Information security risk management เป็น ongoing process ของการ discover, correct, และ avoid security issues Risk assessment เป็น integral part ของ risk management process ของ organization ออกแบบมาเพื่อ ensure appropriate security levels สำหรับ information systems และ data
Risk โดยพื้นฐานคือ anything that threatens หรือ limits ability ของ organization ในการ implement mission Risk Management ควรเป็น group ของ continuous และ evolving processes ที่ใช้ทั่ว organization's approaches และควร systematically address risks รอบ previous, present, และ future activities
Information security risks ที่ organization เผชิญ จะ vary กับ nature of processing ที่ organization implement และ sensitivity ของ data processed การเข้าใจ risk และ application ของ risk assessment methodology สำคัญต่อการ efficiently และ effectively สร้าง secure computing environment
เป็น process ของการ identify vulnerabilities และ threats ไปยัง data resources ที่ organization ใช้ในการ achieve business objectives และ decide countermeasures ที่ลด risk ให้อยู่ใน acceptable level ขึ้นอยู่กับ value ของ data resource ต่อ organization Successful risk management ต้องการ involvement ของ all levels ของ employers ใน organization
Successful risk management program ช่วย organization consider full range ของ risks ที่เผชิญ Risk management ยัง examine relationship ระหว่าง risks และ cascading impact ที่อาจมีต่อ strategic objectives ของ organization
Holistic approach นี้เรียกว่า enterprise risk management (ERM) เนื่องจาก emphasis บน anticipating และ understanding risk across organization นอกจาก focus บน internal/external threats ERM เน้น importance ของ handling positive risk
Positive risks คือ opportunities ที่สามารถ increase business value หรือ conversely damage organization ถ้าไม่จับโอกาส จริงๆ objective ของ risk management program ไม่ใช่ eliminate all risk แต่ preserve และ add enterprise value โดยทำ smart risk decisions
มี 3 ประเภทของ risk management −
Project risks − เกี่ยวกับ budgetary, schedule, personnel, resource, และ user-related problems Basic project risk คือ schedule slippage เนื่องจาก software เป็น intangible ยาก monitor และ control software project ยาก control สิ่งที่มองไม่เห็น ใน manufacturing program เช่น รถยนต์ plan executive เห็น product taking shape
Technical risks − เกี่ยวกับ potential design, implementation, interfacing, testing, maintenance problems รวมถึง ambiguous/incomplete/changing specifications, technical uncertainty, technical obsolescence บาง technical risks เกิดจาก insufficient knowledge ของ development team
Business risks − related to building excellent product ที่ no one wants, losing budgetary/personnel commitments, etc.
