IT-risk

Informationsteknikrisk , eller IT-risk ( engelska  IT-risk ), alla risker som är förknippade med användningen av informationsteknologi .

Medan information alltid har varit en värdefull och viktig resurs, blir organisationer nu, i en tid präglad av kunskapsekonomin och den digitala revolutionen , allt mer beroende av information, dess bearbetning och i synnerhet av informationsteknologi . I detta avseende kan händelser som påverkar IT på något sätt påverka affärsprocesser negativt [1] . Att uppskatta sannolikheten för olika typer av händelser med en beräkning av deras eventuella konsekvenser är ett vanligt sätt att bedöma och mäta IT-risk [2] . Alternativa metoder för att mäta IT-risk innebär vanligtvis att bedöma bidragande faktorer som hot, sårbarheter och tillgångar.

Definitioner

ISO

Sannolikheten för att ett givet hot kommer att utnyttja en sårbarhet i en tillgång eller grupp av värdefulla fastigheter och därigenom orsaka skada för organisationen. Notera: Detta mått är i termer av en kombination av sannolikheten för en händelse och dess konsekvenser [3] .

NIST

• Enligt NIST SP 800-30 [4] : Risk är en funktion av sannolikheten att en given hotkälla kommer att utnyttja en potentiell sårbarhet hos en organisation och ha en negativ inverkan på den organisationen.
• NIST FIPS 200 [5] [6] : Risk är graden av påverkan på en organisations verksamhet (inklusive uppdrag, funktioner, image eller rykte), organisationens tillgångar eller personer som är ett resultat av användningen av ett informationssystem som potentiellt påverkas av ett hot, och sannolikheten för att ett hot uppstår.

1. Sannolikhet för att ett givet hot utnyttjar (oavsiktligt eller avsiktligt) en specifik sårbarhet i systemet
2. Resultatet av denna påverkan. IT-risker uppstår från möjliga förluster eller juridiskt ansvar på grund av:
   1. Obehörigt (uppsåtligt eller oavsiktligt) avslöjande, ändring eller förstörelse av information
   2. Oavsiktliga fel eller utelämnanden
   3. Tekniska fel på grund av naturkatastrofer eller katastrofer orsakade av människor
   4. Bristande uppmärksamhet vid implementering och drift av IT-systemet.

IT-riskhantering

Det finns sätt att hantera risker, inklusive riskidentifiering, riskbedömningsprocessen och processen för att implementera åtgärder som syftar till att minska risken till en acceptabel nivå. Genom att proaktivt bedöma risker och vidta åtgärder för att minska den kan IT-chefer balansera de operativa och ekonomiska kostnaderna för skyddsåtgärder för att säkerställa framgången för organisationen och säkerheten för data som är avgörande för att uppnå målet. Denna process är ett vanligt fenomen inom IT-området och vi observerar det ofta i vardagen. Ett exempel är hemsäkerhet. Många väljer att installera hemsäkerhetssystem och betala månadsavgifter för deras underhåll i utbyte mot säkerheten för sin privata egendom. Tydligen vägde ägarna kostnaden för att installera och underhålla ett säkerhetssystem mot familjens säkerhet och den potentiella skadan från att förlora sin egendom. [8] [9]

Syftet med att implementera riskhanteringsprocesser är att göra det möjligt för organisationen att uppfylla sina uppdrag eller uppdrag genom att [10] :

1. Förbättra säkerheten för IT-system som lagrar, bearbetar eller överför information inom och utanför organisationen
2. Öka ledningens medvetenhet och medvetenhet om de riskhanteringsbeslut som fattas för att erhålla rimliga kostnader som bör bli en integrerad del av den övergripande IT-budgeten
3. Hjälpa ledningen med att auktorisera (eller ackreditera) sina IT-system baserat på dokumenterat stöd för de resultat som är ett resultat av implementeringen av riskhanteringsprocesser.