6 Маъруза Рискни сифат ва миқдор кўрсаткичини баҳолаш

Ташкилотнинг ахборот хавфсизлиги хавфини баҳолашнинг умумлаштирилган моделини ишлаб чиқиш
Ахборот хавфсизлигига таҳдидларни амалга ошириш эҳтимоли кўрсаткичи эксперт баҳолари, статистик маълумотлар асосида ёки ўтган даврдаги таҳдидлар тўғрисидаги ҳисоботлар асосида тузилади. Таҳдидларни амалга ошиш эҳтимоли кўрсаткичи "К" билан белгиланади. К - ҳозирги шароитда маълум бир ташкилот учун маълум бир хавфсизлик таҳдидини амалга ошириш эҳтимолини тавсифловчи кўрсаткич.
Ушбу индикаторнинг тўртта градацияси киритилади:

• 
  агар таҳдидни амалга ошириш учун объектив шартлар мавжуд бўлмаса, таҳдидни амалга ошириш эҳтимоли даргумон деб ҳисобланади. Агар таҳдиднинг юзага келиши эҳтимолини тасдиқловчи статистик маълумотлар бўлмаса ёки таҳдиднинг содир бўлиш частотаси 5-10 йил ичида 1 мартадан ошмаса. Бунда К га = 0 қиймат берилади.
  
• 
  таҳдиднинг юзага келиши учун объектив шартлар мавжуд бўлганда, таҳдидларни амалга ошириш эҳтимоли паст деб ҳисобланади, аммо кўрилган чоралар уни амалга оширишни сезиларли даражада мураккаблаштиради. Агар бундай таҳдидларни амалга ошириш эҳтимоли унчалик тез-тез содир бўлмаса, таҳдиднинг кутилаётган частотаси 1,5-3 йил ичида тахминан 1 марта. Бунда К га = 0,2 қиймат берилади.
  
• 
  риск амалга ошишининг объектив дастлабки шартлари мавжуд бўлганда, лекин амалга оширилаётган хавфсизлик чоралари етарли бўлмаган тақдирда, таҳдидни амалга ошириш эҳтимоли ўртача деб ҳисобланади. Таҳдидни амалга оширишнинг кутилаётган частотаси йилига тахминан 1 марта. Бундай ҳолда, К га = 0,5 қиймат берилади.
  
• 
  таҳдиднинг юзага келиши учун объектив шартлар мавжуд бўлганда ва хавфсизлик чоралари кўрилмаганда, таҳдидларни амалга ошириш эҳтимоли юқори деб ҳисобланади. Таҳдидни амалга оширишнинг кутилаётган частотаси йилига бир мартадан кўпроқ. Бунда К га = 1 қиймати берилади.
  

Таҳдиднинг тадбиқ кўрсаткичи - таҳдиднинг амалга ошиши эҳтимоли ва ушбу таҳдид қаратилган қимматбаҳо активнинг дастлабки хавфсизлик даражасини ҳисобга олган ҳолда, маълум бир ташкилотда муайян таҳдид амалга оширилишини кўрсатади.
Таҳдиднинг техник -иқтисодий асоси У куйидаги формула билан аниқланади:
У =(Д+К*10)/2 (5), бу ерда:
У– тадбиқ этилувчи таҳдид 0<У<10
К- Ахборот хавфсизлигига таҳдидларни амалга ошириш эҳтимоли, 0 < К <1;
Д- Қимматли активнинг дастлабки хавфсизлик даражаси, 0 <Д<10;
У ни ҳисоблагандан сўнг, биз миқдорий баҳога эга бўламиз, тадбиқ этилувчи таҳдидни ҳисоблаш қуйидаги жадвалда келтирилган.
Мисол тариқасида, миқдорий баҳоларни қуйидаги алгоритмдан фойдаланган ҳолда сифат бўйича баҳога айлантирамиз:

• 
  Агар 0 < У <2,5 , таҳдидларнинг амалга оширилиши паст даражада деб ҳисобланади;
  
• 
  Агар 2,5 < У <6 , таҳдидларнинг амалга оширилиши ўртача даражада деб ҳисобланади;
  
• 
  Агар 6 < У < 7,5 , таҳдидларнинг амалга оширилиши йўқори даражада деб ҳисобланади;
  
• 
  Агар 7,5 < У < 10, таҳдидларнинг амалга оширилиши ўта йўқори даражада деб ҳисобланади
  

Таҳдидларнинг долзарблигини аниқлаш
Таҳдидларнинг долзарблиги "А" - бу муайян таҳдиднинг маълум бир ташкилотга тегишли ёки эмаслигини аниқлаш.
Таҳдиднинг долзарблиги таҳдиднинг амалга оширилиши кўрсаткичига ва ахборот хавфсизлиги таҳдидини амалга оширишда ташкилотларга етказилган зарарга боғлиқ.
Рискни баҳолаш фақат долзарб таҳдидлар учун амалга оширилади. Кейинги ҳисоблар ва таҳлилларда аҳамиятсиз деб топилган таҳдидлар иштирок этмайди.
Аммо бу таҳдидлар ҳақидаги маълумотларни вақти-вақти билан текшириш керак, чунки агар таҳдид аниқланса, у ихтиерий вақтда маълум параметрларни ўзгартирганда долзарб таҳдидларга тегишли бўлиши мумкин.
6.6-жадвал.Долзарблиги бўйича таҳдидни баҳолаш қоидалари

Таҳдидларнинг амалга оширилиши	Таҳдидларни амалга оширишдаги зарар
	Паст	Ўртача	юқори
паст	аҳамиятсиз	аҳамиятсиз	долзарб
урта	аҳамиятсиз	долзарб	долзарб
юқори	долзарб	долзарб	долзарб
ута юқори	долзарб	долзарб	критик долзарб

АХ хавфи маълум бир таҳдидни амалга ошириш билан боғлиқ бўлган муайян ноқулай ҳодиса юзага келиши эҳтимоли бўлиб, бу муайян эҳтимоллик юзага келиши ва мумкин бўлган йўқотишларга олиб келиши мумкин. Рискларни баҳолаш фақат долзарб таҳдидлар учун амалга оширилади.

Таърифга асосланиб, рискни баҳолаш уч параметр билан амалга оширилиши лозим.
Риск = зарар * ҳужум эҳтимоли
Ҳужум эҳтимоли = заифлик миқдори * таҳдиднинг амалга оширилиши,
Риск = зарар * заифлик миқдори * таҳдиднинг амалга оширилиши
Шундан келиб чиқадики, таҳдидларнинг амалга оширилиши:
У=(Д+К*10)/2
Риск қуйидаги формула бўйича ҳисобланади:

• 
  Р =З*Й*У/10
  
• 
  0<Р<100, бу ерда:
  
• 
  Р - заифлик миқдори;
  
• 
  У- таҳдидларнинг амалга оширилиши;
  
• 
  З - ташкилотнинг таҳдиднинг амалга оширилишидан зарарланиши.
  

Р ни ҳисоблагандан сўнг, биз рискнинг миқдорий баҳосига эга бўламиз.
Риск даражасини сифат бўйича баҳолашда қуйидаги ўлчовдан фойдаланилади:

• 
  Агар 0 < Р < 7 , риск даражаси паст даражада деб ҳисобланади;
  
• 
  Агар 7 < Р < 22 , риск даражаси ўртача даражада деб ҳисобланади;
  
• 
  Агар 22 < Р < 44 , риск даражаси йўқори даражада деб ҳисобланади;
  
• 
  Агар 44 < Р < 100 , риск даражаси ўта йўқори даражада деб ҳисобланади.
  

Риск аниқлангандан сўнг, рискни камайтириш йўлларини кўриб чиқилиши керак.
1. Рискдан қочиш - бу хавфдан қочиш учун бизнес усулларини ўзгартирадиган ҳар қандай ҳаракатлардир. Бу риск билан боғлиқ фаолиятни олдини олиш. Масалан: муайян бизнес жараёнларини рад этиш; ресурсларни хавф зонасидан кўчириш; муайян ахборотни ишлашдан воз кечиш; ноқонуний фаолиятни рад этиш.
2. Рискни узатиш - бу бошқаларнинг хавф ва зарарлар учун жавобгарликни ўз зиммасига олиши. Бу асосан суғурта ва аутсорсинг ҳисобланади. Масалан: суғурта компанияси билан шартнома тузиш ва унга жавобгарликнинг бир қисмини топшириш.
3. Рискни камайтириш - бу йўқотиш эҳтимоли ва ҳажмини камайтиришдир. Бу рискни камайтириши мумкин бўлган ҳар қандай чоралар. Масалан: хавфни камайтирадиган ташкилий ва / ёки техник тадбирларни амалга ошириш.
4. Рискни тубдан камайтириш - агар риск жуда муҳим даражага эга бўлса ва уни қисқа вақт ичида камайтириш, қабул қилиш ёки узатиш мумкин бўлмаса, унда хавфни тубдан камайтириш қўлланилади. Бу рискни мақбул, кам танқидий даражага камайтириш учун фавқулодда чоралар кўришдир.
5. Рискни қабул қилиш - хавф чоралари натижасида бошланғич ёки мақбул қийматга камайтириш. Вазиятлар ёки маълум бир вақтда камайтириш имкони бўлмаган риск турлари мавжуд. Бундай вазиятда ушбу рискни қабул қилишга тайёр бўлиш керак, бу содир бўлиши мумкин ва ташкилот зарар кўради.
Назорат саволари

1. 
   Ахборот хавфсизлиги рискларини баҳолашнинг қандай усуллари мавжуд?
   
2. 
   Заифлик нима?
   
3. 
   Ахборот хавфсизлиги рискларини сифат бўйича баҳолашнинг моҳияти нимада?
   
4. 
   Ахборот хавфсизлиги рискларини миқдорий баҳолаш қандай амалга оширилади?
   
5. 
   Риск даражаси ва унинг долзарблиги нимани англатади?
   
6. 
   Аниқланган рисклар бўйича қандай ҳаракатлар амалга оширилиши мумкин?