Зміст:
Визначення - Що означає Рамка оцінки ризику (RAF)?
Рамка оцінки ризику (RAF) - це підхід для визначення пріоритетності та обміну інформацією про ризики для безпеки, що створюються для організації інформаційних технологій. Інформація повинна бути представлена таким чином, що і нетехнічний, і технічний персонал групи може зрозуміти. Погляд на RAF надає допомогу організаціям у виявленні та розміщенні як систем із низьким та високим рівнем ризику в системі, які можуть бути схильні до зловживань чи нападу.
"Техопедія" пояснює Рамку оцінки ризиків (RAF)
Дані, які надають RAF, корисні для подолання потенційних загроз, планування витрат та бюджетів. Багато RAF вже прийняті в якості стандартів у кількох галузях. Кілька прикладів включають в себе оперативно-критичну оцінку загрози, активів та вразливості (OCTAVE) від групи готовності до надзвичайних ситуацій на комп’ютері, цілі управління інформацією та пов'язаними з ними технологіями (COBIT) від Асоціації аудиту та управління інформаційними системами та Посібник з управління ризиками для Системи інформаційних технологій Національного інституту стандартів.
Як і інші рамки, існують вказівки щодо створення RAF, яких потрібно дотримуватися:
- Інвентаризація та категоризація: Групуйте інформаційні системи, внутрішні чи зовнішні, по категоріях та диференціюйте їх процеси.
- Визначте потенційні ризики: шукайте загрози, вразливості та ризики, з якими може зіткнутися система. Природні явища, такі як нещасні випадки або відключення електроенергії, слід враховувати на додаток до атак шкідливих програм.
- Впровадження та оцінка: На основі обговорення потенційних ризиків впроваджуйте відповідні засоби контролю безпеки даних. Оцініть та задокументуйте висновки щодо функціонування контролю та сприяння зменшенню ризику.
- Авторизація та моніторинг: Авторизуйте роботу системи шляхом визначення процедури, ризику для організаційних операцій та активів, окремих сильних і слабких сторін та інших факторів, які сприятимуть добробуту операцій. Моніторинг контролю безпеки - це триваючий процес, який включає оцінку ефективності контролю безпеки, документацію змін, впровадження обговорених рішень та представлення стану системи відповідному організаційному персоналу.
