V našej dobe zaujímajú informácie jednu z kľúčových pozícií vo všetkých sférach ľudského života. Je to spôsobené postupným prechodom spoločnosti z industriálnej éry do postindustriálnej. V dôsledku používania, držby a prenosu rôznych informácií môžu vzniknúť informačné riziká, ktoré môžu ovplyvniť celú sféru ekonomiky.
Ktoré odvetvia rastú najrýchlejšie?
Rast informačných tokov je každým rokom zreteľnejší, keďže rozšírenie technických inovácií robí z rýchleho prenosu informácií súvisiacich s adaptáciou nových technológií naliehavú potrebu. V našej dobe sa priemysel, obchod, vzdelávanie a financie okamžite rozvíjajú. Práve pri prenose údajov v nich vznikajú informačné riziká.
Informácie sa stávajú jedným z najcennejších druhov produktov, ktorých celkové náklady čoskoro prevýšia cenu všetkých produktov výroby. To sa stane, pretože preNa zabezpečenie tvorby všetkých materiálnych tovarov a služieb, ktoré šetria zdroje, je potrebné poskytnúť zásadne nový spôsob prenosu informácií, ktorý vylučuje možnosť informačných rizík.
Definícia
V našej dobe neexistuje jednoznačná definícia informačného rizika. Mnohí odborníci interpretujú tento pojem ako udalosť, ktorá má priamy vplyv na rôzne informácie. Môže ísť o porušenie dôvernosti, skreslenie a dokonca o vymazanie. Pre mnohých je riziková zóna obmedzená na počítačové systémy, ktoré sú hlavným zameraním.
Často sa pri štúdiu tejto témy neberie do úvahy veľa skutočne dôležitých aspektov. Patrí medzi ne priame spracovanie informácií a riadenie informačných rizík. Riziká spojené s údajmi totiž vznikajú spravidla vo fáze získavania, pretože existuje vysoká pravdepodobnosť nesprávneho vnímania a spracovania informácií. Často sa náležitá pozornosť nevenuje rizikám, ktoré spôsobujú zlyhania v algoritmoch spracovania údajov, ako aj poruchy v programoch používaných na optimalizáciu správy.
Mnohí zvažujú riziká spojené so spracovaním informácií výlučne z ekonomickej stránky. Pre nich ide predovšetkým o riziko spojené s nesprávnou implementáciou a používaním informačných technológií. To znamená, že riadenie informačných rizík zahŕňa také procesy, ako je vytváranie, prenos, uchovávanie a používanie informácií s výhradou použitia rôznych médií a komunikačných prostriedkov.
Analýza aklasifikácia IT rizík
Aké sú riziká spojené s prijímaním, spracovaním a prenosom informácií? V čom sa líšia? Existuje niekoľko skupín kvalitatívneho a kvantitatívneho hodnotenia informačných rizík podľa nasledujúcich kritérií:
- podľa vnútorných a vonkajších zdrojov výskytu;
- úmyselne a neúmyselne;
- priamo alebo nepriamo;
- podľa typu porušenia informácií: spoľahlivosť, relevantnosť, úplnosť, dôvernosť údajov atď.;
- podľa spôsobu dopadu sú riziká nasledovné: vyššia moc a prírodné katastrofy, chyby špecialistov, nehody atď.
Analýza informačných rizík je proces globálneho hodnotenia úrovne ochrany informačných systémov s určením kvantity (hotovostné zdroje) a kvality (nízke, stredné, vysoké riziko) rôznych rizík. Proces analýzy možno vykonávať pomocou rôznych metód a nástrojov na vytváranie spôsobov ochrany informácií. Na základe výsledkov takejto analýzy je možné určiť najvyššie riziká, ktoré môžu byť bezprostrednou hrozbou a podnetom na okamžité prijatie dodatočných opatrení, ktoré prispejú k ochrane informačných zdrojov.
Metodika určovania rizík IT
V súčasnosti neexistuje všeobecne akceptovaná metóda, ktorá by spoľahlivo určila špecifické riziká informačných technológií. Je to spôsobené tým, že nie je dostatok štatistických údajov, ktoré by poskytli konkrétnejšie informácie obežné riziká. Dôležitú úlohu zohráva aj to, že je ťažké dôsledne určiť hodnotu konkrétneho informačného zdroja, pretože výrobca alebo majiteľ podniku vie s absolútnou presnosťou pomenovať náklady na nosiče informácií, len ťažko vyjadriť cenu informácií, ktoré sa na nich nachádzajú. Preto je v súčasnosti najlepšou možnosťou na určenie nákladov na IT riziká kvalitatívne hodnotenie, vďaka ktorému sú presne identifikované rôzne rizikové faktory, ako aj oblasti ich vplyvu a dôsledky pre celý podnik.
Metóda CRAMM používaná v Spojenom kráľovstve je najúčinnejším spôsobom identifikácie kvantitatívnych rizík. Medzi hlavné ciele tejto techniky patrí:
- automatizujte proces riadenia rizík;
- optimalizácia nákladov na správu hotovosti;
- produktivita firemných bezpečnostných systémov;
- záväzok kontinuity podnikania.
Metóda expertnej analýzy rizika
Odborníci zvažujú nasledujúce faktory analýzy rizík bezpečnosti informácií:
1. Náklady na zdroje. Táto hodnota odráža hodnotu informačného zdroja ako takého. Existuje systém hodnotenia kvalitatívneho rizika na škále, kde 1 je minimum, 2 je priemerná hodnota a 3 je maximum. Ak vezmeme do úvahy IT zdroje bankového prostredia, potom jeho automatizovaný server bude mať hodnotu 3 a samostatný informačný terminál - 1.
2. Stupeň zraniteľnosti zdroja. Zobrazuje veľkosť hrozby a pravdepodobnosť poškodenia zdroja IT. Ak hovoríme o bankovej organizácii, server automatizovaného bankového systému bude čo najprístupnejší, takže najväčšou hrozbou sú preň útoky hackerov. Existuje aj hodnotiaca stupnica od 1 do 3, kde 1 je malý vplyv, 2 je vysoká pravdepodobnosť obnovenia zdroja, 3 je potreba úplnej výmeny zdroja po neutralizácii nebezpečenstva.
3. Posúdenie možnosti ohrozenia. Určuje pravdepodobnosť určitého ohrozenia informačného zdroja na podmienené časové obdobie (najčastejšie na rok) a rovnako ako predchádzajúce faktory možno hodnotiť na stupnici od 1 do 3 (nízka, stredná, vysoká).
Správa rizík bezpečnosti informácií, keď sa vyskytnú
Na riešenie problémov s vznikajúcimi rizikami existujú nasledujúce možnosti:
- prijať riziko a prevziať zodpovednosť za svoje straty;
- zníženie rizika, čiže minimalizácia strát spojených s jeho výskytom;
- prevod, teda uloženie nákladov na náhradu škody poisťovni, alebo transformácia prostredníctvom určitých mechanizmov na riziko s najnižším stupňom nebezpečenstva.
Potom sú riziká informačnej podpory rozdelené podľa poradia, aby sa identifikovali tie primárne. Na zvládnutie takýchto rizík je potrebné ich znížiť a niekedy ich preniesť na poisťovňu. Možný prenos a zníženie rizík vysokých astredná úroveň za rovnakých podmienok a riziká nižšej úrovne sú často akceptované a nie sú zahrnuté v ďalšej analýze.
Za úvahu stojí fakt, že poradie rizík v informačných systémoch sa určuje na základe výpočtu a stanovenia ich kvalitatívnej hodnoty. To znamená, že ak je interval hodnotenia rizika v rozmedzí od 1 do 18, potom rozsah nízkych rizík je od 1 do 7, stredných rizík je od 8 do 13 a vysokých rizík je od 14 do 18. Podstata podnikania riadenie informačných rizík spočíva v znižovaní priemerných a vysokých rizík na najnižšiu hodnotu tak, aby ich akceptovanie bolo čo najoptimálnejšie a čo najoptimálnejšie.
Metóda zmiernenia rizika CORAS
Metóda CORAS je súčasťou programu Information Society Technologies. Jeho význam spočíva v prispôsobení, konkretizácii a kombinácii efektívnych metód vykonávania analýzy na príkladoch informačných rizík.
Metodika CORAS využíva nasledujúce postupy analýzy rizík:
- opatrenia na prípravu vyhľadávania a systematizácie informácií o predmetnom objekte;
- poskytnutie objektívnych a správnych údajov o predmetnom objekte klientom;
- úplný popis nadchádzajúcej analýzy, berúc do úvahy všetky fázy;
- analýza pravosti a správnosti predložených dokumentov pre objektívnejšiu analýzu;
- vykonávanie činností na identifikáciu možných rizík;
- posúdenie všetkých následkov vznikajúcich informačných hrozieb;
- zvýraznenie rizík, ktoré môže spoločnosť podstúpiť, a rizík, ktoré môže podstúpiťje potrebné čo najskôr znížiť alebo presmerovať;
- opatrenia na odstránenie možných hrozieb.
Je dôležité poznamenať, že uvedené opatrenia si nevyžadujú značné úsilie a zdroje na implementáciu a následnú implementáciu. Metodika CORAS sa používa pomerne jednoducho a na jej začatie nie je potrebné veľa školenia. Jedinou nevýhodou tohto súboru nástrojov je nedostatok periodicity v hodnotení.
OCTAVE metóda
Metóda hodnotenia rizika OCTAVE predpokladá určitý stupeň zapojenia vlastníka informácií do analýzy. Musíte vedieť, že sa používa na rýchle posúdenie kritických hrozieb, identifikáciu aktív a identifikáciu slabín v systéme informačnej bezpečnosti. OCTAVE zabezpečuje vytvorenie kompetentnej analytickej, bezpečnostnej skupiny, ktorá zahŕňa zamestnancov spoločnosti využívajúcej systém a zamestnancov informačného oddelenia. OCTAVE pozostáva z troch fáz:
Najskôr sa posúdi organizácia, to znamená, že analytická skupina určí kritériá hodnotenia škôd a následne rizík. Identifikujú sa najdôležitejšie zdroje organizácie, posúdi sa celkový stav procesu udržiavania IT bezpečnosti v podniku. Posledným krokom je identifikácia bezpečnostných požiadaviek a definovanie zoznamu rizík
- Druhou fázou je komplexná analýza informačnej infraštruktúry spoločnosti. Dôraz sa kladie na rýchlu a koordinovanú interakciu medzi zamestnancami a oddeleniami, ktoré sú za to zodpovednéinfraštruktúra.
- V tretej fáze sa uskutočňuje vývoj bezpečnostnej taktiky, vytvára sa plán na zníženie možných rizík a ochranu informačných zdrojov. Posudzujú sa aj možné škody a pravdepodobnosť implementácie hrozieb, ako aj kritériá ich hodnotenia.
Matričná metóda analýzy rizík
Táto metóda analýzy spája hrozby, zraniteľné miesta, aktíva a kontroly informačnej bezpečnosti a určuje ich dôležitosť pre príslušné aktíva organizácie. Aktíva organizácie sú hmotné a nehmotné predmety, ktoré sú významné z hľadiska užitočnosti. Je dôležité vedieť, že maticová metóda pozostáva z troch častí: matica hrozieb, matica zraniteľnosti a kontrolná matica. Výsledky všetkých troch častí tejto metodiky sa používajú na analýzu rizík.
Pri analýze sa oplatí zvážiť vzťah všetkých matíc. Takže napríklad matica zraniteľnosti je spojením medzi aktívami a existujúcimi zraniteľnosťami, matica hrozieb je súborom zraniteľností a hrozieb a kontrolná matica spája pojmy, ako sú hrozby a kontroly. Každá bunka matice odráža pomer prvku stĺpca a riadka. Používajú sa systémy vysokého, stredného a nízkeho hodnotenia.
Ak chcete vytvoriť tabuľku, musíte vytvoriť zoznamy hrozieb, zraniteľností, ovládacích prvkov a aktív. Pridávajú sa údaje o interakcii obsahu stĺpca matice s obsahom riadka. Neskôr sa údaje matice zraniteľnosti prenesú do matice hrozieb a potom sa podľa rovnakého princípu informácie z matice hrozieb prenesú do kontrolnej matice.
Záver
Úloha údajovsa výrazne zvýšil s prechodom niekoľkých krajín na trhové hospodárstvo. Bez včasného prijatia potrebných informácií je normálne fungovanie spoločnosti jednoducho nemožné.
Spolu s rozvojom informačných technológií vznikli takzvané informačné riziká, ktoré ohrozujú činnosť firiem. Preto je potrebné ich identifikovať, analyzovať a vyhodnotiť pre ďalšie zníženie, prenos alebo likvidáciu. Tvorba a implementácia bezpečnostnej politiky bude neúčinná, ak sa existujúce pravidlá nebudú správne používať z dôvodu nekompetentnosti alebo nedostatočnej informovanosti zamestnancov. Je dôležité vytvoriť komplex pre súlad s informačnou bezpečnosťou.
Riadenie rizík je subjektívna, komplexná, no zároveň dôležitá etapa v činnosti spoločnosti. Najväčší dôraz na bezpečnosť svojich údajov by mala klásť spoločnosť, ktorá pracuje s veľkým množstvom informácií alebo vlastní dôverné údaje.
Existuje veľké množstvo účinných metód na výpočet a analýzu rizík súvisiacich s informáciami, ktoré vám umožnia rýchlo informovať spoločnosť a umožniť jej dodržiavať pravidlá konkurencieschopnosti na trhu, ako aj zachovať bezpečnosť a kontinuitu podnikania.
