В нашата ера информацията заема едно от ключовите позиции във всички сфери на човешкия живот. Това се дължи на постепенния преход на обществото от индустриалната ера към постиндустриалната. В резултат на използването, притежаването и предаването на различна информация могат да възникнат информационни рискове, които могат да засегнат цялата сфера на икономиката.
Кои индустрии се развиват най-бързо?
Нарастването на информационните потоци става все по-забележимо всяка година, тъй като разширяването на техническите иновации прави бързият трансфер на информация, свързан с адаптирането на новите технологии, спешна нужда. В наше време индустрии като индустрия, търговия, образование и финанси се развиват моментално. Именно по време на трансфера на данни в тях възникват информационни рискове.
Информацията се превръща в един от най-ценните видове продукти, чиято обща цена скоро ще надхвърли цената на всички продукти на производство. Това ще се случи, защото заЗа да се осигури ресурсоспестяващо създаване на всички материални блага и услуги, е необходимо да се осигури принципно нов начин за предаване на информация, който изключва възможността за информационни рискове.
Определение
В наше време няма еднозначно определение за информационен риск. Много експерти тълкуват този термин като събитие, което има пряко въздействие върху различна информация. Това може да е нарушение на поверителността, изкривяване и дори изтриване. За мнозина рисковата зона е ограничена до компютърните системи, които са основният фокус.
Често при изучаването на тази тема много наистина важни аспекти не се вземат предвид. Те включват директна обработка на информация и управление на информационния риск. В крайна сметка рисковете, свързани с данните, възникват като правило на етапа на получаване, тъй като има голяма вероятност от неправилно възприемане и обработка на информацията. Често не се обръща необходимото внимание на рисковете, които причиняват неуспехи в алгоритмите за обработка на данни, както и неизправности в програмите, използвани за оптимизиране на управлението.
Мнозина разглеждат рисковете, свързани с обработката на информация, единствено от икономическа страна. За тях това е преди всичко риск, свързан с неправилното внедряване и използване на информационните технологии. Това означава, че управлението на информационния риск обхваща такива процеси като създаване, прехвърляне, съхранение и използване на информация, предмет на използването на различни медии и средства за комуникация.
Анализ икласификация на ИТ рисковете
Какви са рисковете, свързани с получаването, обработката и предаването на информация? По какъв начин се различават? Има няколко групи качествена и количествена оценка на информационните рискове по следните критерии:
- според вътрешни и външни източници на възникване;
- умишлено и неволно;
- пряко или непряко;
- по вид нарушение на информацията: надеждност, уместност, пълнота, поверителност на данните и др.;
- според метода на въздействие рисковете са както следва: форсмажорни обстоятелства и природни бедствия, грешки на специалисти, аварии и др.
Анализът на информационния риск е процес на глобална оценка на нивото на защита на информационните системи с определяне на количеството (парични ресурси) и качеството (нисък, среден, висок риск) на различните рискове. Процесът на анализ може да се извърши с помощта на различни методи и инструменти за създаване на начини за защита на информацията. Въз основа на резултатите от такъв анализ е възможно да се определят най-високите рискове, които могат да бъдат непосредствена заплаха и стимул за незабавно приемане на допълнителни мерки, които допринасят за защитата на информационните ресурси..
Методология за определяне на ИТ рискове
В момента няма общоприет метод, който надеждно да определя специфичните рискове на информационните технологии. Това се дължи на факта, че няма достатъчно статистически данни, които биха предоставили по-конкретна информация заобщи рискове. Важна роля играе и фактът, че е трудно да се определи задълбочено стойността на конкретен информационен ресурс, тъй като производител или собственик на предприятие може да назове разходите за информационни носители с абсолютна точност, но ще му е трудно да озвучете цената на информацията, която се намира на тях. Ето защо в момента най-добрият вариант за определяне на цената на ИТ рисковете е качествената оценка, благодарение на която се идентифицират точно различни рискови фактори, както и областите на тяхното влияние и последствията за цялото предприятие.
Методът CRAMM, използван в Обединеното кралство, е най-мощният начин за идентифициране на количествени рискове. Основните цели на тази техника включват:
- автоматизирайте процеса на управление на риска;
- оптимизиране на разходите за управление на паричните средства;
- производителност на системите за сигурност на компанията;
- ангажимент за непрекъснатост на бизнеса.
Експертен метод за анализ на риска
Експертите разглеждат следните фактори за анализ на риска за сигурността на информацията:
1. Разход на ресурс. Тази стойност отразява стойността на информационния ресурс като такъв. Съществува система за оценка на качествения риск по скала, където 1 е минималната, 2 е средната стойност и 3 е максималната. Ако разгледаме ИТ ресурсите на банковата среда, тогава неговият автоматизиран сървър ще има стойност 3, а отделен информационен терминал - 1.
2. Степента на уязвимост на ресурса. Той показва големината на заплахата и вероятността от повреда на ИТ ресурс. Ако говорим за банкова организация, сървърът на автоматизираната банкова система ще бъде максимално достъпен, така че хакерските атаки са най-голямата заплаха за нея. Има и скала за оценка от 1 до 3, където 1 е незначително въздействие, 2 е висока вероятност за възстановяване на ресурса, 3 е необходимостта от пълна подмяна на ресурса след неутрализирането на опасността..
3. Оценка на възможността за заплаха. Той определя вероятността от определена заплаха за информационен ресурс за условен период от време (най-често - за една година) и, подобно на предишните фактори, може да бъде оценен по скала от 1 до 3 (ниска, средна, висока).
Управление на рисковете за информационната сигурност при възникване
Има следните опции за решаване на проблеми с възникващи рискове:
- приемане на риск и поемане на отговорност за своите загуби;
- намаляване на риска, тоест минимизиране на загубите, свързани с неговото възникване;
- прехвърляне, тоест налагане на разходите за обезщетение за щети на застрахователната компания, или превръщането чрез определени механизми в риск с най-ниско ниво на опасност.
След това рисковете от информационната поддръжка се разпределят по ранг, за да се идентифицират основните. За управлението на подобни рискове е необходимо да се намалят, а понякога - да се прехвърлят на застрахователната компания. Възможно прехвърляне и намаляване на рисковете от високи исредно ниво при същите условия, а рисковете от по-ниско ниво често се приемат и не се включват в по-нататъшен анализ.
Заслужава си да се вземе предвид фактът, че класирането на рисковете в информационните системи се определя на базата на изчисляване и определяне на тяхната качествена стойност. Тоест, ако интервалът за класиране на риска е в диапазона от 1 до 18, тогава диапазонът на ниските рискове е от 1 до 7, средните рискове са от 8 до 13, а високите рискове са от 14 до 18. Същността на предприятието е от 1 до 7. Управлението на информационния риск е да намали средните и високите рискове до най-ниската стойност, така че тяхното приемане да е възможно най-оптимално и възможно.
CORAS метод за намаляване на риска
Методът CORAS е част от програмата Технологии на информационното общество. Смисълът му е в адаптирането, конкретизирането и съчетаването на ефективни методи за провеждане на анализ върху примери за информационни рискове.
CORAS методологията използва следните процедури за анализ на риска:
- мерки за подготовка за търсене и систематизиране на информация за въпросния обект;
- предоставяне от клиента на обективни и точни данни за въпросния обект;
- пълно описание на предстоящия анализ, като се вземат предвид всички етапи;
- анализ на подадените документи за автентичност и коректност за по-обективен анализ;
- извършване на дейности за идентифициране на възможни рискове;
- оценка на всички последствия от възникващи информационни заплахи;
- подчертаване на рисковете, които компанията може да поеме, и рисковете, коитотрябва да бъде намалена или пренасочена възможно най-скоро;
- мерки за премахване на възможни заплахи.
Важно е да се отбележи, че изброените мерки не изискват значителни усилия и ресурси за изпълнение и последващо изпълнение. Методологията CORAS е доста проста за използване и не изисква много обучение, за да започнете да я използвате. Единственият недостатък на този инструментариум е липсата на периодичност в оценката.
метод OCTAVE
Методът за оценка на риска OCTAVE предполага известна степен на участие на собственика на информацията в анализа. Трябва да знаете, че се използва за бърза оценка на критични заплахи, идентифициране на активи и идентифициране на слабости в системата за информационна сигурност. OCTAVE предвижда създаването на компетентен анализ, група за сигурност, която включва служители на компанията, използващи системата, и служители на информационния отдел. OCTAVE се състои от три етапа:
Първо се оценява организацията, тоест групата за анализ определя критериите за оценка на щетите, а след това и на рисковете. Идентифицират се най-важните ресурси на организацията, оценено е общото състояние на процеса на поддържане на ИТ сигурността във фирмата. Последната стъпка е да идентифицирате изискванията за сигурност и да дефинирате списък с рискове
- Вторият етап е цялостен анализ на информационната инфраструктура на компанията. Акцентът е върху бързото и координирано взаимодействие между служителите и отговорните за това отделиинфраструктура.
- На третия етап се извършва разработването на тактики за сигурност, създава се план за намаляване на възможните рискове и защита на информационните ресурси. Оценяват се също възможните щети и вероятността за изпълнение на заплахите, както и критериите за оценката им.
Матричен метод за анализ на риска
Този метод за анализ обединява заплахи, уязвимости, активи и контроли за информационна сигурност и определя тяхното значение за съответните активи на организацията. Активите на една организация са материални и нематериални обекти, които са значими от гледна точка на полезност. Важно е да се знае, че матричният метод се състои от три части: матрица на заплахите, матрица на уязвимостите и контролна матрица. Резултатите и от трите части на тази методология се използват за анализ на риска.
Заслужава си да се вземе предвид връзката на всички матрици по време на анализа. Така, например, матрицата на уязвимостите е връзка между активи и съществуващи уязвимости, матрицата на заплахите е колекция от уязвимости и заплахи, а матрицата за контрол свързва понятия като заплахи и контроли. Всяка клетка на матрицата отразява съотношението на елемента колона и ред. Използват се високи, средни и ниски системи за оценяване.
За да създадете таблица, трябва да създадете списъци със заплахи, уязвимости, контроли и активи. Добавят се данни за взаимодействието на съдържанието на колоната на матрицата със съдържанието на реда. По-късно данните от матрицата на уязвимостите се прехвърлят към матрицата на заплахите и след това, съгласно същия принцип, информацията от матрицата на заплахите се прехвърля към контролната матрица.
Заключение
Ролята на даннитенарасна значително с прехода на редица страни към пазарна икономика. Без навременното получаване на необходимата информация нормалното функциониране на компанията е просто невъзможно.
Заедно с развитието на информационните технологии се появиха т. нар. информационни рискове, които представляват заплаха за дейността на компаниите. Ето защо те трябва да бъдат идентифицирани, анализирани и оценени за по-нататъшно намаляване, прехвърляне или обезвреждане. Формирането и прилагането на политика за сигурност ще бъде неефективно, ако съществуващите правила не се използват правилно поради некомпетентност или липса на информираност на служителите. Важно е да се разработи комплекс за спазване на информационната сигурност.
Управлението на риска е субективен, сложен, но в същото време важен етап от дейността на компанията. Най-голям акцент върху сигурността на техните данни трябва да се постави от компания, която работи с големи количества информация или притежава поверителни данни.
Има много ефективни методи за изчисляване и анализиране на рисковете, свързани с информацията, които ви позволяват бързо да информирате компанията и й позволяват да спазва правилата за конкурентоспособност на пазара, както и да поддържа сигурността и непрекъснатостта на бизнеса.
