💀 🕘 🥥 सूचना सुरक्षा जोखिम प्रबंधन पर अंतर्राष्ट्रीय दस्तावेजों का विश्लेषण। भाग 2 🧚🏻 👩🏻‍🤝‍👨🏼 🎎

पिछले भाग में, हमने जोखिम प्रबंधन की सामान्य अवधारणा का वर्णन किया और NIST SP 800 श्रृंखला के दस्तावेजों के अनुसार जोखिम प्रबंधन विधियों का खुलासा किया। इस भाग में हम सूचना सुरक्षा जोखिम प्रबंधन पर अंतर्राष्ट्रीय दस्तावेजों की समीक्षा करना जारी रखेंगे: हम आईएसओ 27005 और 31010 मानकों के अनुरूप हैं। चलिए शुरू करते हैं!

पहले की समीक्षा की गई विशेष प्रकाशन NIST SP 800-39, NIST SP 800-37 और NIST SP 800-30 जोखिम मूल्यांकन और प्रसंस्करण के लिए सुसंगत व्यवस्थित दृष्टिकोण प्रदान करते हैं, जबकि NIST SP 800-53, NIST SP 800-53A और NIST SP 800-137 सूचना सुरक्षा के जोखिमों को कम करने के लिए विशिष्ट उपाय प्रस्तुत करें। हालांकि, यह ध्यान में रखना चाहिए कि ये दस्तावेज़ अनिवार्य रूप से प्रकृति के सलाहकार हैं और मानक नहीं हैं (उदाहरण के लिए, NIST FIPS दस्तावेजों के विपरीत), और यह भी कि वे मूल रूप से संयुक्त राज्य अमेरिका की कंपनियों और संगठनों के लिए विकसित किए गए थे। यह उनके उपयोग पर कुछ प्रतिबंध लगाता है: उदाहरण के लिए, संगठन इन दस्तावेजों के प्रावधानों के कार्यान्वयन के लिए अंतर्राष्ट्रीय प्रमाणन प्राप्त नहीं कर सकते हैं, और संबंधित एनआईएसटी ढांचे के पूरे सेट का उपयोग अत्यधिक श्रमसाध्य और अव्यवहारिक हो सकता है।अक्सर, कंपनियां अंतर्राष्ट्रीय संगठन के मानकीकरण (आईएसओ) की आवश्यकताओं के अनुसार प्रमाणन पथ का चयन करती हैं, उदाहरण के लिए, दुनिया भर में मान्यता प्राप्त "आईएसओ 27001 प्रमाणित" की स्थिति। मानकों की आईएसओ 27000 श्रृंखला में सूचना सुरक्षा और जोखिम प्रबंधन के दस्तावेज शामिल हैं। आईएस जोखिम प्रबंधन पर इस श्रृंखला के मुख्य दस्तावेज पर विचार करें: मानक आईएसओ / आईईसी 27005: 2018।

आईएसओ / आईईसी 27005: 2018

मानक आईएसओ / आईईसी 27005: 2018 "सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा जोखिम प्रबंधन"("सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा जोखिम प्रबंधन") तीसरा संशोधन है: मानक का पहला संस्करण 2005 में प्रकाशित किया गया था, और 2011 में दूसरा। दस्तावेज़ कई जोखिम-विशिष्ट शब्दों का परिचय देता है। तो, सुरक्षा का एक साधन (अंग्रेजी नियंत्रण) एक उपाय है जो जोखिम को बदलता है। संदर्भों (अंग्रेजी संदर्भ) की अवधारणा में बाहरी संदर्भ शामिल है, जिसका अर्थ है कंपनी का बाहरी वातावरण (उदाहरण के लिए, राजनीतिक, आर्थिक, सांस्कृतिक वातावरण, साथ ही बाहरी हितधारकों के साथ संबंध), और आंतरिक संदर्भ, जिसका अर्थ है कंपनी का आंतरिक वातावरण (आंतरिक प्रक्रियाएं, नीतियां) मानकों, प्रणालियों, लक्ष्यों और संगठन की संस्कृति, आंतरिक हितधारकों के साथ संबंधों, साथ ही साथ संविदात्मक दायित्वों)।

जोखिम- यह लक्ष्यों को प्राप्त करने में अशुद्धि (अंग्रेजी अनिश्चितता) का परिणाम है; हालाँकि, अशुद्धि का अर्थ है किसी निश्चित घटना से संबंधित जानकारी की कमी, उसके परिणाम या उसके घटित होने की संभावना। जोखिम के स्तर (Eng। जोखिम के स्तर) के तहत जोखिम की भयावहता को समझा जाता है, महत्वपूर्ण घटनाओं के प्रभाव और इन घटनाओं की घटना की संभावना के रूप में व्यक्त किया जाता है। अवशिष्ट जोखिम (Eng। अवशिष्ट जोखिम) - जोखिम उपचार प्रक्रिया के बाद शेष जोखिम। जोखिम मूल्यांकन के तहत(अंग्रेजी जोखिम मूल्यांकन) पहचान की सामान्य प्रक्रिया (यानी, खोज, परिभाषा और जोखिम का वर्णन), विश्लेषण (यानी जोखिम की प्रकृति को समझना और उसके स्तर को निर्धारित करना) और खतरे का आकलन (यानी जोखिम विश्लेषण के परिणामों की तुलना करना) को समझते हैं इसके मूल्य की स्वीकार्यता निर्धारित करने के लिए जोखिम मानदंड) जोखिम। जोखिम उपचार एक जोखिम संशोधन प्रक्रिया है जिसमें शामिल हो सकते हैं:

जोखिम से बचने के लिए उन कार्यों से बचना चाहिए जिनसे जोखिम हो सकता है;
व्यावसायिक लक्ष्यों को प्राप्त करने के लिए जोखिम की स्वीकृति या वृद्धि;
जोखिम स्रोतों का उन्मूलन;
जोखिम घटना की संभावना में परिवर्तन;
जोखिम के कार्यान्वयन के अपेक्षित परिणामों में परिवर्तन;
जोखिम हस्तांतरण (विभाजन);
जोखिम संरक्षण।

आईएसओ / आईईसी 27005: 2018 मानक के लेखकों के दृष्टिकोण से आईएस जोखिम प्रबंधन प्रक्रिया निम्नलिखित विशेषताओं की विशेषता होनी चाहिए:

. , ( -).
.
.
, .
.
.
.
.

जोखिम प्रबंधन प्रक्रिया में स्वयं निम्नलिखित चरण (प्रक्रियाएं) शामिल हैं जो PDCA (योजना - दो - चेक - अधिनियम) के साथ पालन करते हैं, जो आईएसओ 27001 में अपनाया गया है:

प्रसंग की परिभाषा।
जोखिम आकलन।
एक जोखिम उपचार योजना विकसित करें।
जोखिम लेने
विकसित जोखिम उपचार योजना का कार्यान्वयन।
जोखिमों की सतत निगरानी और समीक्षा।
आईएस जोखिम प्रबंधन प्रक्रिया का समर्थन और सुधार।

आगे हम इनमें से प्रत्येक चरण पर अधिक विस्तार से विचार करेंगे।

1. संदर्भ की परिभाषा

संदर्भ निर्धारित करते समय, इनपुट डेटा कंपनी के बारे में सभी जानकारी है जो जोखिम प्रबंधन के लिए प्रासंगिक है। इस प्रक्रिया के हिस्से के रूप में, जोखिम प्रबंधन के लिए एक दृष्टिकोण का चयन किया जाता है, जिसमें जोखिम मूल्यांकन मानदंड, नकारात्मक प्रभाव (अंग्रेजी प्रभाव) का आकलन करने के लिए मानदंड, और जोखिम स्वीकार करने के मानदंड शामिल होने चाहिए। इसके अलावा, इस प्रक्रिया के कार्यान्वयन के लिए आवश्यक संसाधनों का मूल्यांकन और आवंटन किया जाना चाहिए। कंपनी में आईएस के जोखिमों का आकलन करने के लिए

जोखिम मूल्यांकन मानदंड विकसित किया जाना चाहिए और सूचना परिसंपत्तियों के मूल्य, उनकी गोपनीयता, अखंडता, पहुंच, सूचना व्यापार प्रक्रियाओं की भूमिका, कानून और अनुबंध संबंधी दायित्वों की आवश्यकताओं, हितधारकों की अपेक्षाओं, सद्भावना और प्रतिष्ठा के लिए संभावित नकारात्मक परिणामों को ध्यान में रखना चाहिए। कंपनी।

नकारात्मक प्रभाव का आकलन करने के मानदंड को कंपनी के नुकसान या खर्च के स्तर को ध्यान में रखना चाहिए, जो सूचना सुरक्षा जोखिम से उबरने में खर्च होता है, आईटी परिसंपत्ति के महत्व के स्तर को ध्यान में रखते हुए, सूचना सुरक्षा का उल्लंघन (यानी संपत्ति की गोपनीयता, अखंडता, हानि गुण), व्यापार प्रक्रिया डाउनटाइम, आर्थिक नुकसान के लिए मजबूर किया। , योजनाओं और समय सीमा का उल्लंघन, प्रतिष्ठा को नुकसान, कानूनी आवश्यकताओं और अनुबंध संबंधी दायित्वों का उल्लंघन।

जोखिम स्वीकृति मानदंडअपेक्षित जोखिमों के लिए अपेक्षित व्यावसायिक लाभों के अनुपात के रूप में व्यक्त किया जा सकता है। इसी समय, विभिन्न मानदंडों को विभिन्न वर्गों के जोखिमों के लिए लागू किया जा सकता है: उदाहरण के लिए, कानून के अनुपालन न करने के जोखिमों को सिद्धांत रूप में स्वीकार नहीं किया जा सकता है, और उच्च वित्तीय जोखिमों को स्वीकार किया जा सकता है यदि वे संविदात्मक दायित्वों का हिस्सा हैं। इसके अलावा, जोखिम प्रासंगिकता (दीर्घकालिक और अल्पकालिक जोखिम) की अनुमानित समय अवधि को ध्यान में रखा जाना चाहिए। जोखिमों को स्वीकार करने के लिए मानदंड को कुछ परिस्थितियों में इस स्तर से ऊपर के जोखिमों को स्वीकार करने वाले शीर्ष प्रबंधन की संभावना के साथ जोखिम के वांछित (लक्ष्य) स्तर को ध्यान में रखते हुए विकसित किया जाना चाहिए, साथ ही सहमत समय अवधि के दौरान जोखिमों के प्रसंस्करण के अधीन जोखिमों को स्वीकार करने की संभावना।

उपरोक्त मानदंडों के अलावा, संदर्भ निर्धारण प्रक्रिया के हिस्से के रूप में, आईएस जोखिम प्रबंधन प्रक्रिया की सीमाओं और दायरे को ध्यान में रखा जाना चाहिए: व्यवसाय के लक्ष्य, व्यवसाय प्रक्रियाएं, कंपनी की योजनाएं और नीतियां, संगठन की संरचना और कार्य, लागू विधायी और अन्य। आवश्यकताओं, सूचना संपत्तियों, हितधारकों की अपेक्षाओं, समकक्षों के साथ बातचीत। आप एक विशिष्ट आईटी प्रणाली, बुनियादी ढाँचा, व्यवसाय प्रक्रिया या पूरी कंपनी के एक विशिष्ट हिस्से के भीतर जोखिम प्रबंधन प्रक्रिया पर विचार कर सकते हैं।

2. जोखिम का आकलन

जोखिम मूल्यांकन प्रक्रिया के भाग के रूप में, कंपनी को सूचना परिसंपत्तियों के मूल्य का आकलन करना चाहिए, वर्तमान खतरों और कमजोरियों की पहचान करना चाहिए, वर्तमान उपायों और उनकी प्रभावशीलता के बारे में जानकारी प्राप्त करना और जोखिमों के संभावित परिणामों का निर्धारण करना चाहिए। जोखिम मूल्यांकन के परिणामस्वरूप, कंपनी को एक मात्रात्मक या गुणात्मक जोखिम मूल्यांकन प्राप्त करना चाहिए, साथ ही इन जोखिमों की प्राथमिकता को ध्यान में रखते हुए जोखिमों के जोखिम और कंपनी के लक्ष्यों का आकलन करना चाहिए। जोखिम मूल्यांकन प्रक्रिया में स्वयं जोखिमों की पहचान, जोखिमों का विश्लेषण, जोखिमों का खतरनाक मूल्यांकन शामिल है।

2.1। जोखिम की पहचान

जोखिमों की पहचान करने का उद्देश्य यह निर्धारित करना है कि क्या हो सकता है और संभावित नुकसान हो सकता है, और यह नुकसान कैसे, कहाँ और क्यों हो सकता है, इसकी समझ हासिल करना है। इसी समय, जोखिमों पर विचार किया जाना चाहिए, भले ही इन जोखिमों का स्रोत संगठन द्वारा नियंत्रित किया गया हो या नहीं। इस प्रक्रिया के भाग के रूप में, निम्नलिखित कार्य किए जाने चाहिए:

संपत्ति की पहचान (इन्वेंट्री), जिसके परिणामस्वरूप आईटी परिसंपत्तियों और व्यावसायिक प्रक्रियाओं की एक सूची है;
खतरों की पहचान, जबकि जानबूझकर और यादृच्छिक खतरों, खतरों के बाहरी और आंतरिक स्रोतों को ध्यान में रखना आवश्यक है, और संगठन (वकील, एचआर, आईटी, आदि) और बाहरी (बीमा) से आंतरिक खतरों से संभावित खतरों के बारे में जानकारी प्राप्त की जा सकती है। कंपनियों, बाहरी सलाहकार, सांख्यिकीय जानकारी, आदि);
;
, ; , , -, , , ;
, , -.

2.2.

परिसंपत्तियों की आलोचनात्मकता, ज्ञात कमजोरियों की संख्या और पिछली घटनाओं को ध्यान में रखते हुए विभिन्न जोखिमों के साथ एक जोखिम विश्लेषण किया जा सकता है। जोखिम विश्लेषण की कार्यप्रणाली गुणात्मक और मात्रात्मक दोनों हो सकती है: एक नियम के रूप में, पहले गुणात्मक विश्लेषण का उपयोग उच्च प्राथमिकता वाले जोखिमों को उजागर करने के लिए किया जाता है, और फिर पहचाने गए जोखिमों पर एक मात्रात्मक विश्लेषण लागू किया जाता है, जो अधिक समय लेने वाला होता है और अधिक सटीक परिणाम देता है। गुणात्मक विश्लेषण

का उपयोग करते समय , विशेषज्ञ कुछ घटनाओं के संभावित परिणामों और इन परिणामों की संभावना के वर्णनात्मक खतरे के मूल्यांकन (उदाहरण के लिए, निम्न, मध्यम, उच्च) के पैमाने पर कार्य करते हैं। मात्रात्मक विश्लेषण विधियों

का उपयोग करते समयसंख्यात्मक मान पहले से ही घटित होने वाली घटनाओं पर ऐतिहासिक आंकड़ों को ध्यान में रखते हुए लागू किए जा रहे हैं। यह ध्यान में रखा जाना चाहिए कि विश्वसनीय, सत्यापन योग्य तथ्यों की अनुपस्थिति में, एक मात्रात्मक जोखिम मूल्यांकन केवल सटीकता का भ्रम दे सकता है।

जब जोखिम विश्लेषण प्रक्रिया का संचालन किया जाता है, तो सबसे पहले आईएस की घटनाओं के संभावित परिणामों का आकलन किया जाता है: कंपनी पर उनके नकारात्मक प्रभाव के स्तर का आकलन गोपनीयता, अखंडता और सूचना परिसंपत्तियों की उपलब्धता के उल्लंघन के परिणामों को ध्यान में रखकर किया जाता है। मौजूदा परिसंपत्तियों की जाँच की जाती है और उनकी आलोचनात्मकता के अनुसार उन्हें वर्गीकृत करने की दृष्टि से ऑडिट किया जाता है, और व्यवसाय पर इन परिसंपत्तियों के सूचना सुरक्षा उल्लंघन के संभावित नकारात्मक प्रभाव का भी आकलन किया जाता है (अधिमानतः मौद्रिक शब्दों में)। परिसंपत्तियों का मूल्यांकन व्यवसाय पर नकारात्मक प्रभाव (बिजनेस इम्पैक्ट एनालिसिस) के विश्लेषण के हिस्से के रूप में किया जाता है और परिसंपत्तियों / सूचनाओं को बदलने या पुनर्स्थापित करने की लागत के आधार पर गणना की जा सकती है, साथ ही संपत्ति या जानकारी के नुकसान या समझौता के परिणाम: जानकारी, वित्तीय, कानूनी और प्रतिष्ठा पहलुओं पर विचार किया जाता है।यह भी ध्यान में रखा जाना चाहिए कि खतरे एक या कई परस्पर संबंधित संपत्ति को प्रभावित कर सकते हैं या केवल आंशिक रूप से संपत्ति को प्रभावित कर सकते हैं।

अगला, एक घटना की संभावना का आकलन, अर्थात्। सभी संभावित खतरे परिदृश्य। इस तरह के खतरों के बारे में सांख्यिकीय जानकारी, साथ ही खतरों के जानबूझकर स्रोतों की प्रेरणा और संभावनाओं पर डेटा (साथ ही घुसपैठियों के एक मॉडल का निर्माण), हमलावरों के लिए संपत्ति का आकर्षण, मौजूदा कमजोरियों, सुरक्षात्मक सुरक्षा उपायों और विचार के मामले में, खतरों की आवृत्ति और सहजता को ध्यान में रखना आवश्यक है। खतरों - स्थान, मौसम की स्थिति, उपकरण सुविधाओं, मानवीय त्रुटियों, आदि को ध्यान में रखें। मूल्यांकन की आवश्यक सटीकता के आधार पर, परिसंपत्तियों को उन पर लागू हमले परिदृश्यों के अनुसार समूहीकृत या विभाजित किया जा सकता है।

अंत में, जोखिम का स्तर हमले के परिदृश्यों की विकसित सूची से सभी परिदृश्यों के लिए निर्धारित किया जाता है। अपेक्षित जोखिम की परिमाण घटना परिदृश्य और उसके परिणामों की संभावना का एक उत्पाद है।

2.3। जोखिम आकलन

जोखिम जोखिम मूल्यांकन प्रक्रिया के भाग के रूप में, पिछले चरण में प्राप्त जोखिम स्तर की तुलना जोखिम निर्धारण मानदंड और संदर्भ निर्धारण चरण में प्राप्त जोखिम स्वीकृति मानदंड से की जाती है। निर्णय लेते समय, खतरों के कार्यान्वयन के परिणाम, नकारात्मक परिणामों की संभावना, जोखिमों की पहचान और विश्लेषण की शुद्धता में व्यक्तिगत विश्वास के स्तर को ध्यान में रखा जाना चाहिए। आईएस संपत्तियों के गुणों को ध्यान में रखना आवश्यक है (उदाहरण के लिए, यदि गोपनीयता का नुकसान संगठन के लिए प्रासंगिक नहीं है, तो इस संपत्ति का उल्लंघन करने वाले सभी जोखिमों को छोड़ दिया जा सकता है), साथ ही एक विशेष संपत्ति द्वारा सेवा की व्यावसायिक प्रक्रियाओं का महत्व (उदाहरण के लिए, जोखिम जो एक तुच्छ व्यवसाय प्रक्रिया को प्रभावित करते हैं) कम प्राथमिकता के रूप में मान्यता प्राप्त)।

3. जोखिम उपचार है

इस उपप्रकार के शुरू होने से, हमारे पास पहले से ही घटना परिदृश्यों से जुड़े जोखिमों के जोखिम का आकलन करने के लिए मानदंडों के अनुसार प्राथमिकता वाले जोखिमों की एक सूची है जो इन जोखिमों को महसूस कर सकती है। जोखिम प्रसंस्करण चरण को पारित करने के परिणामस्वरूप, हमें संशोधित (बनाए रखने), बनाए रखने (बचने) या हस्तांतरण (जोखिम), और अवशिष्ट जोखिमों और प्रक्रिया को बनाए रखने के लिए डिज़ाइन किए गए सुरक्षा उपायों का चयन करना चाहिए जोखिम उपचार योजना।

जोखिम मूल्यांकन प्रक्रिया के परिणामों के आधार पर संकेतित जोखिम उपचार विकल्प (संशोधन, परिरक्षण, परिहार या स्थानांतरण) का चयन किया जाना चाहिए, सुरक्षात्मक उपायों के कार्यान्वयन की अपेक्षित लागत का अनुमान और प्रत्येक विकल्प के अपेक्षित लाभ, और उन्हें संयुक्त किया जा सकता है (उदाहरण के लिए, जोखिम की संभावना को संशोधित करें और अवशिष्ट जोखिम को स्थानांतरित करें। ) पसंद को आसानी से लागू करने और कम बजट के उपायों के लिए दिया जाना चाहिए, जो एक ही समय में जोखिम को कम करने और खतरों की एक बड़ी संख्या को कवर करने का एक बड़ा प्रभाव देते हैं, और यदि आवश्यक हो, तो महंगा समाधानों का उपयोग उनके आवेदन के लिए आर्थिक औचित्य प्रदान करना चाहिए। सामान्य तौर पर, किसी को नकारात्मक परिणामों को कम करने का प्रयास करना चाहिए, साथ ही दुर्लभ लेकिन विनाशकारी जोखिमों को भी ध्यान में रखना चाहिए।

नतीजतन, जिम्मेदार व्यक्तियों को एक जोखिम उपचार योजना तैयार करनी चाहिए जो स्पष्ट रूप से प्राथमिकता और समय अंतराल को परिभाषित करती है जिसके अनुसार प्रत्येक जोखिम को संसाधित करने की एक विधि को लागू किया जाना चाहिए। जोखिम रैंकिंग और लागत-लाभ विश्लेषण के परिणामों के आधार पर प्राथमिकताएं निर्धारित की जा सकती हैं। यदि संगठन में पहले से कोई सुरक्षा उपाय लागू किए गए हैं, तो सुरक्षा उपायों और खतरों के बीच संबंध को ध्यान में रखते हुए, उनकी प्रासंगिकता और स्वामित्व की लागत का विश्लेषण करना उचित होगा, जिसके लिए ये उपाय लागू किए गए थे।

जोखिम उपचार योजना के अंत में, अवशिष्ट जोखिम निर्धारित किया जाना चाहिए। इसके लिए प्रस्तावित जोखिम उपचार विधियों के अपेक्षित प्रभावों को ध्यान में रखते हुए जोखिम मूल्यांकन को अद्यतन या फिर से संचालित करना पड़ सकता है।

अगला, हम जोखिमों के प्रसंस्करण के संभावित विकल्पों पर अधिक विस्तार से विचार करते हैं।

3.1। जोखिम संशोधन

जोखिम संशोधन से तात्पर्य सुरक्षात्मक उपायों को लागू करने या बदलने से ऐसे जोखिम प्रबंधन से है, जो अवशिष्ट जोखिम के मूल्यांकन को स्वीकार्य बनाता है। जोखिम संशोधन विकल्प का उपयोग करते समय, उचित और प्रासंगिक सुरक्षा उपायों का चयन किया जाता है जो जोखिम मूल्यांकन और प्रसंस्करण के चरणों में परिभाषित आवश्यकताओं को पूरा करते हैं। विभिन्न प्रकार के प्रतिबंधों को ध्यान में रखा जाना चाहिए, जैसे सुरक्षात्मक उपकरणों के स्वामित्व की लागत (बुनियादी ढांचे पर कार्यान्वयन, प्रशासन और प्रभाव को ध्यान में रखते हुए), समय और वित्तीय रूपरेखा, इन सुरक्षात्मक उपकरणों की सेवा करने वाले कर्मियों की आवश्यकता और वर्तमान और नए सुरक्षा उपायों के साथ एकीकरण की आवश्यकताएं। आपको संरक्षित किए जाने वाले परिसंपत्ति के मूल्य के साथ इन लागतों की लागत की तुलना करने की भी आवश्यकता है। सुरक्षा उपायों में शामिल हैं: सुधार, उन्मूलन, रोकथाम, नकारात्मक प्रभाव को कम करना,संभावित उल्लंघनकर्ताओं की रोकथाम, कर्मचारियों की पहचान, वसूली, निगरानी और जागरूकता बढ़ाना।

"जोखिम संशोधन" कदम का परिणाम उनकी लागत, प्रस्तावित लाभ और कार्यान्वयन प्राथमिकता के साथ संभावित सुरक्षा उपायों की एक सूची होनी चाहिए।

3.2। जोखिम संरक्षण

जोखिम संरक्षण का मतलब है कि, जोखिम खतरे के मूल्यांकन के परिणामों के आधार पर, यह निर्णय लिया गया कि इसके प्रसंस्करण के लिए और कोई कदम उठाने की आवश्यकता नहीं है, अर्थात्। अपेक्षित जोखिम का अनुमानित स्तर जोखिम स्वीकृति मानदंडों को पूरा करता है। ध्यान दें कि यह विकल्प जोखिम की अनदेखी करने के शातिर अभ्यास से काफी अलग है, जिसमें पहले से पहचाने गए और मूल्यांकन किए गए जोखिम को किसी भी तरह से संसाधित नहीं किया जाता है, अर्थात्। इसके गोद लेने के निर्णय को आधिकारिक तौर पर नहीं अपनाया गया है, लेकिन जोखिम को "निलंबित" स्थिति में छोड़ दिया गया है।

3.3। जोखिम से आनाकानी

इस विकल्प को चुनते समय, एक निश्चित गतिविधि का संचालन नहीं करने या इसके संचालन की शर्तों को बदलने का निर्णय लिया जाता है ताकि इस गतिविधि से जुड़े जोखिम से बचा जा सके। यह निर्णय उच्च जोखिम के मामले में किया जा सकता है या यदि सुरक्षात्मक उपायों को लागू करने की लागत अपेक्षित लाभ से अधिक है। उदाहरण के लिए, एक कंपनी ऐसी जानकारी के रिसाव के संभावित जोखिमों और पर्याप्त सुरक्षा उपायों को लागू करने की लागत के विश्लेषण के परिणामों के आधार पर, व्यक्तिगत डेटा से संबंधित कुछ ऑनलाइन सेवाओं के साथ उपयोगकर्ताओं को प्रदान करने से इनकार कर सकती है।

3.4। जोखिम हस्तांतरण

जोखिम को उस संगठन में स्थानांतरित किया जा सकता है जो इसे सबसे प्रभावी ढंग से प्रबंधित कर सकता है। इस प्रकार, एक जोखिम मूल्यांकन के आधार पर, साइबर जोखिमों (रूस में लोकप्रियता प्राप्त करने वाली एक सेवा, लेकिन अभी भी इस बाजार के आकार के पीछे कई बार है, उदाहरण के लिए, यूएसए में) या जिम्मेदारियों को स्थानांतरित करके, किसी अन्य व्यक्ति को कुछ जोखिमों को स्थानांतरित करने का निर्णय लिया जाता है। एमएसएसपी (प्रबंधित सुरक्षा सेवा प्रदाता) या एमडीआर (प्रबंधित जांच और प्रतिक्रिया) के लिए आईएस की घटनाओं की निगरानी और जवाब देने के लिए, अर्थात। वाणिज्यिक एसओसी में। जोखिम हस्तांतरण विकल्प का चयन करते समय, यह ध्यान दिया जाना चाहिए कि जोखिम हस्तांतरण स्वयं एक जोखिम हो सकता है, साथ ही तथ्य यह भी है कि जोखिम के प्रबंधन की जिम्मेदारी किसी अन्य कंपनी को हस्तांतरित की जा सकती है, लेकिन संभावित घटना के नकारात्मक परिणामों के लिए जिम्मेदारी को हस्तांतरित नहीं किया जा सकता है।

4. जोखिम स्वीकृति

इस चरण के लिए इनपुट डेटा पिछले चरण में विकसित जोखिम उपचार योजनाएं और अवशिष्ट जोखिमों का मूल्यांकन होगा। जोखिम प्रबंधन योजनाओं का वर्णन करना चाहिए कि जोखिमों को स्वीकार करने के मानदंडों को पूरा करने के लिए मूल्यांकन किए गए जोखिमों को कैसे संसाधित किया जाएगा। जिम्मेदार व्यक्ति प्रस्तावित जोखिम उपचार योजनाओं और अंतिम अवशिष्ट जोखिमों पर विश्लेषण और सहमति देते हैं, साथ ही उन सभी स्थितियों का संकेत देते हैं जिनके तहत यह अनुमोदन किया जाता है। एक सरलीकृत मॉडल में, पहले से परिभाषित स्वीकार्य स्तर के साथ अवशिष्ट जोखिम की तुच्छ तुलना की जाती है। हालांकि, यह ध्यान में रखा जाना चाहिए कि कुछ मामलों में जोखिमों को स्वीकार करने के मानदंडों की समीक्षा करना आवश्यक हो सकता है जो नई परिस्थितियों या स्थितियों को ध्यान में नहीं रखते हैं। इस मामले में, जिम्मेदार लोग ऐसे जोखिमों को स्वीकार करने के लिए मजबूर हो सकते हैं,किसी विशेष मामले में जोखिमों को स्वीकार करने के लिए मानदंडों का अनुपालन न करने के निर्णय पर तर्क और टिप्पणी का संकेत देना।

नतीजतन, स्वीकृत जोखिमों की एक सूची उन लोगों के लिए एक औचित्य के साथ बनाई जाती है जो जोखिमों को स्वीकार करने के लिए पहले से परिभाषित मानदंडों को पूरा नहीं करते हैं।

5. विकसित जोखिम उपचार योजना का कार्यान्वयन। जोखिम संचार है

इस स्तर पर, विकसित जोखिम उपचार योजना को सीधे लागू किया जाता है: किए गए निर्णयों के अनुसार, सुरक्षा उपकरण और उपकरण खरीदे और कॉन्फ़िगर किए जाते हैं, साइबर बीमा और घटना प्रतिक्रिया अनुबंध संपन्न होते हैं, और ठेकेदारों के साथ कानूनी काम किया जाता है। एक ही समय में, पहचान की गई जोखिमों की जानकारी और उन्हें संबोधित करने के लिए किए गए उपायों की जानकारी गतिविधियों की एक सामान्य समझ प्राप्त करने के लिए प्रबंधन और हितधारकों को सूचित की जाती है।
सामान्य और आपातकालीन स्थितियों में समन्वित गतिविधियों के लिए सूचना सुरक्षा जोखिम संचार योजनाएं विकसित की जा रही हैं (उदाहरण के लिए, एक प्रमुख सूचना सुरक्षा घटना के मामले में)।

6. सतत जोखिम निगरानी और समीक्षा

यह ध्यान में रखा जाना चाहिए कि जोखिम समय के साथ चुपचाप बदल सकते हैं: संपत्ति और उनके मूल्य परिवर्तन, नए खतरे और कमजोरियां दिखाई देती हैं, खतरों की संभावना और उनके नकारात्मक प्रभाव के स्तर में परिवर्तन होता है। इसलिए, वर्तमान परिवर्तनों की निरंतर निगरानी करना आवश्यक है, जिसमें वर्तमान आईएस खतरों के विश्लेषण में विशेषज्ञता वाले बाहरी समकक्षों की भागीदारी शामिल है। एक संभावित बदलती स्थिति की प्रासंगिकता और पर्याप्तता के लिए आईएस के जोखिमों और उनका इलाज करने के लिए दोनों तरीकों की नियमित समीक्षा करना आवश्यक है। कंपनी के काम में महत्वपूर्ण परिवर्तन और चल रही व्यावसायिक प्रक्रियाओं (उदाहरण के लिए, विलय / अधिग्रहण के दौरान, नई सेवाओं की शुरूआत, कंपनी के स्वामित्व ढांचे में परिवर्तन आदि) के दौरान इस प्रक्रिया पर विशेष ध्यान दिया जाना चाहिए।

7. आईएस जोखिम प्रबंधन प्रक्रिया का समर्थन और सुधार

निरंतर जोखिम निगरानी के समान, जोखिम प्रबंधन प्रक्रिया को लगातार बनाए रखा जाना चाहिए और सुधार किया जाना चाहिए ताकि संदर्भ, मूल्यांकन और जोखिम उपचार योजना वर्तमान स्थिति और परिस्थितियों के लिए प्रासंगिक बनी रहे। सभी परिवर्तनों और सुधारों के लिए इच्छुक पार्टियों के साथ सहमति की आवश्यकता है। जोखिमों का आकलन करने और स्वीकार करने के लिए मानदंड, परिसंपत्तियों के मूल्य, उपलब्ध संसाधनों, प्रतियोगियों की गतिविधि का मूल्यांकन, और कानून और अनुबंध संबंधी दायित्वों में परिवर्तन वर्तमान व्यावसायिक प्रक्रियाओं और कंपनी के वर्तमान लक्ष्यों के अनुरूप होना चाहिए। यदि आवश्यक हो, तो वर्तमान दृष्टिकोण को बदलने और सुधारने के लिए आवश्यक है, आईएस जोखिम प्रबंधन की पद्धति और उपकरण।

आईईसी 31010: 2019

अब हम संक्षेप में IEC 31010: 2019 मानक "जोखिम प्रबंधन - जोखिम मूल्यांकन तकनीक" की समीक्षा करते हैं ।

यह मानक व्यवसाय जोखिम प्रबंधन मानकों की एक श्रृंखला का हिस्सा है जो विशेष रूप से आईएस जोखिमों से बंधा नहीं है। "शीर्षक" मानक आईएसओ 31000: 2018, "जोखिम प्रबंधन - दिशानिर्देश" है, जो रूपरेखा, सिद्धांतों और जोखिम प्रबंधन प्रक्रिया का वर्णन करता है। इस दस्तावेज़ में वर्णित जोखिम प्रबंधन प्रक्रिया ऊपर चर्चा की गई के समान है: संदर्भ, सीमाएं और मानदंड निर्धारित किए जाते हैं, एक जोखिम मूल्यांकन किया जाता है (पहचान, विश्लेषण, जोखिम जोखिम मूल्यांकन से मिलकर), फिर जोखिम को संसाधित किया जाता है, इसके बाद संचार, रिपोर्टिंग, निगरानी और समीक्षा की जाती है।

आईईसी 31010: 2019 मानक उल्लेखनीय है कि यह 40 से अधिक विभिन्न जोखिम मूल्यांकन तकनीक प्रदान करता है, प्रत्येक एक स्पष्टीकरण प्रदान करता है, सभी जोखिम मूल्यांकन उप-प्रक्रियाओं के लिए आवेदन की एक विधि (जोखिम पहचान, स्रोतों की पहचान और जोखिम का कारण, सुरक्षात्मक उपायों का विश्लेषण, विश्लेषण परिणाम, संभावनाएं, रिश्ते और बातचीत, जोखिम के स्तर को मापने और आकलन करना, सुरक्षात्मक उपायों की पसंद, रिपोर्टिंग), और कुछ तकनीकों के लिए उपयोग के व्यावहारिक उदाहरण भी दिए गए हैं। इसके अतिरिक्त, अपने घरेलू संस्करण में इस मानक के लिए, GOST R ISO / IEC 31010-2011 "जोखिम प्रबंधन। जोखिम मूल्यांकन के तरीके "रूसी संघ के सेंट्रल बैंक के 607-पी को संदर्भित करता है" भुगतान प्रणाली के निर्बाध संचालन को सुनिश्चित करने की प्रक्रिया के लिए आवश्यकताओं, भुगतान प्रणाली के निर्बाध संचालन के संकेतक और भुगतान प्रणाली में जोखिम विश्लेषण के तरीके, जोखिम प्रोफाइल सहित।

सूचना सुरक्षा जोखिम प्रबंधन पर अंतर्राष्ट्रीय दस्तावेजों का विश्लेषण। भाग 2

आईएसओ / आईईसी 27005: 2018

1. संदर्भ की परिभाषा

2. जोखिम का आकलन

2.1। जोखिम की पहचान

2.2.

2.3। जोखिम आकलन

3. जोखिम उपचार है

3.1। जोखिम संशोधन

3.2। जोखिम संरक्षण

3.3। जोखिम से आनाकानी

3.4। जोखिम हस्तांतरण

4. जोखिम स्वीकृति

5. विकसित जोखिम उपचार योजना का कार्यान्वयन। जोखिम संचार है

6. सतत जोखिम निगरानी और समीक्षा

7. आईएस जोखिम प्रबंधन प्रक्रिया का समर्थन और सुधार

आईईसी 31010: 2019

More articles: