IT-risiko

Informationsteknologirisiko eller IT-risiko ( engelsk  IT-risiko ), enhver risiko forbundet med brugen af ​​informationsteknologi .

Mens information altid har været en værdifuld og vigtig ressource, bliver organisationer nu, i videnøkonomiens og den digitale revolutions æra, i stigende grad afhængige af information, dens behandling og især af informationsteknologi . I denne forbindelse kan begivenheder, der påvirker IT på nogen måde, påvirke forretningsprocesser negativt [1] . At estimere plausibiliteten af ​​forskellige typer hændelser med en beregning af deres mulige konsekvenser er en almindelig måde at vurdere og måle it-risiko på [2] . Alternative metoder til måling af IT-risiko involverer typisk vurdering af medvirkende faktorer som trusler, sårbarheder og aktiver.

Definitioner

ISO

Sandsynligheden for, at en given trussel vil udnytte en sårbarhed i et aktiv eller en gruppe af værdifulde ejendomme og derved forårsage skade på organisationen. Bemærk: Denne måling er i form af en kombination af sandsynligheden for en hændelse og dens konsekvenser [3] .

NIST

• Ifølge NIST SP 800-30 [4] : Risiko er en funktion af sandsynligheden for, at en given trusselkilde vil udnytte en potentiel sårbarhed i en organisation og have en negativ indvirkning på denne organisation.
• NIST FIPS 200 [5] [6] : Risiko er niveauet for påvirkning af en organisations operationer (herunder mission, funktioner, image eller omdømme), organisationens aktiver eller personer som følge af brugen af ​​et informationssystem, der potentielt er påvirket af en trussel, og sandsynligheden for, at en trussel opstår.

1. Sandsynlighed for, at en given trussel udnytter (tilfældigt eller bevidst) en specifik systemsårbarhed
2. Resultatet af denne påvirkning. IT-risici opstår som følge af mulige tab eller juridisk ansvar på grund af:
   1. Uautoriseret (ondsindet eller utilsigtet) videregivelse, ændring eller ødelæggelse af information
   2. Utilsigtede fejl eller udeladelser
   3. Tekniske fejl på grund af naturkatastrofer eller menneskeskabte katastrofer
   4. Manglende opmærksomhed i implementering og drift af IT-systemet.

IT-risikostyring

Der er måder at håndtere risici på, herunder risikoidentifikation, risikovurderingsproces og processen med at implementere foranstaltninger, der sigter mod at reducere risikoen til et acceptabelt niveau. Proaktiv risikovurdering og handling for at afbøde den giver it-ledere mulighed for at balancere de operationelle og økonomiske omkostninger ved beskyttelseshandlinger for at sikre organisationens succes og sikkerheden af ​​data, der er afgørende for at nå målet. Denne proces er et almindeligt fænomen på IT-området, og vi observerer det ofte i hverdagen. Et eksempel er sikkerhed i hjemmet. Mange mennesker vælger at installere hjemmesikringssystemer og betale månedlige gebyrer for deres vedligeholdelse til gengæld for sikkerheden i deres private ejendom. Tilsyneladende vejede ejerne omkostningerne ved at installere og vedligeholde et sikkerhedssystem op mod familiens sikkerhed og den potentielle skade ved at miste deres ejendom. [8] [9]

Formålet med at implementere risikostyringsprocesser er at gøre det muligt for organisationen at opfylde sin mission eller missioner ved [10] :

1. Forbedring af sikkerheden i it-systemer, der lagrer, behandler eller overfører information i og uden for organisationen
2. Øge ledelsens bevidsthed og bevidsthed om de risikostyringsbeslutninger, der er truffet for at opnå rimelige omkostninger, der bør blive en integreret del af det samlede IT-budget
3. Assistere ledelsen med at autorisere (eller akkreditere) deres IT-systemer baseret på dokumenteret understøttelse af resultaterne fra implementering af risikostyringsprocesser.