Рисковать IT - Risk IT

Эта статья поднимает множество проблем. Пожалуйста помоги Улучши это или обсудите эти вопросы на страница обсуждения. (Узнайте, как и когда удалить эти сообщения-шаблоны) Эта статья может требовать уборка встретиться с Википедией стандарты качества. Нет причина очистки был указан. Пожалуйста помоги улучшить эту статью если вы можете. (Январь 2011 г.) (Узнайте, как и когда удалить этот шаблон сообщения) Тема этой статьи может не соответствовать Википедии общее руководство по известности. Пожалуйста, помогите установить известность, указав надежные вторичные источники которые независимый темы и обеспечить ее подробное освещение, помимо банального упоминания. Если известность не может быть установлена, статья, вероятно, будет слился, перенаправлен, или удалено. Найдите источники: «Риск IT»  – Новости  · газеты  · книги  · ученый  · JSTOR (Ноябрь 2011 г.) (Узнайте, как и когда удалить этот шаблон сообщения) эта статья содержит контент, который написан как Реклама. Пожалуйста помоги Улучши это путем удаления рекламный контент и неуместно внешние ссылки, а также путем добавления энциклопедического содержания, написанного с нейтральная точка зрения. (Февраль 2018 г.) (Узнайте, как и когда удалить этот шаблон сообщения) эта статья слишком полагается на использованная литература к основные источники. Пожалуйста, улучшите это, добавив вторичные или третичные источники. (Февраль 2018 г.) (Узнайте, как и когда удалить этот шаблон сообщения) (Узнайте, как и когда удалить этот шаблон сообщения)

Рисковать IT обеспечивает полное и полное представление обо всех риски связанных с использованием информационные технологии (ИТ) и столь же тщательный подход к управлению рисками со стороны тон и культура наверху, к оперативным вопросам.

Риск ИТ был опубликован в 2009 г. ISACA.^[1] Это результат работы группы, состоящей из отраслевых экспертов и некоторых ученых из разных стран, происходящих из таких организаций, как Эрнст & Янг, IBM, PricewaterhouseCoopers, Анализ управления рисками, Швейцарская жизнь,и КПМГ.

Определение

IT риск является частью бизнес-риска, в частности бизнес-риска, связанного с использованием, владением, эксплуатацией, участием, влиянием и внедрением ИТ на предприятии. Он состоит из событий, связанных с ИТ, которые потенциально могут повлиять на бизнес. Это может происходить с неопределенной частотой и масштабом и создает проблемы для достижения стратегических целей и задач.^[1]

Управление бизнес-рисками является важным компонентом ответственного администрирования любой организации. Ввиду важности ИТ для всего бизнеса, ИТ-риски следует рассматривать как другие ключевые бизнес-риски.

Инфраструктура ИТ-рисков^[1] объясняет ИТ-риски и позволяет пользователям:

• Интегрируйте управление ИТ-рисками с общей ERM
• Сравните оцененный ИТ-риск с склонность к риску и терпимость к риску организации
• Понять, как управлять рисками

ИТ-рисками должны управлять все ключевые бизнес-лидеры внутри организации: это не просто техническая проблема ИТ-отдела.

ИТ-риски можно классифицировать по-разному:

Фактор ИТ-преимуществ / ценностей

риски, связанные с упущенной возможностью повысить ценность бизнеса с помощью ИТ-процессов или улучшенных процессов

ИТ-программа / реализация проекта

риски, связанные с управлением ИТ-проектами, предназначенными для поддержки или улучшения бизнеса: то есть риск превышения бюджета или несвоевременного выполнения (или невыполнения вообще) этих проектов

ИТ-эксплуатация и предоставление услуг

риски, связанные с повседневными операциями и предоставлением услуг ИТ, которые могут вызвать проблемы, неэффективность бизнес-операций организации

ИТ-структура рисков основана на принципах стандартов / структур управления рисками предприятия, таких как: Комитет спонсорских организаций Комиссии Тредуэя ERM и ISO 31000.

Таким образом, высшее руководство могло понять ИТ-риск.

Принципы риск-ИТ

ИТ-отдел управления рисками построен на следующих принципах:^[1]

• всегда соответствовать бизнес-целям
• согласовать управление ИТ-рисками с ERM
• сбалансировать затраты и преимущества управления ИТ-рисками
• способствовать справедливому и открытому информированию об ИТ-рисках
• установить правильный тон наверху, определяя и обеспечивая подотчетность
• являются непрерывным процессом и частью повседневной деятельности

Компоненты коммуникации ИТ-рисков

Основные потоки информирования о рисках ИТ:

• Ожидание: чего ожидает организация в качестве конечного результата и каково ожидаемое поведение сотрудников и руководства; Он включает в себя стратегию, политику, процедуры, информационное обучение.
• Возможности: показывает, как организация способна управлять риском.
• Статус: информация о фактическом статусе ИТ-риска; Он включает профиль риска организации, ключевой показатель риска (KRI), события, первопричина убытков.

Эффективная информация должна быть:

• ясно
• Краткий
• Полезный
• Своевременный
• Направлен на правильную целевую аудиторию
• Доступно на надо знать основа

Рисковые ИТ-области и процессы

Три области ИТ-структуры рисков перечислены ниже с процессы (три по домену); каждый процесс включает ряд действий:

1. Управление рисками: Убедитесь, что методы управления ИТ-рисками внедрены в предприятие, что позволит ему обеспечить оптимальную доходность с поправкой на риски. В его основе лежат следующие процессы:^[1]
   1. RG1 Создание и поддержание единого взгляда на риски
      1. RG1.1 Выполнение оценки ИТ-рисков предприятия
      2. RG1.2 Предложить пороги толерантности к ИТ-рискам
      3. RG1.3 Утверждение толерантности к ИТ-рискам
      4. RG1.4 Согласование политики ИТ-рисков
      5. RG1.5 Содействовать культуре осведомленности о рисках ИТ
      6. RG1.6 Поощрение эффективного информирования об ИТ-рисках
   2. RG2 интегрируется с ERM
      1. RG2.1 Создание и поддержание ответственности за управление ИТ-рисками
      2. RG2.2 Согласование стратегии ИТ-рисков и стратегии бизнес-рисков
      3. RG2.3 Адаптировать практики управления рисками ИТ к практике управления рисками предприятия
      4. RG2.4 Обеспечение адекватных ресурсов для управления ИТ-рисками
      5. RG2.5 Обеспечение независимой гарантии управления ИТ-рисками
   3. RG3 Принимайте бизнес-решения с учетом рисков
      1. RG3.1 Заинтересованность руководства в подходе к анализу ИТ-рисков
      2. RG3.2 Утвердить анализ ИТ-рисков
      3. RG3.3 Включение учета ИТ-рисков в процесс принятия стратегических бизнес-решений
      4. RG3.4 Принять ИТ-риск
      5. RG3.5 Приоритет действий по реагированию на ИТ-риски
2. Оценка риска: Убедитесь, что риски и возможности, связанные с ИТ, определены, проанализированы и представлены в бизнес-терминах. В его основе лежат следующие процессы:
   1. RE1 Сбор данных
      1. RE1.1 Создать и поддерживать модель для сбора данных
      2. RE1.2 Сбор данных об операционной среде
      3. RE1.3 Сбор данных о рисковых событиях
      4. RE1.4 Выявить факторы риска
   2. RE2 Анализ рисков
      1. RE2.1 Определение области анализа ИТ-рисков
      2. RE2.2 Оценка ИТ-риска
      3. RE2.3 Определение вариантов реагирования на риск
      4. RE2.4 Выполнение экспертной оценки анализа ИТ-рисков
   3. RE3 Ведение профиля риска
      1. RE3.1 Сопоставление ИТ-ресурсов с бизнес-процессами
      2. RE3.2 Определяет критичность ИТ-ресурсов для бизнеса
      3. RE3.3 Понять возможности ИТ
      4. RE3.4 Обновление компонентов сценария риска
      5. RE3.5 Ведение реестра ИТ-рисков и карты ИТ-рисков
      6. RE3.6 Разработка индикаторов риска ИТ
3. Реагирование на риск: Обеспечение того, чтобы вопросы, возможности и события, связанные с ИТ, решались экономически эффективным образом и в соответствии с приоритетами бизнеса. В его основе лежат следующие процессы:
   1. RR1 четко сформулированный риск
      1. RR1.1 Сообщать результаты анализа ИТ-рисков
      2. RR1.2 Отчет о деятельности по управлению ИТ-рисками и состоянии соответствия
      3. RR1.3 Интерпретировать результаты независимой оценки ИТ
      4. RR1.4 Определение возможностей, связанных с ИТ
   2. RR2 Управление рисками
      1. RR2.1 Инвентарный контроль
      2. RR2.2 Мониторинг оперативного согласования с порогами допустимости риска
      3. RR2.3 Реагировать на обнаруженные риски и возможности
      4. RR2.4 Органы управления агрегатом
      5. RR2.5 Отчет о ходе выполнения плана действий по рискам ИТ
   3. RR3 реагирует на события
      1. RR3.1 Ведение планов реагирования на инциденты
      2. RR3.2 Мониторинг ИТ-рисков
      3. RR3.3 Инициировать реакцию на инцидент
      4. RR3.4 Сообщать об уроках, извлеченных из событий риска

Каждый процесс подробно описан:

• Компоненты процесса
• Практика управления
• Входы и выходы
• Графики RACI
• Цель и метрики

Для каждой области изображена модель зрелости.

Оценка риска

Необходимо установить связь между сценариями ИТ-рисков и конечным воздействием на бизнес, чтобы понять влияние неблагоприятных событий. Риск-ИТ не предписывает единого метода. Доступны разные методы. Среди них есть:

• Критерии информации COBIT
• Сбалансированная система показателей
• Расширенная сбалансированная система показателей
• Вестерман ^[2]
• COSO
• Факторный анализ информационного риска

Сценарии риска

Сценарии риска - это суть процесса оценки риска. Сценарии могут быть получены двумя разными дополнительными способами:

• подход сверху вниз от общих бизнес-целей до наиболее вероятных сценариев риска, которые могут на них повлиять.
• восходящий подход, при котором список общих сценариев риска применяется к организационной ситуации

Каждый сценарий риска анализируется с определением частоты и воздействия на основе факторы риска.

Ответ на риск

Цель определения реакции на риск - привести риск в соответствие с общим определенным склонность к риску организации после анализа риска: т.е. остаточный риск должен быть в пределах терпимость к риску пределы.

Риском можно управлять с помощью четырех основных стратегий (или их комбинации):

• Избежание риска, прекращение деятельности, которая вызывает риск
• Снижение риска, принятие мер для обнаружения, уменьшения частоты и / или воздействия риска
• Передача риска, передача части риска другим, путем передачи опасной деятельности на аутсорсинг или путем страхования
• Принятие риска: сознательное управление риском, который был идентифицирован, задокументирован и измерен.

Ключевые показатели риска метрики, способные показать, что организация подвержена риску, превышающему установленный склонность к риску.

Практическое руководство

Второй важный документ о рисках ИТ - это Практическое руководство.^[3]Он состоит из восьми разделов:

1. Определение совокупности рисков и определение объема управления рисками
2. Риск-аппетит и толерантность к риску
3. Осведомленность о рисках, коммуникация и отчетность
4. Выражение и описание риска
5. Сценарии риска
6. Реагирование на риски и расстановка приоритетов
7. Рабочий процесс анализа рисков
8. Снижение ИТ-рисков с помощью COBIT и Val IT

Связь с другими фреймворками ISACA

ИТ-система управления рисками дополняет ISACA С COBIT, который обеспечивает комплексную основу для контроля и управления бизнес-ориентированными решениями и услугами на базе информационных технологий (ИТ). В то время как COBIT устанавливает передовой опыт для средств управления рисками, предоставляя набор средств контроля для снижения ИТ-риска, ИТ-подразделение по рискам устанавливает передовые методы для достижения конечных результатов, предоставляя предприятиям основу для выявления, управления и управления ИТ-рисками.

Val IT позволяет бизнес-менеджерам получать выгоду от инвестиций в ИТ, обеспечивая структуру управления. VAL IT можно использовать для оценки действий, определенных Управление рисками обработать.

Связь с другими фреймворками

Риск IT принимает Факторный анализ информационного риска терминология и процесс оценки.

ISO 27005

Для сравнения ИТ-процессов управления рисками и тех, которые предусмотрены ISO / IEC 27005 стандарт, см. Управление ИТ-рисками # Методология управления рисками и Управление ИТ-рисками # ISO 27005 framework

ISO 31000

Руководство для практикующего ИТ-специалиста по рискам^[3] Приложение 2 содержит сравнение с ISO 31000

COSO

Руководство для практикующего ИТ-специалиста по рискам^[3] приложение 4 содержит сравнение с COSO

Смотрите также

• COBIT
• COSO
• Управление рисками
• Факторный анализ информационного риска (ЯРМАРКА)
• ISACA
• ISO 31000
• Риск
• Склонность к риску
• Фактор риска (вычисление)
• Управление рисками
• Толерантность к риску
• Val IT

использованная литература

внешние ссылки

• Главная страница Risk IT на сайте ISACA