес-контекст (приемлемый уровень риска может измениться). Поэтому управление остаточным риском, это цикл.

1. Мониторинг. Регулярный пересмотр рисков, эффективности мер, актуальности решений о принятии. Использование данных с систем мониторинга, результатов тестов на проникновение, инцидентов безопасности как индикаторов.
2. Переоценка. Если остаточный риск вырос сверх принятого уровня, необходимо инициировать новый цикл обработки риска: рассмотреть дополнительные меры, передать риск (например, через страхование) или пересмотреть решение о его принятии.
3. Коммуникация. Информирование руководства и заинтересованных сторон о текущем уровне остаточных рисков. Без этого невозможно осознанное принятие решений на верхнем уровне.

Резюме: почему это важно здесь и сейчас

Понимание residual risk выводит специалиста по ИБ и регуляторике из роли простого исполнителя мер в роль советника по управлению. Это переход от бинарного мышления «защищено/не защищено» к вероятностному «насколько защищено и какие угрозы мы сознательно допускаем».

В условиях, когда требования регуляторов ужесточаются, а бюджеты не безграничны, способность грамотно аргументировать, какой остаточный риск является оптимальным для бизнеса, становится ключевой компетенцией. Это не слабость — признать, что 100% защиты не существует. Это профессиональная зрелость — точно знать, где проходят границы вашей 95% или 80% защиты, и быть готовым нести за них ответственность вместе с бизнесом.

Остаточный риск, это не дыра в защите. Это осознанно оставленное окно в мир, через которое организация дышит, ведёт бизнес и принимает на себя ответственность за свою деятельность. Задача профессионала — сделать это окно нужного размера, поставить на него крепкую раму и знать, какая погода за ним.