بررسی الزامات مدیریت ریسک امنیت اطلاعات بر اساس استاندارد ISO/IEC 27005:2011
یکی از مهمترین اجزای سازنده سیستم مدیریت امنیت اطلاعات، فرایند مدیریت ریسک است. مدیریت ریسک به سازمان ها این امکان را می دهد که نقاط ضعف و تهدیدات امنیتی خود را شناسایی و متناسب با ریسک های تعیین شده، روش مناسب جهت مقابله با آنها را اتخاذ نمایند. اما چگونه می توان برنامه ریزی کاملی جهت پیاده سازی فرایند مدیریت ریسک انجام داد و چه راهکارهایی برای انجام صحیح این فرایند وجود دارد؟ در این مقاله به پاسخ این سوال پرداخته و استاندارد ISO/IEC 27005:2011 را که به همین منظور تدوین شده است، معرفی خواهیم نمود.
هدف از استاندارد ISO/IEC 27005، فراهم سازی دستورالعملهایی جهت مدیریت ریسک امنیت اطلاعات میباشد. این استاندارد کلیه مفاهیم بیان شده در استاندارد ISO 27001 را پشتیبانی مینماید و جهت کمک به پیاده سازی رضایت بخش امنیت اطلاعات براساس رویکرد مدیریت ریسک طراحی شده است.
این استاندارد به ارائه یک فرآیند سیتماتیک، منظم و دقیق جهت تحلیل ریسک و ایجاد طرح برخورد با ریسک میپردازد.
مدیریت ریسک امنیت اطلاعات، شامل مراحل زیر است:
- زمینهسازی
- شناسایی ریسک
- تحلیل ریسک
- ارزیابی ریسک
- مقابله با ریسک
- پذیرش ریسک
- تبادل اطلاعات و رایزنی ریسک
- پایش و بازنگری ریسک
در ادامه به تشریح هر یک از موارد فوق خواهیم پرداخت.
1.زمینه سازی
در این مرحله زمینه داخلی و خارجی مدیریت ریسک امنیت اطلاعات پایهگذاری میشود که شامل تنظیم معیارهای بنیـادی برای مدیریت ریسک امنیت اطلاعات است. موارد زیر در این مرحله مد نظر قرار میگیرد:
تعیین رویکرد و روش مدیریت ریسک
تعیین معیارهای ارزیابی ریسک
تعیین معیارهای پیامد
تعیین معیارهای پذیرش ریسک
تعریف محدوده و قلمرو مدیریت ریسک امنیت اطلاعات
سازماندهی
2.شناسایی ریسک
هدف از شناسایی ریسک، تعیین عواملی است که میتوانند علت زیان بالقوه باشند و اینکه چگونه، کجا و چرا زیان ممکن است رخ دهد. گامهای زیر در شناسایی ریسک وجود دارند:
شناسایی و ارزش گذاری داراییها
شناسایی تهدیدات
شناسایی کنترلهای موجود
شناسایی پیامدها
3.تحلیل ریسک
تحلیل ریسک با توجه به سطح جزئیات مورد نظر، میزان حیاتی بودن داراییها، گستره آسیبپذیریهای شناخته شده و نیز رخدادهای دربرگیرنده سازمان انجام میشود. روش تحلیل ریسک میتواند کمی و یا کیفی و یا تلفیقی از هر دو باشد. این مرحله شامل گامهای زیر است:
ارزیابی پیامدها
ارزشیابی احتمال رخداد
تعیین سطح ریسک
4.ارزیابی ریسک
در این مرحله سطوح ریسک با معیار ارزیایی ریسک و معیار پذیرش آن، مقایسه میشود.
5.مقابله با ریسک
در این مرحله کنترل هایی جهت مقابله با ریسک امنیت اطلاعات انتخاب میشوند. بهمنظور مقابله با ریسک چهار رویکرد وجود دارد که عبارتند از:
اصلاح ریسک
حفظ ریسک
اجتناب از ریسک
انتقال (اشتراک) ریسک
6.پذیرش ریسک امنیت اطلاعات
در این مرحله تصمیمگیری در خصوص پذیرش ریسک امنیت اطلاعات صورت میگیرد. باید توجه داشته که تصمیمات مرتبط با پذیرش ریسک و نیز مسئولیت تصمیم گیری باید به طور رسمی ثبت شود.
7.تبادل اطلاعات و رایزنی ریسک
اطلاعات مرتبط با ریسک باید بر اساس سطوح مناسب دسترسی در سازمان مبادله و یا مابین تصمیمگیران و سایر ذینفعان به اشتراک گذاشته شود.
8.پایش و بازنگری ریسک
ریسک و دیگر مؤلفه های درگیر در فرایند مدیریت ریسک امنیت اطلاعات (مانند ارزش دارایی ها، پیامدها، تهدیدها، آسیب پذیری ها، احتمال وقوع) بهمنظور شناسایی تغییرات محتمل در سازمان و برای حفظ صحت و دقت ارزیابیهای صورت گرفته در طول زمان باید مورد پایش و بازنگری قرار گیرند.
در این مقاله استاندارد مدیریت ریسک امنیت اطلاعات به اختصار معرفی و مراحل مختلف فرایند مدیریت ریسک مطرح گردید، جهت دانلود و مطالعه متن کامل استاندارد و نیز مشاهده سایر استانداردهای مرتبط به دانشستان آشنا ایمن مراجعه فرمایید.همچنین برای کسب اطلاعات بیشتر به مقاله مراحل مدیریت ریسک امنیت اطلاعات و استراتژی های برخورد با ریسک رجوع شود.
