Ўзбекистон республикаси ахборот технологиялари ва комуникатсияларни ривожлантириш вазирлиги

5-қадам: Хавфни камайтириш, ўтказиш, олдини олиш ёки қабул қилиш. Ҳар бир риск эхтимолини камайтириш, ўтказиш ёки қабул қилиш чораларини танлаш керак.
• Рискни камайтириш усуллари:
-ҳимоя чоралари ва назоратини амалга ошириш;
-муоалажаларни такомиллаштириш;
̶ атроф муҳитни ўзгартириш;
̶ таҳдидга таъсир этувчи омилларни ўз вақтида аниқлаш ва мумкин бўлган оқибатларини камайтириш учун эрта аниқлаш усулларини жорий этиш;
̶ муайян таҳдидларга дуч келганда ишни давом эттириш ва таҳдид оқибатларини камайтириш имконини берадиган фавқулодда вазиятлар режасини ишлаб чиқиш;
̶ таҳдидни амалга ошишига карши тўсиқлар яратиш;
-хавфсизлик масалалари бўйича тренинглар ўтказиш.
• Рискни ўтказиш - масалан, баъзи рискларни суғурталаш.
• Рисклардан қочиш - хавф туғдирадиган фаолиятни тўхтатиш.
• Рискни қабул қилиш – хавф-хатарни қабул қилиш ва ундан ҳимояланиш учун пул сарфламаслик (агар ҳимоя чоралари қиймати мумкин бўлган зарар миқдоридан ошса, бу мақсадга мувофиқдир). Аммо шуни ёдда тутиш керакки, хавф-хатарни амалга ошириш қўшимча оқибатларга олиб келиши мумкин (масалан, обрўсизлантириш).
1. Ахборот хавфсизлиги рискларини бошқариш асосий мезонлари, рисклар кўлами ва чегаралари.
2. Ахборот хавфсизлиги рискларини бошқаришда ташкилот тузилмаси аҳамияти.
3. Ички ва ташқи контекст. Риск мезони. Рискни баҳолаш, қабул қилиш
Ахборот хавфсизлиги рискларини бошқариш учун зарур бўлган асосий мезонларни белгилаш, ахборот хавфсизлиги рискларини бошқаришни амалга ошириш учун камрови ва чегараларини аниқлаш ҳамда тегишли тузилмани белгилаб олишни ўз ичига олган ахборот хавфсизлиги рискларини бошқариш контекстини белгиланиши зарур.
Ахборот хавфсизлиги рискларини бошқаришнинг ташқи ва ички контексти назарда тутилади.
Ташки контекст. Ташкилот ўз мақсадларига эришишга интиладиган ташқи муҳит уз ичига олиши мумкин:
халқаро, минтақавий, миллий ёки маҳаллий даражадаги маданий, ижтимоий, ҳуқуқий, қонуний, молиявий, технологик, иқтисодий, табиий ва бозор муҳити;
ташкилот мақсадига таъсир қилувчи асосий омиллар ва тенденциялар;
манфаатдор томонлар билан узаро алокаси, уларнинг идроки ва кадриятлари.
Ички контекст. Ташкилот ўз мақсадларига эришишга интиладиган ички муҳит уз ичига олиши мумкин:
рахбарлик, ташкилий тузилма, вазифалар ва мажбурият;
сиёсат, мақсад ва уларга эришиш учун стратегиялар;
имкониятлар,ресурс ва билимларга нисбатан кўриладиган (масалан, капитал, вақт, ходим, жараёнлар, тизим ва технологиялар);
ахборот тизимлари, ахборот оқимлари ва қарор қабул қилиш жараёнлари ( хам расмий ва хам норасмий);
ички манфаатдор томонлар билан узаро алокаси, уларнинг идроки ва кадриятлари;
ташкилот маданияти;
стандартлар, рахбарлик кўрсатмалари ва моделлари, ташкилот қабул қилган;
контракт узоро муносабатларининг шакли ва кўлами.
Жараеннинг узига, карор кабул килишнинг базовий мезонларини аниклаш, ахборот хавфсизлиги рискларини бошқариш жараени буйича ташкилотнинг камрови, чегараcи ва тегишли фаолияти киради. Ахборот хавфсизлиги рискини бошқаришнинг мақсадини аниқлаш мухим, чунки улар бутун бир жараёнга ва хусусан, контекстга таъсир қилади. Бундай мақсадлар қуйидагилар бўлиши мумкин:
ахборот хавфсизлигини бошқариш тизимини ишлашини мададлаш;
конуний мееърларга мувофикликка риоя этиш ва тугри бажарилишининг исботини олиш;
бизнеснинг узлуксизлигини таъминлаш режасини тайёрлаш;
инцидентларга жавоб бериш режасини тайёрлаш.
АХни бошкариш тизимининг ишлашини мададлаш учун зарур булган маҳсулотларга, сервисларга ёки АХни бошкариш контекстини ташкил этиш жараенларининг элементларини амалга ошириш механизмларига, ахборот хавфсизлигини таъминлаш буйича талабларининг тавсифи.
Жараеннинг чикиш йули маълумотлари булиб, карор кабул килишнинг базовий мезонлари, ахборот хавфсизлиги рискларини бошқариш жараени буйича ташкилот тузилмасининг тавсифи билан, камрови, чегараcи ва тегишли фаолияти хисобланади.
Риск мезонлари
Рискни баҳолаш ўтказилаетганда риоя этиладиган аспектлар:
риск мезонлари ташкилотнинг мақсадларига, ташқи ва ички контекстга асосланади;
риск мезонлари стандартлар, қонунлар, сиёсат ва бошқа талаблар асосида аникланиши мумкин.
Рискни баҳолаш мезонлари:
бизнес маълумотларини ишлашнинг стратегик қиймати.
алокадор ахборот активларининг мухимлиги.
хукукий ва тартибга солувчи талаблар ва шартнома мажбуриятлари;
амаллардаги мухимлиги ва фойдаланувчанлик, конфиденциаллик ва яхлитликнинг бизнес мухимлиги;
алокадор тарафларнинг кутиши ва жавоби ва номоддий активлар учун ва обрўсига буладиган салбий окибатлар.
Бундан ташкари, АХ рискларини баҳолаш мезонлари, АХ рискларини ишлашда устуворликни спецификациялаш учун ишлатилиши мумкин.
Окибатларни бахолаш мезонлари, АХ ходисаларидан келиб чиккан зарар даражаси еки ташкилот харажатлари терминларида, куйидаги омилларни хисобга олиб аникланади:
таъсир қилинган ахборот активларининг синфи;
ахборот хавфсизлигининг бузилиши (масалан, конфиденциаллик, бутунлик ва фойдаланувчанликни йўқолиши);
тезкор фаолиятнинг бузилиши (узининг ёки учинчи томоннинг);
бизнес еки молиявий қийматининг йўқолиши;
режалар ва муддатларни бузилиши;
обрўси учун зарар;
конуний, меъёрий ёки шартнома талабларининг бузилиши.
Қабул қилиш мезонлари
Рискни қабул қилиш мезонлари ишлаб чиқилиши ва аниқланиши керак. Рискни қабул қилиш мезонлари кўпинча ташкилотнинг сиёсати, нияти, мақсадлари ва алокадор томонларнинг манфаатларига боғлиқ.
Ташкилот, рискларни қабул қилиш сатхлари учун, ўз ўлчов шкалаларини аниклаб олиши керак. Ишлаб чиқишда қуйидагиларни инобатга олинади:
рискни қабул қилиш мезонлари, рискни макбул (исталган) максадли сатхли куплаб энг юкори чегаравий кийматларини узига олиши мумкин, лекин, маълум бир холатларда юкори рахбарият курсатилган сахдан юкорида булган рискларни кабул киладиган шартларни инобатга олиб;
риск мезонлари бахоланган фойда микдорини(еки бизнеснинг бошка фойдаси) бахоланган риск миқдорига нисбати каби ифодаланиши мумкин.
рискни қабул қилишнинг турли мезонлари рискнинг турли синфларига қўлланилиши мумкин, масалан, рисклар, кайсики директивалар ва қонунларга мувофик қелмаслик натижасига эга булса, қабул қилиб бўлмайди, качонки юқори сатхдаги рискларни қабул қилишга рухсат берилиши мумкин, агар шартнома талабларида белгиланган бўлса;
рискни қабул қилиш мезонлари келгуси қўшимча ишлашга тегишли талабларини ўз ичига олиши мумкин, масалан, риск қабул қилиниши мумкин, качонки, агар маълум вақт рамкаси ичида уни мақбул сатхга тушириш бўйича харакатларни маъкуллаш ва розилик мавжуд булса;
рискни қабул қилиш мезонлари, рискни тахминан қанчалик узок вакт давом этишига қараб фарқланиши мумкин, масалан, риск канча вақтли ёки қисқа муддатли фаолият билан боғлиқ бўлиши мумкин. Рискни қабул қилиш мезонлари қуйидагиларни ҳисобга олган ҳолда белгиланиши керак:
бизнес мезонларини;
хуқуқий ва тартибга солувчи аспектларни;
амалларни;
технологияни;
молияни;
ижтимоий ва гуманитар омиллар.
Қўллаш сохаси ва чегаралари
Ахборот хавфсизлиги рискини бошқариш жараёнининг куллаш сохасини аниклаш, барча ахамиятли активлар рискни баҳолашда кулланилишини инобатга олинишини таъминлаш учун зарур. Бундан ташқари, рискларни кyриб чикиш учун уларнинг чегараларини аниқлаш керак, кайсики, манбалари ушбу чегаралардан ташқарида бўлиши мумкин бўлган.
Ташкилот тўғрисидаги маълумотларни туплаш зарур, чунки бу у ишлаётган муҳитни ва бошка ахборот хавфсизлиги рискини бошқариш жараёни учун зарур бўлган мухитни аниқлаш учун.
Қўллаш сохасини ва чегараларини аниқлашда, ташкилотга тегишли қуйидаги маълумотларни ҳисобга олиш керак :
ташкилотнинг бизнесининг стратегик мақсадлари, стратегияси ва сиёсати;
бизнес жараёнлари;
ташкилот функцияси ва структураси;
ташкилотга нисбатан қўлланиладиган хукукий, тартибга солувчи ва шартнома талаблари;
ташкилотнинг ахборот хавфсизлиги сиёсати;
ташкилот рискларини бошқаришга умумий ёндашув;
ахборот активлари;
ташкилотнинг жойлашув урни ва географик характеристикалари;
ташкилотга таъсир кўрсатадиган чекловлар;
алокадор томонларнинг тахминлари;
ижтимоий -маданий муҳит;
интерфейслар (яъни, муҳит билан маълумот алмашиш);
Бундан ташқари, ташкилотнинг қўллаш сохасидан бекор қилиш учун асосини таъминлаши керак.