Quelles sont les trois principaux aspects de la gestion des risques de sécurité de l'information et pourquoi chaque important?

IT Basics Self Defense

• Une organisation doit s'assurer qu'il a les capacités pour accomplir sa mission. Il doit identifier les risques qui menacent ces capacités, et d'évaluer les mesures de protection, en tenant compte des coûts économiques et autres de ces mesures. Un risque que les organisations les plus modernes sont confrontés est la sécurité des informations compromise. Une organisation doit identifier où la sécurité de l'information compromise affecterait ses capacités à accomplir sa mission et de prendre des mesures correctives appropriées au sein de son cadre budgétaire établi.

L'évaluation des risques

• 
  
  
  
  

  Quand une organisation détermine que les faiblesses de sécurité de l'information constituent un risque pour ses capacités, il faut soigneusement examiner ses systèmes informatiques, les opérations, les procédures et les interactions externes pour savoir où se situent les risques. Cela signifie identifier les menaces, les vulnérabilités possibles à ces menaces, les contre-mesures possibles, l'impact et la probabilité. Les risques peuvent être classés selon la gravité en fonction de l'impact et de la probabilité. L'importance de l'évaluation est qu'elle permet l'identification des risques élevés qui doivent être atténués.

Atténuation des risques

• Atténuation signifie réduire ou d'éliminer les risques identifiés par l'évaluation. Stratégies pour faire face au risque comprennent acceptant le risque, en adoptant des mesures qui permettront de réduire le risque, en évitant le risque en éliminant la cause, ce qui limite le risque en mettant en place des contrôles, ou de transférer le risque à une société fournisseur, un client ou d'assurance. Quelle stratégie est appropriée est déterminée par la mesure dans laquelle le risque diminue la capacité de l'organisation à remplir sa mission, et le coût de la mise en œuvre de la stratégie. L'atténuation structuré est important en tant que cadre pour la gestion des risques.

Évaluation et suivi

• Une fois évaluation et l'atténuation ont été achevées, l'unité d'organisation doit évaluer le résultat immédiat et surveiller le système sur une base continue. Ce processus commence par une évaluation des effets de l'évaluation et de l'atténuation, y compris la création de points de repère pour le progrès. Il se poursuit avec l'évaluation de l'effet des modifications et des ajouts aux systèmes d'information. Enfin, il effectue une surveillance continue de la performance de la sécurité de l'information, dans le but d'identifier les domaines qui peuvent avoir à être évalués pour le risque supplémentaire. Évaluation et le suivi sont importants pour déterminer avec quel succès l'unité d'organisation a géré son risque pour la sécurité de l'information.