การวิเคราะห์ความเสี่ยงนิยามถึงการทบทวนความเสี่ยงที่เกี่ยวข้องกับการกระทำหรือเหตุการณ์เฉพาะ การวิเคราะห์ความเสี่ยงถูกใช้ในเทคโนโลยีสารสนเทศ โครงการ ประเด็นความปลอดภัย และเหตุการณ์อื่นๆ ที่ความเสี่ยงสามารถวิเคราะห์ได้บนพื้นฐานเชิงปริมาณและเชิงคุณภาพ
ขั้นตอนของกระบวนการวิเคราะห์ความเสี่ยง
- จัดตั้งทีมประเมินความเสี่ยง: ทีมประเมินความเสี่ยงจะรับผิดชอบในการรวบรวม วิเคราะห์ และจัดทำเอกสารผลการประเมินให้ผู้จัดการ จำเป็นต้องมีการแทนของทุกด้านของเวิร์กโฟลว์กิจกรรมในทีม เช่น ทรัพยากรบุคคล กระบวนการบริหาร ระบบอัตโนมัติ และความปลอดภัยทางกายภาพ
- กำหนดขอบเขตของโครงการ: ทีมประเมินควรระบุตั้งแต่ต้นเป้าหมายของโครงการประเมิน แผนก หรือกิจกรรมเชิงทำงานที่จะประเมิน หน้าที่ของสมาชิกทีม บุคลากรที่จะสัมภาษณ์ มาตรฐานที่จะใช้ เอกสารที่จะตรวจสอบ และการดำเนินงานที่จะตรวจสอบ
- ระบุทรัพยากรที่ครอบคลุมโดยการประเมิน: ทรัพยากรอาจรวมถึง บุคลากร ฮาร์ดแวร์ ซอฟต์แวร์ ข้อมูล (เช่น การจัดประเภทความละเอียดอ่อนและความสำคัญ) สิ่งปลูกสร้าง และมาตรการควบคุมปัจจุบันที่ป้องกันทรัพยากรเหล่านั้น เป็นกุญแจสำคัญในการระบุทรัพยากรทั้งหมดที่เกี่ยวข้องกับโครงการประเมินที่กำหนดในขอบเขต
- จัดประเภทความสูญเสียที่เป็นไปได้: ระบุความสูญเสียที่อาจเกิดจากทุกประเภทของความเสียหายต่อทรัพยากร ความสูญเสียอาจเกิดจากความเสียหายทางกายภาพ การปฏิเสธบริการ การเปลี่ยนแปลง การเข้าถึงโดยไม่ได้รับอนุญาต หรือการเปิดเผย ความสูญเสียอาจเป็นสิ่งที่จับต้องไม่ได้ รวมถึงความสูญเสียของความน่าเชื่อถือขององค์กร
- ระบุภัยคุกคามและจุดอ่อน: ภัยคุกคามคือเหตุการณ์ กระบวนการ กิจกรรม หรือขั้นตอนที่ใช้จุดอ่อนเพื่อโจมตีทรัพยากร รวมถึงภัยคุกคามทางธรรมชาติ ภัยคุกคามโดยไม่ได้ตั้งใจ ภัยคุกคามจากข้อผิดพลาดของมนุษย์ และภัยคุกคามจากเจตนาร้ายของมนุษย์ อาจรวมถึง การล้มเหลวของไฟฟ้า การปนเปื้อนทางชีววิทยาหรือการรั่วไหลของสารเคมีอันตราย กรรมของธรรมชาติ หรือความล้มเหลวของฮาร์ดแวร์/ซอฟต์แวร์ การกำจัดข้อมูลหรือการสูญเสียความสมบูรณ์ การทำลายทุจริต หรือการขโมยหรือการทำลายทรัพย์สิน
จุดอ่อนคือจุดอ่อนที่ภัยคุกคามจะใช้เพื่อโจมตีทรัพยากร สามารถระบุจุดอ่อนได้โดยการตอบคำถามต่อไปนี้ในกระบวนการรวบรวมข้อมูล เช่น ความปลอดภัยทางกายภาพ สิ่งแวดล้อม ความปลอดภัยระบบ ความปลอดภัยการสื่อสาร ความปลอดภัยบุคลากร แผน นโยบาย กระบวนการ การจัดการ การสนับสนุน เป็นต้น - ระบุมาตรการควบคุมที่มีอยู่: มาตรการควบคุมคือการป้องกันที่ลดความน่าจะเป็นที่ภัยคุกคามจะใช้จุดอ่อนเพื่อโจมตีทรัพยากรอย่างรุนแรง ระบุมาตรการป้องกันที่ดำเนินการอยู่แล้ว และกำหนดประสิทธิภาพของพวกเขาในบริบทของการวิเคราะห์ปัจจุบัน
- วิเคราะห์ข้อมูล: ในขั้นตอนนี้ ข้อมูลที่รวบรวมทั้งหมดจะถูกใช้เพื่อกำหนดความเสี่ยงจริงต่อทรัพยากรที่พิจารณา วิธีการวิเคราะห์ข้อมูลรวมถึงการเตรียมบันทึกรายการทรัพยากรและแสดงภัยคุกคาม ประเภทความสูญเสีย และจุดอ่อนที่สอดคล้องกัน การวิเคราะห์ข้อมูลนี้ควรประกอบด้วยการประเมินความถี่ที่เป็นไปได้ของการล้มเหลวที่เป็นไปได้
