Исключения и принятие риска

Exception — оформленное принятие риска вместо устранения недостатка: описание, обоснование принятия риска (Justification For Accepting Risk), предлагаемая и текущая даты истечения, уровень исключения, очередь согласующих и периодический пересмотр. Прежде чем принятие риска станет действующим, система потребует заполнить описание, обоснование и — для регуляторных случаев — описание регулятора; без этого отправить исключение на активацию нельзя.

Исключение можно связать с одним или несколькими недостатками сразу — это тот механизм, которым недостаток переходит в сценарий «Принять» вместо плана устранения.

Уровень исключения ограничивает, на какой срок вообще можно принять риск без пересмотра. Чем выше потенциальная серьёзность, тем короче допустимое окно.

Повышение уровня исключения выполняется отдельным переходом с согласованием. Пока запрос на повышение уровня не подтверждён, исключение нельзя отозвать.

Для исключений по источникам информационной безопасности и уязвимостей согласование идёт по упорядоченной очереди, а не одним общим одобрением: ISO → Business → до трёх Additional → Coordinator. Текущим считается первый неодобренный участник очереди по порядку; для не-ИБ источников исключение одобряет напрямую владелец или координатор — без очереди.

Демонстрация логики очереди; реальный состав согласующих зависит от источника, уровня и настроек исключения.

У исключения — собственная статусная модель на 24 статуса: черновик, рассмотрение профильным экспертом (SME Review), открытое действующее исключение, повышение уровня, привязка и отвязка от недостатков, периодический пересмотр, закрытие. Отдельная группа статусов — «Timed Out»: если согласующий не отреагировал в срок, планировщик сам переводит исключение в статус истечения времени на согласование по активации, по рассмотрению, по закрытию, по повышению уровня, по привязке недостатка и по периодическому пересмотру.

Исключение не продлевается автоматически без следа. Каждое продление требует нового обоснования (Renewal Justification), и система хранит историю: кто и когда его менял, а счётчик числа продлений виден в карточке — исключение, которое продлевают из года в год без пересмотра решения, не прячется за одной датой.

Исключение может закрывать риск сразу нескольких недостатков — связь настроена как многие-ко-многим, с собственным состоянием согласования у каждой связки: привязка и отвязка недостатка от исключения тоже проходят через подтверждение, а не проставляются напрямую.

Исключение, которое дольше заданного времени не привязано ни к одному недостатку, система сама переводит на согласование закрытия по расписанию — подробнее в разделе фоновых задач.