V naší době zaujímá informace jednu z klíčových pozic ve všech sférách lidského života. Je to dáno postupným přechodem společnosti z industriální éry do postindustriální. V důsledku využívání, držení a přenosu různých informací mohou vznikat informační rizika, která mohou ovlivnit celou sféru ekonomiky.
Která odvětví rostou nejrychleji?
Růst informačních toků je každým rokem stále znatelnější, protože s rozmachem technických inovací je rychlý přenos informací souvisejících s adaptací nových technologií naléhavou potřebou. V naší době se průmysl, obchod, vzdělávání a finance okamžitě rozvíjejí. Právě při přenosu dat v nich vznikají informační rizika.
Informace se stávají jedním z nejcennějších typů produktů, jejichž celkové náklady brzy převýší cenu všech produktů výroby. To se stane, protože proAby bylo zajištěno vytváření všech hmotných statků a služeb, které šetří zdroje, je nutné poskytnout zásadně nový způsob přenosu informací, který vylučuje možnost informačních rizik.
Definice
V naší době neexistuje jednoznačná definice informačního rizika. Mnoho odborníků si tento pojem vykládá jako událost, která má přímý dopad na různé informace. Může se jednat o porušení důvěrnosti, zkreslení nebo dokonce vymazání. Pro mnohé je riziková zóna omezena na počítačové systémy, na které se zaměřujeme především.
Při studiu tohoto tématu se často nebere v úvahu mnoho skutečně důležitých aspektů. Patří mezi ně přímé zpracování informací a řízení informačních rizik. Rizika spojená s údaji totiž vznikají zpravidla ve fázi získávání, protože existuje vysoká pravděpodobnost nesprávného vnímání a zpracování informací. Často není věnována náležitá pozornost rizikům, která způsobují selhání v algoritmech zpracování dat a také poruchy v programech používaných k optimalizaci správy.
Mnozí zvažují rizika spojená se zpracováním informací výhradně z ekonomické stránky. Jde pro ně především o riziko spojené s nesprávnou implementací a používáním informačních technologií. To znamená, že řízení informačních rizik pokrývá takové procesy, jako je vytváření, přenos, ukládání a používání informací, s výhradou použití různých médií a komunikačních prostředků.
Analýza aklasifikace IT rizik
Jaká jsou rizika spojená s přijímáním, zpracováním a přenosem informací? V čem se liší? Existuje několik skupin kvalitativního a kvantitativního hodnocení informačních rizik podle následujících kritérií:
- podle interních a externích zdrojů výskytu;
- úmyslně i neúmyslně;
- přímo nebo nepřímo;
- podle typu porušení informací: spolehlivost, relevance, úplnost, důvěrnost dat atd.;
- podle způsobu dopadu jsou rizika následující: vyšší moc a přírodní katastrofy, chyby specialistů, nehody atd.
Analýza informačních rizik je proces globálního hodnocení úrovně ochrany informačních systémů se stanovením kvantity (hotovostní zdroje) a kvality (nízké, střední, vysoké riziko) různých rizik. Proces analýzy lze provádět pomocí různých metod a nástrojů pro vytváření způsobů ochrany informací. Na základě výsledků takové analýzy je možné určit nejvyšší rizika, která mohou být bezprostřední hrozbou a podnětem k okamžitému přijetí dalších opatření přispívajících k ochraně informačních zdrojů.
Metodika pro stanovení rizik IT
V současné době neexistuje žádná obecně uznávaná metoda, která by spolehlivě určila specifická rizika informačních technologií. Je to dáno tím, že neexistuje dostatek statistických údajů, které by poskytly konkrétnější informaceběžná rizika. Důležitou roli hraje také to, že je obtížné důkladně určit hodnotu konkrétního informačního zdroje, protože výrobce nebo majitel podniku sice dokáže naprosto přesně pojmenovat náklady na informační nosiče, ale těžko bude vyjadřovat cenu informací, které se na nich nacházejí. Proto je v tuto chvíli nejlepší možností pro stanovení nákladů na IT rizika kvalitativní posouzení, díky kterému jsou přesně identifikovány různé rizikové faktory, oblasti jejich vlivu a důsledky pro celý podnik.
Metoda CRAMM používaná ve Spojeném království je nejúčinnějším způsobem identifikace kvantitativních rizik. Mezi hlavní cíle této techniky patří:
- automatizujte proces řízení rizik;
- optimalizace nákladů na správu hotovosti;
- produktivita firemních bezpečnostních systémů;
- závazek ke kontinuitě podnikání.
Metoda expertní analýzy rizik
Odborníci zvažují následující faktory analýzy rizik informační bezpečnosti:
1. Náklady na zdroje. Tato hodnota odráží hodnotu informačního zdroje jako takového. Existuje systém hodnocení kvalitativního rizika na stupnici, kde 1 je minimum, 2 je průměrná hodnota a 3 je maximum. Pokud vezmeme v úvahu IT zdroje bankovního prostředí, pak jeho automatizovaný server bude mít hodnotu 3 a samostatný informační terminál - 1.
2. Míra zranitelnosti zdroje. Ukazuje velikost hrozby a pravděpodobnost poškození zdroje IT. Pokud mluvíme o bankovní organizaci, server automatizovaného bankovního systému bude maximálně dostupný, takže největší hrozbou jsou pro něj útoky hackerů. Existuje také stupnice hodnocení od 1 do 3, kde 1 je malý dopad, 2 je vysoká pravděpodobnost obnovy zdroje, 3 je potřeba úplné výměny zdroje po neutralizaci nebezpečí.
3. Posouzení možnosti ohrožení. Určuje pravděpodobnost určitého ohrožení informačního zdroje na podmíněnou dobu (nejčastěji na rok) a stejně jako předchozí faktory lze hodnotit na stupnici od 1 do 3 (nízká, střední, vysoká).
Správa rizik zabezpečení informací, jakmile nastanou
Pro řešení problémů s nově se objevujícími riziky existují následující možnosti:
- přijmout riziko a převzít odpovědnost za své ztráty;
- snížení rizika, tedy minimalizace ztrát spojených s jeho výskytem;
- převod, tedy uvalení nákladů na náhradu škody na pojišťovnu, nebo přeměna prostřednictvím určitých mechanismů na riziko s nejnižší mírou nebezpečí.
Poté jsou rizika informační podpory rozdělena podle úrovně, aby bylo možné identifikovat ta primární. K řízení takových rizik je nutné je snížit a někdy - přenést je na pojišťovnu. Možný přenos a snížení rizik vysokých astřední úroveň za stejných podmínek a rizika nižší úrovně jsou často přijímána a nejsou zahrnuta do další analýzy.
Za zvážení stojí skutečnost, že pořadí rizik v informačních systémech se určuje na základě výpočtu a stanovení jejich kvalitativní hodnoty. To znamená, že pokud je interval hodnocení rizik v rozmezí od 1 do 18, pak rozsah nízkých rizik je od 1 do 7, středních rizik od 8 do 13 a vysokých rizik od 14 do 18. Podstata podnikání řízení informačních rizik spočívá ve snižování průměrných a vysokých rizik na nejnižší hodnotu tak, aby jejich akceptace byla co nejoptimálnější a možná.
CORAS metoda zmírnění rizika
Metoda CORAS je součástí programu Technologie informační společnosti. Jeho smysl spočívá v přizpůsobení, konkretizaci a kombinaci účinných metod provádění analýzy na příkladech informačních rizik.
Metodika CORAS používá následující postupy analýzy rizik:
- opatření k přípravě vyhledávání a systematizace informací o daném objektu;
- poskytnutí objektivních a správných údajů o daném objektu klientem;
- úplný popis nadcházející analýzy, který bere v úvahu všechny fáze;
- analýza pravosti a správnosti předložených dokumentů pro objektivnější analýzu;
- provádění činností k identifikaci možných rizik;
- posouzení všech důsledků vznikajících informačních hrozeb;
- zdůraznění rizik, která může společnost podstoupit, a rizik, která s tím souvisíje třeba co nejdříve snížit nebo přesměrovat;
- opatření k odstranění možných hrozeb.
Je důležité poznamenat, že uvedená opatření nevyžadují významné úsilí a zdroje pro implementaci a následnou implementaci. Metodika CORAS je poměrně jednoduchá na používání a její používání nevyžaduje mnoho školení. Jedinou nevýhodou této sady nástrojů je nedostatek periodicity v hodnocení.
OCTAVE metoda
Metoda hodnocení rizik OCTAVE předpokládá určitou míru zapojení vlastníka informací do analýzy. Musíte vědět, že se používá k rychlému posouzení kritických hrozeb, identifikaci aktiv a identifikaci slabin v systému zabezpečení informací. OCTAVE zajišťuje vytvoření kompetentní analytické, bezpečnostní skupiny, která zahrnuje zaměstnance společnosti využívající systém a zaměstnance informačního oddělení. OCTAVE se skládá ze tří fází:
Nejprve je posouzena organizace, to znamená, že analytická skupina stanoví kritéria pro hodnocení škod a následně rizik. Identifikují se nejdůležitější zdroje organizace, posoudí se obecný stav procesu udržování bezpečnosti IT ve firmě. Posledním krokem je identifikace bezpečnostních požadavků a definování seznamu rizik
- Druhou fází je komplexní analýza informační infrastruktury společnosti. Důraz je kladen na rychlou a koordinovanou interakci mezi zaměstnanci a za to odpovědnými oddělenímiinfrastruktura.
- Ve třetí fázi se provádí vývoj bezpečnostní taktiky, vytváří se plán na snížení možných rizik a ochranu informačních zdrojů. Posuzují se také možné škody a pravděpodobnost realizace hrozeb a kritéria pro jejich hodnocení.
Matriční metoda analýzy rizik
Tato metoda analýzy spojuje hrozby, zranitelná místa, aktiva a kontroly zabezpečení informací a určuje jejich důležitost pro příslušná aktiva organizace. Aktivy organizace jsou hmotné a nehmotné předměty, které jsou významné z hlediska užitku. Je důležité vědět, že maticová metoda se skládá ze tří částí: matice hrozeb, matice zranitelnosti a kontrolní matice. Výsledky všech tří částí této metodiky se používají pro analýzu rizik.
Při analýze stojí za zvážení vztahu všech matic. Takže například matice zranitelnosti je spojením mezi aktivy a existujícími zranitelnostmi, matice hrozeb je soubor zranitelných míst a hrozeb a matice kontroly spojuje pojmy, jako jsou hrozby a kontroly. Každá buňka matice odráží poměr prvku sloupec a řádek. Používají se systémy vysokého, středního a nízkého hodnocení.
Abyste mohli vytvořit tabulku, musíte vytvořit seznamy hrozeb, zranitelností, ovládacích prvků a aktiv. Jsou přidána data o interakci obsahu sloupce matice s obsahem řádku. Později se data matice zranitelnosti přenesou do matice hrozeb a poté se podle stejného principu informace z matice hrozeb přenesou do kontrolní matice.
Závěr
Role datvýrazně vzrostly s přechodem řady zemí na tržní hospodářství. Bez včasného obdržení potřebných informací je normální fungování společnosti prostě nemožné.
Spolu s rozvojem informačních technologií se objevila tzv. informační rizika, která ohrožují činnost firem. To je důvod, proč je třeba je identifikovat, analyzovat a vyhodnotit pro další snížení, přenos nebo likvidaci. Tvorba a implementace bezpečnostní politiky bude neúčinná, pokud stávající pravidla nebudou řádně využívána z důvodu nekompetence nebo nedostatečné informovanosti zaměstnanců. Je důležité vyvinout komplex pro soulad s bezpečností informací.
Řízení rizik je subjektivní, komplexní, ale zároveň důležitou etapou v činnosti společnosti. Největší důraz na bezpečnost svých dat by měla klást společnost, která pracuje s velkým množstvím informací nebo vlastní důvěrná data.
Existuje velké množství účinných metod pro výpočet a analýzu rizik souvisejících s informacemi, které vám umožní rychle informovat společnost a umožnit jí dodržovat pravidla konkurenceschopnosti na trhu a také zachovat bezpečnost a kontinuitu podnikání.
