6-amaliy ish. Axborot xavfsizligi risklarini identifikatsiyalash Axborot xavfsizligi risklarini aniqlashning umumiy tavsifi

Risklarni tahlil qilish
Risklarni tahlil qilish metodologiyasi
Risklarni tahlil qilish, aktivlarning kritikligiga, ma’lum zaifliklarning va tashkilotga taalluqli bо‘lgan oldingi insidentlarning tarqalganligiga bog‘liq ravishda, turlicha detallashtirish darajasi bilan amalga oshirilishi mumkin. Risklarni tahlil qilish metodologiyasi vaziyatga bog‘liq holda, sifatli yoki miqdoriy yoki ularning birikmasi bо‘lishi mumkin. Amaliyotda kо‘pincha, asosiy risklarni aniqlash va risk darajasi tо‘g‘risida umumiy ma’lumotlar olish uchun sifat jihatdan baholashdan foydalaniladi. Keyinchalik, asosiy risklarni yanada spetsifik yoki miqdor jihatdan tahlil qilish zarurati paydo bо‘lishi mumkin, chunki odatda, miqdor jihatdan tahlil qilishga qaraganda sifat jihatdan tahlil qilishning bajarilishi murakkab hisoblanmaydi va kam xarajatli.
Tahlil qilish shakli kontekstni о‘rnatishning bir qismi sifatida ishlab chiqilgan riskni baholash mezonlari bilan muvofiqlashtirilishi kerak. Keyin tahlil qilish metodologiyasining tafsilotlari tavsiflanadi:
a) riskni sifat jihatdan tahlil qilish. Sifat jihatdan tahlil qilishda potensial oqibatlar kо‘lamini (masalan, « past», « о‘rtacha» va «yuqori») va bu oqibatlar yuzaga kelishi ehtimolligini tavsiflash uchun malaka xossalari shkalasidan foydalaniladi. Sifat jihatdan tahlil qilishning afzalligi, unga aloqasi bо‘lgan barcha xodimlarning uni tushunishining soddaligida, kamchiligi esa, shkalaning subyektiv tanlanishga bog‘liqligi hisoblanadi.
Bunday shkalalar vaziyatni qanoatlantiradigan darajada moslashtirilishi yoki tо‘g‘rilanishi, turli risklar uchun esa, turli O‘z DSt ISO/IEC 27005:2013 tavsiyalardan foydalanilishi mumkin. Sifat jihatdan tahlil qilishdan:
- birmuncha batafsil tahlil qilishni talab qiladigan risklarni aniqlash uchun tekshirish bо‘yicha faoliyatni oldindan kо‘rib chiqish sifatida;
- tahlil qilishning bu turi qaror qabul qilish uchun mos bо‘lgan joyda;
- sonli ma’lumotlar yoki resurslar risklarni miqdor jihatdan tahlil qilish uchun adekvat bо‘lmagan joyda foydalanilishi mumkin.
Sifat jihatdan tahlil qilishda riskni miqdor jihatdan tahlil qilish mumkin bо‘lgan ma’lumotlardan va mavjud axborotdan foydalanilishi kerak;
b) riskni miqdor jihatdan tahlil qilish. Riskni miqdor jihatdan tahlil qilishda turli manbalardan olingan ma’lumotlarni qо‘llagan holda, oqibatlarga va ehtimollikka tatbiqan, sonli qiymatlar bо‘lgan shkaladan (sifat jihatdan tahlil qilishda foydalaniladigan kо‘rgazmali shkalalar emas) foydalaniladi. Tahlil qilish sifati sonli qiymatlarning tо‘laligi va aniqligiga hamda foydalaniladigan modellarning asoslanganligiga bog‘liq. Kо‘pgina holatlarda, miqdor jihatdan tahlil qilishda о‘tgan davr ichidagi insidentlar bо‘yicha ma’lumotlardan foydalaniladi, uning afzalligi shundan iboratki, u axborot xavfsizligi va tashkilotning muammolari bilan tо‘g‘ridan-tо‘g‘ri bog‘liq bо‘lishi mumkin. Miqdor jihatdan tahlil qilishning kamchiligi yangi risklar yoki axborot xavfsizligi muammolari bо‘yicha bunday ma’lumotlarni yetishmasligi hisoblanadi. Miqdor jihatdan tahlil qilishning kamchiliklari haqiqatda tekshiriladigan ma’lumotlardan foydalanib bо‘lmaganda kо‘rinadi, shuning uchun, riskni baholashning aniqligi va ahamiyatliligi illyuziyasi hosil bо‘ladi. Oqibatlar va ehtimollikni ifodalash usuli va risk darajasi tо‘g‘risidagi ma’lumotlarni ta’minlash uchun ularni birlashtirish usullari, risk turiga va riskni baholashning chiqish ma’lumotlaridan foydalaniladigan maqsadga muvofiq о‘zgaradi. Oqibatlar va ehtimollikning noaniqligi va о‘zgaruvchanligi tahlil qilishda hisobga olinishi va u haqda samarali tarzda xabar qilinishi zarur.