📖 👨‍👩‍👧‍👧 🤸🏾 सूचना सुरक्षा जोखिम प्रबंधन पर अंतर्राष्ट्रीय दस्तावेजों का विश्लेषण। भाग 1 🈚️ 🌁 🧙🏻

दोस्तों, एक पिछली पोस्ट मेंहमने रूसी क्रेडिट और वित्तीय क्षेत्र में सूचना सुरक्षा पर नियामक दस्तावेजों की समीक्षा की, जिनमें से कुछ सूचना सुरक्षा जोखिम मूल्यांकन और प्रबंधन के तरीकों का उल्लेख करते हैं। आम तौर पर, व्यावसायिक दृष्टिकोण से, सूचना सुरक्षा प्रबंधन एक व्यापक जोखिम प्रबंधन प्रक्रिया की एक सहायक है: यदि कोई कंपनी अपने सभी व्यावसायिक जोखिमों का विश्लेषण और मूल्यांकन करने के बाद, यह निष्कर्ष निकालती है कि सूचना सुरक्षा के जोखिम प्रासंगिक हैं, तो सूचना सुरक्षा खुद को कम करने के तरीके के रूप में खेल में आती है। जोखिम। जोखिम प्रबंधन आपको कुशलतापूर्वक और तर्कसंगत रूप से आईएस प्रक्रियाओं का निर्माण करने और कंपनी की संपत्ति की सुरक्षा के लिए संसाधनों का आवंटन करने की अनुमति देता है, और जोखिम मूल्यांकन आपको उन्हें कम से कम करने के लिए उचित उपाय लागू करने की अनुमति देता है: महत्वपूर्ण और प्रासंगिक खतरों से बचाने के लिए, अधिक महंगे समाधानों का उपयोग करना तर्कसंगत होगा,खतरों को लागू करने के लिए नगण्य या कठिन मुकाबला करना।

इसके अलावा, अंतर्निहित आईएस जोखिम प्रबंधन प्रक्रिया आपको विकसित करने की अनुमति देगी और, यदि आवश्यक हो, तो व्यापार निरंतरता और आपदा वसूली (बिजनेस निरंतरता और आपदा रिकवरी) सुनिश्चित करने के लिए स्पष्ट योजनाएं लागू करें: विभिन्न जोखिमों का गहन अध्ययन आपको ध्यान में रखने में मदद करेगा, उदाहरण के लिए, बड़ी संख्या के लिए रिमोट एक्सेस की अचानक आवश्यकता। कर्मचारी, जैसा कि परिवहन प्रणाली की महामारी या पतन की स्थिति में हो सकता है। इसलिए, इस प्रकाशन में - सूचना सुरक्षा जोखिम प्रबंधन पर अंतर्राष्ट्रीय दस्तावेजों का विश्लेषण। पढ़ने का मज़ा लें!

आईएस के जोखिम प्रबंधन की सामान्य अवधारणा

सूचना सुरक्षा जोखिम, या साइबर जोखिम, का मतलब संगठन को नुकसान पहुंचाने के लिए एक विशिष्ट खतरे के रूप में संपत्ति कमजोरियों के दोहन की संभावित संभावना से समझा जाता है। सशर्त रूप से जोखिम के मूल्य का अर्थ है किसी नकारात्मक घटना की संभावना और क्षति की मात्रा का उत्पाद। बदले में, किसी घटना की संभावना को एक खतरे की संभावना और भेद्यता के खतरे के उत्पाद के रूप में समझा जाता है, जिसे गुणात्मक या मात्रात्मक रूप में व्यक्त किया जाता है। परंपरागत रूप से, हम इसे तार्किक सूत्र के साथ व्यक्त कर सकते हैं:
ValueRisk = किसी घटना की संभावना * क्षति का आकार , जहां एक घटना की संभावना = खतरों की संभावना * कमजोरता का मूल्य

जोखिम के सशर्त वर्गीकरण भी हैं: जोखिम के स्रोत (उदाहरण के लिए, हैकर्स या अंदरूनी सूत्रों द्वारा हमले, वित्तीय त्रुटियां, सरकारी नियामकों का प्रभाव, ठेकेदारों द्वारा कानूनी दावों, प्रतियोगियों के नकारात्मक सूचनात्मक प्रभाव); उद्देश्य से (सूचना संपत्ति, भौतिक संपत्ति, प्रतिष्ठा, व्यावसायिक प्रक्रियाएं); प्रभाव की अवधि (परिचालन, सामरिक, रणनीतिक) द्वारा।

आईएस जोखिम विश्लेषण के लक्ष्य इस प्रकार हैं:

संपत्ति की पहचान करें और उनके मूल्य का मूल्यांकन करें।
संपत्ति और सुरक्षा कमजोरियों के खतरों की पहचान करें।
खतरों की संभावना और व्यवसाय पर उनके प्रभाव की गणना करें।
संभावित नकारात्मक परिणामों की लागत और सुरक्षात्मक उपायों की लागत के बीच संतुलन बनाए रखें, पहचाने गए जोखिमों के प्रसंस्करण पर कंपनी के प्रबंधन को सिफारिशें दें।

चरण 3 के माध्यम से 1 एक जोखिम मूल्यांकन है और उपलब्ध जानकारी का एक संग्रह है। स्टेज 4 पहले से ही प्रत्यक्ष जोखिम विश्लेषण (अंग्रेजी जोखिम विश्लेषण) है, अर्थात। एकत्र किए गए डेटा का अध्ययन और आगे की कार्रवाई के लिए परिणाम / निर्देश जारी करना। मूल्यांकन की शुद्धता में आत्मविश्वास के अपने स्तर को समझना महत्वपूर्ण है। चरण 4 में, प्रासंगिक जोखिमों में से प्रत्येक के लिए प्रसंस्करण विधियां भी प्रस्तावित हैं: स्थानांतरण (उदाहरण के लिए, बीमा के माध्यम से), परिहार (उदाहरण के लिए, किसी विशेष तकनीक या सेवा को शुरू करने से इनकार), स्वीकृति (जोखिम के मामले में नुकसान उठाने के लिए सचेत इच्छा), न्यूनता ( जोखिम की प्राप्ति के लिए अग्रणी एक नकारात्मक घटना की संभावना को कम करने के उपायों के आवेदन)।जोखिम विश्लेषण के सभी चरणों को पूरा करने के बाद, आपको कंपनी के लिए एक स्वीकार्य जोखिम स्तर का चयन करना चाहिए, सुरक्षा के न्यूनतम संभव स्तर (प्रदर्शन की अंग्रेजी आधार रेखा) की स्थापना करें, फिर काउंटरमेशर्स लागू करें और आगे की न्यूनतम न्यूनतम स्तर की प्राप्ति के संदर्भ में उनका मूल्यांकन करें। सुरक्षा।

किसी हमले के कार्यान्वयन से नुकसान प्रत्यक्ष या अप्रत्यक्ष हो सकता है ।

प्रत्यक्ष क्षति कंपनी का तत्काल स्पष्ट और आसानी से अनुमानित नुकसान है, जैसे कि बौद्धिक संपदा अधिकारों का नुकसान, उत्पादन रहस्यों का खुलासा, परिसंपत्तियों के मूल्य में कमी या उनका आंशिक या पूर्ण विनाश, कानूनी लागत और जुर्माना और क्षतिपूर्ति का भुगतान आदि।

अप्रत्यक्ष क्षति से गुणवत्ता या अप्रत्यक्ष नुकसान हो सकता है।
गुणात्मक हानि एक कंपनी की दक्षता में एक निलंबन या कमी हो सकती है, ग्राहकों की हानि, निर्मित वस्तुओं की गुणवत्ता में कमी या प्रदान की गई सेवाएं। अप्रत्यक्षउदाहरण के लिए, नुकसान, खोए हुए लाभ, सद्भावना की हानि और अतिरिक्त खर्च होते हैं। इसके अलावा, विदेशी साहित्य कुल जोखिम (Eng। कुल जोखिम) जैसी कोई चीज है , जो कि मौजूद है, यदि कोई सुरक्षा उपाय लागू नहीं किए गए हैं, साथ ही साथ अवशिष्ट जोखिम (Eng। अवशिष्ट जोखिम), जो मौजूद है, अगर खतरा महसूस किया गया था। लागू सुरक्षा उपायों के बावजूद।

जोखिम विश्लेषण मात्रात्मक और गुणात्मक दोनों हो सकते हैं । मात्रात्मक जोखिम विश्लेषण

के तरीकों में से एक पर विचार करें । मुख्य संकेतक निम्नलिखित मूल्य हैं:

ALE - वार्षिक हानि प्रत्याशा; प्रति वर्ष सभी घटनाओं की "लागत"।
एसएलई - एकल हानि प्रत्याशा, एक बार के नुकसान की उम्मीद, अर्थात्। एक घटना की "लागत"।
ईएफ - जोखिम कारक, खतरे के खुलेपन का कारक, अर्थात्। यदि यह सफलतापूर्वक लागू हो गया तो संपत्ति का कितना प्रतिशत खतरा नष्ट हो जाएगा।
एआरओ - घटना की वार्षिक दर, आंकड़ों के अनुसार प्रति वर्ष घटनाओं की औसत संख्या।

SLE मान की गणना अनुमानित परिसंपत्ति मूल्य और EF मान के उत्पाद के रूप में की जाती है, अर्थात एसएलई = एसेटवैल्यू * ईएफ । उसी समय, परिसंपत्ति की लागत में इसकी अपर्याप्त सुरक्षा के लिए दंड शामिल होना चाहिए।

ALE के मूल्य की गणना SLE और ARO के उत्पाद के रूप में की जाती है, अर्थात एएलई = एसएलई * एआरओ। ALE मान जोखिमों को रैंक करने में मदद करेगा - उच्च ALE के साथ जोखिम सबसे महत्वपूर्ण होगा। इसके अलावा, गणना किए गए एईएल मूल्य का उपयोग कार्यान्वित सुरक्षात्मक उपायों की अधिकतम लागत को निर्धारित करने के लिए किया जा सकता है, क्योंकि आम तौर पर स्वीकृत दृष्टिकोण के अनुसार, सुरक्षात्मक उपायों की लागत परिसंपत्ति या अनुमानित क्षति की मात्रा से अधिक नहीं होनी चाहिए, और हमलावर के लिए हमले की अनुमानित उचित लागत अपेक्षित लाभ से कम होनी चाहिए। इस हमले के कार्यान्वयन से। सुरक्षात्मक उपायों के मूल्य की गणना सुरक्षात्मक उपायों के कार्यान्वयन के बाद गणना किए गए ALE मूल्य के मूल्य से पहले और साथ ही इन उपायों को लागू करने की वार्षिक लागतों को घटाकर, गणना किए गए ALE मूल्य से घटाकर भी निर्धारित की जा सकती है। इस अभिव्यक्ति को इस प्रकार लिखें:

(कंपनी के लिए सुरक्षा उपायों का मूल्य) = (ALE सुरक्षा उपायों के कार्यान्वयन से पहले) - (सुरक्षा उपायों के कार्यान्वयन के बाद ALE) - (सुरक्षा उपायों को लागू करने की वार्षिक लागत)

के उदाहरण गुणात्मक जोखिम विश्लेषण किया, उदाहरण के लिए, डेल्फी विधि है, जिसमें विशेषज्ञों की एक अनाम सर्वेक्षण किया है सकते हैं कई पुनरावृत्तियों में जब तक आम सहमति नहीं बन जाती, तब तक मंथन और तथाकथित मूल्यांकन के अन्य उदाहरण "विशेषज्ञ विधि।"

अगला, हम विभिन्न जोखिम प्रबंधन विधियों की एक संक्षिप्त और गैर-विस्तृत सूची देते हैं , और उनमें से सबसे लोकप्रिय हम नीचे और अधिक विस्तार से विचार करेंगे।

1. अमेरिकी सरकार के दस्तावेजों के आधार पर एनआईएसटी रिस्क मैनेजमेंट फ्रेमवर्क एनआईएसटी (नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी, नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी यूएसए) में इंटरकनेक्टेड तथाकथित का एक सेट शामिल है "विशेष प्रकाशन" (Eng। विशेष प्रकाशन (एसपी), हम उन्हें धारणा की आसानी के लिए मानक कहेंगे):

1.1। NIST SP 800-39 मानक "सूचना प्रबंधन सुरक्षा जोखिम" जोखिम प्रबंधन के लिए तीन-स्तरीय दृष्टिकोण प्रदान करता है: संगठन, व्यावसायिक प्रक्रियाएं, सूचना प्रणाली। यह मानक जोखिम प्रबंधन प्रक्रिया की कार्यप्रणाली का वर्णन करता है: जोखिमों की पहचान, मूल्यांकन, प्रतिक्रिया और निगरानी।
1.2। NIST SP 800-37, सूचना प्रणाली और संगठनों के लिए जोखिम प्रबंधन फ्रेमवर्क, सुरक्षा और गोपनीयता के लिए एक सिस्टम जीवनचक्र प्रबंधन दृष्टिकोण का प्रस्ताव करता है।
1.3। NIST SP 800-30 मानक, गाइड फॉर कंडक्टिंग रिस्क असेसमेंट, आईटी, आईएस और ऑपरेशनल रिस्क पर केंद्रित है। यह एक जोखिम मूल्यांकन की तैयारी और संचालन की प्रक्रियाओं के लिए एक दृष्टिकोण का वर्णन करता है, एक मूल्यांकन के परिणामों को संप्रेषित करता है, और मूल्यांकन प्रक्रिया का समर्थन करता है।
1.4। NIST SP 800-137 मानक "सूचना सुरक्षा सतत निगरानी" सूचना सुरक्षा जोखिम प्रबंधन उपायों को लागू करने और उनकी समीक्षा करने की आवश्यकता को नियंत्रित करने के लिए सूचना प्रणाली और आईटी वातावरण की निगरानी प्रक्रिया के लिए एक दृष्टिकोण का वर्णन करता है।

2. मानकीकरण आईएसओ के लिए अंतर्राष्ट्रीय संगठन के मानक (मानकीकरण के लिए अंतर्राष्ट्रीय संगठन):

2.1। मानक आईएसओ / आईईसी 27005: 2018 "सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा जोखिम प्रबंधन" ("सूचना तकनीक, तरीके और सुरक्षा उपकरण। सूचना सुरक्षा जोखिम प्रबंधन") आईएसओ 27000 मानकों की एक श्रृंखला का हिस्सा है और अन्य मानकों के साथ तार्किक रूप से परस्पर जुड़ा हुआ है। इस श्रृंखला से आई.बी. इस मानक में जोखिम प्रबंधन प्रक्रियाओं पर विचार करते समय सूचना सुरक्षा पर ध्यान केंद्रित किया गया है।
2.2। आईएसओ / आईईसी 27102: 2019 मानक "सूचना सुरक्षा प्रबंधन - साइबर बीमा के लिए दिशानिर्देश" एक जोखिम उपचार उपाय के रूप में साइबर बीमा प्राप्त करने की आवश्यकता का आकलन करने के साथ-साथ बीमाकर्ता के साथ आकलन और बातचीत करने के लिए दृष्टिकोण प्रदान करता है।
2.3। आईएसओ / आईईसी 31000: मानकों की 2018 श्रृंखला आईटी / आईएस से बंधे बिना जोखिम प्रबंधन के दृष्टिकोण का वर्णन करती है। इस श्रृंखला में, यह आईएसओ / आईईसी 31010: 2019 मानक "जोखिम प्रबंधन - जोखिम मूल्यांकन तकनीक" पर ध्यान देने योग्य है - इस मानक के लिए इसके घरेलू संस्करण में GOST R ISO / IEC 31010-2011 "जोखिम प्रबंधन। जोखिम मूल्यांकन के तरीके "रूसी संघ के सेंट्रल बैंक के 607-पी को संदर्भित करता है" भुगतान प्रणाली के निर्बाध संचालन को सुनिश्चित करने की प्रक्रिया के लिए आवश्यकताओं, भुगतान प्रणाली के निर्बाध संचालन के संकेतक और भुगतान प्रणाली में जोखिम विश्लेषण के तरीके, जोखिम प्रोफाइल सहित।

3. FRAP (फेसलिफ्टेड रिस्क एनालिसिस प्रोसेस) कार्यप्रणाली अपेक्षाकृत सरलीकृत जोखिम मूल्यांकन पद्धति है, जिसमें केवल सबसे महत्वपूर्ण परिसंपत्तियों पर ध्यान केंद्रित किया गया है। विशेषज्ञ निर्णय का उपयोग करके गुणात्मक विश्लेषण किया जाता है।

4. OCTAVE कार्यप्रणाली (ऑपरेशनलली क्रिटिकल थ्रेट, एसेट, और वल्नरेबिलिटी इवैल्यूएशन) व्यावसायिक इकाइयों के सदस्यों के स्वतंत्र काम पर केंद्रित है। इसका उपयोग किसी कंपनी के सभी सूचना प्रणालियों और व्यावसायिक प्रक्रियाओं के बड़े पैमाने पर मूल्यांकन के लिए किया जाता है।

5. एएस / एनजेडएस 4360 एक ऑस्ट्रेलियाई और न्यूजीलैंड मानक है जो न केवल आईटी सिस्टम पर ध्यान केंद्रित करता है, बल्कि कंपनी के व्यावसायिक स्वास्थ्य पर भी है, अर्थात्। जोखिम प्रबंधन के लिए अधिक वैश्विक दृष्टिकोण प्रदान करता है। ध्यान दें कि यह मानक वर्तमान में AS / NZS ISO 31000-2009 द्वारा प्रतिस्थापित किया गया है।

6. FMEA (विफलता मोड और प्रभाव विश्लेषण) कार्यप्रणाली अविश्वसनीय तत्वों को खोजने के लिए अपने कमजोर बिंदुओं के संदर्भ में प्रणाली का मूल्यांकन प्रदान करती है।

7. CRAMM (केंद्रीय कम्प्यूटिंग और दूरसंचार एजेंसी जोखिम विश्लेषण और प्रबंधन विधि) कार्यप्रणाली स्वचालित जोखिम प्रबंधन उपकरणों के उपयोग का प्रस्ताव करती है।

8. एफएआईआर पद्धति (सूचना जोखिम का कारक विश्लेषण) मात्रात्मक जोखिम विश्लेषण करने के लिए एक मालिकाना ढांचा है, जो लागत प्रभावी दृष्टिकोण, सूचित निर्णय लेने, जोखिम प्रबंधन उपायों की तुलना, वित्तीय संकेतक और सटीक जोखिम मॉडल के आधार पर एक जोखिम प्रबंधन प्रणाली के निर्माण के लिए एक मॉडल प्रदान करता है।

9. सीओएसओ ईआरएम (एंटरप्राइज रिस्क मैनेजमेंट) की अवधारणा कंपनी की रणनीति और वित्तीय प्रदर्शन के साथ जोखिम प्रबंधन को एकीकृत करने के तरीकों का वर्णन करती है और उनके संबंधों के महत्व पर ध्यान केंद्रित करती है। दस्तावेज़ में ऐसे जोखिम प्रबंधन घटकों का वर्णन किया गया है जैसे कि रणनीति और लक्ष्य निर्धारण, कंपनी की आर्थिक दक्षता, जोखिम विश्लेषण और समीक्षा, कॉर्पोरेट प्रशासन और संस्कृति, साथ ही साथ सूचना, संचार और रिपोर्टिंग।

NIST जोखिम प्रबंधन ढांचा

दस्तावेजों का पहला सेट अमेरिकन नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (NIST) का रिस्क मैनेजमेंट फ्रेमवर्क होगा। यह संस्थान सूचना सुरक्षा दस्तावेजों को दान की एक श्रृंखला (संघीय सूचना प्रसंस्करण मानक) और एसपी (विशेष प्रकाशन, 800 श्रृंखला) सिफारिशों के हिस्से के रूप में जारी करता है। प्रकाशनों की इस श्रृंखला की विशेषता तार्किक अंतर्संबंध, विस्तार, एकल शब्दावली आधार है। सूचना सुरक्षा जोखिम प्रबंधन से संबंधित दस्तावेजों में, NIST SP 800-39, 800-37, 800-30, 800-137 और 800-53 / 53a को नोट किया जाना चाहिए।

दस्तावेजों के इस सेट का निर्माण अमेरिकी संघीय सूचना सुरक्षा प्रबंधन अधिनियम (FISMA, 2002) और अमेरिकी संघीय सूचना सुरक्षा आधुनिकीकरण अधिनियम (FISMA, 2014) को अपनाने का परिणाम था। अमेरिकी कानून के लिए एनआईएसटी मानकों और प्रकाशनों के घोषित "बाध्यकारी" और अमेरिकी सरकारी एजेंसियों के लिए उन्हें लागू करने के बावजूद, इन दस्तावेजों को किसी भी कंपनी के लिए उपयुक्त माना जा सकता है, जो आईएस प्रबंधन को सुधारने के लिए अधिकार क्षेत्र और स्वामित्व के रूप की परवाह किए बिना।

NIST SP 800-39

इसलिए, NIST SP 800-39 "सूचना प्रबंधन सुरक्षा जोखिम: संगठन, मिशन और सूचना प्रणाली दृश्य" एक विक्रेता को स्वतंत्र, संरचित, लेकिन लचीला दृष्टिकोण प्रदान करता है एक कंपनी, संपत्ति, व्यक्तियों और समकक्षों के संचालन के संदर्भ में जोखिम प्रबंधन है। इसी समय, जोखिम प्रबंधन एक समग्र प्रक्रिया होनी चाहिए जो पूरे संगठन को प्रभावित करती है जिसमें सभी स्तरों पर जोखिम-आधारित निर्णय लेने का अभ्यास किया जाता है। जोखिम प्रबंधन को इस दस्तावेज में एक व्यापक प्रक्रिया के रूप में परिभाषित किया गया है, जिसमें पहचान (फ्रेम), मूल्यांकन (मूल्यांकन), प्रसंस्करण (प्रतिक्रिया) और निगरानी (मॉनिटर) जोखिमों के चरण शामिल हैं। इन चरणों पर अधिक विस्तार से विचार करें।

1. संगठन के जोखिमों को निर्धारित करने के स्तर पर पहचान की जानी चाहिए:

जोखिम धारणाएं, अर्थात वर्तमान खतरों, कमजोरियों, परिणामों, जोखिमों की संभावना की पहचान करना;
जोखिम सीमा, अर्थात मूल्यांकन, प्रतिक्रिया और निगरानी क्षमता;
जोखिम सहिष्णुता, अर्थात् जोखिम सहिष्णुता - स्वीकार्य प्रकार और जोखिम के स्तर, साथ ही जोखिम प्रबंधन के मुद्दों में अनिश्चितता का स्वीकार्य स्तर;
प्राथमिकताएं और संभव समझौता, यानी व्यापार प्रक्रियाओं को प्राथमिकता देने के लिए आवश्यक है, व्यापार-अप का अध्ययन करने के लिए कि एक संगठन जोखिमों को संसाधित करते समय बना सकता है, साथ ही इस प्रक्रिया के साथ आने वाली बाधाओं और अनिश्चितताओं को भी दूर कर सकता है।

2. जोखिम मूल्यांकन के स्तर पर, संगठन को पहचान करनी चाहिए:

आईएस की धमकी, यानी विशिष्ट कार्य, व्यक्ति या संस्थाएँ जो स्वयं संगठन के लिए खतरा बन सकती हैं या अन्य संगठनों को निर्देशित की जा सकती हैं;
कंपनी प्रबंधन व्यवसाय प्रक्रियाओं, आईटी सिस्टम आर्किटेक्चर, आदि में संगठनात्मक कमजोरियों सहित आंतरिक और बाह्य कमजोरियां;
संगठन को नुकसान, खतरों द्वारा कमजोरियों के दोहन की संभावनाओं को ध्यान में रखते हुए;
नुकसान की संभावना।

नतीजतन, संगठन जोखिम के निर्धारकों को प्राप्त करता है, अर्थात। क्षति स्तर और प्रत्येक जोखिम के लिए क्षति की घटना की संभावना।

जोखिम मूल्यांकन प्रक्रिया सुनिश्चित करने के लिए, संगठन पूर्व निर्धारित करता है:

उपकरण, तकनीक और कार्यप्रणाली जोखिम मूल्यांकन के लिए उपयोग की जाती है;
जोखिम मूल्यांकन के संबंध में धारणाएं;
प्रतिबंध जो जोखिम आकलन को प्रभावित कर सकते हैं;
भूमिका और जिम्मेदारियां;
संगठन के भीतर जोखिम मूल्यांकन जानकारी एकत्र करने, संसाधित करने और संचारित करने के तरीके;
संगठन में जोखिम मूल्यांकन करने के तरीके;
जोखिम मूल्यांकन की आवृत्ति;
खतरों (स्रोतों और तरीकों) के बारे में जानकारी प्राप्त करने के तरीके।

3. जोखिम प्रतिक्रिया चरण में, संगठन निम्नलिखित गतिविधियाँ करता है:

संभावित जोखिम प्रतिक्रिया योजना विकसित करना;
संभावित जोखिम प्रतिक्रिया योजनाओं का मूल्यांकन;
संगठन की जोखिम सहिष्णुता के दृष्टिकोण से स्वीकार्य जोखिम प्रतिक्रिया योजनाओं का निर्धारण;
स्वीकृत जोखिम प्रतिक्रिया योजनाओं का कार्यान्वयन।

जोखिमों का जवाब देने में सक्षम होने के लिए, संगठन संभावित जोखिम उपचार के प्रकारों को निर्धारित करता है (जोखिम को स्वीकार करना, टालना, कम करना, साझा करना या स्थानांतरित करना), साथ ही प्रतिक्रिया योजनाओं को विकसित करने के लिए उपकरण, प्रौद्योगिकियां और कार्यप्रणाली, प्रतिक्रिया योजनाओं के मूल्यांकन के तरीके और प्रतिक्रिया उपायों की अधिसूचना विधियां। संगठनों और / या बाहरी समकक्षों।

4. जोखिम की निगरानी के चरण में, निम्न कार्य हल किए गए हैं:

अपनाया जोखिम प्रतिक्रिया योजनाओं और आईएस आवश्यकताओं के अनुपालन के कार्यान्वयन का सत्यापन;
जोखिम प्रतिक्रिया उपायों की वर्तमान प्रभावशीलता का निर्धारण;
- - , , , - , -, , - ..

संगठन विनियामक अनुपालन और जोखिम प्रतिक्रियाओं की प्रभावशीलता का आकलन करने के तरीकों का वर्णन करते हैं, साथ ही उन परिवर्तनों को कैसे नियंत्रित किया जाता है जो जोखिम प्रतिक्रियाओं की प्रभावशीलता को प्रभावित कर सकते हैं।

संगठन, व्यावसायिक प्रक्रियाओं और सूचना प्रणालियों के स्तरों पर जोखिम प्रबंधन किया जाता है, जबकि इन स्तरों के बीच सूचनाओं का आदान-प्रदान और आदान-प्रदान सुनिश्चित किया जाना चाहिए ताकि सभी हितधारकों के जोखिम और संचार में निरंतर सुधार हो सके। ऊपरी स्तर (संगठन स्तर) पर, जोखिमों की पहचान करने के लिए निर्णय किए जाते हैं, जो सीधे निचले स्तरों (व्यावसायिक प्रक्रियाओं और सूचना प्रणालियों) पर आयोजित प्रक्रियाओं को प्रभावित करता है, साथ ही साथ इन प्रक्रियाओं का वित्तपोषण भी करता है।

संगठन का स्तरसंगठन के व्यावसायिक लक्ष्यों और नियामक आवश्यकताओं के अनुरूप प्रबंधन कार्यों का विकास और कार्यान्वयन किया जाता है: एक जोखिम प्रबंधन कार्य का निर्माण, उन लोगों की नियुक्ति, एक जोखिम प्रबंधन रणनीति का कार्यान्वयन और जोखिम सहिष्णुता का निर्धारण, आईटी और सूचना सुरक्षा में निवेश रणनीतियों का विकास और कार्यान्वयन।

व्यावसायिक प्रक्रियाओं के स्तर पर , जोखिम-उन्मुख व्यवसाय प्रक्रियाओं और संगठनात्मक वास्तुकला की परिभाषा और निर्माण किया जाता है, जो विभाजन, संसाधन आरक्षण और विफलता के एकल बिंदुओं की अनुपस्थिति पर आधारित होना चाहिए। इसके अलावा, इस स्तर पर, सूचना सुरक्षा वास्तुकला का विकास किया जा रहा है, जो सूचना सुरक्षा आवश्यकताओं के प्रभावी कार्यान्वयन और सुरक्षा के सभी आवश्यक उपायों और साधनों के कार्यान्वयन को सुनिश्चित करेगा।

सूचना प्रणाली के स्तर परयह उच्च स्तर पर लिए गए निर्णयों के कार्यान्वयन को सुनिश्चित करने के लिए आवश्यक है, अर्थात्, सिस्टम जीवन चक्र के सभी चरणों में आईएस जोखिम प्रबंधन सुनिश्चित करने के लिए: आरंभीकरण, विकास या अधिग्रहण, कार्यान्वयन, उपयोग और डीकोमिशनिंग। दस्तावेज़ आईटी प्रणालियों के लचीलेपन के महत्व पर जोर देता है, जो कि कंपनी के व्यावसायिक कार्यों की व्यवहार्यता का एक संकेतक है।

ध्यान दें कि इस दस्तावेज में विचार किए गए दस्तावेज़ में परिशिष्ट "एच" में, जोखिम प्रतिक्रिया चरण में सूचीबद्ध प्रत्येक जोखिम उपचार विधियों का वर्णन किया गया है। तो, यह संकेत दिया जाता है कि संगठन के पास किसी विशिष्ट परिस्थिति में विशिष्ट जोखिम उपचार पद्धति चुनने के लिए एक सामान्य रणनीति होनी चाहिए, और जोखिम उपचार विधियों में से प्रत्येक के लिए अलग रणनीति होनी चाहिए। जोखिम प्रबंधन के लिए एक या दूसरे दृष्टिकोण को चुनने के मूल सिद्धांतों को इंगित किया गया है:

(acceptance) - ;
(avoidance) , - , -;
(share) (transfer) — , — - ;
( ) (mitigation) . - , , , , , .

दस्तावेज़ सफल जोखिम प्रबंधन के लिए कारकों के रूप में संगठनात्मक संस्कृति और आपूर्तिकर्ताओं / ठेकेदारों में विश्वास पर बहुत ध्यान देता है। विशेष रूप से, यह कहा जाता है कि संगठनात्मक संस्कृति और कंपनी के शीर्ष प्रबंधक सीधे जोखिम प्रबंधन के लिए चुने गए निर्णयों को प्रभावित करते हैं, इसलिए, समग्र जोखिम प्रबंधन रणनीति को कंपनी की जोखिम भूख को ध्यान में रखना चाहिए और जोखिम प्रबंधन के वास्तविक तरीकों को प्रतिबिंबित करना चाहिए। प्रतिपक्षी और आपूर्तिकर्ताओं के साथ विश्वास निर्माण के लिए मॉडल परिशिष्ट "जी" में वर्णित हैं: ठेकेदारों के चेक के आधार पर मॉडल (उदाहरण के लिए, ऑडिट के माध्यम से), ऐतिहासिक ट्रस्ट (जब संबंधों के दीर्घकालिक इतिहास के दौरान प्रतिपक्ष ने कोई उल्लंघन नहीं किया), एक तीसरे पक्ष पर भरोसा करें ( जो एक विश्वसनीय ट्रस्ट (मामले में), प्रतिपक्षों का एक स्वतंत्र मूल्यांकन करता हैजब विनियामक आवश्यकताएं ऐसे आपूर्तिकर्ता के लिए विश्वास आवश्यकताओं को स्थापित करती हैं), साथ ही एक हाइब्रिड मॉडल भी।

NIST SP 800-37

अब NIST SP 800-37 पर जाएं "सूचना प्रणाली और संगठनों के लिए जोखिम प्रबंधन ढांचा: सुरक्षा और गोपनीयता के लिए एक सिस्टम जीवन चक्र दृष्टिकोण" ("सूचना प्रणालियों और संगठनों के लिए जोखिम प्रबंधन ढांचा: सुरक्षा और गोपनीयता के लिए प्रणालियों का जीवन चक्र") ।

वर्तमान दस्तावेज़ संशोधन है №2 और दिसंबर 2018 में अद्यतन किया गया था क्रम में खाते में खतरों के आधुनिक परिदृश्य लेने के लिए और कंपनियों के प्रमुखों के स्तर पर जोखिम प्रबंधन के महत्व पर जोर करने के लिए, जोखिम प्रबंधन ढांचे (जोखिम प्रबंधन फ्रेमवर्क, RMF) और साइबर सुरक्षा ढांचे के बीच की कड़ी पर जोर देना ( साइबर सुरक्षा ढांचा, CSF), गोपनीयता प्रबंधन प्रक्रियाओं और आपूर्ति श्रृंखला जोखिम प्रबंधन (SCRM) को एकीकृत करने के महत्व को इंगित करता है, और NIST दस्तावेज़ में प्रस्तावित सुरक्षा उपायों (नियंत्रणों) की सूची को तार्किक रूप से जोड़ता है। एसपी 800-53। इसके अलावा, एनआईटी एसपी 800-37 के प्रावधानों के कार्यान्वयन का उपयोग उन मामलों में कंपनियों के जोखिम प्रबंधन प्रक्रियाओं का पारस्परिक मूल्यांकन करने के लिए किया जा सकता है, जहां इन कंपनियों को डेटा या संसाधनों का आदान-प्रदान करने की आवश्यकता होती है। NIST SP 800-39 के अनुरूप, जोखिम प्रबंधन को संगठन, मिशन, सूचना प्रणाली के स्तरों पर माना जाता है।

NIST SP 800-37 में कहा गया है कि संपूर्ण रूप से रिस्क मैनेजमेंट फ्रेमवर्क पूरे जीवन चक्र (सिस्टम डेवलपमेंट लाइफ साइकल, SDLC), स्थितिजन्य जागरूकता के निरंतर समर्थन में आईटी सिस्टम में सुरक्षा और गोपनीयता क्षमताओं के विकास और कार्यान्वयन के महत्व को इंगित करता है। निरंतर निगरानी (सीएम) प्रक्रियाओं का उपयोग करके आईटी प्रणालियों के संरक्षण की स्थिति पर और सूचना-आधारित जोखिम वाले निर्णय लेने के लिए प्रबंधन को जानकारी प्रदान करना। आरएमएफ में निम्नलिखित प्रकार के जोखिमों की पहचान की जाती है: कार्यक्रम जोखिम, गैर-अनुपालन जोखिम, वित्तीय जोखिम, कानूनी जोखिम, व्यावसायिक जोखिम, राजनीतिक जोखिम, सुरक्षा और गोपनीयता जोखिम (आपूर्ति श्रृंखला जोखिम सहित), परियोजना जोखिम, प्रतिष्ठित जोखिम, जीवन सुरक्षा जोखिम, रणनीतिक जोखिम योजना।

इसके अलावा, जोखिम प्रबंधन ढांचा:

सूचना और सूचना प्रणालियों के जोखिम-आधारित संरक्षण के लिए एक दोहराने योग्य प्रक्रिया प्रदान करता है;
सुरक्षा और गोपनीयता के प्रबंधन के लिए प्रारंभिक गतिविधियों के महत्व पर जोर देता है;
सूचना और सूचना प्रणाली का वर्गीकरण, साथ ही साथ सुरक्षा उपकरणों का चयन, कार्यान्वयन, मूल्यांकन और निगरानी प्रदान करता है;
वास्तविक समय मोड में जोखिम और सुरक्षात्मक उपायों का प्रबंधन करने के लिए स्वचालन उपकरण का उपयोग करने का सुझाव देता है, साथ ही निर्णय लेने के लिए प्रबंधन को जानकारी प्रदान करने के लिए प्रासंगिक समय मैट्रिक्स;
विभिन्न स्तरों पर जोखिम प्रबंधन प्रक्रियाओं को जोड़ता है और सुरक्षात्मक उपाय करने के लिए जिम्मेदार लोगों को चुनने के महत्व को इंगित करता है।

दस्तावेज़ में RMF लागू करने के लिए 7 चरण हैं:

, .. -;
( , NIST SP 800-30 3 , : , , );
() ;
, ;
, , ;
;
, , , .

इसके अलावा, NIST SP 800-37 प्रकाशन उन कार्यों को सूचीबद्ध करता है जिन्हें RMF के अनुप्रयोग के प्रत्येक चरण में किया जाना चाहिए। प्रत्येक कार्य के लिए, कार्य का नाम (नियंत्रण) इंगित किया गया है, प्रक्रिया के इनपुट और आउटपुट (परिणामस्वरूप) डेटा को संबंधित CSF नियंत्रणों की श्रेणियों के संदर्भ में सूचीबद्ध किया गया है, जिम्मेदार और सहायक भूमिकाओं की एक सूची, कार्य का एक अतिरिक्त विवरण, और यदि आवश्यक हो, तो संबंधित NIST दस्तावेजों के लिंक दिए गए हैं।

हम आरएमएफ लगाने के प्रत्येक चरण के लिए कार्यों के नीचे सूचीबद्ध करते हैं। संगठन स्तर पर

" तैयारी " चरण के उद्देश्यों में शामिल हैं:

जोखिम प्रबंधन के लिए भूमिकाओं की परिभाषा;
संगठन के जोखिम सहिष्णुता को ध्यान में रखते हुए एक जोखिम प्रबंधन रणनीति का निर्माण;
जोखिम आकलन;
साइबर स्पेस फ्रेमवर्क दस्तावेज़ से सुरक्षा उपायों और / या प्रोफाइल के लक्ष्य मूल्यों का चयन;
सामान्य सुरक्षा उपायों की आईटी प्रणालियों की परिभाषा जो उच्च स्तर से प्राप्त की जा सकती हैं (उदाहरण के लिए, संगठन या व्यावसायिक प्रक्रियाओं के स्तर से)
आईटी प्रणालियों का प्राथमिकताकरण;
सुरक्षात्मक उपायों की प्रभावशीलता की निरंतर निगरानी के लिए एक रणनीति का विकास और कार्यान्वयन।

आईटी सिस्टम के स्तर पर " तैयारी " चरण के कार्यों में शामिल हैं:

प्रत्येक आईटी प्रणाली द्वारा समर्थित व्यावसायिक कार्यों और प्रक्रियाओं को परिभाषित करना
निर्माण, कार्यान्वयन, मूल्यांकन, कामकाज, समर्थन, प्रणालियों के डीकोमिशनिंग में रुचि रखने वाले व्यक्तियों (हितधारकों) की पहचान;
संरक्षण के लिए आवश्यक परिसंपत्तियों की पहचान;
प्रणाली के लिए प्राधिकरण सीमा का निर्धारण;
सिस्टम में संसाधित / प्रेषित / संग्रहीत जानकारी के प्रकारों की पहचान;
सिस्टम में संसाधित / प्रेषित / संग्रहीत सभी प्रकार की सूचनाओं के जीवन चक्र की पहचान और विश्लेषण;
आईटी प्रणालियों के स्तर पर जोखिम मूल्यांकन करना और मूल्यांकन परिणामों की सूची को अद्यतन करना;
सिस्टम और परिचालन वातावरण के लिए सुरक्षा और गोपनीयता आवश्यकताओं को परिभाषित करना
कंपनी के समग्र आर्किटेक्चर में सिस्टम का स्थान;
सिस्टम और परिचालन वातावरण के लिए सुरक्षा और गोपनीयता आवश्यकताओं के आवेदन के बिंदुओं का वितरण;
संबंधित विभागों और दस्तावेजों में आईटी प्रणालियों का औपचारिक पंजीकरण।

" वर्गीकरण " चरण के कार्यों में शामिल हैं:

सिस्टम विशेषताओं का प्रलेखन;
सिस्टम वर्गीकरण और सुरक्षा आवश्यकताओं के अनुसार वर्गीकरण परिणामों के प्रलेखन;
सुरक्षा आवश्यकताओं के अनुसार श्रेणीकरण पर परिणामों और निर्णयों की समीक्षा और अनुमोदन।

मंच के कार्यों " सुरक्षात्मक उपायों के एक सेट का चयन " में शामिल हैं:

प्रणाली और इसके कामकाज के वातावरण के लिए सुरक्षा उपायों का चयन;
प्रणाली और इसके कामकाज के वातावरण के लिए चयनित संरक्षण उपायों का स्पष्टीकरण (अनुकूलन);
प्रणाली और उसके कामकाजी वातावरण के लिए सुरक्षा और गोपनीयता के उपायों के आवेदन के वितरण;
संबंधित योजनाओं में प्रणाली और उसके वातावरण की सुरक्षा और गोपनीयता सुनिश्चित करने के लिए नियोजित उपायों का प्रलेखन;
लागू सुरक्षात्मक उपायों की प्रभावशीलता की निगरानी के लिए एक रणनीति का निर्माण और कार्यान्वयन, जो तार्किक रूप से जुड़ा हुआ है और समग्र संगठनात्मक निगरानी रणनीति का पूरक है;
सिस्टम और उसके ऑपरेटिंग वातावरण की सुरक्षा और गोपनीयता सुनिश्चित करने के लिए योजनाओं की समीक्षा और अनुमोदन।

" सुरक्षात्मक उपायों के कार्यान्वयन " चरण के कार्यों में शामिल हैं:

सुरक्षा और गोपनीयता योजनाओं के अनुसार सुरक्षा उपायों को लागू करना;
वास्तविक कार्यान्वयन परिणाम के आधार पर, तथ्य के बाद नियोजित सुरक्षा उपायों में परिवर्तन का दस्तावेजीकरण।

मंच के कार्यों " कार्यान्वित सुरक्षा उपायों का आकलन " में शामिल हैं:

मूल्यांकन के प्रकार के लिए उपयुक्त एक मूल्यांकक या मूल्यांकन टीम का चयन;
कार्यान्वित सुरक्षात्मक उपायों के मूल्यांकन के लिए योजनाओं का विकास, समीक्षा और अनुमोदन;
मूल्यांकन योजनाओं में वर्णित मूल्यांकन प्रक्रियाओं के अनुसार सुरक्षात्मक उपायों का आकलन;
दोषों को खोजने और उनके उन्मूलन के लिए सिफारिशों वाली मूल्यांकन रिपोर्ट तैयार करना;
सुरक्षात्मक उपायों के साथ सुधारात्मक कार्रवाई करना और सही उपायों को आश्वस्त करना;
कमियों के आधार पर एक कार्य योजना तैयार करना और मूल्यांकन रिपोर्ट से सिफारिशें।

" प्राधिकरण " चरण के कार्यों में शामिल हैं:

दस्तावेजों का एक प्राधिकरण पैकेज एकत्र करना और प्राधिकरण के लिए प्रभारी व्यक्ति को भेजना;
प्रणाली का उपयोग करने या सुरक्षात्मक उपायों को लागू करने के जोखिम का विश्लेषण और निर्धारण;
निर्धारित जोखिम के जवाब में एक पसंदीदा कार्य योजना का निर्धारण और कार्यान्वयन;
सिस्टम का उपयोग करने या सुरक्षात्मक उपायों को लागू करने के जोखिम की स्वीकार्यता का निर्धारण;
प्राधिकरण परिणाम और सुरक्षा उपायों की कमी के कारण रिपोर्टिंग जो सुरक्षा या गोपनीयता के लिए एक महत्वपूर्ण खतरा पैदा करती है।

" सतत निगरानी " चरण के कार्यों में शामिल हैं:

, ;
;
, , ;
, , ;
;
;
.

NIST SP 800-30

एनआईएसटी एसपी 800-30 जोखिम मूल्यांकन के लिए विशेष गाइड जोखिम मूल्यांकन प्रक्रिया पर केंद्रित है, जो एनआईएसटी एसपी 800-39 के अनुसार संगठन की जोखिम प्रबंधन प्रक्रिया का एक मूल घटक है, परिभाषा के साथ। प्रसंस्करण और निगरानी जोखिम। किसी संगठन, उसकी परिसंपत्तियों और कर्मचारियों की संचालन गतिविधियों के लिए सूचना प्रणाली के उपयोग से उत्पन्न जोखिमों की पहचान, आकलन और प्राथमिकता के लिए जोखिम मूल्यांकन प्रक्रियाओं का उपयोग किया जाता है। जोखिम मूल्यांकन के उद्देश्य निर्णयकर्ताओं को सूचित करना और पहचान करके जोखिम प्रतिक्रिया प्रक्रिया का समर्थन करना है:

वास्तविक खतरे दोनों ही संगठन को और अप्रत्यक्ष रूप से अन्य संगठनों को;
आंतरिक और बाहरी कमजोरियां;
संगठन को संभावित नुकसान, खतरों द्वारा कमजोरियों के दोहन की संभावनाओं को ध्यान में रखते हुए;
इस क्षति की संभावना।

अंतिम परिणाम जोखिम के निर्धारक (मूल्य) की गणना है, अर्थात क्षति की मात्रा और क्षति की संभावना के कार्य। NIST SP 800-39 और NIST SP 800-37 में उपयोग किए गए दृष्टिकोण के अनुरूप, जोखिम प्रबंधन (संगठन, मिशन, सूचना प्रणाली के स्तर) के सभी तीन स्तरों पर जोखिम मूल्यांकन किया जा सकता है। यह जोर दिया जाता है कि जोखिम मूल्यांकन एक सतत प्रक्रिया है जो संगठन में जोखिम प्रबंधन के सभी स्तरों को प्रभावित करती है, और सिस्टम डेवलपमेंट लाइफ साइकल (एसडीएलसी) में शामिल करने की भी आवश्यकता होती है और मूल्यांकन के उद्देश्यों और दायरे के लिए पर्याप्त आवृत्ति के साथ किया जाता है।

जोखिम मूल्यांकन प्रक्रिया में शामिल हैं:

जोखिम मूल्यांकन की तैयारी;
जोखिम आकलन;
मूल्यांकन के परिणामों को संप्रेषित करना और संगठन के भीतर जानकारी को स्थानांतरित करना;
प्राप्त परिणाम बनाए रखना।

दस्तावेज़ एक जोखिम मूल्यांकन पद्धति के संकलन के महत्व के बारे में कहता है, जिसे संगठन द्वारा जोखिमों की पहचान करने के चरण में विकसित किया जाता है। यह संकेत मिलता है कि संगठन उपलब्ध संसाधनों, एसडीएलसी चरण, व्यावसायिक प्रक्रियाओं की जटिलता और परिपक्वता, संसाधित जानकारी की महत्वपूर्णता / महत्व के आधार पर एक या कई जोखिम मूल्यांकन के तरीके चुन सकता है। एक ही समय में, सही कार्यप्रणाली बनाकर, संगठन वास्तविक जोखिम आकलन की गुणवत्ता और पुनरुत्पादकता में सुधार करता है। जोखिम मूल्यांकन पद्धति में आमतौर पर शामिल हैं:

जोखिम मूल्यांकन प्रक्रिया का वर्णन;
एक जोखिम मॉडल जो मूल्यांकन किए जाने वाले जोखिम कारकों और उनके बीच संबंधों का वर्णन करता है;
एक जोखिम मूल्यांकन विधि (उदाहरण के लिए, गुणात्मक या मात्रात्मक) उन मूल्यों का वर्णन करती है जो जोखिम कारक ले सकते हैं और इन कारकों के संयोजन को कैसे संसाधित किया जा सकता है;
विश्लेषण का एक तरीका (उदाहरण के लिए, खतरा केंद्रित, संपत्ति या कमजोरियों पर केंद्रित) जो बताता है कि जोखिम कारकों के संयोजन की पहचान और विश्लेषण कैसे किया जाता है।

जोखिम मॉडल अनुमानित जोखिम कारकों और उनके बीच संबंधों का वर्णन करता है। जोखिम कारक एक जोखिम मूल्यांकन का आयोजन करते समय जोखिम के स्तर को निर्धारित करने के लिए इनपुट के रूप में जोखिम मॉडल में उपयोग की जाने वाली विशेषताएँ हैं। इसके अलावा, जोखिम कारक उन कारकों को उजागर करने के लिए जोखिमों को संप्रेषित करने में उपयोग किया जाता है जो कुछ स्थितियों और संदर्भों में जोखिम के स्तर को महत्वपूर्ण रूप से प्रभावित करते हैं। विशिष्ट जोखिम कारकों में शामिल हैं:

धमकी;
कमजोरियों;
नकारात्मक प्रभाव;
संभावना;
पूर्व शर्त।

हालांकि, कुछ जोखिम कारकों को और अधिक विस्तृत विशेषताओं के साथ विघटित किया जा सकता है, उदाहरण के लिए, खतरों को खतरे के स्रोतों और खतरे की घटनाओं के लिए विघटित किया जा सकता है।

एक खतरा किसी भी परिस्थिति या घटना है जो अनधिकृत पहुंच, विनाश, प्रकटीकरण या सूचना के संशोधन और / या सेवा से वंचित करने के माध्यम से व्यावसायिक प्रक्रियाओं या परिसंपत्तियों, कर्मचारियों, अन्य संगठनों को प्रतिकूल रूप से प्रभावित करने की क्षमता रखता है। धमकी की घटनाओं से खतरा उत्पन्न होता है। खतरों का स्रोत एक जानबूझकर की गई कार्रवाई हो सकती है, जिसका उद्देश्य भेद्यता का शोषण करना या अनजाने में की जाने वाली कार्रवाई है, जिसके परिणामस्वरूप भेद्यता का आकस्मिक रूप से शोषण किया गया था। सामान्य तौर पर, खतरे के स्रोतों में शामिल हैं:

;
;
, ;
.

खतरे की घटनाओं का निर्धारण करने का विवरण एक जोखिम मॉडल के निर्माण की गहराई पर निर्भर करता है। जोखिम मॉडल के एक विस्तृत विचार के मामले में, खतरे के परिदृश्यों का निर्माण करना संभव है, जो कई खतरे की घटनाओं का एक समूह है जो खतरों के एक विशिष्ट स्रोत (या कई स्रोतों) के लिए नकारात्मक प्रभाव पैदा करते हैं और समय के अनुसार आदेश देते हैं; इसी समय, हमले के सफल कार्यान्वयन के लिए कई कमजोरियों के अनुक्रमिक शोषण की संभावित संभावना पर विचार किया जाता है। साइबर या शारीरिक हमले में घटनाक्रम खतरों रणनीति, तकनीकों और प्रक्रियाओं (अभियांत्रिकी। रणनीति, तकनीक, और प्रक्रियाओं, का एक सेट की विशेषता है ttps), जिनके बारे में हम ने कहा है कि पहले से ।

विचाराधीन दस्तावेज़ भी इस तरह की अवधारणा को " धमकी पूर्वाग्रह " के रूप में बोलता है"(इंजी। थ्रेट शिफ्टिंग), जिसे समझा जाता है कि हमलावरों ने कंपनी द्वारा लिए गए सुरक्षा उपायों और हमलावरों द्वारा पहचाने जाने के आधार पर अपने टीटीपी को बदल रहे हैं। अस्थायी शिफ्टिंग को एक अस्थायी डोमेन में किया जा सकता है (उदाहरण के लिए, किसी अन्य समय में हमले का प्रयास या समय में हमले का विस्तार करना), लक्ष्य डोमेन में (उदाहरण के लिए, कम सुरक्षित लक्ष्य चुनना), एक संसाधन डोमेन (उदाहरण के लिए, हमलावरों को लक्ष्य में तोड़ने के लिए अतिरिक्त संसाधनों का उपयोग करना), एक डोमेन योजना या हमले की विधि (उदाहरण के लिए, अन्य हैकर टूल का उपयोग करना या अन्य तरीकों का उपयोग करके हमला करने की कोशिश करना)। इसके अलावा, इस बात पर जोर दिया जाता है कि हमलावर अक्सर अपने लक्ष्यों को प्राप्त करने के लिए कम से कम प्रतिरोध का रास्ता पसंद करते हैं, अर्थात्। सुरक्षा श्रृंखला में सबसे कमजोर लिंक चुनें।

भेद्यता- यह सूचना प्रणाली, सुरक्षा प्रक्रियाओं, सुरक्षा के आंतरिक तरीकों या किसी विशेष प्रौद्योगिकी या प्रणाली के किसी विशेष कार्यान्वयन / कार्यान्वयन की विशेषताओं में एक कमजोरी है। भेद्यता को इसे ठीक करने के परिकलित महत्व के संदर्भ में इसके खतरे की विशेषता है; इसी समय, इस भेद्यता के शोषण से अपेक्षित नकारात्मक प्रभाव के आधार पर खतरे का निर्धारण किया जा सकता है। संगठन की सूचना प्रणालियों में अधिकांश भेद्यता या तो आईएस के उपायों के कारण उत्पन्न होती है जो लागू नहीं की गई है (या तो गलती से या जानबूझकर), या गलत तरीके से लागू की गई हैं। खतरों के विकास और खुद को संरक्षित प्रणालियों को याद रखना भी महत्वपूर्ण है - दोनों परिवर्तन समय के साथ होते हैं, जो जोखिम को आश्वस्त करते समय ध्यान में रखा जाना चाहिए। आईटी प्रणालियों में तकनीकी कमजोरियों के अलावा,संगठन प्रबंधन और सिस्टम आर्किटेक्चर में त्रुटियों पर भी विचार किया जाना चाहिए।

जोखिम मूल्यांकन के संदर्भ में एक पूर्व- निर्धारित स्थिति एक ऐसी स्थिति है जो एक व्यावसायिक प्रक्रिया, वास्तुकला या आईटी प्रणाली में मौजूद है जो एक खतरे के कारण होने वाली क्षति की संभावना को प्रभावित (कम या बढ़ाती) करती है। तार्किक पर्यायवाची शब्द "संवेदनशीलता" (अंग्रेजी संवेदनशीलता) या जोखिम के लिए "खुलापन" (अंग्रेजी प्रदर्शन) हैं, जिसका अर्थ है कि भेद्यता को नुकसान पहुंचाने के लिए खतरा हो सकता है। उदाहरण के लिए, SQL सर्वर संभावित रूप से SQL इंजेक्शन भेद्यता के लिए कमजोर है। तकनीकी प्राथमिकताओं के अलावा, संगठनात्मक लोगों को ध्यान में रखा जाना चाहिए: उदाहरण के लिए, एक तराई में कार्यालय का स्थान बाढ़ के जोखिम को बढ़ाता है, और आईटी प्रणाली विकसित करते समय कर्मचारियों के बीच संचार की कमी से भविष्य में इसे तोड़ने का खतरा बढ़ जाता है।

घटना की संभावना(अंग्रेजी में होने की संभावना) खतरे - संभावना के विश्लेषण के आधार पर एक जोखिम कारक की गणना की जाती है कि एक निश्चित जोखिम (या कमजोरियों के समूह) का एक निश्चित खतरे से फायदा उठाया जा सकता है, इस संभावना को ध्यान में रखते हुए कि खतरा अंततः वास्तविक नुकसान का कारण होगा। जानबूझकर खतरों के लिए, घटना की संभावना का आकलन आमतौर पर हमलावर के इरादों, क्षमताओं और लक्ष्यों के आधार पर किया जाता है। अनजाने खतरों के लिए, घटना की संभावना का आकलन आमतौर पर अनुभवजन्य और ऐतिहासिक डेटा पर निर्भर करता है। इसके अलावा, घटना की संभावना एक निश्चित समय परिप्रेक्ष्य के लिए अनुमानित है - उदाहरण के लिए, अगले वर्ष के लिए या रिपोर्टिंग अवधि के लिए। यदि खतरा लगभग 100% एक निश्चित समय अवधि के भीतर शुरू या कार्यान्वित किया जाता है,जोखिमों का आकलन करते समय, इसके कार्यान्वयन की अपेक्षित आवृत्ति को ध्यान में रखा जाना चाहिए। खतरे की संभावना का आकलन करते समय, संगठन के प्रबंधन और व्यावसायिक प्रक्रियाओं की स्थिति, पूर्व शर्त, मौजूदा सुरक्षा उपायों की उपस्थिति और प्रभावशीलता को ध्यान में रखा जाना चाहिए। नकारात्मक प्रभाव की संभावना का मतलब है कि खतरे के कार्यान्वयन के दौरान किसी भी क्षति का कारण होगा, चाहे इसकी परिमाण की परवाह किए बिना। निम्नलिखित तीन चरणों का उपयोग खतरे की घटनाओं की घटना की समग्र संभावना निर्धारित करने के लिए किया जा सकता है:निम्नलिखित तीन चरणों का उपयोग खतरे की घटनाओं की घटना की समग्र संभावना निर्धारित करने के लिए किया जा सकता है:निम्नलिखित तीन चरणों का उपयोग खतरे की घटनाओं की घटना की समग्र संभावना निर्धारित करने के लिए किया जा सकता है:

, - ( ) ( ).
, , , .
.

इस दृष्टिकोण के अलावा, दस्तावेज़ बिल्कुल सभी संबंधित खतरों और कमजोरियों की तलाश नहीं करने की सलाह देता है, लेकिन उन पर ध्यान केंद्रित कर रहा है जो वास्तव में हमलों में इस्तेमाल किया जा सकता है, साथ ही अपर्याप्त सुरक्षा उपायों के साथ व्यावसायिक प्रक्रियाओं और कार्यों पर भी। किसी खतरे की घटना

के नकारात्मक प्रभाव (अंजीर। प्रभाव) का स्तर अनधिकृत प्रकटीकरण, पहुंच, परिवर्तन, सूचना के नुकसान या सूचना प्रणालियों की अयोग्यता से होने वाली क्षति की मात्रा है। संगठन स्पष्ट रूप से परिभाषित करते हैं:

नकारात्मक प्रभाव को निर्धारित करने के लिए इस्तेमाल की जाने वाली प्रक्रिया।
प्रतिकूल प्रभावों को निर्धारित करने के लिए उपयोग किए जाने वाले मान।
नकारात्मक प्रभाव के बारे में जानकारी प्राप्त करने के स्रोत और तरीके।
नकारात्मक प्रभाव को निर्धारित करने के लिए उपयोग किया जाने वाला औचित्य।

इसके अलावा, नकारात्मक प्रभाव की गणना करते समय, संगठनों को परिसंपत्तियों और जानकारी के मूल्य को ध्यान में रखना चाहिए: आप महत्व स्तर या सूचना के प्रभाव आकलन द्वारा परिणामों को वर्गीकृत करने के लिए कंपनी की स्वीकृत प्रणाली का उपयोग कर सकते हैं।

जोखिमों का आकलन करते समय, एक महत्वपूर्ण कारक अशुद्धि (अंग्रेजी अनिश्चितता) की डिग्री है जो सामान्य, प्राकृतिक सीमाओं में निम्न के कारण उत्पन्न होती है, जैसे कि भविष्य की घटनाओं की सटीक भविष्यवाणी करने में असमर्थता; खतरों के बारे में अपर्याप्त उपलब्ध जानकारी; अज्ञात भेद्यता; अपरिचित अन्योन्याश्रितियाँ।

पूर्वगामी के आधार पर, जोखिम मॉडल को निम्नलिखित तार्किक संरचना के रूप में वर्णित किया जा सकता है:

खतरे का स्रोतएक निश्चित के साथ (कुछ विशेषताओं के साथ) संभावना की डिग्री शुरू की एक खतरा घटना है कि भेद्यता कारनामे जिनमें से एक (, खतरे की एक निश्चित डिग्री होने पूर्व शर्त और सुरक्षा उपायों के सफल तरक़ीब ध्यान में रखते हुए), एक परिणाम के रूप नकारात्मक प्रभाव बनाई गई है नुकसान और संभावना की राशि का एक समारोह के रूप में (जोखिम की एक निश्चित राशि के साथ क्षति) जो जोखिम को जन्म देती है ।

दस्तावेज़ जोखिम एकत्रीकरण प्रक्रिया के उपयोग पर सिफारिशें भी देता है।(अंग्रेजी जोखिम एकत्रीकरण) कई खंडित या निम्न-स्तरीय जोखिमों को एक और सामान्य में संयोजित करने के लिए: उदाहरण के लिए, व्यक्तिगत आईटी प्रणालियों के जोखिमों को उनके द्वारा समर्थित संपूर्ण व्यापार प्रणाली के लिए एक सामान्य जोखिम में एकत्र किया जा सकता है। इस तरह के संयोजन के साथ, यह ध्यान में रखा जाना चाहिए कि कुछ जोखिम एक साथ या भविष्यवाणी की तुलना में अधिक बार हो सकते हैं। असमान जोखिमों के बीच संबंध को ध्यान में रखना और उन्हें संयोजित करना, या, इसके विपरीत, उन्हें डिस्कनेक्ट करना भी आवश्यक है।

NIST SP 800-30 जोखिम मूल्यांकन के मुख्य तरीकों का भी वर्णन करता है : मात्रात्मक (अंग्रेजी मात्रात्मक), गुणात्मक (अंग्रेजी गुणात्मक) और अर्ध-मात्रात्मक (अंग्रेजी अर्ध-मात्रात्मक)।

मात्रात्मकविश्लेषण विशिष्ट संख्याओं (लागत, डाउनटाइम, लागत, आदि) के साथ संचालित होता है और लागत-लाभ विश्लेषण के लिए सबसे उपयुक्त है, हालांकि यह काफी संसाधन-गहन है।

गुणात्मक विश्लेषण वर्णनात्मक विशेषताओं (उदाहरण के लिए, उच्च, मध्यम, निम्न) का उपयोग करता है, जो संभव अनुमानों की छोटी संख्या और उनकी प्रस्तुति की विषय-वस्तु के कारण गलत निष्कर्ष निकाल सकता है।

अर्द्ध मात्रात्मकविधि एक मध्यवर्ती विकल्प है, जो संभावित परिणामों के अधिक सटीक मूल्यांकन और विश्लेषण के लिए संभावित रेटिंग (उदाहरण के लिए, 1 से 10 के पैमाने पर) की एक बड़ी रेंज का उपयोग करने की पेशकश करता है। एक विशिष्ट जोखिम मूल्यांकन पद्धति का अनुप्रयोग संगठन के गतिविधि के क्षेत्र पर निर्भर करता है (उदाहरण के लिए, बैंकिंग क्षेत्र में एक अधिक कठोर मात्रात्मक विश्लेषण लागू किया जा सकता है) और सिस्टम जीवन चक्र चरण पर (उदाहरण के लिए, चक्र के प्रारंभिक चरणों में केवल एक गुणात्मक जोखिम मूल्यांकन किया जा सकता है, लेकिन अधिक परिपक्व लोगों पर) - पहले से ही मात्रात्मक)।

अंत में, दस्तावेज़ जोखिम कारकों का विश्लेषण करने के तीन मुख्य तरीकों का भी वर्णन करता है: खतरा-केंद्रित (संलग्न। धमकी-उन्मुख), परिसंपत्ति-उन्मुख (eng। संपत्ति / प्रभाव-उन्मुख) या कमजोरियाँ (eng। कमजोरपन-उन्मुख)।

खतरा केंद्रितविधि खतरे के परिदृश्य बनाने पर केंद्रित है और खतरों और खतरे की घटनाओं के स्रोतों को निर्धारित करने के साथ शुरू होती है; आगे, कमजोरियों को खतरों के संदर्भ में पहचाना जाता है, और नकारात्मक प्रभाव हमलावर के इरादों से जुड़ा होता है। एसेट-उन्मुख

पद्धति में खतरे की घटनाओं और खतरों के स्रोतों की पहचान करना शामिल है जो परिसंपत्तियों पर नकारात्मक प्रभाव डाल सकते हैं; संपत्ति को संभावित नुकसान सबसे आगे है। एक भेद्यता-आधारित पद्धति को लागू करना

पूर्व शर्त और कमजोरियों / कमजोरियों के एक सेट के विश्लेषण से शुरू होता है जिसका शोषण किया जा सकता है; इसके अलावा, खतरों की संभावित घटनाओं और उनकी कमजोरियों के दोहन के परिणाम निर्धारित किए जाते हैं। दस्तावेज़ में जोखिम का आकलन करने के लिए खतरों का अधिक उद्देश्यपूर्ण चित्र प्राप्त करने के लिए वर्णित विश्लेषण विधियों के संयोजन के लिए सिफारिशें शामिल हैं।

इसलिए, जैसा कि हमने पहले ही ऊपर संकेत दिया है, NIST SP 800-30 के अनुसार, जोखिम मूल्यांकन प्रक्रिया को 4 चरणों में विभाजित किया गया है:

जोखिम मूल्यांकन की तैयारी;
जोखिम आकलन;
मूल्यांकन के परिणामों को संप्रेषित करना और संगठन के भीतर जानकारी को स्थानांतरित करना;
प्राप्त परिणाम बनाए रखना।

आइए प्रत्येक चरण में किए गए कार्यों पर अधिक विस्तार से विचार करें।

1. जोखिम मूल्यांकन की तैयारी।

जोखिम मूल्यांकन की तैयारी में, निम्नलिखित कार्य किए जाते हैं:

1.1। जोखिम मूल्यांकन के उद्देश्य की पहचान: मूल्यांकन के परिणामस्वरूप क्या जानकारी अपेक्षित है, मूल्यांकन के परिणाम से कौन से निर्णय निर्धारित किए जाएंगे।
1.2। किसी विशेष संगठन के लिए प्रयोज्यता के संदर्भ में जोखिम मूल्यांकन के दायरे की पहचान, समय सीमा, उपयोग की गई वास्तुकला और प्रौद्योगिकियों के बारे में जानकारी
1.3। विशिष्ट मान्यताओं और सीमाओं की पहचान, खाते में जो एक जोखिम मूल्यांकन किया जाता है। इस कार्य के हिस्से के रूप में, इस तरह के तत्वों में खतरों और सीमाओं को परिभाषित किया जाता है, खतरों के स्रोत, खतरे की घटनाएं, कमजोरियां, पूर्वधारणाएं, घटना की संभावना, नकारात्मक प्रभाव, जोखिम सहिष्णुता और अशुद्धि का स्तर, साथ ही विश्लेषण की चुनी हुई विधि।
1.4। प्रारंभिक सूचना के स्रोतों की पहचान, खतरों और कमजोरियों के स्रोत, साथ ही साथ नकारात्मक प्रभाव की जानकारी जो जोखिम मूल्यांकन में उपयोग की जाएगी। इस प्रक्रिया में, सूचना के स्रोत आंतरिक हो सकते हैं (जैसे कि घटना और ऑडिट रिपोर्ट, सुरक्षा लॉग और निगरानी परिणाम), और बाहरी (उदाहरण के लिए, सीईआरटी रिपोर्ट, अनुसंधान परिणाम और अन्य प्रासंगिक सार्वजनिक रूप से उपलब्ध जानकारी)।
1.5। जोखिम मॉडल की पहचान, जोखिम मूल्यांकन विधि और विश्लेषण दृष्टिकोण जोखिम मूल्यांकन में उपयोग किया जाना है।

2. एक जोखिम मूल्यांकन का संचालन।

जोखिम मूल्यांकन के भाग के रूप में, निम्नलिखित कार्य किए जाते हैं:

2.1। खतरों के वर्तमान स्रोतों की पहचान और लक्षण वर्णन, जानबूझकर खतरों की क्षमताओं, इरादों और लक्ष्यों के साथ-साथ अनजाने खतरों के संभावित प्रभाव।
2.2। संभावित खतरे की घटनाओं की पहचान, इन घटनाओं की प्रासंगिकता, साथ ही खतरों के स्रोत जो खतरे की घटनाओं को ट्रिगर कर सकते हैं।
2.3। कमजोरियों और प्राथमिकताओं की पहचान जो इस संभावना को प्रभावित करती है कि वर्तमान खतरे की घटनाओं का नकारात्मक प्रभाव पड़ेगा। इसका उद्देश्य यह निर्धारित करना है कि खतरों के पहले पहचाने गए स्रोतों के लिए व्यावसायिक प्रक्रियाएं और सूचना प्रणाली कितनी कमजोर हैं और इन खतरों की पहचान कैसे की जा सकती है, इन खतरों के स्रोतों से वास्तव में ट्रिगर किया जा सकता है।
2.4। वर्तमान खतरे की घटनाओं के संभावित खतरों को निर्धारित करते हुए, खतरों, भेद्यता और पूर्व शर्त के स्रोतों के साथ-साथ इन खतरों के लिए संगठन के जोखिम को ध्यान में रखते हुए कार्यान्वित सुरक्षात्मक उपायों को ध्यान में रखते हुए एक नकारात्मक प्रभाव पड़ेगा।
2.5। खतरों के स्रोतों से उत्पन्न नकारात्मक प्रभाव का निर्धारण, खतरों के स्रोतों की विशेषताओं को ध्यान में रखते हुए, कमजोरियों और पूर्वधारणाओं के साथ-साथ इन खतरों के लिए संगठन के जोखिम, कार्यान्वित सुरक्षात्मक उपायों को ध्यान में रखते हुए।
2.6। वर्तमान खतरे की घटनाओं के कार्यान्वयन से जोखिम का निर्धारण, इन घटनाओं से नकारात्मक प्रभाव के स्तर और इन घटनाओं की संभावना को ध्यान में रखते हुए। परिशिष्ट "I" में इस स्तर की संभावना और नकारात्मक प्रभाव के स्तर के आधार पर जोखिम के स्तर की गणना के लिए तालिका I-2 है।

3. जोखिम मूल्यांकन परिणामों का संचार करना और सूचना प्रसारित करना।

जोखिम मूल्यांकन और सूचना हस्तांतरण के परिणामों को संप्रेषित करने के ढांचे में, निम्नलिखित कार्य किए जाते हैं:

3.1। जोखिम मूल्यांकन का परिणाम निर्णय निर्माताओं को जोखिमों पर प्रतिक्रिया करने के लिए देता है।
3.2। मूल्यांकन के परिणामस्वरूप पहचाने जाने वाले जोखिमों के बारे में जानकारी के इच्छुक पक्षों को ट्रांसमिशन।

4. प्राप्त परिणामों का रखरखाव।

प्राप्त परिणामों को बनाए रखने के ढांचे में, निम्नलिखित कार्य किए जाते हैं:

4.1। संगठन, इसकी संपत्ति, कर्मचारियों और अन्य संगठनों के संचालन गतिविधियों में जोखिम को प्रभावित करने वाले जोखिम कारकों की निरंतर निगरानी का संचालन करना। यह कार्य मानक NIST SP 800-137 के लिए समर्पित है, जिस पर हम आगे विचार करेंगे।
4.2। जोखिम कारकों की निरंतर निगरानी की प्रक्रिया के परिणामों का उपयोग करके जोखिम मूल्यांकन को अद्यतन करना।

जैसा कि आप देख सकते हैं, NIST SP 800-30 दस्तावेज़ मॉडलिंग और जोखिम गणना के लिए एक काफी विस्तृत दृष्टिकोण प्रदान करता है। इस मानक के परिशिष्ट, जोखिम मूल्यांकन के प्रत्येक उप-कार्यों के लिए गणनाओं के उदाहरणों के साथ-साथ खतरों, खतरे की घटनाओं, कमजोरियों और पूर्व शर्त के संभावित स्रोतों की सूची भी मूल्यवान हैं।

NIST SP 800-137

अब हम दस्तावेज़ NIST SP 800-137 "संघीय सूचना प्रणाली और संगठनों के लिए सूचना सुरक्षा सतत निगरानी" (" संघीय सूचना प्रणाली और संगठनों के लिए सूचना सुरक्षा की सतत निगरानी") दस्तावेज़ की समीक्षा की ओर मुड़ते हैं ।

सूचना सुरक्षा के क्षेत्र में लगातार बदलती चुनौतियों और कार्यों का जवाब देने के लिए सूचना सुरक्षा की निरंतर निगरानी के लिए एक रणनीति बनाने का कार्य सुरक्षा उपायों की प्रभावशीलता और प्रणालियों की सुरक्षा स्थिति का आकलन करना है। सूचना सुरक्षा निरंतर निगरानी प्रणाली विभिन्न स्थितियों (जैसे संपत्ति, प्रक्रिया, प्रौद्योगिकियां, कर्मचारी) से एकत्र जानकारी के आधार पर कंपनी की सूचना प्रणाली की सुरक्षा स्थिति की स्थितिजन्य जागरूकता प्रदान करने में मदद करती है, साथ ही स्थिति में बदलाव के लिए उपलब्ध क्षमताओं के लिए भी। यह प्रणाली समग्र जोखिम प्रबंधन रणनीति में रणनीति में से एक है।

एसपी श्रृंखला के अन्य दस्तावेजों की तरह, यह प्रकाशन सूचना सुरक्षा निगरानी प्रणाली के निर्माण के लिए अनुशंसित प्रक्रिया दृष्टिकोण प्रदान करता है, जिसमें शामिल हैं:

( , - ; ; );
( ; ; );
;
( ; ; );
;
.

दस्तावेज़ सूचना सुरक्षा की निरंतर निगरानी सुनिश्चित करने के लिए उपकरण चुनने के लिए निम्नलिखित सिफारिशें भी प्रदान करता है:

बड़ी संख्या में डेटा स्रोतों के लिए उनका समर्थन;
खुले और सार्वजनिक विनिर्देशों का उपयोग (उदाहरण के लिए, एससीएपी - सुरक्षा सामग्री स्वचालन प्रोटोकॉल);
अन्य सॉफ्टवेयर के साथ एकीकरण, जैसे हेल्प डेस्क सिस्टम, इन्वेंट्री और कॉन्फ़िगरेशन प्रबंधन प्रणाली, घटना प्रतिक्रिया प्रणाली;
लागू कानूनों के साथ अनुपालन विश्लेषण प्रक्रिया का समर्थन करना;
लचीली रिपोर्टिंग प्रक्रिया, विचाराधीन डेटा की गहराई में "विफल" (अंग्रेजी ड्रिल-डाउन) की क्षमता;
सुरक्षा सूचना और इवेंट मैनेजमेंट (CRM) सिस्टम और डेटा विज़ुअलाइज़ेशन सिस्टम के लिए समर्थन।

UPD: इस लेख की निरंतरता यहाँ है ।