Анализ рисков позволяет принимать правильные решения по управлению компанией и ведения бизнеса. Риски, связанные с информационной безопасностью информации, являются одними из основных и рассматриваются в международных стандартах серии ISO/IEC 27000, и, в частности, национальные стандарты Российской Федерации серии ГОСТ Р ИСО/МЭК 27000. Для расчета рисков информационной безопасности выделяют две группы методов. Первая группа включает в себя методы позволяющие определить уровень риска с помощью уровню его соответствия выбранному набору требований. Вторая группа основывается на расчете вероятности реализации угроз, а также уровень ущерба от их реализации. При расчете могут использоваться статистические методы, методы экспертных оценок или элементы теории принятия решений. Статистические методы основываются на анализе уже имеющихся инцидентов в области информационной безопасности. На основе уже зарегистрированных событий рассчитывается вероятность реализации угрозы и уровень ущерба от ее реализации. В данной работе приводится пример автоматизации расчетов рисков информационной безопасности методом экспертных оценок.
Risk analysis allows you to make the right decisions on managing the company and doing business. Risks associated with information security of information are one of the main ones and are considered in international standards of the ISO / IEC 27000 series, and, in particular, national standards of the Russian Federation of the GOST R ISO/IEC 27000 series. Two groups of methods are distinguished for calculating in-formation security risks. The first group includes methods to determine the level of risk using the level of compliance with the selected set of requirements. The second group is based on the calculation of the probability of the implementation of threats, as well as the level of damage from their implementation. In the calculation, statistical methods, expert judgment methods or elements of decision theory can be used. Statistical methods are based on the analysis of already existing incidents in the field of information security. Based on the events already recorded, the probability of the threat and the level of damage from its implementation is calculated. This paper gives an ex-ample of the automation of information security risk calculations using expert assessments.