مدیریت ریسک بر پروژه‌های فناوری اطلاعات

مدیریت ریسک بر پروژه‌های فناوری اطلاعات
چکیده:
ریسک یکی از مهمترین عوامل تاثیر گذار بر روند پروژه‌ها است که با یک مدیریت ریسک جامع و اصولی می‌توان آن را به نحو گسترده‌ای کنترل نمود. این پروسه خود از چندین بخش کوچکتر تشکیل شده که پس از اجتماع به دستاوردهای مورد نظر جامه عمل می‌پو شاند.
مقدمه:
مدیریت ریسک پروسه‌ای است که به مدیران IT اجازه می‌دهد تا از سیستم‌ها و داده‌های سازمان خود حفاظت کرده، هزینه‌های اقتصادی وعملی سنجش‌های حفاظتی را متعادل نموده و به دستاوردهای مورد نظر در ماموریت دست یابند. مدیران IT هزینه‌های بسیاری را به حفاظت فناوری اطلاعات اختصاص می‌دهند که با یک متدولوژی خوش ساخت که بطور موثر به خدمت گرفته شودT می‌توان مدیریت در جهت شناخت کنترل‌های مناسب برای قابلیت‌های حفاظتی مهیا شده را به طور محسوسی بهینه نمود.
«کمینه کردن تاثیرهای منفی سازمان و نیاز به یک پایه در تصمیم گیری»، دلایل اساسی است که سازمان‌ها را به ایجاد یک پروسه مدیریت ریسک برای سیستم‌های IT سوق داده است.
ریسک پروژه
یک رخداد یا شرایط غیر قطعی است که اگر رخ دهد تاثیری مثبت یا منفی بر روی یکی از اهداف پروژه می‌گذارد. ریسک ممکن است دارای یک یا چند دلیل باشد که اگر رخ دهد یک یا چند اثر به همراه داشته باشد.
پروسه مدیریت ریسک پروژه
به قصد کمک موثر به مدیریت ریسک‌های پروژه، تهدیدها و موقعیت‌ها اعمال می‌شود. پروسه سیستماتیک طرح‌ریزی برای شناسایی، تجزیه و تحلیل، واکنش نشان دادن و نظارت بر ریسک‌های پروژه است.
مدیریت ریسک پروسه‌ای است که به مدیران IT اجازه می‌دهد تا از سیستم‌ها و داده‌های سازمان شان حفاظت کرده، هزینه‌های اقتصادی وعملی سنجش‌های حفاظتی را متعادل نموده و به دستاوردهای مورد نظر در ماموریت دست یابند. باید توجه داشت که سیکل حیات پیشرفته سیستم
دارای ۵ فاز است:
۱- گشایش
۲- پیشرفت یا اکتساب
۳- پیاده‌سازی
۴- عملیات یا نگه داری
۵- مصرف
ارزیابی ریسک
برای تعیین مقدار بالقوه تهدید و ریسک مربتط با یک سیتم IT در چرخه حیات نه گام در نظر گرفته شده است:
۱) مشخصات سیستم
۲) شناسایی تهدید
۳) شناسایی قابلیت آسیب‌پذیری
۴) تجزیه و تحلیل کنترل
۵) تعیین درست نمایی (Likelihood)
۶) تجزیه و تحلیل برخورد
۷) تعیین ریسک
۸) پیشنهادات کنترلی
۹) مستندسازی نتایج
قابل ذکر است که مراحل ۲،۳،۴،۶ می‌تواند از تمام مرحله تحت به صورت موازی اجرا شوند.
آسیب‌پذیری
ضعف‌هایی می‌تواند به صورت تصادفی به منابع و اطلاعات صدمه برساند. انواع آسیب‌پذیری‌های در سیکل حیات پیشرفته سیستم عبارت است از:
- اگر طراحی IT آغاز نشده است، جستجو برای آسیب‌ها باید بر سیاست‌های امنیتی سازمان، روال‌های امنیتی مطرح، تعاریف مورد نیاز سیستم و غیره متمرکز شود.
- در صورتی که سیستم IT در حال اجرا است، شناخت این آسیب‌ها باید برای توسعه اطلاعات مشخص بیشتر مانند مشخصه‌های امنیتی طرح و تعریف شده در سند طراحی امنیتی و نتایخ تست تایید سیستم و ارزیابی توسعه یابد.
- اگرسیتم IT عملی باشد، پروسه شناسایی آسیب باید شامل یک تجزیه و تحلیل جنبه‌های امنیت و کنترل‌های امنیت سیستم IT باشد.
روش‌های تست
-ابزارهای خودکار وارسی آسیب‌پذیری که برای وارسی یک گروه از میزبان‌ها و شبکه جهت شناسایی سرویس‌های آسیب‌پذیر (مانند سیستم‌هایی که به پروتکل تبادل فایل (FTP) بی‌نام اجازه عمل می‌دهند و غیره)
- ارزیابی و تست امنیت (ST - E) شامل پیشرفت و اجرای تست (برای نمونه متن سند تست، روال‌های تست و نتایج تست مورد نظر) می‌باشد. هدف از این تست، تست کارا بودن کنترل‌های امنیت یک سیستم IT که در یک محیط عملیاتی به کار گرفته می‌شود می‌باشد. به عبارت دیگر هدف، تضمین آن است که کنترلی که به کار گرفته شده با مشخصات امنیتی تصویب شده برای نرم‌افزار و سخت‌افزار سازش داشته باشد و اجرای سیاست امنیت سازمان یا بدست آوردن استانداردهای صنعتی است.
کاهش ریسک
دومین پروسه مدیریت ریسک شامل اولیت بندی، ارزیابی واجرای پیشنهادهای کنترلی جهت کاهش ریسک مناسب از پروسه ارزیابی ریسک است.
به دلیل آن که نابود کردن تمامی ریسک‌ها معمولا غیر عملی یا نزدیک به محال است، برعهده مدیر ارشد، عملیاتی یا تجاری است که از این رهیافت‌های حداقل هزینه، سود برد و مناسب‌ترین کنترل‌ها را برای کاهش ریسک ماموریت به سطحی قابل قبول با حداقل برخورد زیان بار منابع و ماموریت سازمان اجرا کند.
تجزیه و تحلیل سود و زیان
برای اختصاص دهی منابع و اجرای کنترل‌های کارا بر روی هزینه، سازمان‌ها پس از شناخت تمامی کنترل‌های ممکن و ارزیابی امکان‌پذیری و کارای آن‌ها باید یک تجزیه و تحلیل سود و زیان برای هر کنترل پیشنهاد شده انجام دهند تا تضمین شود کدام کنترل‌ها مناسب و مورد نیاز شرایط آن‌ها است.
ریسک باقیمانده
سازمان‌ها می‌توانند مقدار کاهش ریسک تولید شده توسط کنترل‌های جدید یا افزوده را بر حسب برخورد یا درست نمایی تهدید - دو عامل اساسس که سطح ماموریت سازمانی را تعیین می‌کند- کاهش داده، تجزیه و تحلیل نمایند.