Тема «Часть 31010 форум» в профессиональных сообществах риск-менеджеров, аудиторов и специалистов по безопасности информации (СБИ) традиционно собирает много внимания. Под этим запросом скрывается не просто обсуждение текста стандарта, а поиск ответов на практические вопросы: как выбрать метод, как пройти аудит, чем отличаются версии 2011 и 2019/2023 годов и как интегрировать стандарт в корпоративную систему управления рисками (СУР) на базе ISO 31000.
В данной статье мы структурировали ключевую информацию по стандарту IEC 31010:2019 (Risk management — Risk assessment techniques) и его национальному аналогу ГОСТ Р ИСО/МЭК 31010, проанализировали основные болевые точки, поднимаемые на профильных форумах (RISK.RU, SQL.ru, AntiChat, профильные Telegram-каналы, клубы риск-менеджеров), и подготовили практическое руководство по применению.
Что такое МЭК 31010 (ГОСТ Р ИСО/МЭК 31010) и зачем он нужен
МЭК 31010 (IEC 31010) — это международный стандарт, предоставляющий руководство по выбору и применению методик оценки риска. Он является вспомогательным к базовому стандарту ISO 31000 «Менеджмент рисков — Принципы и руководящие указания».
Важно: Стандарт НЕ является системой менеджмента рисков (как ISO 31000) и НЕ устанавливает требований к самой системе. Это «коробка с инструментами» (toolbox) — перечень и описание техник, которые можно использовать на этапе оценки риска (идентификация, анализ, оценка).
Ключевые цели стандарта:
- Помочь в выборе подходящих техник оценки риска для конкретного контекста.
- Обеспечить понимание принципов работы техник, их сильных и слабых сторон.
- Поддержать планирование и процесса оценки риска.
- Обеспечить документированное обоснование выбора метода (критично для аудиторов и регуляторов).
Статус в РФ: ГОСТ Р ИСО/МЭК 31010
В России действует национальный стандарт ГОСТ Р ИСО/МЭК 31010. История версий:
- ГОСТ Р ИСО/МЭК 31010-2011 (идентичен IEC 31010:2009) — долгое время основной документ. Сейчас утратил силу (заменен).
- ГОСТ Р ИСО/МЭК 31010-2021 (идентичен IEC 31010:2019) — актуальная версия. Введена в действие с (Приказ Росстандарта от № 644-ст).
Главные изменения в версии 2019 (ГОСТ Р ИСО/МЭК 31010-2021) vs 2009 (ГОСТ Р ИСО/МЭК 31010-2011)
Это самая «горячая» тема на форумах. Переход на новую версию не просто формальный — изменилась методология и структура.
Структурные изменения:
| Аспект | Версия 2009 (IEC 31010:2009 / ГОСТ -2011) | Версия 2019 (IEC 31010:2019 / ГОСТ -2021) |
|---|---|---|
| Количество техник | ~31 техника | ~40+ техник (расширен перечень) |
| Классификация | По этапам: Идентификация, Анализ, Оценка | По назначению/характеру: Структурированные, Неструктурированные, Полуструктурированные, На основе данных/моделей и т.д. |
| Процесс оценки | Описан общо | Детализирован: Планирование -> Определение целей/области -> Выбор техник -> Применение -> Отчетность |
| Интеграция с ISO 31000:2018 | Связь с ISO 31000:2009 | Полная синхронизация с терминологией и процессом ISO 31000:2018 |
| Новые техники | Базовый набор (FMEA, HAZOP, FTA, ETA, Bow-tie, SWIFT, Чек-листы и т.д.) | Добавлены: Байесовские сети, Монте-Карло, Анализ сценариев, Когнитивное картирование, Боу-тай (Bow-tie) как отдельная категория, Техники на основе больших данных/ИИ |
| Аппендиксы (Приложения) | Таблицы сравнения | Детальные карточки каждой техники: Входы, Выходы, Ресурсы, Компетенции, Ограничения, Примеры применения |
Что обсуждают на форумах по поводу изменений:
- Сложность перехода: «Нам придется переписывать методические документы по оценке рисков (МДОР), так как старые ссылки на приложения ГОСТ-2011 невалидны».
- Выбор классификации: Новая классификация (по «природе» техники) запутывает тех, кто привык к процессному подходу (Идентификация -> Анализ). Эксперты советуют вести маппинг (сопоставление) старых и новых категорий.
- Байесовские сети и Монте-Карло: Их включение в основной перечень (а не в приложение «дополнительные») сигнализирует о тренде на количественную оценку и моделирование. На форумах активно обсуждают инструменты (Palisade @RISK, ModelRisk, GeNIe, Netica) для их реализации.
Классификация техник оценки рисков по ГОСТ Р ИСО/МЭК 31010-2021 (IEC 31010:2019)
Понимание новой классификации, ключ к успешному выбору инструмента (частый запрос: «какую технику выбрать для моей задачи?»).
Основные группы (Класс А — Класс D):
Класс А: Техники для структурированного выявления и понимания рисков
Используются на ранних стадиях, часто качественные. Основаны на экспертном суждении и структурировании знаний.
- Мозговой штурм (Brainstorming) / Структурированный мозговой штурм
- SWIFT (Structured What-If Technique) — «Что, если…»
- Анализ чек-листов (Checklist Analysis)
- HAZOP (Hazard and Operability Study) — для процессных промышленностей.
- Когнитивное картирование (Cognitive Mapping) / Картирование ментальных моделей — новинка 2019.
- Delphi (Метод Дельфи), для консенсуса экспертов.
Класс Б: Техники для анализа причин и последствий
Фокус на причинно-следственных связях. Могут быть качественными и полуколичественными.
- Дерево событий (Event Tree Analysis ⎻ ETA)
- Дерево неисправностей (Fault Tree Analysis ⎻ FTA)
- Диаграмма «Бантик» (Bow-tie Analysis) — комбинация FTA + ETA, визуализация барьеров. Очень популярна в СБИ и ПБ (промбезопасности).
- Анализ причинно-следственных связей (Cause-Consequence Analysis)
- Метод «5 почему» (5 Whys) / Анализ корневых причин (RCA).
Класс В: Техники для оценки вероятности и последствий (Часто количественные)
Требуют данных, моделей, ПО. Высокая трудоемкость, но высокая точность.
- Моделирование Монте-Карло (Monte Carlo Simulation) — для агрегации рисков, финансовых моделей, проектов.
- Байесовские сети (Bayesian Networks / Belief Networks) — новинка 2019. Мощны для обновления вероятностей при появлении новых данных, работы с экспертными оценками.
- Марковские модели (Markov Analysis) — для систем с состояниями (надежность, доступность).
- FMEA / FMECA (Анализ режимов и последствий отказов) — стандарт де-факто в инженерии, автопроме (AIAG/VDA), медицине.
- LOPA (Layer of Protection Analysis) — полуколичественная оценка адекватности барьеров (СИС, SIL).
Класс Г: Техники для поддержки принятия решений и сравнения вариантов
- Анализ чувствительности (Sensitivity Analysis)
- Анализ сценариев (Scenario Analysis), активно обсуждается в контексте стресс-тестирования и ТКФД (TCFD) / климатических рисков.
- Деревья решений (Decision Trees)
- Многокритериальный анализ (MCDA / MAUT)
- Cost-Benefit Analysis (CBA) / Анализ затрат-выгоды
Алгоритм выбора техники: Чек-лист для форумчан и практиков
На форумах часто задают вопрос: «У нас проект X, какой метод выбрать по 31010?». Стандарт не дает жесткого рецепта, но дает критерии (раздел 6 и Приложение А/В). Вот практический чек-лист:
- Цель оценки: Идентификация (SWIFT, HAZOP, Brainstorming) -> Анализ причин (FTA, Bow-tie) -> Количественная оценка (Монте-Карло, Байесовские сети) -> Принятие решения (Деревья решений, CBA).
- Доступность данных: Нет данных -> Качественные/Экспертные (Класс А, Б). Есть статистика/история -> Количественные (Класс В).
- Сложность системы: Линейная/простая -> FTA, ETA. Сложная, с петлями обратной связи, неопределенностью -> Байесовские сети, Системная динамика.
- Требования регулятора/стандарта отрасли:
- Промбезопасность (Ростехнадзор) -> HAZOP, LOPA, QRA.
- СБИ (ФСТЭК, ФСБ, 152-ФЗ) -> Модель угроз (Bow-tie, Атакующие деревья), FMEA.
- Финансы/Банки (ЦБ РФ, Базель) -> Монте-Карло, VaR, Стресс-тестирование (Сценарии).
- Автопром -> FMEA (AIAG/VDA).
- Ресурсы (Время, Люди, ПО, Бюджет): SWIFT/Чек-листы, дешево и быстро. Монте-Карло/Байесовские сети — дорого, нужны компетенции и лицензии ПО.
- Этап жизненного цикла: Концепция -> Качественные. Эксплуатация -> Количественные на накопленных данных.
Типовые проблемы и ошибки реализации (из опыта форумчан)
Ошибка 1: «Сделали таблицу рисков в Excel — значит выполнили 31010»
Стандарт требует документированного процесса: планирование, определение контекста, критериев риска, обоснование выбора техники, запись предположений, отчетность. Таблица, лишь артефакт этапа «Анализ/Оценка».
Ошибка 2: Игнорирование «Планирования оценки риска» (Clauses 5-6 стандарта)
Многие пропускают этап составления Плана оценки риска (Risk Assessment Plan). Аудиторы (ISO 31000, ISO 27001, ISO 9001) в первую очередь запрашивают именно его: цели, область, критерии, команды, техники, расписание, ресурсы.
Ошибка 3: Некачественные экспертные оценки
При использовании качественных шкал (Высоко/Средне/Низко или 1-5) не определяют определения шкал (Risk Criteria). Что такое «Вероятность = 4»? Раз в год? Раз в 10 лет? Без калибровки экспертов (обучения, калибровочных упражнений) результаты субъективны и невоспроизводимы. Стандарт 2019 года делает акцент на качестве входных данных (Garbage In, Garbage Out).
Ошибка 4: Использование устаревшей версии ГОСТ Р ИСО/МЭК 31010-2011
На 2026 год ссылка на версию 2011 в документации СУР — это несоответствие (non-conformity) при аудите. Необходимо обновить нормативную базу до ГОСТ Р ИСО/МЭК 31010-2021.
Ошибка 5: «Паралич анализа» (Analysis Paralysis)
Попытка применить Монте-Карло ко всем 500 рискам реестра. Стандарт говорит: глубина анализа должна соответствовать значимости риска и цели оценки. Для 90% рисков достаточно качественного скрининга (SWIFT/Матрица). Глубокая количественная оценка — только для «Топ-10» или рисков, превышающих аппетит.
Инструментарий (Software) — что рекомендуют на форумах в 2026 году
Выбор ПО часто обсуждается в контексте автоматизации техник 31010.
| Категория задач (по 31010) | Популярные решения (Рынок РФ / Global) | Ключевые техники поддержки |
|---|---|---|
| Корпоративные GRC/ERM платформы (Реестры, Матрицы, Bow-tie, Отчетность, Workflow) | РФ: RiskManager (СКБ Контур), 1C:ERM, Naumen GRC, SimpleRisk (Open Source), Riskonnect (локализация). Global: LogicManager, MetricStream, RSA Archer, ServiceNow GRC. | SWIFT, Чек-листы, Матрицы рисков, Bow-tie (визуал), Monte Carlo (интеграция), Сценарии. |
| Специализированные количественные / Моделирование | Excel + Add-ins: @RISK (Palisade), ModelRisk (Vose), Crystal Ball (Oracle). Standalone: @RISK, ModelRisk, Primavera Risk Analysis (проекты). | Монте-Карло, Чувствительность, Байесовские сети (частично), Оптимизация портфеля рисков. |
| Байесовские сети / Графические модели | Бесплатные/Академические: GeNIe (BayesFusion), Netica (бесплатно для малых сетей), Hugin (Lite), PyAgrum (Python). Коммерческие: BayesiaLab, AgenaRisk. | |
| Надежность / Промбезопасность (FMEA, FTA, RBD, Markov) | Isograph (Availability Workbench), ReliaSoft (Synthesis), RAM Commander, Item ToolKit. | FTA, RBD (Блок-схемы надежности), Markov, FMEA/RCM, Weibull анализ. |
| СБИ / Киберриски (MITRE ATT&CK, FAIR, Bow-tie) | Open FAIR tools: RiskLens (SaaS), OpenFAIR (Open Group). Threat Modeling: Microsoft Threat Modeling Tool, IriusRisk, OWASP Threat Dragon. Bow-tie: BowTieXP (CGE Risk), RiskManager (модуль). | Атакующие деревья, FAIR (Factor Analysis of Information Risk), Bow-tie, MITRE Mapping. |
Совет: Начинайте с GRC-платформы для управления процессом (документирование соответствия 31010), подключайте специализированные калькуляторы (@RISK, GeNIe) для глубоких анализов критических рисков, выгружая результаты обратно в GRC.
Интеграция с ISO 31000:2018 и отраслевыми стандартами
Форумы часто обсуждают: «Как 31010 вписывается в ISO 27001 / ISO 9001 / ISO 45001 / COSO ERM?»
Схема интеграции (Процесс ISO 31000 -> Инструменты 31010):
- Установка контекста (ISO 31000 Cl. 4) -> Определение критериев риска (Risk Criteria) -> Вход для 31010.
- Идентификация рисков (ISO 31000 Cl. 6.3) -> Техники Класса А (SWIFT, HAZOP, Чек-листы, Delphi) -> Выход: Реестр рисков.
- Анализ рисков (ISO 31000 Cl. 6.4) -> Понимание причин/последствий (Класс Б: Bow-tie, FTA) -> Оценка В/П (Класс В: Матрицы, Монте-Карло, Байесовские) -> Выход: Уровни риска.
- Оценка рисков (ISO 31000 Cl. 6.5) -> Сравнение с критериями (Risk Criteria) -> Приоритизация -> Выход: Риски для обработки.
- Обработка рисков (ISO 31000 Cl. 6.6) -> Анализ вариантов (Класс Г: CBA, Деревья решений, MCDA) -> План обработки.
- Мониторинг и ревью (ISO 31000 Cl. 6.7/6.8) -> Байесовские сети (обновление вероятностей), Индикаторы (KRI), Стресс-тесты (Сценарии).
Специфика для ISO 27001 (СБИ):
- Приложение ISO 27001 (Управление рисками ИБ) требует процесса оценки. 31010 — де-факто стандарт де-факто для методологии.
- Популярные комбо: Активы -> Угрозы/Уязвимости (SWIFT/Чек-листы) -> Bow-tie (Пути реализации угрозы -> Барьеры контроля Анекс А) -> Оценка остаточного риска (Матрица/FAIR).
Часто задаваемые вопросы (FAQ) с форумов
Вопрос: Обязателен ли ГОСТ Р ИСО/МЭК 31010-2021 к применению?
Ответ: Стандарт имеет статус добровольного (как и все ГОСТ Р серии ISO, если не указан в технических регламентах или контрактах). Однако,ктах. Но: если вы сертифицируетесь по ISO 31000, ISO 27001, ISO 9001, ISO 45001 — аудитор потребует доказательства компетентности процесса оценки. Ссылка на актуальный 31010 — лучшее доказательство «due diligence».
Вопрос: Можно ли использовать старые методички, написанные под ГОСТ-2011?
Ответ: Можно, но их нужно аудировать на соответствие новой версии. Проверить: учтен ли процесс планирования (Cl. 5-6 новой версии), актуальны ли ссылки на техники, добавлены ли новые релевантные техники (Байесовские сети, Сценарии), соответствует ли терминология ISO 31000:2018. Проще обновить методичку.
Вопрос: Какую технику выбрать для оценки рисков информационной безопасности по требованиям ФСТЭК (Приказ № 21, 17, 239)?
Ответ: ФСТЭК не предписывает конкретную технику 31010, но требует модели угроз. Практика рынка:
- Базовая: Методика ФСТЭК (Руководство по оценке угроз) + Матрица рисков (Качественная).
- Продвинутая: Bow-tie (визуализация сценариев атак и мер защиты) + FAIR / Open FAIR (количественная оценка в денежном выражении) для обоснования инвестиций в СЗИ.
Обе подходы можно обосновать через выбор техник из 31010 (Класс А/Б для модели угроз, Класс В/Г для оценки/принятия решений).
Вопрос: Как обосновать выбор качественной матрицы 5×5 вместо Монте-Карло аудитору?
Ответ: Сошлитесь на Принцип пропорциональности (Proportionality) из ISO 31000 и раздел 6.3.2 IEC 31010:2019 («Выбор техники должен учитывать… доступность данных, ресурсы, цель оценки»). Если нет статистики отказов/инцидентов для калибровки распределений — Монте-Карло даст «мусор на выходе». Качественная матрица с определенными критериями (Risk Criteria) и калиброванными экспертами — валидный выбор для скрининга.
Вопрос: Что такое «Bow-tie» и почему все его хвалят на форумах?
Ответ: Bow-tie (Диаграмма «Бантик») — это визуальная техника (Класс Б), объединяющая Дерево неисправностей (Причины слева) и Дерево событий (Последствия справа) через Центральное событие (Top Event). В центре — Барьеры (Превентивные слева, Митигативные справа).
Почему популярно: 1) Понятно руководству и неспециалистам (визуал). 2) Прямо показывает меры управления (Controls/Barriers), идеально для аудита ISO 27001/ISO 45001/ПБ. 3) Основа для LOPA (полуколичественной оценки адекватности барьеров). 4) Есть в новых приложениях 31010:2019.
План действий по внедрению/обновлению процесса оценки рисков по 31010:2019
- Gap-анализ: Сравнить текущую Методику оценки рисков (МОР) с требованиями ГОСТ Р ИСО/МЭК 31010-2021 (разделы 4, 5, 6, 7 и Приложения).
- Обновление нормативной базы: Заменить ссылки на ГОСТ-2011 на ГОСТ-2021 / IEC 31010:2019 во всех документах СУР.
- Ревизия критериев риска (Risk Criteria): Определить/обновить шкалы Вероятности, Последствий, Уровней риска, Аппетит к риску. Согласовать с топ-менеджментом.
- Формирование «Меню техник» (Technique Selection Matrix): Создать внутренний справочник: «Для задачи X — рекомендуемая техника Y, альтернатива Z, требуемые компетенции, ПО, трудоемкость». Основано на Приложении А/В стандарта.
- Обучение и калибровка экспертов: Провести тренинг по новым техникам (Bow-tie, Байесовские сети, Сценарии) и калибровку экспертных суждений (учить оценивать вероятность в % или четких вербализаторах).
- Пилотный проект: Применить обновленный процесс на 1-2 бизнес-процессах/активах. Проверить полноту документации (План -> Отчет).
- Автоматизация: Настроить GRC-систему под новый процесс (поля для обоснования выбора техники, привязка к Bow-tie, хранение входных данных для Монте-Карло).
- Внутренний аудит: Проверить соответствие процесса обновленному стандарту перед внешним аудитом.
Обсуждения на форумах по запросу «Часть 31010 форум» показывают, что стандарт перестал быть просто «справочником по методам». Версия 2019 (ГОСТ Р ИСО/МЭК 31010-2021) превратила его в руководство по управлению процессом оценки с акцентом на обоснование выбора инструментов, качество входных данных и интеграцию с принятием решений.
Главные выводы для практика 2026 года:
- Переходите на ГОСТ Р ИСО/МЭК 31010-2021 (IEC 31010:2019), старый ГОСТ-2011 недействителен.
- Не ищите «один лучший метод». Строитите иерархию техник: Скрининг (SWIFT/Чек-листы) -> Структурирование (Bow-tie/FTA) -> Глубинный анализ (Монте-Карло/Байесовские сети/Сценарии) для критических рисков.
- Документируйте Планирование и Обоснование выбора — это 50% успеха при аудите.
- Инвестируйте в калибровку экспертов и качество данных — без этого любая техника (даже Монте-Карло) бесполезна;
- Используйте Bow-tie как «лингву franca» для коммуникации с бизнесом, аудиторами и регуляторами.
Стандарт — это карта местности, а не рельсы. Успешное применение 31010, это умение выбрать правильный транспорт (технику) для конкретного участка пути (бизнес-задачи), имея при себе топливо (данные) и навыки вождения (компетенции команды).
Полезные ссылки для глубокого погружения
- Официальный текст ГОСТ Р ИСО/МЭК 31010-2021 (на protect.gost.ru или в правовых системах: КонсультантПлюс, Гарант).
- IEC 31010:2019 (на webstore.iec.ch, платный доступ).
- ISO 31000:2018 (базовый стандарт менеджмента рисков).
- ISO/IEC 27005:2022 (специализация для СБИ, ссылается на 31010).
- COST 31010 / Risk Assessment Techniques ⎻ Executive Summary (бесплатные обзоры на сайте ISO/IEC).
- Профильные сообщества: RISK.RU (форум/статьи), Клуб риск-менеджеров (Telegram/LinkedIn), ISACA / (ISC)² Chapters, SQL.ru -> Бизнес-анализ / Управление рисками.
Статья подготовлена на основе анализа актуальных версий стандартов (IEC 31010:2019, ГОСТ Р ИСО/МЭК 31010-2021, ISO 31000:2018) и синтеза лучших практик, обсуждаемых в профессиональном сообществе на 2026 год.