Teabehalduse riskianalüüs

Teabehalduse riskianalüüs on tegevuskava, milles nähakse ette kõikidel organisatsiooni tegevusaladel ja juhtimistasanditel rakendatavad abinõud teabehalduse riskide vältimiseks ja vähendamiseks, organisatsiooni toimepidevuse tagamiseks, samuti abinõude rakendamise ajakava ja rakendajad. Selline analüüs on oluline, sest teabehalduse eesmärgiks on teabe kvaliteedi, kiire kättesaadavuse ning järjepidevuse tagamine, vähendades samal ajal teabe säilitamise ja kasutamisega seotud riske ning kulusid. 
Taust.
Riskianalüüs on võtmetegevus organisatsioonidele, kes soovivad kaitsta oma väärtuslikke infovarasid ohtude, näiteks pahatahtlike isikute eest. Teades milline teave on organisatsiooni jaoks väärtuslik, on võimalik tuvastada mis võib ohustada selle teabe konfidentsiaalsust, terviklikkust ja käideldavust. See on üks riskijuhtimise olulisi osi, mida kasutatakse selleks, et põhjendada ja prioriseerida, millised varad vajavad tähelepanu ning milliseid turvakontrolle nende kaitseks rakendada. Traditsiooniline infoturbe riskianalüüs on kogu teabehaldust hõlmava riskianalüüsi jaoks liigselt tehniline ja keskendub peamiselt sellistele formaalsetele varadele nagu infosüsteemid, andmebaasid ja riistvara. Kaasaegsed infosüsteemid toimivad sügavalt põimunud sotsiaalses keskkonnas, kus teabehalduse riskid kujunevad nii tehnoloogilistest kui ka käitumuslikest teguritest. Infotehnoloogia ajastu saabudes muutus teave organisatsiooni jaoks elutähtsaks ressursiks ja kuna teabel on suur väärtus, siis on oluline seda kaitsta samamoodi nagu teisi olulisi varasid - see tagab tegevuse jätkusuutlikkuse. Tänapäeval ei keskendu varade kaitse enam üksnes tehnoloogiale ja infrastruktuurile, vaid eelkõige äri- ja isikuandmete kaitsmisele sõltumata sellest, kus see paikneb. Seega on riskianalüüsi fookus nihkunud tehniliste varade kaitsmiselt teabe kaitsmisele tervikuna.
Õiguslik raamistik Eestis.
Eestis reguleerib teabehaldust Eesti Vabariigi määrus "Teenuste korraldamise ja teabehalduse alused", milles on teabehaldust määratletud kui tegevust, mis toetab asutuse ja avaliku sektori eesmärkide saavutamist teabe haldamise, jagamise ja vahetamisega kõigis infosüsteemides ja andmekogudes. Sama määrus näeb ette, et asutus määrab ametikohad, millel töötajad vastutavad teabehalduse korraldamise ja kvaliteedi eest, sh teabehalduse alategevuste eest nagu andmehaldus, dokumendihaldus, sisuhaldus sise- ja välisveebis ning teabele juurdepääsu ning teabe kaitse korraldamine. Seega on Eestis riskianalüüs teabehalduses mitte pelgalt hea tava, vaid ka õiguslikult põhjendatud meede.
Teabehalduse riskianalüüsi tehnikast.
Risk on ohtude, haavatavuse ja tagajärgede kombinatsioon, ning riskianalüüs tegeleb nende tuvastamise ja hindamisega. Kuigi varade hindamine on protsessi oluline osa, on teabe kui immateriaalse vara väärtuse kvantifitseerimine keeruline, sest informatsiooni väärtust on raske kui mitte võimatu täpselt määrata. Töötajate teadmised, kogemused ja mitteametlikud töövõtted võivad olla organisatsiooni kõige olulisemad, kuid samas kõige haavatavamad varad. Seetõttu on teabehalduse riskianalüüsi üheks kriitiliseks osaks ka inimfaktori ja tegelike tööpraktikate uurimine. Riskianalüüsi eesmärgiks on kindlaks teha, mis võib valesti minna, määrata valesti mineku tõenäosus ning hinnata tagajärgede tõsidust. Praktikas kasutatakse sageli kahemõõtmelist lähenemisviisi, mis võtab arvesse nii riski tekkimise tõenäosust kui ka tagajärgi selle tekkimise korral. Riski hindamine, sh selle esinemise tõenäosuse ja kahju raskusastme hindamine, nõuab sügavaid teadmisi, kuna tegevusala liigitatakse kogemusmahukaks ja see eeldab valdkonnakogemust. 
Riskianalüüs teabehalduse kontekstis.
Teabehalduse kontekstis saab ohtu, haavatavust ja tagajärge kirjeldada järgnevalt: 
Organisatsiooni infokeskkonda analüüsides peetakse silmas selle mõlemat poolt, nii infojuhtimist organisatsiooni sisekeskkonnas kui ka võimet väliskeskkonnas ära tunda asjakohast informatsiooni ja seda organisatsiooni nii-öelda sisse tuua. Riskianalüüsis võrreldakse riski realiseerumise tõenäosust ning mõju potentsiaalse kahjuga, sealhulgas hinnatakse teabe turvariske ja valmisolekut kriisiolukordadeks.
Teabehalduse riskianalüüsi koostamise etapid.
Kuigi riskianalüüsi käsitlevaid uurimusi on tehtud palju, pole universaalset meetodit, mis sobiks kõigile organisatsioonidele, sest igal organisatsioonil on oma eripärad. Tõhus teabehalduse riskianalüüs ühendab tehnilised meetodid, õiguslikud kohustused ning organisatsiooni inim- ja protsessitegurid, pakkudes nii täielikumat arusaama teabega seotud ohtudest.
Teabehalduse käsiraamat pakub välja järgmised teabehalduse riskianalüüsi koostamise etapid:
Näiteid teabehalduse riskidest.
Organisatsioonile olulist teavet võivad ohustada erinevad tegurid. Need võivad ulatuda nii tahtlikust kahjustamisest kuni tehnoloogiliste riketeni, aga tegemist võib olla ka inimlike eksimustega. 
Tahtlike ohtude hulka kuuluvad näiteks sõjalised konfliktid, terrorirünnakud, sabotaaž, vandalism, spionaaž ja andmevargused, mida võivad toime panna nii välised ründajad kui ka rahulolematud töötajad.
Katastroofilise juhusliku hävimise ohtude hulka kuuluvad loodusõnnetused, tulekahjud ja ka hoonete kokkuvarisemised, ning haavatavust sellistele ohtudele võivad suurendada lähedalasuvad objektid (nt elektrijaamad, sõjaväebaasid vms), aga ka organisatsiooni geograafiline asukoht.
Inimlikud eksimused kujutavad endast näiteks valesti salvestatud faile, metaandmete sisestamise vigu, juhuslik kustutamine või andmete ülekirjutamine jms. Siia kuuluvad ka töötajate ebapiisavad teadmised asutuse teabehalduse korraldamisest, mille leevendusmeetmena on välja pakutud regulaarset koolitamist ja informeerimist.
Samuti põhjustavad tõsiseid riske tehnoloogilised rikked, tarkvaravead ja pahavara, mis võivad kaasa tuua andmete rikkumise või kaotamise.