IT riziko

Riziko informačních technologií nebo riziko IT ( anglicky  IT risk ), jakékoli riziko spojené s používáním informačních technologií .

Zatímco informace byly vždy cenným a důležitým zdrojem, nyní, v době znalostní ekonomiky a digitální revoluce , jsou organizace stále více závislé na informacích, jejich zpracování a zejména na informačních technologiích . V tomto ohledu mohou události, které jakýmkoli způsobem ovlivňují IT, nepříznivě ovlivnit obchodní procesy [1] . Odhad věrohodnosti různých typů událostí s výpočtem jejich možných důsledků je běžným způsobem hodnocení a měření rizika IT [2] . Alternativní metody měření rizika IT obvykle zahrnují posouzení faktorů, které k tomu přispívají, jako jsou hrozby, zranitelnosti a aktiva.

Definice

ISO

Pravděpodobnost, že daná hrozba využije zranitelnost v aktivu nebo skupině cenných vlastností, a tím poškodí organizaci. Poznámka: Toto měření je z hlediska kombinace pravděpodobnosti události a jejích důsledků [3] .

NIST

• Podle NIST SP 800-30 [4] : Riziko je funkcí pravděpodobnosti, že daný zdroj hrozby využije potenciální zranitelnost organizace a bude mít nepříznivý dopad na tuto organizaci.
• NIST FIPS 200 [5] [6] : Riziko je míra dopadu na operace organizace (včetně poslání, funkcí, image nebo pověsti), aktiva nebo osoby organizace vyplývající z používání informačního systému , který je potenciálně ovlivněn hrozbou, a pravděpodobnost výskytu hrozby.

1. Pravděpodobnost, že daná hrozba zneužívá (náhodně nebo úmyslně) konkrétní zranitelnost systému
2. Výsledek tohoto dopadu. IT rizika vyplývají z možných ztrát nebo právní odpovědnosti v důsledku:
   1. Neoprávněné (zlomyslné nebo náhodné) zveřejnění, pozměnění nebo zničení informací
   2. Neúmyslné chyby nebo opomenutí
   3. Technické poruchy v důsledku přírodních nebo člověkem způsobených katastrof
   4. Nedostatečná pozornost při zavádění a provozu IT systému.

IT řízení rizik

Existují způsoby, jak řídit rizika, včetně identifikace rizik, procesu hodnocení rizik a procesu zavádění opatření zaměřených na snížení rizika na přijatelnou úroveň. Proaktivní vyhodnocování rizik a přijímání opatření ke zmírnění umožňuje IT manažerům vyvážit provozní a ekonomické náklady na ochranná opatření, aby byla zajištěna úspěšnost organizace a bezpečnost dat rozhodujících pro dosažení cíle. Tento proces je v IT oblasti běžným jevem a často jej pozorujeme v každodenním životě. Příkladem je zabezpečení domu. Mnoho lidí se rozhodne nainstalovat domácí bezpečnostní systémy a platit měsíční poplatky za jejich údržbu výměnou za bezpečnost svého soukromého majetku. Majitelé zřejmě poměřili náklady na instalaci a údržbu zabezpečovacího systému s bezpečností rodiny a případnými škodami ze ztráty majetku. [8] [9]

Účelem implementace procesů řízení rizik je umožnit organizaci plnit své poslání nebo mise tím, že [10] :

1. Zlepšení bezpečnosti IT systémů, které uchovávají, zpracovávají nebo přenášejí informace v rámci organizace i mimo ni
2. Zvyšování povědomí managementu a povědomí o rozhodnutích v oblasti řízení rizik za účelem získání přiměřených nákladů, které by se měly stát nedílnou součástí celkového rozpočtu IT
3. Pomoc managementu při autorizaci (nebo akreditaci) jejich IT systémů na základě zdokumentované podpory výsledků vyplývajících z implementace procesů řízení rizik.