ریسک عبارت است از انحراف در پیشامدهای ممکن آینده . اگر تنها یک پیشامد ممکن باشد ، انحراف و ریسک کمتر می شود . مدیریت ریسک چیست  ، ما در دنیای مخاطرات و ریسک زندگی می کنیم . باید ریسک ها را تحلیل کنیم ، اگر با آنها بر خورد داریم باید آنها را شناسایی و در مجموع تمام ریسک ها و نتایج آنها را ارزیابی کنیم . مدیریت ریسک عبارت است از فرایند مستند سازی تصمیمات نهایی اتخاذ شده و به کار گیری معیارهایی که می توان از آنها جهت رساندن ریسک تا سطحی قابل قبول استفاده کرد . به عبارت دیگر فرآیند شناسائی ، ارزیابی ، انجام اقدامات کنترلی و اصلاح ریسک های اتفاقی بالقوه ای که مشخصآ پیشامدهای ممکن آن خسارت با عدم تغییر در وضع موجود می باشد . مدیریت ریسک مجموعه ای را قادر می سازد که به نحو بهتری ریسک های متداول در فعالیتهای روزمره را مدیریت نموده و با خیالی آسوده از خسارات تصادفی ، بطور جامعتر و مؤثرتر فعالیتهای روزمره خود را ادامه دهد ، ضمن اینکه ما را قادر می سازد به نتایج قابل قبول با حداقل هزینه نایل گردیم .

 

مدیریت ریسک چیست

 

شناخت ریسک ها مستلزم شناخت هر یک از نقاط این زنجیره است که عوامل خسارت آفرین ( حادثه ها و .... ) ، منابع خسارت پذیر ( پرسنل ، اموال ، مسئولیتها و درآمدها ) و نوع تأثیر عامل اول برعامل دوم ( انواع خسارت ها ) را بطور دقیق در بر می گیرد . مدیریت ریسک کمک به انسانها برای حفاظت مستمر از خود ، داراییها و فعالیتها یشان در برابر حادثه هایی است که در طول تاریخ زندگی انسانها ، همواره او را با مخاطره روبرو کرده است . آموزش نتورک پلاس ، این علم ضابطه ها وروشهایی را بدست داده است که اشخاص ، مؤسسه ها ی اقتصادی ( صنعتی و تجاری ) و غیر انتفاعی و دولتها با استفاده از آنها می تواند وظیفه آینده نگری را در ارزیابی ، کنترل و تأمین مالی خسارتها انجام دهند . براین پایه مدیریت ریسک برخوردی نظام یافته با ریسک ها را سامان می دهد . بدین منظور همواره در کار پاسخ گفتن به دو پرسش اساسی در باره پیش آمدهای احتمالی آینده است . نخستین پرسش اینکه (( چه خواهد شد ؟ )) و دوم اینکه (( چه باید کرد ؟ )) .

 

مدیریت ریسک همواره در کنار برنامه ریزی برای رویارویی با رویدادهای احتمالی آینده است . بنابر ضابطه هایی که مدیریت ریسک بدست داده است ، ایمن کردن سازمانها و سرمایه گذاریها در برابر خطرها و خسارتها نیازمند شکل گیری نظامی فکری و عملی است که بوسیله آن سیاست گذاری در برابر ریسکها یکپارچه شود . چنین نظامی به شکل مستمر در کارشناسی مشکل های مؤسسه های در معرض خطر و یافتن راه حل های مناسب و مؤثر برای حل آنهاست . بر این پایه ، نظام یادشده باید مشکل های موجود را تشخیص دهد ، تعریف کند و تحلیل ساختاری از آنها بدست دهد و با گردآوردن اطلاعات مربوط و طبقه بندی شده ، مناسبترین شیوه های پیشگیری ، کنترل و تأ مین مالی ریسکها را ارائه دهد.

گردش عملیات مدیریت ریسک

 

    تشخیص مشکلها ( ریسکها )

    تشخیص و تعریف نیازها

    تجزیه و تحلیل ساختارمشکلها ( ریسکها )

    گردآوری و طبقه بندی اطلاعات

    تدوین استراتژی رویارویی با ریسکها

    نظارت و پیگیری

 

برداشتی که از مدیریت ریسک ارائه شد ضرورت آگاهی از ریسکها را درجامعه و مؤسسه های اقتصادی آشکار می کند . تنها در پرتو چنین آگاهی هایی می توان نظام مدیریت ریسک را در جامعه و تمامی مؤسسه های مربوط سازمان داده و به فعالیت واداشت . آشکاراست که ایفای وظایف مدیریت ریسک را می توان بر حسب اندازه و وسعت هر مؤسسه ، توسط یک واحد سازمانی و زیر نظر مدیر مربوط که مدیر ریسک نامیده می شود ، انجام داد و راهبری کرد . برای شناخت انواع ریسک هایی که هر مؤسسه در معرض آنها قراردارد ، می توان با روشهایی مشخص در میان منابع درون سازمان وبرون آن به جستجو پرداخت . از دیدگاه مدیریت ریسک منابع درون سازمان همه چیزهایی است که در هر مؤسسه موجود است و امکان بهره برداری از آنها وجود دارد .

 

پس از شناخت ریسک های هر مؤسسه ، باید میزان تأثیر وقوع هرخسارت را برتمامی مؤسسه بررسی کرد و این کار نیازمند آن است که مشخص شود ،اولآ هریک ازخسارت ها با چه احتمال روی دادنی روبروست وثانیآ در صورت وقوع چه مبالغی را تشکیل می دهد ، واین مبالغ چه تأثیری برساختار مالی مؤسسه خواهد گذاشت . به بیان دیگر اقدام های مرحله اول ( شناسایی ریسک ها ) مجموعه ای از داده ها ( اطلاعات خام ) را درمورد ریسک هایی که مؤسسه در معرض آنها قراردارد به دست می دهد و مرحله بعد یافته های به دست آمده ( داده های یاد شده ) ، برپایه شالوده نظام مدیریت ریسک در مؤسسه ، طبقه بندی و پردازش می شوند که به فرآوری اطلاعات سنجیده ، معتبرو اولویت بندی شده می انجامد .

 

 

نکته قابل توجه اینکه بسیاری از فورمول ها و فرایند های طراحی شده برای کمک به پاسخ دادن به پرسش های مطرح شده به دلیل تغییر و تحول دائمی در زندگی افراد و محیطی که در آن قرار داریم به طور حتم کارساز نخواهد بود و هدف RM در این است که تا جای ممکن در آینده کاری یک شرکت این تهدیدات را به حداقل ممکن برساند در کاهش ریسک این مهم است که شما بدانید که این بدان معنی است که ما تا چه سطح با خیال راحت میتوانیم به طور موئثر, ریسک در یک سرمایه گذاری را بپذیریم.

اصول مدیریت ریسک

 

کار RM دارای چند عنصر مختلف میباشد که در درجه اول موارد زیر قابل توجه است.

 

    انجام تجزیه و تحلیل خطر از جمله تحلیل هزینه و سود.

    پیاده سازی , بازنگری و حفظ حمایت

 

برای فعال کردن این فرایند , شما نیازمند تعیین برخی عناصر مختلف مانند ارزش دارایی ها و تهدید ها و احتمال حوادث میباشید در واقع بخش اصلی فرایند RM به اختصاص مقادیر به این تهدید ها و چگونگی احتمال رخ دادن آنها برمیگردد برای انجام این کار فورمولها و اصطلاحاتی به وجود آمده اند که در زیر تحت عنوان Risk Analysis (RA) تعریف شده اند . هدف از تجزیه و تحلیل خطر: هدف از انجام تجزیه و تحلیل خطر در واقع برای تعیین کمیت اثر تهدیدات بلقوه میباشد.

 

که برای مشخص نمودن ارزش هزینه های عملکردی یک کسب و کاراست و دو نتیجه اصلی RA شناسایی خطرات و توجیه هزینه / و منفعت متقابل است که برای ایجاد یک استراتژی کاهش ریسک , حیاتی و مهم به نظر میرسد. مزایای متعددی برای RA وجود دارد که روشن شدن هزینه ها به نسبت حمایتهای امنیتی که تحت تاثیر از روند تصمیمات قابل برخورد با پیکر بندی سخت افزاری و طراحی سیستم های نرم افزاری و نیز کمک به تمرکز منابع امنیتی و حتی تصمیم گیری در باره ساخت و ساز مانند انتخاب سایت و طراحی ساختمان را شامل میشود اصطلاحاتی که باید در این ضمینه بدانیم :

 

    Asset : دارایی ) شامل منابع اطلاعاتی فرایند تولید محصول و زیرساخت های محاسباتی که میتوان این موارد را تحت مثالهایی مانند اطلاعات توسعه , پشتیبانی , جایگزینی محصولات, اعتبارات عمومی و هزینه های در نظر گرفته شده, که مستقیما با حیات سازمان مربوطه در ارتباط است معرفی نمود که از دست دادن دارایی میتواند C.I.A را که همان مفاهیم اصلی امنیت اطلاعات یعنی محرمانگی و یکپارچگی و در دسترس بودن است را به خطر اندازد.

    Threat: تهدید ) به عبارت ساده هر نوع حضور بلقوه ای که باعث ایجاد تاثیرات نامطلوب و به خطر افتادن امنیت منابع اطلاعاتی سازمانی ما شود. خواه انسانی و یا ماشینی (رباط و یا هر نوع نرم افزار)

    Vulnerability :آسیب پذیری ) این طور میتوان گفت که آسیب پزیری در نتیجه فقدان و یا ضعف حفاظت به وجود می اید باید در نظر داشته باشید که یک تهدید جزئی دارای پتانسیل تبدیل شدن به یک تهدید بزرگتر است.

    Safeguard :حفاظت ) برای کنترل و کاهش خطر در ارتباط با یک تهدید خاص و یا گروهی از تهدیدات است.

    ef) Exposure Factor) نشان دهنده درصد ارزش از دست دادن یک دارایی مشخص در اثر یک تهدید است مانند اثر از دست دادن برخی از سخت افزار ها یا از دست دادن فاجعه بار تمام منابع محاسباتی

    SLE) Single Loss Expectancy )پیش بینی کاهش واحد : SLE رقمی است که به یک پدیده واحد اختصاص یافته است. و نشان دهنده کاهش یک تهدید در سازمان است و از فورمول زیر به دست میاید .Asset Value ($)×Exposure Factor (EF) = SLE (توضیحات شماره یک و پنج )

    ARO) Annualized Rate of Occurrence) نرخ وقوع سالانه : نشان دهنده فرکانس براورد شده ای است که از یک تهدید انتظار میرود رخ دهد و دامنه این مقدار از (0.0) هرگز بیشتر نمیشود (برای تهدیدات جزئی از جمله غلط املایی در ثبت داده ها به کار میرود) چگونگی به دست آمدن این تعداد پیچیده است ومعمولا بر اساس احتمال رویداد و تعداد کارکنان در ایجاد خطایی که رخ میدهد مورد بررسی قرار میگیرد و خسارات وارده چندان جای نگرانی ندارد.

 

 

مدیریت ریسک چیست

 

در حقیقت بنیان مهندسی امنیت اطلاعات ، درک درست تهدیدات فراروی اطلاعات و پیاده سازی اقدامات حفاظتی مناسب و به صرفه برای مهار(Control) یا کاهش تهدیدات است از این رو اجرای سیستم مدیریت امنیت اطلاعات در سازمان بر پایه مدیریت و ارزیابی ریسک بنا نهاده می شود و بدون وجود یک برنامه منظم و جامع تحلیل ، ارزیابی و بهبود ریسک امکان دستیابی به اهداف سیستم مدیریت امنیت اطلاعات وجود نخواهد داشت ، آموزش لینوکس ، و به همین دلیل است که الزامات مربوط به ارزیابی و کاهش ریسک ، بخش بزرگی از مفاد استانداردهای سیستم مدیریت امنیت اطلاعات را تشکیل می دهد. برخی از مهمترین استانداردهای موجود عبارتند از : استاندار BS7799 که قدیمی ترین استاندارد تدوین شده در خصوص سیستم مدیریت امنیت اطلاعات است و بسیاری از استانداردهای جهانی از آن الهام گرفته و یا به صورت کامل از آن مشتق شده اند و نیز سری استانداردهای 27000 ISOکاملترین استاندار جهانی تدوین شده در این حوزه است.

معرفی اجزای اصلی مدیریت ریسک ( Risk Management ) در امنیت اطلاعات

 

در مقاله دیباچه کوتاهی بر مدیریت ریسک و جایگاه آن در امنیت اطلاعات به اهمیت و جایگاه مدیریت ریسک در امنیت اطلاعات اشاره گردید و آشنایی ابتدایی و مفیدی با این موضوع مهم و حیاتی پیدا کردیم در این مقاله تلاش می شود تا پیش از بیان هر تعریفی از مفهوم ریسک ، مولفه های اساسی تشکیل دهنده آنرا شناخته و تا حد امکان توصیف کنیم .

 

چرا که هر ریسکی صرف نظر از خاستگاه و ماهیت آن همواره شامل پنج مولفه زیر است و در حقیقت بخش مهمی از دانش و هنر تحلیل ریسک بر شناسایی و برآورد این پنج مولفه بنیادین استوار است که به شدت به دانش افراد خبره ، خرد جمعی و کارگروهی مبتنی است :

 

    دارایی (Asset)

    تهدید (Threat)

    منبع یا عامل تهدید (Threat Source or Threat Agent)

    احتمال وقوع تهدید (Threat Likelihood)

    شدت اثر یا پیامد تهدید (Threat Impact)

 

برای درک ساده و توجه به تفاوت برخی از این مفاهیم به تصویر زیر دقت بفرمایید در این تصویر مفاهیم تهدید ، منبع تهدید و آسیب پذیری در خصوص یک دارایی خاص که در بسیاری از سازمانها به اشتباه یکسان و هم معنی در نظر گرفته می شوند به روشنی نمایش داده شده است و با توجه به آن می توان گفت که دارایی در معرض تهدید قرار گرفته سرمایه انسانی سازمان است , عامل تهدید جانوری است درنده به نام تمساح ، آسیب پذیری می تواند ناتوانی یا مهارت اندک نیروی انسانی در حفظ تعادل خود باشد ، تهدید ، افتادن در کام جانور است و پیامد آن خواندن غزل خداحافظی با زندگی است.

مدیریت ریسک چیست

تهدید ( Threat ) چیست؟

 

از دیدگاه امنیت اطلاعات ، هر رویداد ، شرایط یا پدیده ای که در ارتباط و برهم کنش با سامانه های اطلاعاتی ، زیرساخت های فن آوری اطلاعات و محیط پردازشی ومحاسباتی سازمان بوده و دارای توانایی نهفته و استعداد خفته برای تاثیرگذاری زیانبار و نیز وارد ساختن خسارت برعملیات سازمان ، دارائیهای اطلاعاتی و سرمایه انسانی آن باشد را تهدید در نظر می گیریم.

 

به زبان ساده تر ، تهدید قابلیت یک عامل تهدید در بهره کشی و سوء استفاده برنامه ریزی شده یا تصادفی از یک آسیب پذیری است. از این رو لازم به گفتن است که یک تهدید به خودی خود یک اقدام نیست و تنها زمانی خطرناک است و توانایی خفته آن در وارد کردن خسارت به سازمان ، بیدار می گردد که با یک منبع یا عامل تهدید همراه گردد .

 

یعنی یک تهدید توسط منبع تهدید فعال می شود. بنابراین در نظر گرفتن تفاوت این دو مفهوم به هنگام ارزیابی و مدیریت ریسک اهمیت زیادی دارد. برای مثال قطع برق (Power Failure) و یا افزایش لحظه ای ولتاژ (Power Surge) دو تهدید جداگانه هستندکه منبع تهدید یا عامل تهدید آنها می تواند اختلال در خطوط انتقال شبکه توزیع برق و یا مشکل رخ داده در سیم کشی سمت مشترک باشد.

 

همچنین دسترسی غیر مجاز به منابع حفاظت شده موجود در File Server سازمان که یک دارایی اطلاعاتی است یک تهدید است اما عامل این تهدید ممکن است یک مهاجم خارجی و یا یک کاربر بداندیش داخلی باشد . منبع یا عامل تهدید هرآن چیزی است که بهره کشی و سوء استفاده از یک آسیب پذیری را به صورتی خواسته یا ناخواسته ، تصادفی یا برنامه ریزی شده وجهه همت خود قرار می دهد

 

بنابراین می تواند قصد و نیت یک راهبر(Administrator) ناراضی شبکه باشد که با برنامه قبلی در پی بهره برداری از آسیب پذیری های شناخته شده است و یا ممکن است یک کاربر عادی سازمان باشد که به سبب خطایی ناخواسته و تصادفی موجب از دسترس خارج شدن یک سرویس خاص می گردد در همین حال منبع تهدید می تواند وضعیتی چون اختلال ایجاد شده در شبکه توزیع برق منطقه ای در بازه زمانی اوج مصرف مشترکین خانگی در روزهای گرم تابستان باشد و یا یک روال امنیتی باشدکه به صورتی کاملا تصادفی از آسیب پذیری خاصی سوء استفاده کرده و موجب فعال شدن تهدیدی برعلیه سازمان می گردد.

 

لازم به گفتن است که گاهی یک تهدید می تواند توسط چندین منبع تهدید فعال گردد برای مثال ممکن است سرور های فیزیکی سازمان که در حال اجرای Web Server کسب و کار هستند توسط عوامل تهدیدی چون یک راهبر بداندیش و ناراضی ، خطای مدیریتی و راهبری ، اشتباه سهوی یک کارمند بخش پشتیبانی ، خرابی سخت افزار و یا اختلال در شبکه توزیع برق با تهدید خاموشی و قطع برق مواجه شوند.

 

آسیب پذیری (Vulnerability) هر ضعف ، سستی و یا کاستی موجود در مولفه های یک محیط پردازشی و محاسباتی و زیرساخت های فن آوری اطلاعات و ارتباطات سازمان است که می تواند توسط یک منبع تهدید مورد بهره کشی و سوء استفاده قرار گیرد .

 

مهم است بدانیم که از دید امنیت اطلاعات ، آسیب پذیری ،تمامی چرخه حیات هر یک ازمولفه های فنی ، انسانی و سازمانی فن آوری اطلاعات شامل طراحی ، پیاده سازی ، اجرا و پشتیبانی را در بر می گیرد و از سامانه های اطلاعاتی و سیستم های عامل گرفته تا خطی مشی امنیتی و جنبه های استخدام و بکارگیری نیروی انسانی و نیز برنامه های مهار و نظارت داخلی را شامل می شود.

 

بنابراین بد نیست بدانیم که بسیاری از آسیب پذیری های موجود در سیستم های فن آوری اطلاعات مربوط به کنترل های امنیتی است که خواسته یا ناخواسته در سازمان اعمال نشده اند و یا به صورتی ناقص به کار گرفته شده اند و نمی توانند برخی از آسیب پذیری ها را پوشش دهند.

 

همچنین لازم است اشاره شود که آسیب پذیری ها نباید تنها در سیستم های اطلاعاتی شناسایی شوند بلکه به هنگام شناسایی آنها باید زمینه گسترده تری شامل ساختار اداره و مدیریت کسب و کار ، روابط خارجی و تعامل سازمان با محیط خارج را در نظر گرفت برای مثال برخی از آسیب پذیری های سطح کلان سازمانی عبارتند از : تصمیمات متناقض در خصوص فعالیت ها و ماموریت های راهبردی سازمان ، فقدان راهبردهای مدیریت ریسک اثربخش ،عدم انطباق ساختار سازمان با ماموریت های آن ، وابستگی کسب و کار به یک زنجیره تامین مشخص ، وابستگی کسب و کار به فراهم کنندگان سرویسها ، خدمات ، تجهیزات و نرم افزارهای فن آوری اطلاعات خاص .در ادامه چند نمونه تهدید به همراه منابع تهدید آن و آسیب پذیری های بهره برداری شده توسط منبع تهدید آورده می شود :

تهدید : دسترسی غیر مجاز به اطلاعات

 

    منبع تهدید : کاربر بدانیش داخلی برای مثال یک کارمند ناراضی

 

مهاجم خارجی برای مثال یک دولت متخاصم یا یک گروه هکری

 

    آسیب پذیری : غیر فعال نشدن نام کاربری افرادی که سازمان را ترک کرده اند.

 

استفاده از گذرواژه های ضعیف و قابل حدس

 

تغییر نیافتن نام کاربری و گذرواه پیش فرض

تهدید : باج افزار

 

    منبع تهدید : تبهکاران سایبری ( در برخی از موارد نامشخص و نیازمند بررسی بین المللی)

 

    آسیب پذیری : فقدان یک سیاست روشن و مشخص در خصوص پشتیبان گیری از اطلاعات

    ناآگاهی کاربران و ارائه نشدن آموزش های کافی به آنان

    فقدان یک خط مشی مشخص در بروزرسانی نرم افزار و سخت افزار

    ترس سازمانها در تاثیر مخرب اعلام آلودگی به باج افزار بر حسن شهرت و عواقب قانونی

    به روز نبودن ضد ویروس ، فقدان سیاست های روشن و مشخص در خصوص دانلود و پیوست های مشکوک پست الکترونیک

 

احتمال وقوع تهدید ( Threat Likelihood ) و پیامد تهدید ( Threat Impact ) چیست؟

 

دو مولفه باقی مانده ریسک یعنی احتمال وقوع تهدید (Threat Likelihood) و شدت اثر یا پیامد تهدید(Threat Impact) مولفه هایی وزن دار و مبتنی بر تحلیل هستند و لازم است تا توسط افراد خبره و چیره دست در لایه های مدیریتی و فنی سازمان و دریک طی یک فرآیند تصمیم گیری مبتنی بر کارگروهی و خرد جمعی تخمین زده شده و برآورد گردند.

 

    Threat Likelihood : برآیند سه احتمال است : 1- احتمال آنکه یک تهدید مشخص رخ دهد . این احتمال به طور معمول با در نظر گرفتن یک بازه زمانی معین برای مثال سالانه و به صورت درصد احتمال و یا بسامد رخ دادن تهدید بیان می شود.2- احتمال آنکه تهدید رخ داده بتواند از یک یا چند آسیب پذیری موجود بهره کشی و سوء استفاده کند. 3- احتمال آنکه پیامد یا پیامدهای یک تهدید محقق گردد.

 

به عنوان یک مثال ساده می توان به تهدید قطع برق شهری که انرژی الکتریکی مورد نیاز سرور x (دارایی) را تامین می کند اشاره کرد ، بر اساس اطلاعات ارائه شده توسط شرکت برق منطقه ای احتمال رخ دادن این تهدید 25 درصد و یا 4 بار در سال است . حال به فرض آنکه آسیب پذیری موجود ، عدم بهره گیری سازمان از منبع برق وقفه ناپذیر (UPS) باشد ، احتمال سوء استفاده و بهره برداری تهدید یاد شده از این ضعف ، قطعی (100 درصد) است.

 

اما چنانچه سازمان برای سرور مورد نظر ups پیش بینی کرده باشد احتمال خاموش شدن سرور به بودن یا نبودن آسیب پذیری ها و شرایط تسهیل کننده دیگری چون : میانگین زمان قطع برق شهری در هر قطعی ، انتخاب نامناسب زمان برق دهی (Ups Backup Time) یعنی مدت زمانی که ups می تواند جریان الکتریکی مورد نیازسرور را از باطری ها تامین کند و پیش بینی نشدن ژنراتورهای تامین برق اضطراری بستگی خواهد داشت .

 

حال با فرض آنکه تهدید گفته شده یعنی قطع برق و خاموش شدن سرور یاد شده محقق گردد ، ممکن است پیامدهایی چون ازدست رفتن داده ها ، خرابی نرم افزار و سرویس های در حال اجرا ، خرابی سخت افزار و یا ایجاد وقفه در دسترسی کاربران به سرویسهای مورد نیاز را برای سازمان به همراه داشته باشد.

 

اما احتمال محقق شدن تمامی و یا برخی از این خسارت ها به شرایط بسیاری چون پیش بینی یا عدم پیش بینی افزونگی (Redundancy) و مقاومت در برابر خرابی (Failover) سخت افزار و نرم افزار ، وجود یا عدم وجود خط مشی پشتیبان گیری از اطلاعات ، مقدار در نظر گرفته شده برای دو سنجه بسیار مهم (Recovery point objective RPO) و( Recovery Time Objective RTO) در طرح بازیافت پس از فاجعه (Disaster Recovery ) سازمان که اولی بیشینه حجم داده ای که سازمان پذیرش از دست دادن آنها را دارد و دومی بیشینه زمان مورد نیاز برای بازیافت داده های از دست رفته را نشان می دهد و ... بستگی خواهد داشت.

 

از این رو آنچه که در ابتدا بسیار ساده و سرراست می نمایاند ممکن است در عمل پیچیدگی های بسیار داشته باشد و توان و زمان زیادی برای برآورد و تخمین آن مورد نیاز باشد. شدت اثر یا پیامد تهدید (Threat Impact) : میزان زیان وارد شده یا خسارت به بار آمده ، که انتظار می رود با محقق شدن یک تهدید و مخدوش شدن مولفه های بنیادین امنیت اطلاعات یعنی : محرمانگی ، دسترس پذیری و صحت و یکپارچگی داده ها و در نتیجه : افشاء ، تخریب ، تغییر و ازدست رفتن داده ها متوجه سازمان و افراد گردد.

 

بسته به ماهیت کسب و کار و روش ارزیابی و برآوردی که سازمان در تعیین شدت اثر یک تهدید برمی گزیند و می تواند شامل برآورد عددی یا کمی (Quantitative) و برآورد کیفی (Qualitative) شدت ریسک باشد ، میزان زیان و خسارت به بار آمده ممکن است با واحد های پولی رایج ملی و بین المللی برای مثال ریال یا دلار بیان گردد و یا با واژه هایی چون کم (Low) ، زیاد (High) ، متوسط (Moderate) ، خیلی کم (Very Low) و ... توصیف شود.

رابطه و برهم کنش مولفه های ریسک

 

 

 

در دوره آموزش نتورک پلاس و سکیوریتی پلاس در خصوص مفاهیم مدیریت ریسک بحث می شود.