تنوع و گستره فعالیتها موجب مىگردد تا امکان پرداختن به همه امور میسر نباشد فلذا طبقهبندى کردن امورو اولویت دادن به برخى امور مهم نسبت به برخى دیگر از اهمیت زیادى برخوردار نمیباشند ضرورت پیدا مىکند. امروزه بهرهگیرى از فنآورى اطلاعات در مدیریت ریسک حدیث متفاوتى را باز مىگوید و تاثیرى عمیق بر چگونگى سر و سامان دادن به فعالیتهاى اتوماسیون سازمانها و مدیریت چرخه ایجاد سیستمهاى مکانیزه مىگذارد.
مدیریت ریسک، یک مدیریت مهم و ضرورى محسوب مىشود که تصمیمگیرى دقیقى را بر اساس میزان ریسک و خطر میسر مىسازد و در اکثر نقاط دنیا توسط پرسنل اجرایى IT مورد بهرهبردارى قرار مىگیرد. ریسک در معناى عام عبارت است از تاثیر منفى ناشى از یک آسیبپذیرى و در نظر گرفتن احتمال وقوع و اثر آن در فرآیندهاى یک سیستم. فلذا بایستى سطح ریسک پایین؛ متوسط؛ بالا و احتمال وقوع آن و پیامدهاى آن مورد شناسایى قرار گیرد تا بتوان براى رفع آن تصمیمگیرى کرد.
ریسک یعنى: میزان و امکان سرپیچى از قانون که به خسارت و زیان علیه تجارت؛ صنعت و مردم منجر خواهد شدیا به تعبیر دیگر ر! یسک امکان وقوع یک خسارت و زیان اعم از مالى و یا غیر مالى در نتیجه انجام یک کار است. مدیریت ریسک، فرآیند تشخیص و ارزیابى ریسک و کاهش آن تا یک سطح قابل قبول مىباشد و با هدفگذارى امکان پذیر است. هدف از اجراى مدیریت ریسک این است که سازمان بتواند به اهداف ذیل جهت سیستمهاى مبتنى بر فنآورى اطلاعات خود دست یابد: تامین امنیت بیشتر براى سیستمهاى مبتنى بر ذخیرهسازى، پردازش و انتقال اطلاعات سازمانى. اعمال مدیریت براى توجیه و بهینهسازى هزینههاى IT. تصویب و تائید سیستمها.
مدیریت ریسک داراى سه مرحله است: مدیریت ریسک، ارزیابى ریسک و کاهش ریسک.
مدیریت ریسک: مدیریت ریسک یعنى شناسایى؛ ارزیابى؛ تجزیه و تحلیل ؛ چگونگى رفتار و اداره کردن آن. مدیریت ریسک فرآیندى است که به مدیران امکان مىدهد تا هزینه هاى اقتصادى و عملیاتى مورد نظر را مقایسه کنند و با بهرهگیرى و حمایت از سیستمهاى IT، امکانات و قابلیتهاى آنها را بهینه سازند و یا به تعبیر دیگر مدیریت ریسک روشى است براى استفاده بهینه از امکانات و منابع موجود. این روند تنها منحصر به محیط IT نیست و در تمام تصمیمگیرىهاى روزانه ما تاثیر بسزایى دارد. به عنوان مثال، امروزه بسیارى از مردم تصمیم به نصب دزدگیر مىکنند و بر این اساس هزینهاى را به شرکت مربوط مىپردازند تا این سیستمها را جهت حفاظت بهتر از اموال و دارایىهاى خود به کار گیرند. مسلم افراد هزینه نصب و کنترل اینگونه سیستمها را به نسبت اسباب و دارایى خود مىپردازند و به همان مقیاس تامین امنیت را براى خانواده خود فراهم مىآورند.
بهرهگیرى از مدیریت ریسک در چرخه ایجاد یک سیستم: کاهش اثر منفى درسیستم و سازمان و رسیدن به یک پایه اساسى در تصمیمگیرى، دلایلى هستند که که سازمان را وادار به اجراى روند مدیریت ریسک براى سیستمهاى مبتنى بر IT مىسازند. چرخه ایجاد یک سیستم مکانیزه داراى 5 مرحله است: شروع، ایجاد و تهیه سیستم، اجراى سیستم، بازبینى مجدد، حفاظت و واگذارى.
ارزیابى ریسک: ارزیابى ریسک اولین قدم در روش مدیریت ریسک به شمار مىآید. سازمانها با استفاده از ارزیابى ریسک، مىتوانند محدوده تهدیدات احتمالى و ریسک مربوط به یک سیستم مبتنى بر IT را در سراسر چرخه ایجاد سیستم مشخص کنند. بازده و نتیجه این امر به تعیین کنترلهاى مربوطه جهت کاهش یا حذف ریسک در طول روند کاهش ریسک کمک مىکند.
ارزابى ریسک خودداراى 9 مرحله اساسى است که عبارت است از:
تعیین سیستم، تشخیص تهدید، تشخیص آسیبپذیرى، تحلیل کنترل، تعیین احتمال، تحلیل اثر سوء تعیین ریسک، ارائه نظریه و پیشنهاد جهت کنترل سیستم و نهایتا مستندسازى نتایج.
کاهش ریسک: کاهش ریسک عبارت است از اولویت دادن، ارزیابى و اجراى کنترلهاى کاهش ریسک که در روند ارزیابى ریسک پیشنهاد شدهاند.
از آنجایى که از بین بردن تمامى ریسکها عملا امکان ندارد، مدیران با اعمال کنترلهاى مناسب، کاهش ریسک را تا یک سطح قابل قبول به انجام مىرسانند. کاهش ریسک را از طریق موارد ذیل مىتوان انجام داد.
الف- تقبل ریسک: پذیرفتن ریسک احتمالى و ادامه عملیات سیستم IT جهت پیادهسازى کنترلها تا رسیدن به یک سطح قابل قبول.
ب- اجتناب از ریسک: دور کردن ریسک با از میان برداشتن عامل و پیامدهاى ریسک.
ج- برنامهریزى ریسک: کنترل ریسک از طریق ایجاد یک برنامه کاهش ریسک که به کنترلها اولویت بخشیده و آنها را اجرا و اداره مىکند.
د- تصدیق و تحقیق: قبول نقطه ضعف یا آسیبپذیرى و تحقیق در خصوص کنترلها جهت اصلاح آسیبپذیرى.
ه- انتقال ریسک: انتقال ریسک براى جبران خسارت، به طور مثال بیمه کردن سیستم. سازمانها مىتوانند حدود کاهش ریسک را بر حسب احتمال یا تاثیر تخفیف تهدید (دو عاملى که سطح کاهش یافته ریسک را در یک عملیات سازمانى تعیین مىکنند) بررسى کنند. به ریسکى که بعد از اجراى کنترلهاى جدید مىماند، ریسک باقى مانده مىگویند. عملا هیچ سیستم IT بدون ریسک نیست و تمام کنترلهاى صورت گرفته را ریسک برطرف نمىکند. چنانچه ریسک باقى مانده تا یک سطح قابل قبول تقلیل نیابد، چرخه مدیریت ریسک باید تکرار گردد تا روشى را که براى کاهش ریسک باقى مانده مشخص سازد.
هنگامى که مسئولان و مدیران اعلام کنند که ریسک به سطح مناسبى رسیده، باید گزارشى را که بیانگر قبول ریسک باقى مانده است، قبل از تائید و معتبرسازى سیستم، قبول و به امضا رسانند.
نکات اصلى در مدیریت موفق ریسک: از فواید مدیریت ریسک به طور خلاصه مىتوان به افزایش کارآئى؛ موثر بودن؛ تسهیلات و روانسازى؛ کاهش هزینه؛ سرعت عمل؛ کاهش زمان انجام عملیات اشاره نمود. اما یک برنامه موفق در مدیریت ریسک بستگى به موارد ذیل دارد:
1- تعهد مدیریت ارشد در خصوص زمان و منابع ضرورى
2- پشتیبانى و همکارى همه جانبه گروه
IT 3- صلاحیت تیم مدیریت ریسک.
این گروه باید مهارت لازم را در پیاده سازى روش مدیریت ریسک در یک سیستم را دارا باشند. ریسک و احتمال خطر عملیات را تشخیص دهند و بر آن اساس، حمایتهاى مقرونبهصرفهاى را جهت رفع احتیاجات سازمان ارائه نمایند.
4- آگاهى و مسئولیتپذیرى گروه کارى که باید از روشها و آئیننامهها پیروى کرده و کنترلهاى اجرا شده در خصوص حمایت از عملیات سازمانشان را بپذیرند.
مدیریت ریسک، یک مدیریت مهم و ضرورى محسوب مىشود که تصمیمگیرى دقیقى را بر اساس میزان ریسک و خطر میسر مىسازد و در اکثر نقاط دنیا توسط پرسنل اجرایى IT مورد بهرهبردارى قرار مىگیرد. ریسک در معناى عام عبارت است از تاثیر منفى ناشى از یک آسیبپذیرى و در نظر گرفتن احتمال وقوع و اثر آن در فرآیندهاى یک سیستم. فلذا بایستى سطح ریسک پایین؛ متوسط؛ بالا و احتمال وقوع آن و پیامدهاى آن مورد شناسایى قرار گیرد تا بتوان براى رفع آن تصمیمگیرى کرد.
ریسک یعنى: میزان و امکان سرپیچى از قانون که به خسارت و زیان علیه تجارت؛ صنعت و مردم منجر خواهد شدیا به تعبیر دیگر ر! یسک امکان وقوع یک خسارت و زیان اعم از مالى و یا غیر مالى در نتیجه انجام یک کار است. مدیریت ریسک، فرآیند تشخیص و ارزیابى ریسک و کاهش آن تا یک سطح قابل قبول مىباشد و با هدفگذارى امکان پذیر است. هدف از اجراى مدیریت ریسک این است که سازمان بتواند به اهداف ذیل جهت سیستمهاى مبتنى بر فنآورى اطلاعات خود دست یابد: تامین امنیت بیشتر براى سیستمهاى مبتنى بر ذخیرهسازى، پردازش و انتقال اطلاعات سازمانى. اعمال مدیریت براى توجیه و بهینهسازى هزینههاى IT. تصویب و تائید سیستمها.
مدیریت ریسک داراى سه مرحله است: مدیریت ریسک، ارزیابى ریسک و کاهش ریسک.
مدیریت ریسک: مدیریت ریسک یعنى شناسایى؛ ارزیابى؛ تجزیه و تحلیل ؛ چگونگى رفتار و اداره کردن آن. مدیریت ریسک فرآیندى است که به مدیران امکان مىدهد تا هزینه هاى اقتصادى و عملیاتى مورد نظر را مقایسه کنند و با بهرهگیرى و حمایت از سیستمهاى IT، امکانات و قابلیتهاى آنها را بهینه سازند و یا به تعبیر دیگر مدیریت ریسک روشى است براى استفاده بهینه از امکانات و منابع موجود. این روند تنها منحصر به محیط IT نیست و در تمام تصمیمگیرىهاى روزانه ما تاثیر بسزایى دارد. به عنوان مثال، امروزه بسیارى از مردم تصمیم به نصب دزدگیر مىکنند و بر این اساس هزینهاى را به شرکت مربوط مىپردازند تا این سیستمها را جهت حفاظت بهتر از اموال و دارایىهاى خود به کار گیرند. مسلم افراد هزینه نصب و کنترل اینگونه سیستمها را به نسبت اسباب و دارایى خود مىپردازند و به همان مقیاس تامین امنیت را براى خانواده خود فراهم مىآورند.
بهرهگیرى از مدیریت ریسک در چرخه ایجاد یک سیستم: کاهش اثر منفى درسیستم و سازمان و رسیدن به یک پایه اساسى در تصمیمگیرى، دلایلى هستند که که سازمان را وادار به اجراى روند مدیریت ریسک براى سیستمهاى مبتنى بر IT مىسازند. چرخه ایجاد یک سیستم مکانیزه داراى 5 مرحله است: شروع، ایجاد و تهیه سیستم، اجراى سیستم، بازبینى مجدد، حفاظت و واگذارى.
ارزیابى ریسک: ارزیابى ریسک اولین قدم در روش مدیریت ریسک به شمار مىآید. سازمانها با استفاده از ارزیابى ریسک، مىتوانند محدوده تهدیدات احتمالى و ریسک مربوط به یک سیستم مبتنى بر IT را در سراسر چرخه ایجاد سیستم مشخص کنند. بازده و نتیجه این امر به تعیین کنترلهاى مربوطه جهت کاهش یا حذف ریسک در طول روند کاهش ریسک کمک مىکند.
ارزابى ریسک خودداراى 9 مرحله اساسى است که عبارت است از:
تعیین سیستم، تشخیص تهدید، تشخیص آسیبپذیرى، تحلیل کنترل، تعیین احتمال، تحلیل اثر سوء تعیین ریسک، ارائه نظریه و پیشنهاد جهت کنترل سیستم و نهایتا مستندسازى نتایج.
کاهش ریسک: کاهش ریسک عبارت است از اولویت دادن، ارزیابى و اجراى کنترلهاى کاهش ریسک که در روند ارزیابى ریسک پیشنهاد شدهاند.
از آنجایى که از بین بردن تمامى ریسکها عملا امکان ندارد، مدیران با اعمال کنترلهاى مناسب، کاهش ریسک را تا یک سطح قابل قبول به انجام مىرسانند. کاهش ریسک را از طریق موارد ذیل مىتوان انجام داد.
الف- تقبل ریسک: پذیرفتن ریسک احتمالى و ادامه عملیات سیستم IT جهت پیادهسازى کنترلها تا رسیدن به یک سطح قابل قبول.
ب- اجتناب از ریسک: دور کردن ریسک با از میان برداشتن عامل و پیامدهاى ریسک.
ج- برنامهریزى ریسک: کنترل ریسک از طریق ایجاد یک برنامه کاهش ریسک که به کنترلها اولویت بخشیده و آنها را اجرا و اداره مىکند.
د- تصدیق و تحقیق: قبول نقطه ضعف یا آسیبپذیرى و تحقیق در خصوص کنترلها جهت اصلاح آسیبپذیرى.
ه- انتقال ریسک: انتقال ریسک براى جبران خسارت، به طور مثال بیمه کردن سیستم. سازمانها مىتوانند حدود کاهش ریسک را بر حسب احتمال یا تاثیر تخفیف تهدید (دو عاملى که سطح کاهش یافته ریسک را در یک عملیات سازمانى تعیین مىکنند) بررسى کنند. به ریسکى که بعد از اجراى کنترلهاى جدید مىماند، ریسک باقى مانده مىگویند. عملا هیچ سیستم IT بدون ریسک نیست و تمام کنترلهاى صورت گرفته را ریسک برطرف نمىکند. چنانچه ریسک باقى مانده تا یک سطح قابل قبول تقلیل نیابد، چرخه مدیریت ریسک باید تکرار گردد تا روشى را که براى کاهش ریسک باقى مانده مشخص سازد.
هنگامى که مسئولان و مدیران اعلام کنند که ریسک به سطح مناسبى رسیده، باید گزارشى را که بیانگر قبول ریسک باقى مانده است، قبل از تائید و معتبرسازى سیستم، قبول و به امضا رسانند.
نکات اصلى در مدیریت موفق ریسک: از فواید مدیریت ریسک به طور خلاصه مىتوان به افزایش کارآئى؛ موثر بودن؛ تسهیلات و روانسازى؛ کاهش هزینه؛ سرعت عمل؛ کاهش زمان انجام عملیات اشاره نمود. اما یک برنامه موفق در مدیریت ریسک بستگى به موارد ذیل دارد:
1- تعهد مدیریت ارشد در خصوص زمان و منابع ضرورى
2- پشتیبانى و همکارى همه جانبه گروه
IT 3- صلاحیت تیم مدیریت ریسک.
این گروه باید مهارت لازم را در پیاده سازى روش مدیریت ریسک در یک سیستم را دارا باشند. ریسک و احتمال خطر عملیات را تشخیص دهند و بر آن اساس، حمایتهاى مقرونبهصرفهاى را جهت رفع احتیاجات سازمان ارائه نمایند.
4- آگاهى و مسئولیتپذیرى گروه کارى که باید از روشها و آئیننامهها پیروى کرده و کنترلهاى اجرا شده در خصوص حمایت از عملیات سازمانشان را بپذیرند.