Hvad er sikkerhedsrisikovurdering? - dummies

Risiko analyse (eller behandling <) er en metodisk undersøgelse, der samler alle elementer i risikostyring (identifikation, analyse og kontrol) og er kritisk for en organisation for at udvikle en effektiv risikostyringsstrategi. Risikoanalyse omfatter følgende fire trin:

Identificer de aktiver, der skal beskyttes, herunder deres relative værdi, følsomhed eller betydning for organisationen.

1. Denne komponent af risikovurdering er aktivvurdering.

   Definer specifikke trusler, herunder trusselsfrekvens og konsekvensdata.

2. Denne komponent af risikoidentifikation er trusselanalyse.

   Beregn Årlig Forventet Forventning (ALE).

3. ALE-beregningen er et grundlæggende koncept i risikoanalyse.

   Vælg passende sikkerhedsforanstaltninger.

4. Denne proces er en komponent i både risikoidentifikation (sårbarhedsvurdering) og risikostyring.

Den

Annualized Loss Expectancy (ALE) giver en standard, kvantificerbar måling af den virkning, som en realiseret trussel har på en virksomheds aktiver. Fordi det er det anslåede årlige tab for en trussel eller begivenhed, udtrykt i dollar, er ALE særlig nyttig til bestemmelse af costbenefitforholdet for en beskyttelse eller kontrol. Du bestemmer ALE ved at bruge denne formel: SLE x ARO = ALE

Her er en forklaring på elementerne i denne formel:

Enkelt tabsforventning (SLE):

• En måling af tabet på grund af en enkelt realiseret trussel eller begivenhed, udtrykt i dollar. Du beregner SLE ved at bruge formlen Asset value × Exposure Factor (EF). Eksponeringsfaktor (EF)

  er et mål for den negative effekt eller virkning, som en realiseret trussel eller begivenhed ville have på et bestemt aktiv udtrykt i procent. Årlig forekomstfrekvens (ARO):

• Den anslåede årlige hyppighed af forekomsten for en trussel eller begivenhed.

De to hovedtyper af risikoanalyse er kvalitative og kvantitative.

Kvalitativ risikoanalyse

Kvalitativ risikoanalyse er mere subjektiv end en kvantitativ risikovurdering; I modsætning til kvantitativ risikoanalyse kan denne tilgang til analyse af risiko være rent kvalitativ og undgå specifikke tal helt og holdent. Udfordringen ved en sådan tilgang er at udvikle reelle scenarier, der beskriver de faktiske trusler og potentielle tab for organisatoriske aktiver.

Kvalitativ risikoanalyse har nogle fordele sammenlignet med kvantitativ risikoanalyse; disse omfatter

Der kræves ingen komplekse beregninger.

• Tid og arbejdsmæssig indsats er forholdsvis lav.
• Det krævede volumen af ​​inputdata er forholdsvis lav.
• Ulemper ved kvalitativ risikoanalyse sammenlignet med kvantitativ risikoanalyse omfatter

Der er ikke defineret finansielle omkostninger; Derfor er costbenefitanalyse ikke mulig.

• Den kvalitative tilgang bygger mere på antagelser og gæt.
• Generelt kan kvalitativ risikoanalyse ikke automatiseres.
• Kvalitativ analyse er mindre let kommunikeret. (Ledere synes at forstå "
• Dette vil koste os $ 3 millioner over 12 måneder" bedre end " Dette vil medføre et uspecificeret tab på en ubestemt fremtidig dato.") En kvalitativ Risikoanalyse forsøger ikke at tildele numeriske værdier til komponenterne (aktiver og trusler) i risikoanalysen.

Kvantitativ risikoanalyse

En fuldstændig kvantitativ risikoanalyse kræver alle elementer i processen, herunder aktivværdi, virkning, trusselfrekvens, sikring af effektivitet, beskyttelsesomkostninger, usikkerhed og sandsynlighed, der skal måles og tildeles numeriske værdier.

A

kvantitativ risikoanalyse forsøger at tildele mere objektive numeriske værdier (omkostninger) til komponenterne (aktiver og trusler) i risikoanalysen. Fordele ved en kvantitativ risikoanalyse sammenlignet med kvalitativ risikoanalyse omfatter følgende:

Finansielle omkostninger er defineret; Derfor kan costbenefitanalysen bestemmes.

• Mere præcise, specifikke data understøtter analyse; således er færre forudsætninger og mindre gætteri nødvendige.
• Analyse og beregninger kan ofte automatiseres.
• Specifikke kvantificerbare resultater er lettere at kommunikere med ledere og ledere på højt niveau.
• Ulemper ved en kvantitativ risikoanalyse i sammenligning med kvalitativ risikoanalyse omfatter følgende:

Human biases vil skæve resultater.

• Der kræves ofte mange komplekse beregninger.
• Tid og beskæftigelse er relativt høj.
• Det krævede volumen af ​​inputdata er forholdsvis høj.
• Nogle antagelser er påkrævet.
• Rent kvantitativ risikoanalyse er generelt ikke mulig eller praktisk. Dette skyldes først og fremmest, at det er svært at bestemme en præcis sandsynlighed for forekomsten for et givet trusselscenario. Af denne grund er mange risikovurderinger en blanding af kvalitativ og kvantitativ risikoanalyse, kendt som en hybridrisikoanalyse.

Hybrid risikoanalyse

En hybridrisikoanalyse kombinerer elementer af både en kvantitativ og kvalitativ risikoanalyse. Udfordringerne ved at bestemme nøjagtige sandsynligheder for forekomsten samt den virkelige effekt af en begivenhed tvinger mange risikostyrere til at gå midt i jorden. I sådanne tilfælde anvendes let bestemte kvantitative værdier (såsom aktivværdi) i forbindelse med kvalitative tiltag for sandsynligheden for forekomst og risikoniveau. Faktisk er mange såkaldte kvantitative risikoanalyser mere præcist beskrevet som hybrid.