Цель исследования: обосновать риск-ориентированный подход к интерпретации требований российского законодательства в сфере кибербезопасности как основу для выявления, анализа и обработки киберрисков организации.
Методы исследования: применены системный, сравнительно-правовой и структурно-логический анализ. Системный анализ позволил рассмотреть требования законодательства как взаимосвязанную совокупность правовых, организационных и технических мер. Сравнительно-правовой анализ обеспечил сопоставление положений Федерального закона № 187-ФЗ, Федерального закона № 152-ФЗ, Указа Президента Российской Федерации № 250, нормативных документов ФСТЭК России и ФСБ России, а также требований, связанных с взаимодействием с ГосСОПКА и НКЦКИ. Структурно-логический анализ лег в основу выделения последовательности перехода от нормативного требования к риск-сценарию, контрольной мере и остаточному риску.
Полученные результаты: предложена последовательность риск-ориентированной интерпретации нормативного требования, включающая нормативный источник, требование, актив, угрозу, риск-сценарий, контроль безопасности, показатель эффективности и остаточный риск. Сформирована матрица связи нормативных требований, риск-сценариев, контрольных мер и показателей их результативности. Выделены основные типы нормативно обусловленных киберрисков: неверная идентификация активов, ошибочное категорирование объектов критической информационной инфраструктуры, формальное моделирование угроз, недостаточный мониторинг событий безопасности, несвоевременное реагирование на инциденты, неэффективный аудит и правовые последствия.
Научная новизна: предложена риск-ориентированная интерпретация требований российского законодательства в сфере кибербезопасности, связывающая нормативные предписания с защищаемыми активами, актуальными угрозами, риск-сценариями, контрольными мерами и остаточными рисками. В отличие от формального подхода к подтверждению соответствия, предложенная логика ориентирована на оценку фактического влияния требований и реализуемых мер защиты на уровень киберриска.
The purpose: to substantiate a risk-oriented approach to the interpretation of Russian cybersecurity legislation as a basis for identifying, analyzing and treating an organization’s cyber risks.
Research methods: the study applies systemic, comparative legal, and structural-logical analysis. The requirements of Russian cybersecurity legislation are considered as a set of legal, organizational and technical measures; key regulatory sources are compared; a sequence is identified for moving from a regulatory requirement to a risk scenario, control measure and residual risk.
The results: the study proposes a sequence for risk-oriented interpretation of a regulatory requirement: regulatory source, requirement, asset, threat, risk scenario, control, performance indicator and residual risk. A matrix linking regulatory requirements, risk scenarios and control measures is developed. The main types of regulation-driven cyber risks are identified: incorrect asset identification, incorrect categorization of critical information infrastructure objects, formal threat modeling, insufficient security event monitoring, untimely incident response, ineffective audit and legal consequences.
The novelty of the research: the paper proposes an ecosystem approach to the analysis of the training of cybersecurity specialists, which allows us to consider professionalization as a result of the interaction of educational programs, market practices and communities. This approach expands the methodological base of research on personnel policy in the field of information security and opens up opportunities for forecasting trends in its development.