Aikakautemme tiedolla on yksi keskeisistä asemista kaikilla ihmiselämän aloilla. Tämä johtuu yhteiskunnan asteittaisesta siirtymisestä teollisesta aikakaudesta jälkiteolliseen aikakauteen. Erilaisten tietojen käytön, hallussapidon ja siirron seurauksena voi syntyä tietoriskejä, jotka voivat koskea koko talouden alaa.
Mitkä teollisuudenalat kasvavat nopeimmin?
Tiedonvirtojen kasvu näkyy vuosi vuodelta yhä enemmän, kun teknisten innovaatioiden laajeneminen tekee uusien teknologioiden mukauttamiseen liittyvän tiedon nopeasta siirtämisestä kiireellisen tarpeen. Meidän aikanamme teollisuus, kauppa, koulutus ja rahoitus kehittyvät välittömästi. Juuri tietojen siirron aikana niihin syntyy tietoriskejä.
Tiedosta on tulossa yksi arvokkaimmista tuotetyypeistä, jonka kokonaiskustannukset ylittävät pian kaikkien tuotantotuotteiden hinnan. Tämä tapahtuu, koska vartenKaikkien aineellisten hyödykkeiden ja palvelujen resursseja säästävän luomisen varmistamiseksi on välttämätöntä tarjota perustavanlaatuisesti uusi tiedonvälitystapa, joka sulkee pois tietoriskin mahdollisuuden.
Määritelmä
Meidän aikanamme tietoriskille ei ole yksiselitteistä määritelmää. Monet asiantuntijat tulkitsevat tämän termin tapahtumaksi, jolla on suora vaikutus erilaisiin tietoihin. Tämä voi olla luottamuksellisuuden loukkaamista, vääristymistä ja jopa poistamista. Monille riskialue rajoittuu tietokonejärjestelmiin, jotka ovat pääpainopisteenä.
Usein tätä aihetta tutkittaessa monia todella tärkeitä näkökohtia ei huomioida. Näitä ovat tiedon suora käsittely ja tietoriskien hallinta. Loppujen lopuksi tietoihin liittyvät riskit syntyvät pääsääntöisesti hankintavaiheessa, koska on suuri todennäköisyys, että tiedot havaitaan ja käsitellään väärin. Usein ei kiinnitetä riittävästi huomiota riskeihin, jotka aiheuttavat virheitä tietojenkäsittelyalgoritmeissa sekä toimintahäiriöitä hallinnan optimointiin käytettävissä ohjelmissa.
Monet ajattelevat tietojen käsittelyyn liittyviä riskejä pelkästään taloudelliselta puolelta. Heille tämä on ensisijaisesti riski, joka liittyy tietotekniikan virheelliseen toteutukseen ja käyttöön. Tämä tarkoittaa, että tietoriskien hallinta kattaa sellaiset prosessit kuin tiedon luominen, siirtäminen, tallentaminen ja käyttö erilaisten media- ja viestintävälineiden käytön mukaan.
Analyysi jaIT-riskien luokittelu
Mitä riskejä tiedon vastaanottamiseen, käsittelyyn ja lähettämiseen liittyy? Millä tavalla ne eroavat toisistaan? Tietoriskien laadullisessa ja kvantitatiivisessa arvioinnissa on useita ryhmiä seuraavien kriteerien mukaan:
- sisäisten ja ulkoisten esiintymislähteiden mukaan;
- tahallisesti ja tahattomasti;
- suoraan tai välillisesti;
- tietorikkomustyypin mukaan: luotettavuus, relevanssi, täydellisyys, tietojen luottamuksellisuus jne.;
- vaikutusmenetelmän mukaan riskit ovat seuraavat: ylivoimainen este ja luonnonkatastrofit, asiantuntijoiden virheet, onnettomuudet jne.
Tiedon riskianalyysi on tietojärjestelmien suojaustaso maailmanlaajuisen arvioinnin prosessi, jossa määritetään erilaisten riskien määrä (raharesurssit) ja laatu (pieni, keskitaso, korkea riski). Analyysiprosessi voidaan suorittaa erilaisilla menetelmillä ja työkaluilla luoda tapoja suojata tietoa. Tällaisen analyysin tulosten perusteella on mahdollista määrittää suurimmat riskit, jotka voivat olla välitön uhka ja kannustin ryhtyä välittömästi lisätoimenpiteisiin, jotka edistävät tietoresurssien suojaa.
Menetelmät IT-riskien määrittämiseen
Tällä hetkellä ei ole olemassa yleisesti hyväksyttyä menetelmää, jolla luotettavasti määritettäisiin tietotekniikan erityiset riskit. Tämä johtuu siitä, että tilastotietoa, joka antaisi tarkempaa tietoa, ei ole riittävästiyleisiä riskejä. Tärkeä rooli on myös sillä, että tietyn tietoresurssin arvoa on vaikea määrittää perusteellisesti, koska valmistaja tai yrityksen omistaja voi nimetä tietovälineiden kustannukset ehdottoman tarkasti, mutta hänen on vaikea määrittää. ilmoittaa niissä olevien tietojen kustannukset. Siksi IT-riskien kustannusten määrittämisessä tällä hetkellä paras vaihtoehto on laadullinen arviointi, jonka ansiosta eri riskitekijät tunnistetaan tarkasti sekä niiden vaikutusalueet ja seuraukset koko yritykselle.
Isossa-Britanniassa käytetty CRAMM-menetelmä on tehokkain tapa tunnistaa määrälliset riskit. Tämän tekniikan päätavoitteita ovat:
- automatisoi riskinhallintaprosessi;
- kassanhallintakulujen optimointi;
- yrityksen turvajärjestelmien tuottavuus;
- sitoumus liiketoiminnan jatkuvuuteen.
Asiantunteva riskianalyysimenetelmä
Asiantuntijat ottavat huomioon seuraavat tietoturvariskianalyysitekijät:
1. Resurssikustannukset. Tämä arvo kuvastaa tietoresurssin arvoa sellaisenaan. On olemassa laadullisen riskin arviointijärjestelmä asteikolla, jossa 1 on minimi, 2 on keskiarvo ja 3 on maksimi. Jos otetaan huomioon pankkiympäristön IT-resurssit, niin sen automatisoidun palvelimen arvo on 3 ja erillisellä tietopäätteellä - 1.
2. Resurssin haavoittuvuuden aste. Se näyttää uhan suuruuden ja IT-resurssin vahingoittumisen todennäköisyyden. Jos puhumme pankkiorganisaatiosta, automatisoidun pankkijärjestelmän palvelin on mahdollisimman saavutettavissa, joten hakkerihyökkäykset ovat suurin uhka sille. On myös luokitusasteikko 1-3, jossa 1 on vähäinen vaikutus, 2 on suuri todennäköisyys resurssien palautumiseen, 3 on tarve vaihtaa resurssi kokonaan sen jälkeen, kun vaara on neutraloitu.
3. Arvioi uhan mahdollisuutta. Se määrittää tietyn uhan todennäköisyyden tietoresurssille ehdollisen ajan (useimmiten - vuoden ajan) ja, kuten edelliset tekijät, voidaan arvioida asteikolla 1-3 (matala, keskitaso, korkea).
Tietoturvariskien hallinta niiden ilmaantuessa
On olemassa seuraavat vaihtoehdot uusien riskien ongelmien ratkaisemiseksi:
- riskin ottaminen ja vastuun ottaminen tappioistaan;
- riskin pienentäminen, eli sen esiintymiseen liittyvien tappioiden minimoiminen;
- siirto eli vahingonkorvauskustannusten määrääminen vakuutusyhtiölle tai muuttaminen tiettyjen mekanismien kautta pienimmän vaaratason riskiksi.
Sitten tietotuen riskit jaetaan sijoituksen mukaan ensisijaisten tunnistamiseksi. Tällaisten riskien hallitsemiseksi on tarpeen vähentää niitä ja joskus - siirtää ne vakuutusyhtiölle. Mahdollinen siirto ja riskien vähentäminen korkean jakeskitaso samoin ehdoin ja alemman tason riskit hyväksytään usein eikä niitä sisällytetä lisäanalyyseihin.
On syytä ottaa huomioon, että riskien järjestys tietojärjestelmissä määräytyy laskennan ja niiden laadullisen arvon määrittämisen perusteella. Eli jos riskien luokitteluväli on välillä 1-18, niin pienten riskien vaihteluväli on 1-7, keskisuuret 8-13 ja korkeat 14-18. Yrityksen ydin tietoriskin hallinnan tarkoituksena on vähentää keskimääräisiä ja korkeita riskejä alimpaan arvoon, jotta niiden hyväksyminen on mahdollisimman optimaalista ja mahdollista.
CORAS-riskinhallintamenetelmä
CORAS-menetelmä on osa Information Society Technologies -ohjelmaa. Sen merkitys on mukauttaminen, konkretisoiminen ja tehokkaiden menetelmien yhdistäminen esimerkkien tietoriskien analysointiin.
CORAS-metodologia käyttää seuraavia riskianalyysimenetelmiä:
- toimenpiteet kyseisen kohteen tiedonhaun ja systematisoinnin valmistelemiseksi;
- asiakkaan antama objektiiviset ja oikeat tiedot kyseessä olevasta kohteesta;
- täydellinen kuvaus tulevasta analyysistä ottaen huomioon kaikki vaiheet;
- lähetettyjen asiakirjojen aitouden ja oikeellisuuden analyysi objektiivisemman analyysin varmistamiseksi;
- toimintojen suorittaminen mahdollisten riskien tunnistamiseksi;
- arvio kaikista uusien tietouhkien seurauksista;
- korostamalla riskejä, joita yritys voi ottaa, ja riskejä, joita yritys voi ottaaon vähennettävä tai ohjattava uudelleen mahdollisimman pian;
- toimenpiteitä mahdollisten uhkien poistamiseksi.
On tärkeää huomata, että luetellut toimenpiteet eivät vaadi merkittäviä ponnisteluja ja resursseja niiden toteuttamiseen ja myöhempään toteuttamiseen. CORAS-metodologia on melko yksinkertainen käyttää, eikä sen käytön aloittaminen vaadi paljon koulutusta. Tämän työkalupakin ainoa haittapuoli on arvioinnin säännöllisyyden puute.
OCTAVE-menetelmä
OCTAVE-riskinarviointimenetelmä edellyttää tiedon omistajan tiettyä osallistumista analyysiin. Sinun tulee tietää, että sitä käytetään kriittisten uhkien nopeaan arvioimiseen, omaisuuden tunnistamiseen ja tietoturvajärjestelmän heikkouksien tunnistamiseen. OCTAVE mahdollistaa pätevän analyysi-, turvallisuusryhmän luomisen, johon kuuluvat järjestelmää käyttävän yrityksen työntekijät ja tietoosaston työntekijät. OCTAVE koostuu kolmesta vaiheesta:
Ensin organisaatio arvioidaan, eli analyysiryhmä määrittelee kriteerit vahingon ja sen jälkeen riskien arvioimiseksi. Organisaation tärkeimmät resurssit tunnistetaan, IT-turvallisuuden ylläpitoprosessin yleinen tila yrityksessä arvioidaan. Viimeinen vaihe on turvavaatimusten tunnistaminen ja riskiluettelon määritteleminen
- Toinen vaihe on kattava analyysi yrityksen tietoinfrastruktuurista. Pääpaino on nopeassa ja koordinoidussa vuorovaikutuksessa työntekijöiden ja siitä vastaavien osastojen välilläinfrastruktuuri.
- Kolmannessa vaiheessa kehitetään turvallisuustaktiikoita, laaditaan suunnitelma mahdollisten riskien vähentämiseksi ja tietoresurssien suojaamiseksi. Myös mahdolliset vahingot ja uhkien toteutumisen todennäköisyys sekä niiden arvioinnin kriteerit arvioidaan.
Matriisiriskianalyysimenetelmä
Tämä analyysimenetelmä kokoaa yhteen uhat, haavoittuvuudet, omaisuuden ja tietoturvan hallintalaitteet ja määrittää niiden merkityksen organisaation vastaaville omaisuuksille. Organisaation omaisuus on hyödyllisyyden kann alta merkittäviä aineellisia ja aineettomia esineitä. On tärkeää tietää, että matriisimenetelmä koostuu kolmesta osasta: uhkamatriisista, haavoittuvuusmatriisista ja ohjausmatriisista. Tämän menetelmän kaikkien kolmen osan tuloksia käytetään riskianalyysiin.
Kaikkien matriisien suhdetta kannattaa harkita analyysin aikana. Joten esimerkiksi haavoittuvuusmatriisi on linkki omaisuuden ja olemassa olevien haavoittuvuuksien välillä, uhkamatriisi on kokoelma haavoittuvuuksia ja uhkia, ja ohjausmatriisi yhdistää käsitteitä, kuten uhat ja kontrollit. Jokainen matriisin solu heijastaa sarakkeen ja rivielementin suhdetta. Käytetään korkean, keskitason ja matalan arvosanan järjestelmiä.
Jotta voit luoda taulukon, sinun on luotava luettelot uhista, haavoittuvuuksista, ohjaimista ja resursseista. Lisätään tietoja matriisisarakkeen sisällön vuorovaikutuksesta rivin sisällön kanssa. Myöhemmin haavoittuvuusmatriisin tiedot siirretään uhkamatriisiin, ja sitten saman periaatteen mukaisesti tiedot uhkamatriisista siirretään ohjausmatriisiin.
Johtopäätös
Tietojen roolilisääntyi huomattavasti useiden maiden siirtyessä markkinatalouteen. Ilman tarvittavien tietojen oikea-aikaista saamista yrityksen normaali toiminta on yksinkertaisesti mahdotonta.
Yhdessä tietotekniikan kehityksen kanssa on syntynyt ns. tietoriskejä, jotka uhkaavat yritysten toimintaa. Siksi ne on tunnistettava, analysoitava ja arvioitava edelleen vähentämistä, siirtoa tai hävittämistä varten. Turvapolitiikan muodostaminen ja toimeenpano on tehotonta, jos olemassa olevia sääntöjä ei käytetä asianmukaisesti työntekijöiden epäpätevyyden tai tietämättömyyden vuoksi. On tärkeää kehittää kompleksi tietoturvan noudattamiseksi.
Riskienhallinta on subjektiivinen, monimutkainen, mutta samalla tärkeä vaihe yrityksen toiminnassa. Tietojensa turvallisuutta eniten painottaa yrityksen, joka työskentelee suuria tietomääriä tai omistaa luottamuksellisia tietoja.
Tietoon liittyvien riskien laskemiseen ja analysointiin on olemassa monia tehokkaita menetelmiä, joiden avulla voit tiedottaa yritykselle nopeasti ja noudattaa markkinoiden kilpailukyvyn sääntöjä sekä ylläpitää turvallisuutta ja liiketoiminnan jatkuvuutta.
