Анализ методов оценки рисков информационной безопасности c использованием Дерево событии

Доступность ресурсов
На выбор метода оценки риска влияют следующие факторы доступности ресурсов:
- практический опыт, навыки и возможности группы оценки риска;
- ограничения по времени и другие ресурсы организации;
- доступный бюджет, если необходимы внешние ресурсы.
Характер и степень неопределенности информации
Характер и степень неопределенности информации включают в себя понимание качества, количества и полноты информации о рассматриваемом риске. Понимание включает в себя осознание достаточности полученной информации о риске, его источниках и причинах, его последствиях для достижения установленных целей. Неопределенность может быть связана с неопределенностью данных и недостатком достоверных данных. Например, для снижения неопределенности могут быть изменены методы сбора данных
или способы применения этих методов в организации. Причиной неопределенности может быть неприменение на местах эффективных методов сбора данных об идентифицированном риске.
Неопределенность может быть неотъемлемым свойством внешних и внутренних целей и области применения менеджмента риска в организации. Доступные данные не всегда обеспечивают достоверную основу для прогнозирования. Для уникальных видов риска могут отсутствовать хронологические данные, а причастные стороны могут по-разному интерпретировать доступные данные о риске. Лица, выполняющие оценку риска, должны понимать тип и характер неопределенности и оценить ее значение для достоверности оценки риска. Необходимо поддерживать постоянный обмен информацией о риске с лицами, принимающими решение.
Сложность
Задача оценки риска может быть сложной, например, оценка риска для сложной системы не сводится к оценке риска ее компонентов без учета их взаимодействия. В некоторых случаях обработка единичного риска может иметь большое значение из-за воздействия риска на другую деятельность. Необходимо понимать связь последовательных действий и риска, чтобы предотвратить ситуацию, при которой действия по управлению одним риском приводят к катастрофической ситуации в другой области. Понимание сложности единичного риска или набора рисков организации крайне важно при выборе метода(ов) оценки риска.