Крупний план рук, що тримають планшет із текстом на екрані.

Що таке оцінювання ризиків кібербезпеки?

Дізнайтеся, що передбачає оцінювання ризиків кібербезпеки і як воно допомагає організаціям впроваджувати проактивні та стійкі заходи безпеки.

Ознайомитися з уніфікованою платформою SecOps на основі ШІ

Розуміння оцінювання ризиків кібербезпеки

Оцінювання ризиків кібербезпеки дає змогу структуровано виявляти, оцінювати й усувати вразливості, які можуть наражати вашу організацію на ризик. Замість реагування на інциденти такий проактивний підхід підтримує обґрунтованіше прийняття рішень і довгострокову стійкість. Він дає командам чіткіше уявлення про потенційні загрози та допомагає визначити пріоритети кроків, потрібних для посилення захисту, збереження конфіденційних даних і дотримання нормативних вимог.

Ключові висновки

Оцінювання ризиків кібербезпеки допомагає організаціям проактивно виявляти, оцінювати й зменшувати вразливості в системах, людях і процесах.
Регулярні оцінювання підтримують відповідність вимогам, мінімізують збої та допомагають розумніше інвестувати в керування безпекою.
Основні кроки включають визначення області, ідентифікацію активів, оцінювання загроз і вразливостей, оцінювання керування та пріоритизацію ризиків.
Використання поширених систем стандартів, як-от NIST і MITRE ATMITRE ATT&CK®, забезпечує узгодженість, масштабованість і практичну застосовність оцінок.
Оцінювання ризиків має бути безперервним, а результати слід інтегрувати в планування бізнесу та постійно оновлювати зі зміною систем і ризиків.

Важливість оцінювання ризиків кібербезпеки

У зв’язку з нестачею фахівців у галузі безпеки та зростанням кількості загроз, пов’язаних із хмарними технологіями та штучним інтелектом, оцінювання ризиків кібербезпеки дає організаціям чіткіше уявлення про їхній поточний стан і про те, що потребує уваги до виникнення інциденту.

Ось чому це важливо:

Сприяє проактивній кібербезпеці. Раннє виявлення ризиків допомагає уникнути дорогих простоїв, втрати даних і перебоїв у роботі бізнесу.
Захищає делікатні дани. Коли ви розумієте, де зберігається конфіденційна інформація і як її можна розкрити, ви можете запровадити потрібний захист ще до того, як станеться інцидент.
Підтримує відповідність. Багато нормативних актів, як-от Генеральний регламент із захисту персональних даних (GDPR), Закон про звітність та безпеку медичного страхування (HIPAA) і Закон Сарбейнса – Окслі (SOX), вимагають оцінювання ризиків як частини безперервного дотримання вимог.
Спрямовує розумні інвестиції. Він показує організаціям, на чому зосередити час і ресурси, замість того щоб вгадувати або реагувати після атаки.
Зменшує людські та системні помилки. Виявляючи прогалини в політиках, процесах і навчанні, він допомагає мінімізувати помилки, що призводять до порушень безпеки.
Підвищує стійкість і довіру. Регулярні оцінювання посилюють вашу здатність реагувати на інциденти й відновлюватися, а також демонструють клієнтам, партнерам і регуляторам, що ви серйозно ставитеся до безпеки.

Основні компоненти оцінювання ризиків кібербезпеки

Комплексне оцінювання ризиків кібербезпеки дає змогу оцінити кілька рівнів захищеності організації – від технічної інфраструктури до людського фактора. Це дає змогу організаціям систематично виявляти ризики й розробляти цільові стратегії для їхнього зменшення.

Основні елементи оцінювання ризиків кібербезпеки

Добре структуроване оцінювання ризиків включає кілька основних етапів:

1. Визначте область застосування

Оцінювання ризиків кібербезпеки починається з визначення області застосування. Це означає чітке визначення того, яка частина організації буде оцінюватися – чи це конкретний бізнес-підрозділ, програма, чи вся ІТ-інфраструктура підприємства. Чітко визначена область застосування запобігає сліпим зонам і допомагає зберігати фокус. Вона має включати:

Фізична інфраструктура, як-от сервери, настільні комп’ютери, мобільні пристрої та IoT-кінцеві точки.
Програмні системи, як-от внутрішні інструменти, хмарні платформи, сторонні програми та бази даних.
Мережевий рівень, включно з сегментацією, віддаленим доступом і зовнішніми службами.
Люди, включно з ролями користувачів, рівнями доступу та цифровою діяльністю працівників, підрядників і постачальників.

2. Визначте ресурси

Після визначення області застосування наступним кроком є ідентифікація ресурсів. Це передбачає облік усього цінного в межах визначеної області застосування, що підтримує бізнес-операції. Ресурси включають:

Фізичне обладнання, як-от ноутбуки, сервери, маршрутизатори та пристрої зберігання даних.
Програмні системи, як-от операційні системи, бізнес-програми, інструменти безпеки та власний програмний код.
Мережева інфраструктура, зокрема точки бездротового доступу, VPN, брандмауери та DNS-системи.
Люди, як-от працівники, адміністратори, сторонні користувачі, а також пов’язані з ними облікові дані для ідентифікації та доступу.

Кожен ресурс слід класифікувати залежно від його критичності для бізнесу.

3. Виявляти загрози

Загроза – це будь-яка потенційна подія, суб’єкт або умова, яка може завдати шкоди, використовуючи вразливість у системі, мережі, програмі чи процесі. Це частина сценарію ризику, що відповідає на запитання ""Що може піти не так?""

Загрозами можуть бути:

Навмисна, як-от коли кіберзлочинець запускає фішингову атаку або інсайдер зловживає своїм доступом.
Ненавмисна, наприклад неправильно налаштований брандмауер або працівник, який надсилає конфіденційні дані не тій людині.
Пов’язана з довкіллям, зокрема пожежі, повені або збої живлення, що порушують роботу чи пошкоджують обладнання.

Вони можуть націлюватися на обладнання (наприклад, викрасти ноутбук), програми (використати вразливість у програмі), мережі (перехопити незашифрований трафік) або людей (обманом змусити користувачів поділитися паролями)

4. Оцінювання вразливостей

Вразливість – це слабке місце в системі, програмі, процесі або людській поведінці, яке загроза може використати, щоб завдати шкоди або спричинити несанкціоновані наслідки. Це частина сценарію ризику, що відповідає на запитання ""Як щось може піти не так?""

Вразливості можуть проявлятися по-різному:

Обладнання. Ноутбуки без шифрування, застаріла прошивка або незахищені порти.
Програмне забезпечення. Програми без встановлених оновлень, облікові дані за замовчуванням або код, який не є безпечним.
Мережі. Відкриті порти, слабке шифрування або погане сегментування.
Людські чинники. Паролі, що використовуються повторно, брак навчання або надмірні права доступу.

Вразливість не обов’язково призводить до інциденту, але в поєднанні з відповідною загрозою вона відкриває шлях до ризику. Наприклад, вебсервер із застарілим програмним забезпеченням є вразливим. Якщо зловмисник сканує цю вразливість і експлуатує її, організація може зазнати витоку даних.

5. Оцініть наявні інструменти керування

Після виявлення загроз і вразливостей настав час оцінити наявні інструменти керування, щоб зменшити їхній вплив. Інструменти керування поділяються на три основні типи:

Запобіжні. Наприклад, брандмауери, антивірусне програмне забезпечення та багатофакторну автентифікацію.
Виявляльні. Включно з системами виявлення вторгнень і інструментами керування захистом інформації (SIEM).
Коригувальні. До прикладів належать резервні копії та плани аварійного відновлення.

Важливо оцінити охоплення за такими напрямами:

Обладнання. Чи є фізичні заходи безпеки, як-от доступ за перепустками, шифрування пристроїв або безпечні процедури утилізації?
Програмне забезпечення. Чи впроваджено керування виправленнями та безпечні практики розробки?
Мережі. Чи сегментуєте ви трафік, належно ведете журналювання та використовуєте TLS для зашифрованих зв’язків?
Люди. Чи пройшли працівники навчання з розпізнавання фішингу? Чи відповідають політики доступу принципу найменших привілеїв?

Ця оцінка дає уявлення про те, наскільки ефективні поточні засоби захисту та де ще є прогалини.

6. Визначте ймовірність і вплив

Для кожного визначеного сценарію ризику оцініть:

Імовірність. Наскільки ймовірною є загроза з урахуванням наявних інструментів керування?
Вплив. Що станеться, якщо це відбудеться — фінансові втрати, витік даних, простій?

Урахуйте порушення роботи бізнесу, регуляторні штрафи, репутаційну шкоду та операційні витрати. Апаратні або мережеві збої, наприклад, можуть спричинити масштабні відключення, тоді як фішинговий напад може призвести до втрати даних через скомпрометовані облікові дані.

7. Розрахуйте ризик

Тепер поєднайте ймовірність і вплив, щоб визначити рівень ризику для кожного сценарію.

Приклад.

Сценарій ризику	Імовірність	Вплив	Рівень ризику
Зловмисна програма з вимогою викупу на застарілих серверах	Високий рівень	Високий рівень	Критичний рівень
Неправильно налаштоване правило для брандмауера	Середній рівень	Середній рівень	Помірний рівень
Фішинговий лист, що обходить фільтри	Високий рівень	Низький рівень	Помірний рівень

Це допомагає визначити, які проблеми потребують термінової уваги, а які є прийнятними або допустимими.

8. Рекомендуйте заходи зменшення ризиків

Для кожного високого або критичного ризику запропонуйте дії для його зниження. Рекомендації можуть включати:

Обладнання. Увімкніть зашифроване сховище, параметри безпечного завантаження та заблокуйте невикористовувані порти.
Програмне забезпечення. Запровадьте регулярне встановлення виправлень і використовуйте інструменти сканування коду в процесі розробки.
Мережі. Запровадьте сегментацію мережі та розгорніть системи запобігання вторгненням.
Люди. Розширюйте навчання з питань обізнаності щодо кібербезпеки та впроваджуйте суворіші інструменти керування доступу й перевірки ідентичності.

Рекомендації мають балансувати між зменшенням ризику, вартістю, складністю та впливом на зручність використання.

9. Документування та звітування

Ретельну оцінку ризиків слід чітко задокументувати та поширити серед зацікавлених сторін на кількох рівнях. Звіт зазвичай містить короткий виклад для керівників, докладні технічні результати для ІТ і безпекових команд та пріоритетні завдання. Візуальні елементи, як-от теплові карти, архітектурні схеми та таблиці, часто допомагають ефективніше передавати складні ризики. Документація має містити перелік активів, виявлені загрози та вразливості, наявні інструменти керування, рівні ризику та рекомендовані способи пом’якшення. У звіті також слід зазначити, хто відповідає за кожну дію та коли заплановано повторні оцінювання. Прозорість і чіткість допоможуть отримати підтримку та узгодити дії команд.

10. Перегляньте й повторіть

Оцінювання ризиків – це не разова дія, а частина безперервного циклу. Технології розвиваються, бізнес-процеси змінюються, а нові загрози постійно з’являються. Ось кілька порад, які допоможуть вам залишатися стійкими та підготовленими.

Плануйте регулярні оцінювання (щокварталу, щороку або після значних змін).
Автоматизуйте там, де це практично можливо (безперервне сканування вразливостей, моніторинг кінцевих пристроїв).
Адаптуйте свої інструменти керування, коли з’являються нові ризики – особливо щодо віддаленої роботи, залежностей у ланцюгах постачання або інструментів генеративного ШІ.

Методи проведення оцінювання ризиків кібербезпеки

Оцінювання ризиків кібербезпеки спираються на поєднання автоматизованих інструментів і ручних методів для виявлення та аналізу вразливостей. До поширених підходів належать:

Автоматизовані інструменти сканування, які виявляють прогалини в безпеці в мережах, кінцевих точках і хмарних середовищах.
Тестування на проникнення, яке імітує реальні кібератаки, щоб перевірити засоби захисту.
Аудити безпеки, які оцінюють політики безпеки, відповідність вимогам й інструментам керування.
Поведінковий аналіз, який відстежує цифрову активність людей на наявність аномалій, що можуть вказувати на внутрішні загрози або скомпрометовані облікові записи.

Використання кількох методів допомагає забезпечити ретельне оцінювання, яке охоплює як технічні, так і людські ризики.

Галузеві інфраструктури та стандарти

Щоб забезпечити узгодженість і відповідність вимогам, оцінювання ризиків кібербезпеки часто спираються на встановлені системи стандартів, як-от:

Система стандартів кібербезпеки від NIST створено Національним інститутом стандартизації та технологій, нерегулюючим урядовим агентством США, і надає рекомендації щодо виявлення, захисту, виявлення, реагування та відновлення після кіберзагроз.
ISO/IEC 27001 установлює міжнародний стандарт для систем керування інформаційною безпекою.
Керування CIS окреслює найкращі практики для захисту ІТ-середовищ.

Переваги та виклики оцінювання ризиків кібербезпеки

Регулярне проведення оцінювання ризиків кібербезпеки – це стратегічний крок, який підтримує як цілі безпеки, так і бізнес-пріоритети. Хоча процес і має свої виклики, переваги значно переважають труднощі.

Переваги

За умови узгодженого проведення оцінювання ризиків кібербезпеки допомагає організаціям посилювати захист і формувати довгострокову стійкість. Основні переваги:

Посиленнязахищеності. Регулярні оцінювання допомагають виявляти та усувати слабкі місця, перш ніж зловмисники зможуть їх експлуатувати. Це призводить до більш надійної та адаптивної системи стандартів кібербезпеки.
Відповідність нормативним вимогам. Багато галузей мають відповідати стандартам кібербезпеки. Оцінювання ризиків допомагає дотримуватися вимог таких нормативів, як GDPR і HIPAA.
Проактивний захист. Оцінювання допомагає командам завчасно виявляти вразливості, запобігати порушенням безпеки та мінімізувати потенційну шкоду. Це ефективніше й вигідніше, ніж реагування після інциденту.
Керування ресурсами та витратами. Визначаючи пріоритети для найкритичніших ризиків, організації можуть розумніше використовувати бюджети, персонал та інструменти. Оцінювання ризиків допомагає забезпечити, щоб ресурси розподілялися на ті сфери, які мають найбільше значення.

Поширені виклики

Попри свою цінність, оцінка ризиків кібербезпеки може бути складною, особливо для зростаючих організацій або команд із обмеженим досвідом. Деякі поширені виклики включають:

Брак внутрішньої експертизи. У багатьох команд відсутній належний набір навичок для оцінювання складних середовищ.
⁠Обмеження часу й ресурсів. Ретельне оцінювання потребує зусиль, координації та чіткого процесу, що може бути складним без належної підтримки.
Неузгоджене виконання. Без стандартизованого підходу або системи стандартів оцінювання можуть відрізнятися за якістю та обсягом.
Встигати за змінами. Нові технології, хмарні середовища та гібридні моделі роботи створюють постійні труднощі.
Різні інструменти безпеки. Оцінювання ризиків може бути складним для організацій, які використовують багато засобів безпеки, що погано інтегровані між собою.

Розв’язання цих викликів часто потребує залучення зовнішньої експертизи, впровадження автоматизації або використання стандартизованих інструментів і систем стандартів.

Вартість ігнорування оцінювання ризиків

Хоча це може бути складно, важливо розпочати впровадження ефективного процесу оцінювання ризиків кібербезпеки. Невиконання регулярного оцінювання може мати серйозні наслідки. Без видимості змінних ризиків організації стикаються з такими наслідками:

Підвищений ризик витоку даних. Невстановлені оновлення безпеки та помилки конфігурації стають відкритими дверима для зловмисників.
Фінансові втрати. Порушення безпеки часто спричиняють значні витрати, зокрема зниження продуктивності, простої та втрату бізнесу.
Правові та регуляторні штрафи. Недотримання вимог нормативів щодо захисту даних і конфіденційності може призвести до штрафів або судових позовів.
Репутаційні збитки. Клієнти та партнери швидко втрачають довіру після інциденту безпеки.

Найкращі практики проведення оцінювання ризиків кібербезпеки

Оцінювання ризиків кібербезпеки настільки ж ефективне, наскільки сильним є процес, на якому воно базується. Дотримання найкращих практик допомагає забезпечити, щоб оцінювання були ефективними, відтворюваними та узгодженими з бізнес-пріоритетами.

Почніть із чітких цілей

Перш ніж починати, важливо визначити, чого має досягти оцінювання. Це може означати виявлення критичних активів і потенційних загроз, виконання вимог щодо відповідності, зменшення ймовірності інцидентів або визначення майбутніх інвестицій у безпеку. Встановлення чітких цілей на початку допомагає забезпечити, щоб оцінювання залишалося сфокусованим, релевантним і дієвим протягом усього процесу.

Залучіть потрібні зацікавлені сторони

Оцінювання ризиків – це не лише завдання ІТ. Воно потребує участі всієї організації. Команди безпеки та ІТ надають технічну експертизу, а юридична служба й команда відповідності надають рекомендації щодо регуляторних ризиків. Операції та відділ кадрів можуть підкреслити ризики, пов’язані з процесами та персоналом, а керівництво відповідає за узгодження з бізнес-цілями. Залучення кількох точок зору допомагає забезпечити, щоб оцінювання охоплювало повний спектр ризиків – від неправильних конфігурацій програмного забезпечення до людської поведінки.

Виберіть між внутрішнім або зовнішнім оцінюванням

Не існує єдиного найкращого підходу до проведення оцінювання ризиків. Внутрішні оцінювання зазвичай є економічно вигіднішими та базуються на внутрішніх знаннях організації, однак вони можуть не помічати слабкі місця або не мати спеціалізованих інструментів. Зовнішні оцінювання надають свіжий, неупереджений погляд і глибшу експертизу, однак вони можуть бути дорожчими, а фахівці, які проводять оцінювання, зазвичай менш знайомі з внутрішніми системами. Багато організацій обирають гібридний підхід: використовують внутрішні команди для регулярних перевірок і залучають зовнішніх експертів для глибшого аналізу або коли цього вимагає відповідність вимогам.

Оберіть правильну стратегію обробки ризиків

Коли ризики виявлено, організації потрібно вирішити, як на них реагувати. Деякі ризики можна прийняти, якщо вони не виходять за межі допустимого рівня компанії. Інших ризиків можна повністю уникнути, якщо усунути систему або діяльність, яка їх створює. Ризики також можна передати третій стороні, наприклад через страхування або договірні угоди. Найчастіше організації вирішують пом’якшити ризики, застосовуючи інструменти керування, які зменшують імовірність або вплив до прийнятного рівня. Правильна стратегія залежить від бізнес-цілей, схильності до ризику та наявних ресурсів.

Документуйте все

Підтримувати точну документацію критично важливо і для короткострокового, і для довгострокового успіху. Вона допомагає організаціям дотримуватися галузевих нормативів, відстежувати зміни та тенденції з часом і ухвалювати швидші, краще обґрунтовані рішення. Якісна документація також спрощує аудити, перевірки безпеки та забезпечує безперервність, навіть коли команди або системи змінюються.

Дійте за результатами

Цінність оцінювання ризиків полягає в тому, як використовуються його результати. Вразливості з високим ризиком потрібно усувати першими, а кроки з виправлення мають узгоджуватися з ширшими цілями безпеки. Призначайте відповідальність за кожну дію, відстежуйте прогрес і регулярно переоцінюйте ситуацію, щоб переконатися, що поліпшення закріпилися. Сприймайте результати як частину безперервного процесу – а не одноразову вправу – і зробіть подальші дії частиною своєї культури безпеки.

Оцінюйте з потрібною періодичністю

Технології швидко змінюються, і активність загроз також. Це означає, що оцінювання ризиків слід проводити частіше ніж раз на рік, особливо в середовищах із високим ризиком. Галузі на кшталт фінансів і охорони здоров’я часто переоцінюють ризики щокварталу або раз на пів року. Менші компанії можуть робити це щороку або після значних змін в інфраструктурі. Хмаро-орієнтовані або швидкозростаючі компанії можуть потребувати ще частіших оцінювань, щоб встигати за змінами поверхні атак. Також доцільно проводити повторне оцінювання після значних подій, таких як злиття, інциденти безпеки або оновлення регуляторних вимог.

Нові тенденції в оцінюванні ризиків кібербезпеки

З часом оцінювання ризиків кібербезпеки стане швидшим, безперервнішим і інтегрованішим у процеси прийняття бізнес-рішень. Традиційні оцінювання — ручні, періодичні та реактивні — поступаються місцем розумнішим підходам у реальному часі, які адаптуються до змінюваних загроз і середовищ.

Інструменти на основі ШІ відіграватимуть дедалі важливішу роль, автоматизуючи такі завдання, як виявлення активів, сканування вразливостей і оцінювання ризиків. Ці технології підтримують людей, виявляючи шаблони та допомагаючи командам реагувати швидше.

Оцінювання ризиків також стане динамічнішим. Замість щорічних або щоквартальних пунктів для галочки вони працюватимуть як безперервні процеси. Організації безперервно відстежуватимуть свою поверхню атак – особливо в хмаро-орієнтованих, гібридних або високорозподілених середовищах – щоб виявляти та переоцінювати ризики в міру змін систем.

Також ми побачимо більшу інтеграцію між кібербезпекою та бізнес-стратегією. Оскільки ради директорів і керівники дедалі краще усвідомлюватимуть ризики, ризики кібербезпеки розглядатимуться як фінансові або операційні ризики – із чіткими метриками, визначеною відповідальністю та місцем за столом переговорів. Оцінювання впливатиме не лише на витрати на безпеку, а й на бізнес-планування, проєктування продуктів і цифрову трансформацію.

Нарешті, людському фактору приділятиметься більше уваги. Технічні інструменти керування – це лише частина картини: організації дедалі частіше оцінюватимуть і керуватимуть ризиками, пов’язаними з поведінкою, культурою та стійкістю персоналу. Це означає оцінювання не лише систем і програмного забезпечення, а й того, як люди працюють, як ухвалюють рішення і наскільки добре команди адаптуються під тиском.

Рішення для оцінювання ризиків кібербезпеки

Щоб випереджати нові загрози й ураховувати кібербезпеку в загальних бізнес-рішеннях, впровадьте регулярне оцінювання ризиків кібербезпеки у ваші операції з безпеки. Кілька рішень можуть допомогти вам налагодити ефективний процес. Керування захистом інформації (SIEM), як-от Microsoft Sentinel, допомагає зіставляти події, виявляти аномалії та пріоритизувати сповіщення за допомогою вбудованої аналітики й аналізу загроз. Розширене виявлення й реагування (XDR) забезпечує глибоку видимість потенційних шляхів атаки в кінцевих точках, ідентичностях, електронній пошті та хмарних програмах. Поєднання SIEM і XDR в уніфікованому рішенні SecOps допомагає захисникам бачити ризики в усьому цифровому середовищі та швидше координовано реагувати. Рішення ШІ для кібербезпеки, як-от Microsoft Security Copilot, аналізують сигнали, щоб виявляти аналітичні висновки та рекомендувати подальші кроки.

РЕСУРСИ

Дізнайтеся більше про рішення для кібербезпеки від Захисного комплексу Microsoft

Чоловік тримає планшет і щось пояснює жінці.

Рішення

Об’єднана платформа для безпечних операцій на основі ШІ

Уніфікуйте операції з безпеки в межах запобігання, виявлення та реагування для ефективнішого й адаптивнішого захисту.

Дізнайтеся більше

Людина сидить за столом і користується комп’ютером.

Портал захисту від загроз

Новини про кібербезпеку та ШІ

Дізнайтеся про останні тенденції та передові методи захисту від кіберзагроз, зокрема за допомогою ШІ.

Отримати найновіші ресурси

Чоловік у костюмі та краватці сидить за столом із ноутбуком.

Звіт

Звіт про цифровий захист Microsoft за 2024 рік

Будьте на крок попереду в умовах змінного ландшафту загроз завдяки глибоким дослідженням і практичним аналітичним висновкам.

Отримати звіт

Оцінювання ризиків кібербезпеки зазвичай передбачає виявлення активів, виявлення потенційних загроз і вразливостей, аналіз імовірності та впливу цих загроз, визначення рівнів ризику та вибір відповідних заходів реагування на ризики. Процес завершується документуванням і впровадженням стратегій зменшення ризиків, після чого здійснюється постійний моніторинг і періодичне повторне оцінювання. Такий структурований підхід допомагає організаціям керувати та зменшувати загальний рівень ризикового впливу.
Оцінювання ризиків безпеки включає перевірку обладнання, програмного забезпечення, мереж, даних і поведінки користувачів, щоб виявити потенційні вразливості. Воно також оцінює наявні інструменти керування безпеки, визначає потенційний вплив різних загроз і рекомендує заходи для зменшення або керування ризиками. Мета – отримати видимість прогалин у безпеці та ефективно пріоритизувати ресурси.
Оцінка ризиків NIST стосується методології, викладеної Національним інститутом стандартизації та технологій у його Спеціальному виданні 800-30, редакція 1. Воно надає систему стандартів для виявлення, оцінювання та керування ризиками кібербезпеки в державних установах і організаціях приватного сектору. Модель NIST широко застосовують завдяки її структурованому, повторюваному підходу до аналізу ризиків.