Риск и етапи на противодействие на риска

5.1Риск и етапи на противодействие на риска

Най-често оценката на риска се прави по два основни фактора: вероятност за случване на произшествие и тежест от възможните му последици. Приема се, че рискът е толкова по-голям, колкото по-голяма е вероятността за случване на произшествие и тежестта от възможните му последици. Смисълът се показва с формулата:

Рискът е приоритет и отговорност на ръководството в дадена организационна единица, което е длъжно да изгради стратегия за управлението на риска.

• 
  какво може да се обърка и защо? (какви са опасностите и заплахите, какви инциденти могат да се случат);
  
• 
  колко вероятно е това? (какъв е рискът, вероятността);
  
• 
  колко сериозен може да е инцидентът? (кой или какво биха могли да бъдат засегнати, каква е уязвимостта, какви биха били последствията);
  
• 
  какво може да се направи? (какви трябва да са действията на управленското тяло по реакцията, смекчаването и възстановяването).
  

Основните компоненти, свързани с риска са:

• 
  Заплаха за сигурността – това е потенциално възможно произшествие, преднамерено или не, което може да окаже нежелателно въздействие на самата система, както и на информацията, съхранявана в нея. Заплахите за сигурността могат да бъдат: разкриване (кражба, изтичане на информация); разрушаване на целостта на данните (всяко умишлено изменение на данните, съхранявани в системата или предавани в мрежата); отказ в обслужването (блокиране на достъпа към някакъв ресурс в компютърната система или мрежа);
  
• 
  Атака на сигурността – това е несанкциониран достъп, който се състои в търсене и използване на някаква уязвимост на системата, с цел реализиране на конкретна заплаха. Атаката представлява опит за преодоляване на системата за сигурност и степента на успеха й зависи от уязвимостта и ефективността на системата за сигурност;
  
• 
  Уязвимост – тази характеристика отчита нивото на опасност спрямо заплахите. Основни фактори за уязвимост на информацията са:
  

• 
  Рязко увеличаване обемите информация, които се събират и обработват;
  
• 
  Масово използване на компютърните мрежи и тяхната интеграция;
  
• 
  Съсредоточаване в единни бази данни на информация с различно предназначение;
  
• 
  Разширяване кръга на потребителите имащи достъп до ресурсите на системата и базите данни;
  
• 
  Източници на уязвимост;
  
• 
  Недостатъци в политиката за осигуряване на сигурност;
  
• 
  Технологични недостатъци в мрежовите протоколи и продуктите;
  
• 
  Грешки в настройките.
  

20. 
    Схема на процеса на управление на риска¹⁶
    

За да се предпазите от всяка една конкретна заплаха ще бъде необходимо да я идентифицирате. Идентификацията на риска зависи от специфичните бизнес процеси и информационните ресурси, които ги обслужват.

На базата на тези оценки организацията решава дали да противодейства срещу даден риск или не на базата на определени критерии. За всеки дефиниран риск, който е и оценен трябва да се вземе решение за начин на преодоляване. Възможните начини са:

• 
  прилагане на подходящи правила за намаляване на риска водещи до ограничаване загубата на физически и информационни ресурси – целта е прилагане на мерки за сигурност, ограничаващи загубите до приемливо ниво;
  
• 
  елиминиране на риска – целта е цялостно елиминиране на реална или потенциална уязвимост чрез пълно прилагане на комплексни мерки за сигурност;
  
• 
  съзнателно (умишлено, преднамерено) и обективно приемане на риска от загуба на физически и информационни ресурси, при условие че те ясно удовлетворяват политиката на организацията и критериите за приемливи рискове – допустимо е, когато загубата няма да е голяма, вероятността за загуба е малка или цената на необходимите мерки за предотвратяване на загубите е неоправдано висока;
  
• 
  отбягване на риска без предприемане на никакви действия, които могат да доведат до неговото настъпване;
  
• 
  трансфериране (прехвърляне) на риска към други части, например застрахователно дружество или доставчик.
  

• 
  изискванията и ограниченията на националното и международното законодателство;
  
• 
  бизнес изискванията на организацията;
  
• 
  оперативните изисквания и ограничения;
  
• 
  цената на прилагането с цел намаляване на риска и остатъка пропорционален на изискванията и ограниченията на организацията;
  
• 
  балансиране на инвестициите в прилагането на контрола и вредата от резултата при неуспех.