V našem času informacije zavzemajo enega od ključnih položajev na vseh področjih človeškega življenja. To je posledica postopnega prehoda družbe iz industrijske dobe v postindustrijsko. Zaradi uporabe, posedovanja in prenosa različnih informacij lahko nastanejo informacijska tveganja, ki lahko vplivajo na celotno sfero gospodarstva.
Katere panoge rastejo najhitreje?
Rast informacijskih tokov je vsako leto vse bolj opazen, saj je zaradi širitve tehničnih inovacij hiter prenos informacij, povezanih s prilagajanjem novih tehnologij, nujen. V našem času se industrije, kot so industrija, trgovina, izobraževanje in finance, razvijajo takoj. Med prenosom podatkov v njih nastanejo informacijska tveganja.
Informacije postajajo ena najbolj dragocenih vrst izdelkov, katerih skupni stroški bodo kmalu presegli ceno vseh proizvodnih izdelkov. To se bo zgodilo, ker zaDa bi zagotovili varčno ustvarjanje vseh materialnih dobrin in storitev, je treba zagotoviti bistveno nov način prenosa informacij, ki izključuje možnost informacijskih tveganj.
Definicija
V našem času ni enoznačne definicije informacijskega tveganja. Mnogi strokovnjaki si ta izraz razlagajo kot dogodek, ki neposredno vpliva na različne informacije. To je lahko kršitev zaupnosti, izkrivljanje in celo izbris. Za mnoge je območje tveganja omejeno na računalniške sisteme, ki so v središču pozornosti.
Pri preučevanju te teme se pogosto ne upoštevajo številni resnično pomembni vidiki. Ti vključujejo neposredno obdelavo informacij in obvladovanje informacijskega tveganja. Navsezadnje se tveganja, povezana s podatki, praviloma pojavijo v fazi pridobivanja, saj obstaja velika verjetnost napačnega zaznavanja in obdelave informacij. Pogosto se ne posveča ustrezne pozornosti tveganjem, ki povzročajo napake v algoritmih za obdelavo podatkov, pa tudi napakam v programih, ki se uporabljajo za optimizacijo upravljanja.
Mnogi upoštevajo tveganja, povezana z obdelavo informacij, izključno z ekonomske strani. Zanje je to predvsem tveganje, povezano z nepravilnim izvajanjem in uporabo informacijske tehnologije. To pomeni, da upravljanje informacijskega tveganja zajema procese, kot so ustvarjanje, prenos, shranjevanje in uporaba informacij, ki so predmet uporabe različnih medijev in komunikacijskih sredstev.
Analiza inklasifikacija tveganj IT
Kakšna tveganja so povezana s sprejemanjem, obdelavo in posredovanjem informacij? V čem se razlikujejo? Obstaja več skupin kvalitativne in kvantitativne ocene informacijskih tveganj po naslednjih merilih:
- glede na notranje in zunanje vire pojavljanja;
- namerno in nenamerno;
- neposredno ali posredno;
- po vrsti kršitve informacij: zanesljivost, ustreznost, popolnost, zaupnost podatkov itd.;
- po načinu vpliva so tveganja naslednja: višja sila in naravne nesreče, napake strokovnjakov, nesreče, itd.
Analiza informacijskega tveganja je proces globalnega ocenjevanja stopnje zaščite informacijskih sistemov z ugotavljanjem količine (denarna sredstva) in kakovosti (nizko, srednje, visoko tveganje) različnih tveganj. Proces analize je mogoče izvesti z različnimi metodami in orodji za ustvarjanje načinov za zaščito informacij. Na podlagi rezultatov takšne analize je mogoče določiti največja tveganja, ki so lahko neposredna grožnja in spodbuda za takojšnje sprejetje dodatnih ukrepov, ki prispevajo k varovanju informacijskih virov.
Metodologija za določanje tveganj IT
Trenutno ne obstaja splošno sprejeta metoda, ki bi zanesljivo določala specifična tveganja informacijske tehnologije. To je posledica dejstva, da ni dovolj statističnih podatkov, ki bi zagotavljali natančnejše informacije oskupna tveganja. Pomembno vlogo igra tudi dejstvo, da je težko natančno določiti vrednost posameznega informacijskega vira, saj lahko proizvajalec ali lastnik podjetja z absolutno natančnostjo poimenuje stroške informacijskega medija, vendar bo težko povejte stroške informacij, ki se nahajajo na njih. Zato je trenutno najboljša možnost za določitev stroškov IT tveganj kvalitativno ocenjevanje, s katerim se natančno identificirajo različni dejavniki tveganja, pa tudi področja njihovega vpliva in posledice za celotno podjetje.
Metoda CRAMM, ki se uporablja v Združenem kraljestvu, je najmočnejši način za prepoznavanje kvantitativnih tveganj. Glavni cilji te tehnike vključujejo:
- avtomatizirajte proces upravljanja tveganj;
- optimizacija stroškov upravljanja z gotovino;
- produktivnost varnostnih sistemov podjetja;
- zavezanost neprekinjenemu poslovanju.
metoda strokovne analize tveganj
Strokovnjaki upoštevajo naslednje dejavnike analize tveganja za varnost informacij:
1. Stroški virov. Ta vrednost odraža vrednost informacijskega vira kot takega. Obstaja sistem ocenjevanja kvalitativnega tveganja na lestvici, kjer je 1 najmanjša, 2 povprečna vrednost in 3 največja. Če upoštevamo IT vire bančnega okolja, bo imel njegov avtomatiziran strežnik vrednost 3, ločen informacijski terminal pa 1.
2. Stopnja ranljivosti vira. Prikazuje obseg grožnje in verjetnost škode na viru IT. Če govorimo o bančni organizaciji, bo strežnik avtomatiziranega bančnega sistema čim bolj dostopen, zato so hekerski napadi zanj največja grožnja. Obstaja tudi ocenjevalna lestvica od 1 do 3, kjer je 1 manjši vpliv, 2 je velika verjetnost obnovitve vira, 3 je potreba po popolni zamenjavi vira po nevtralizaciji nevarnosti.
3. Ocenjevanje možnosti grožnje. Določa verjetnost določene grožnje informacijskemu viru za pogojno časovno obdobje (najpogosteje - eno leto) in ga je, tako kot prejšnje dejavnike, mogoče oceniti na lestvici od 1 do 3 (nizka, srednja, visoka).
Obvladovanje tveganj informacijske varnosti, ko se pojavijo
Obstajajo naslednje možnosti za reševanje težav z nastajajočimi tveganji:
- sprejemanje tveganja in prevzemanje odgovornosti za svoje izgube;
- zmanjšanje tveganja, to je zmanjšanje izgub, povezanih z njegovim nastankom;
- transfer, to je naložitev stroškov odškodnine zavarovalnici ali preoblikovanje z določenimi mehanizmi v tveganje z najnižjo stopnjo nevarnosti.
Potem so tveganja informacijske podpore porazdeljena po rangih, da se identificirajo primarna. Za obvladovanje takšnih tveganj jih je treba zmanjšati in včasih - prenesti na zavarovalnico. Možen prenos in zmanjšanje tveganj visokih insrednje ravni pod enakimi pogoji, tveganja nižje ravni pa so pogosto sprejeta in niso vključena v nadaljnjo analizo.
Upoštevati je treba dejstvo, da se razvrstitev tveganj v informacijskih sistemih določa na podlagi izračuna in določitve njihove kvalitativne vrednosti. To pomeni, da če je interval razvrščanja tveganj v razponu od 1 do 18, potem je razpon nizkih tveganj od 1 do 7, srednjih tveganj od 8 do 13, visokih tveganj pa od 14 do 18. Bistvo podjetja je bistvo podjetja. obvladovanje informacijskega tveganja je zmanjšanje povprečnih in visokih tveganj na najnižjo vrednost, tako da je njihov sprejem čim bolj optimalen.
CORAS metoda za zmanjšanje tveganja
Metoda CORAS je del programa Tehnologije informacijske družbe. Njen pomen je v prilagajanju, konkretizaciji in kombinaciji učinkovitih metod za izvedbo analize na primerih informacijskih tveganj.
CORAS metodologija uporablja naslednje postopke analize tveganja:
- ukrepi za pripravo iskanja in sistematizacije informacij o predmetnem objektu;
- zagotavljanje objektivnih in pravilnih podatkov o zadevnem objektu s strani naročnika;
- poln opis prihajajoče analize ob upoštevanju vseh stopenj;
- analiza predloženih dokumentov za verodostojnost in pravilnost za bolj objektivno analizo;
- izvajanje aktivnosti za prepoznavanje možnih tveganj;
- ocena vseh posledic nastajajočih informacijskih groženj;
- poudarjanje tveganj, ki jih podjetje lahko prevzame, in tveganj, ki jih lahko prevzameje treba čim prej zmanjšati ali preusmeriti;
- ukrepi za odpravo možnih groženj.
Pomembno je omeniti, da navedeni ukrepi ne zahtevajo večjih naporov in sredstev za izvedbo in kasnejšo izvedbo. Metodologija CORAS je precej preprosta za uporabo in ne zahteva veliko usposabljanja, da jo začnete uporabljati. Edina pomanjkljivost tega kompleta orodij je pomanjkanje periodičnosti pri ocenjevanju.
OCTAVE metoda
Metoda ocene tveganja OCTAVE pomeni določeno stopnjo vključenosti lastnika informacij v analizo. Vedeti morate, da se uporablja za hitro ocenjevanje kritičnih groženj, prepoznavanje sredstev in prepoznavanje slabosti v sistemu informacijske varnosti. OCTAVE predvideva oblikovanje kompetentne analitične, varnostne skupine, ki vključuje zaposlene v podjetju, ki uporablja sistem, in zaposlene v informacijskem oddelku. OCTAVE je sestavljen iz treh stopenj:
Najprej se oceni organizacija, torej skupina za analizo določi kriterije za oceno škode, nato pa tveganj. Opredeljeni so najpomembnejši viri organizacije, ocenjeno je splošno stanje procesa vzdrževanja IT varnosti v podjetju. Zadnji korak je določiti varnostne zahteve in določiti seznam tveganj
- Druga faza je celovita analiza informacijske infrastrukture podjetja. Poudarek je na hitri in usklajeni interakciji med zaposlenimi in za to pristojnimi službamiinfrastruktura.
- Na tretji stopnji se izvede razvoj varnostnih taktik, izdela se načrt za zmanjšanje možnih tveganj in zaščito informacijskih virov. Ocenjuje se tudi morebitna škoda in verjetnost izvedbe groženj ter merila za njihovo vrednotenje.
Matrična metoda analize tveganja
Ta metoda analize združuje grožnje, ranljivosti, sredstva in nadzor varnosti informacij ter določa njihov pomen za zadevna sredstva organizacije. Sredstva organizacije so opredmeteni in nematerialni predmeti, ki so pomembni z vidika uporabnosti. Pomembno je vedeti, da je matrična metoda sestavljena iz treh delov: matrike groženj, matrike ranljivosti in nadzorne matrike. Rezultati vseh treh delov te metodologije se uporabljajo za analizo tveganja.
Med analizo je vredno razmisliti o razmerju vseh matrik. Tako je na primer matrika ranljivosti povezava med sredstvi in obstoječimi ranljivostmi, matrika groženj je zbirka ranljivosti in groženj, nadzorna matrika pa povezuje koncepte, kot so grožnje in nadzor. Vsaka celica matrike odraža razmerje med stolpcem in elementom vrstice. Uporabljajo se sistemi visoke, srednje in nizke ocene.
Če želite ustvariti tabelo, morate ustvariti sezname groženj, ranljivosti, kontrol in sredstev. Dodani so podatki o interakciji vsebine matričnega stolpca z vsebino vrstice. Kasneje se podatki matrike ranljivosti prenesejo v matriko groženj, nato pa se po istem principu informacije iz matrike groženj prenesejo v kontrolno matriko.
Sklep
Vloga podatkovmočno povečala s prehodom številnih držav v tržno gospodarstvo. Brez pravočasnega prejema potrebnih informacij je normalno delovanje podjetja preprosto nemogoče.
Skupaj z razvojem informacijske tehnologije so se pojavila tako imenovana informacijska tveganja, ki ogrožajo delovanje podjetij. Zato jih je treba identificirati, analizirati in ovrednotiti za nadaljnje zmanjševanje, prenos ali odstranjevanje. Oblikovanje in izvajanje varnostne politike bo neučinkovito, če se obstoječa pravila ne bodo pravilno uporabljala zaradi nesposobnosti ali neosveščenosti zaposlenih. Pomembno je razviti kompleks za skladnost z informacijsko varnostjo.
Upravljanje s tveganji je subjektivna, kompleksna, a hkrati pomembna faza v dejavnosti podjetja. Največji poudarek na varnosti svojih podatkov bi moralo dati podjetje, ki dela z velikimi količinami informacij ali ima v lasti zaupne podatke.
Obstaja veliko učinkovitih metod za izračun in analizo informacijskih tveganj, ki omogočajo hitro obveščanje podjetja in mu omogočijo skladnost s pravili konkurenčnosti na trgu ter ohranjanje varnosti in neprekinjenega poslovanja.
