مدیریت ریسک بر پروژه‌های فناوری اطلاعات

ریسک پروژه

یک رخداد یا شرایط غیر قطعی است که اگر رخ دهد تأثیری مثبت یا منفی بر روی یکی از اهداف پروژه می‌گذارد. ریسک ممکن است دارای یک یا چند دلیل باشد که اگر رخ دهد یک یا چند اثر به همراه داشته باشد.

پروسه مدیریت ریسک پروژه

به قصد کمک مؤثر به مدیریت ریسک‌های پروژه، تهدیدها و موقعیت‌ها اعمال می‌شود. پروسه سیستماتیک طرح‌ریزی برای شناسایی، تجزیه و تحلیل، واکنش نشان دادن و نظارت بر ریسک‌های پروژه است.
مدیریت ریسک پروسه ای است که به مدیران IT اجازه می‌دهد تا از سیستم‌ها و داده‌های سازمان شان حفاظت کرده، هزینه‌های اقتصادی وعملی سنجش‌های حفاظتی را متعادل نموده و به دستاوردهای مورد نظر در مأموریت دست یابند. باید توجه داشت که سیکل حیات پیشرفته سیستم
دارای ۵ فاز است:
۱- گشایش
۲- پیشرفت یا اکتساب
۳- پیاده‌سازی
۴- عملیات یا نگه داری
۵- مصرف

ارزیابی ریسک

برای تعیین مقدار بالقوه تهدید و ریسک مربتط با یک سیتم IT در چرخه حیات نه گام در نظر گرفته شده‌است:
۱) مشخصات سیستم
۲) شناسایی تهدید
۳) شناسایی قابلیت آسیب‌پذیری
۴) تجزیه و تحلیل کنترل
۵) تعیین درست نمایی (Likelihood)
۶) تجزیه و تحلیل برخورد
۷) تعیین ریسک
۸) پیشنهادات کنترلی
۹) مستندسازی نتایج
قابل ذکر است که مراحل ۲٬۳٬۴٬۶ می‌تواند از تمام مرحله تحت به صورت موازی اجرا شوند.

آسیب‌پذیری

ضعف‌هایی می‌تواند به صورت تصادفی به منابع و اطلاعات صدمه برساند. انواع آسیب‌پذیری‌های در سیکل حیات پیشرفته سیستم عبارت است از:
- اگر طراحی IT آغاز نشده‌است، جستجو برای آسیب‌ها باید بر سیاست‌های امنیتی سازمان، روال‌های امنیتی مطرح، تعاریف مورد نیاز سیستم و غیره متمرکز شود.
- در صورتی که سیستم IT در حال اجرا است، شناخت این آسیب‌ها باید برای توسعه اطلاعات مشخص بیشتر مانند مشخصه‌های امنیتی طرح و تعریف شده در سند طراحی امنیتی و نتایخ تست تأیید سیستم و ارزیابی توسعه یابد.
- اگرسیتم IT عملی باشد، پروسه شناسایی آسیب باید شامل یک تجزیه و تحلیل جنبه‌های امنیت و کنترل‌های امنیت سیستم IT باشد.

روش‌های تست

-ابزارهای خودکار وارسی آسیب‌پذیری که برای وارسی یک گروه از میزبان‌ها و شبکه جهت شناسایی سرویس‌های آسیب‌پذیر (مانند سیستم‌هایی که به پروتکل تبادل فایل (FTP) بی نام اجازه عمل می‌دهند و غیره)
- ارزیابی و تست امنیت (ST & E) شامل پیشرفت و اجرای تست (برای نمونه متن سند تست، روال‌های تست و نتایج تست مورد نظر) است. هدف از این تست، تست کارا بودن کنترل‌های امنیت یک سیستم IT که در یک محیط عملیاتی به کار گرفته می‌شود است . به عبارت دیگر هدف، تضمین آن است که کنترلی که به کار گرفته شده با مشخصات امنیتی تصویب شده برای نرم‌افزار و سخت‌افزار سازش داشته باشد و اجرای سیاست امنیت سازمان یا بدست آوردن استانداردهای صنعتی است.

کاهش ریسک

دومین پروسه مدیریت ریسک شامل اولیت بندی، ارزیابی واجرای پیشنهادهای کنترلی جهت کاهش ریسک مناسب از پروسه ارزیابی ریسک است.
به دلیل آن که نابود کردن تمامی ریسک‌ها معمولاً غیر عملی یا نزدیک به محال است، برعهده مدیر ارشد، عملیاتی یا تجاری است که از این رهیافت‌های حداقل هزینه، سود برد و مناسب‌ترین کنترل‌ها را برای کاهش ریسک مأموریت به سطحی قابل قبول با حداقل برخورد زیان بار منابع و مأموریت سازمان اجرا کند.

تجزیه و تحلیل سود و زیان

برای اختصاص دهی منابع و اجرای کنترل‌های کارا بر روی هزینه، سازمان‌ها پس از شناخت تمامی کنترل‌های ممکن و ارزیابی امکان‌پذیری و کارای آن‌ها باید یک تجزیه و تحلیل سود و زیان برای هر کنترل پیشنهاد شده انجام دهند تا تضمین شود کدام کنترل‌ها مناسب و مورد نیاز شرایط آن‌ها است.

ریسک باقیمانده

سازمان‌ها می‌توانند مقدار کاهش ریسک تولید شده توسط کنترل‌های جدید یا افزوده را بر حسب برخورد یا درست نمایی تهدید - دو عامل اساسس که سطح مأموریت سازمانی را تعیین می‌کند- کاهش داده، تجزیه و تحلیل نمایند.