موضوع مقاله: مدیریت ریسک در فناوری اطلاعات | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # مدیریت ریسک در فناوری اطلاعات | مقدمه: مدیریت ریسک بر پروژه‌های فناوری اطلاعات چکیده: ریسک یکی از مهم‌ترین عوامل تأثیرگذار بر روند پروژه‌ها است که با یک مدیریت ریسک جامع و اصولی می‌توان آن را به نحو گسترده ای کنترل نمود. | ## بخش 1: مدیریت ریسک در فناوری اطلاعات | 1998 مقدمه: مدیریت ریسک پروسه ای است که به مدیران IT اجازه می‌دهد تا از سیستم‌ها و داده‌های سازمان خود حفاظت کرده، هزینه‌های اقتصادی و عملی سنجش‌های حفاظتی را متعادل نموده و به دستاوردهای مورد نظر در مأموریت دست یابند. مدیران IT هزینه‌های بسیاری را به حفاظت فناوری اطلاعات اختصاص می‌دهند که با یک متدولوژی خوش ساخت که به‌طور مؤثر به خدمت گرفته شودT می‌توان مدیریت در جهت شناخت کنترل‌های مناسب برای قابلیت‌های حفاظتی مهیا شده را به‌طور محسوسی بهینه نمود. ریسک پروژه یک رخداد یا شرایط غیر قطعی است که اگر رخ دهد تأثیری مثبت یا منفی بر روی یکی از اهداف پروژه می‌گذارد. ریسک ممکن است دارای یک یا چند دلیل باشد که اگر رخ دهد یک یا چند اثر به همراه داشته باشد. پروسه مدیریت ریسک پروژه به قصد کمک مؤثر به مدیریت ریسک‌های پروژه، تهدیدها و موقعیت‌ها اعمال می‌شود. | ## بخش 2: مدیریت ریسک در فناوری اطلاعات | پروسه سیستماتیک طرح‌ریزی برای شناسایی، تجزیه و تحلیل، واکنش نشان دادن و نظارت بر ریسک‌های پروژه است. مدیریت ریسک پروسه ای است که به مدیران IT اجازه می‌دهد تا از سیستم‌ها و داده‌های سازمان شان حفاظت کرده، هزینه‌های اقتصادی و عملی سنجش‌های حفاظتی را متعادل نموده و به دستاوردهای مورد نظر در مأموریت دست یابند. باید توجه داشت که سیکل حیات پیشرفته سیستم دارای ۵ فاز است: ۱- گشایش ۲- پیشرفت یا اکتساب ۳- پیاده‌سازی ۴- عملیات یا نگه داری ۵- مصرف ارزیابی ریسک برای تعیین مقدار بالقوه تهدید و ریسک مرتبط با یک سیتم IT در چرخه حیات نه گام در نظر گرفته شده‌است: ۱) مشخصات سیستم ۲) شناسایی تهدید ۳) شناسایی قابلیت آسیب‌پذیری ۴) تجزیه و تحلیل کنترل ۵) تعیین درست نمایی (Likelihood) ۶) تجزیه و تحلیل برخورد ۷) تعیین ریسک ۸) پیشنهادها کنترلی ۹) مستندسازی نتایج قابل ذکر است که مراحل ۲٬۳٬۴٬۶ می‌تواند از تمام مرحله تحت به صورت موازی اجرا شوند. انواع آسیب‌پذیری‌های در سیکل حیات پیشرفته سیستم عبارت است از: - اگر طراحی IT آغاز نشده‌است، جستجو برای آسیب‌ها باید بر سیاست‌های امنیتی سازمان، روال‌های امنیتی مطرح، تعاریف مورد نیاز سیستم و غیره متمرکز شود. - در صورتی که سیستم IT در حال اجرا است، شناخت این آسیب‌ها باید برای توسعه اطلاعات مشخص بیشتر مانند مشخصه‌های امنیتی طرح و تعریف شده در سند طراحی امنیتی و نتایج تست تأیید سیستم و ارزیابی توسعه یابد. | ## بخش 3: مدیریت ریسک در فناوری اطلاعات | روش‌های تست -ابزارهای خودکار وارسی آسیب‌پذیری که برای وارسی یک گروه از میزبان‌ها و شبکه جهت شناسایی سرویس‌های آسیب‌پذیر (مانند سیستم‌هایی که به پروتکل تبادل فایل (FTP) بی نام اجازه عمل می‌دهند و غیره) - ارزیابی و تست امنیت (ST & E) شامل پیشرفت و اجرای تست (برای نمونه متن سند تست، روال‌های تست و نتایج تست مورد نظر) است. هدف از این تست، تست کارا بودن کنترل‌های امنیت یک سیستم IT که در یک محیط عملیاتی به کار گرفته می‌شود است . کاهش ریسک دومین پروسه مدیریت ریسک شامل اولیت بندی، ارزیابی واجرای پیشنهادهای کنترلی جهت کاهش ریسک مناسب از پروسه ارزیابی ریسک است. | ## جمع‌بندی | ریسک باقیمانده سازمان‌ها می‌توانند مقدار کاهش ریسک تولید شده توسط کنترل‌های جدید یا افزوده را بر حسب برخورد یا درست نمایی تهدید - دو عامل اساسی که سطح مأموریت سازمانی را تعیین می‌کند- کاهش داده، تجزیه و تحلیل نمایند.