Одна оценка рисков для ISO 27001, SOC 2 и HIPAA

Оценка рисков — точка, с которой начинаются три самых распространённых стандарта. ISO 27001 строится на ней целиком (пункт 6.1.2). SOC 2 посвящает ей раздел своих общих критериев (CC3.1–CC3.4). Правило безопасности HIPAA делает анализ рисков первой обязательной спецификацией реализации (§164.308(a)(1)(ii)(A)), и это первый документ, который запрашивают следователи HHS. Многие организации проводят три оценки. Достаточно одной.

Что проверяет каждый стандарт

• ISO 27001 требует определённого и воспроизводимого метода с критериями приемлемости; риски, выявленные для конфиденциальности, целостности и доступности; владельцев; анализ вероятности и последствий; а также связь с обработкой рисков и Декларацией о применимости.
• SOC 2 требует, чтобы цели были заданы достаточно чётко для выявления рисков (CC3.1), чтобы риски выявлялись и анализировались по всей организации (CC3.2), чтобы учитывался риск мошенничества (CC3.3) и оценивались изменения (CC3.4).
• HIPAA требует точной и полной оценки рисков и уязвимостей для ePHI, где бы она ни создавалась, ни принималась, ни хранилась или ни передавалась, поддерживаемой в актуальном состоянии и сопровождаемой управлением рисками (§164.308(a)(1)(ii)(B)).

В наших данных эти требования напрямую связаны:

Стандарт	Оценка рисков	Связь
NIST CSF 2.0	ID.RA-03ID.RA-04ID.RA-05ID.RA-06	Определение темы
ISO 27001	Clause 6.1.2Clause 6.1.3	Соответствия
CIS v8.1	—	Нет сопоставления в наших данных
SOC 2	CC3.2CC3.4CC3.3	Редакционные материалы
PCI DSS	12.3.1	Соответствия
CMMC	RA.L2-3.11.1	Соответствия
800-53	RA-3RA-7	Соответствия
HIPAA	§164.308(a)(1)(ii)(A)	Соответствия
GDPR	Art.35(1)Art.35(7)	Редакционные материалы
NIS2	2.1	Соответствия
Essential Eight	—	Нет сопоставления в наших данных

Полные подробности и обоснование каждой связи: Оценка рисков по фреймворкам →

Как спроектировать одну оценку для всех трёх

1. Охватите всё: область ISMS, систему SOC 2 и каждое место хранения ePHI. Зафиксируйте, какие активы подпадают под какой стандарт.
2. Используйте один метод: основанный на активах или сценариях, со шкалой вероятности и воздействия, критериями приемлемости и владельцами. Требования ISO к документированному и воспроизводимому методу самые строгие, поэтому выполните их.
3. Добавьте вопросы, специфичные для стандартов: риск мошенничества (SOC 2 CC3.3), угрозы и уязвимости, специфичные для ePHI (HIPAA), а также правовые и договорные риски.
4. Свяжите каждый риск с обработкой: выбранные меры контроля, остаточный риск, принятие владельцем. Эта единая таблица питает Декларацию о применимости ISO, мероприятия контроля SOC 2 и управление рисками HIPAA.

Результаты, которые удовлетворят всех трёх аудиторов

• Метод, утверждённый руководством.
• Реестр рисков с владельцами, оценками и решениями по обработке.
• План обработки рисков с датами.
• Принятие остаточного риска владельцами.
• Свидетельства пересмотра не реже раза в год и после существенных изменений.

Простой формат реестра рисков

Одна строка на риск подходит для всех трёх стандартов:

Поле	Пример
Риск	Программа-шифровальщик шифрует производственную базу данных
Активы	Производственная база данных, резервные копии, хранилище ePHI
Стандарты	ISO 27001, SOC 2, HIPAA
Вероятность и воздействие	Возможно, серьёзное
Существующие меры	MFA, EDR, ночные резервные копии
Обработка	Изолировать резервные копии; ежеквартально проверять восстановление
Владелец	Руководитель инфраструктуры
Остаточный риск и принятие	Средний, принят CTO
Дата пересмотра	Следующий квартал

Столбец со стандартами — главная хитрость: он позволяет одному реестру ответить трём аудиторам без трёх таблиц.

Ключевые выводы

• Один метод и один реестр могут удовлетворить ISO 27001, SOC 2 и HIPAA.
• Добавьте вопросы, специфичные для стандартов: риск мошенничества и места хранения ePHI.
• Пересматривайте не реже раза в год и после существенных изменений.

Типичные замечания аудиторов

• Общие риски («хакеры», «утечка данных») без связи с конкретными активами или мерами контроля.
• Нет владельцев, или команда безопасности владеет всеми рисками.
• Пропущенные места хранения ePHI: выгрузки, резервные копии, электронная почта, тестовые системы.
• Устаревание: оценка проведена один раз для первого аудита и больше не обновлялась.

Подробнее о связях этих стандартов см. сравнение ISO 27001 и HIPAA и тему «Оценка рисков». Анализ разрывов показывает каждое сопоставление между любыми двумя стандартами.

Вопросы

Является ли анализ рисков HIPAA тем же, что оценка рисков ISO 27001?

Они во многом пересекаются. HIPAA требует точной и полной оценки рисков для конфиденциальности, целостности и доступности ePHI; оценка рисков ISO 27001, которая включает ePHI в область охвата и фиксирует элементы, специфичные для HIPAA, может служить для обоих.

Как часто нужно проводить оценку рисков?

ISO 27001 требует проводить оценку рисков через запланированные интервалы и после существенных изменений. Аудиторы SOC 2 обычно ожидают оценку рисков не реже раза в год. HIPAA требует, чтобы анализ рисков поддерживался в актуальном состоянии.

Должна ли оценка рисков быть качественной или количественной?

Подходит любой вариант для всех трёх стандартов, при условии что метод определён, применяется последовательно и даёт сопоставимые результаты. Большинство организаций начинают с качественного подхода и добавляют числовые оценки там, где этого требуют решения.