Zarządzanie ryzykiem w projektach informatycznych

1. Zarządzanie ryzykiem realizowane jest przez trzy procesy:
2. ocenę ryzyka,
3. łagodzenie ryzyka,
4. ocenę zaimplementowanego systemu bezpieczeństwa.

Ryzyko jest funkcją prawdopodobieństwa zagrożenia odnoszącego się do potencjalnej podatności, skutkującego – w przypadku zajścia danego zdarzenia – niekorzystnym wpływem na organizację.

Proces oceny ryzyka wykonywany jest w 6 krokach:

1. opis systemu – inwentaryzacja wszystkich aktywów informacyjnych organizacji – wszystkie elementy sprzętu, oprogramowania, zasoby muszą zostać scharakteryzowane pod względem znaczenia dla możliwości realizacji misji.
2. identyfikacja zagrożeń,
3. podatność systemu – słabość lub słaby punkt w procedurach, projekcie, wdrożeniu lub sterowaniu systemów zabezpieczeń, który poprzez przypadkowe lub celowe działanie może spowodować załamanie tych zabezpieczeń lub naruszenie polityki bezpieczeństwa,
4. analiza ryzyka:
   – analiza zabezpieczeń,
   – określenie prawdopodobieństwa,
   – analiza wpływu – trzy obszary bezpieczeństwa: poufność, integralność i dostępnność,
   – ustalenie poziomu ryzyka
5. zalecenia zabezpieczeń,
6. dokumentowanie wyników.

Proces zarządzania ryzykiem