Riskni sifat va miqdor ko‘rsatkichini baholash

Aktivlarni ikki o‘lchovdan
foydalanib qiymat aniqlanadi:
Aktivlarning baholanishi insident ssenariysining ta’sirini baholashning muhim omili hisoblanadi, chunki insident bitta aktivga (masalan, bog‘liq aktivlar) yoki aktivning faqat bir qismiga ta’sir ko‘rsatishi mumkin. Turli tahdidlar va zaifliklar aktivlarga turlicha ta’sir ko‘rsatishi mumkin, masalan, konfidensiallikning, yaxlitlikning va foydalana olishlikning yo‘qotilishi. Shu munosabat bilan, oqibatlarni baholash, aktivlar qiymatini aniqlash bilan bog‘langan hisoblanadi yoki biznesga ko‘rsatiladigan ta’sir tahlilidan kelib chiqib qilinadi. Oqibatlar yoki biznesga ta’sir ko‘rsatish voqea-hodisa yoki voqea- hodisalar to‘plami natijalarini modellash yoki o‘tgan davr ichidagi ma’lumotlarni yoki eksperimental tadqiqotlarni ekstrapolyasiya qilish yo‘li bilan aniqlanishi mumkin.
Oqibatlar pul ifodasiga ega bo‘lishi, texnik yoki odam bilan bog‘liq ta’sir mezonlari orqali yoki tashkilot uchun ahamiyatli bo‘lgan boshqa mezonlar orqali ifodalanishi mumkin. Alohida hollarda, turli vaqt, joylar, guruhlar yoki vaziyatlar bilan bog‘liq bo‘lgan oqibatlarni aniqlash uchun, raqamli qiymatdan ko‘ra ko‘proq narsa talab etiladi.
Vaqt yoki mablag‘lar bilan bog‘liq oqibatlar, tahdidlar va zaifliklar ehtimolligiga nisbatan ishlatiladigan yondashuv vositasida o‘lchanishi kerak.
Sifat yoki miqdor yondashuvning izchilligi ta’minlanishi kerak.
Chiqish ma’lumotlari: Aktivlarga va ta’sir ko‘rsatish mezonlariga nisbatan ifodalangan insidentlar ssenariysi baholangan oqibatlarining ro‘yxati.
Insident ehtimolligini
baholash.
Kirish ma’lumotlari: Muayyan tegishli insidentlar ssenariylarining ro‘yxati, jumladan tahdidlarni aniqlash, daxl qilinadigan aktivlar, biznes-jarayonlar va aktivlar uchun oqibatlar va foydalaniladigan zaifliklar. Bundan tashqari, barcha mavjud va rejalashtiriladigan boshqarish vositalari, ularning samaradorligi, foydalanish va amalga oshirilish holati ro‘yxati.
Ish: Insidentlar ssenariylarining ishlash ehtimolligi baholanishi kerak. (O‘z DSt ISO/IEC 27001, 4.2.1, e).
Amalga oshirish bo‘yicha qo‘llanma: Insidentlar ssenariylari aniqlangandan so‘ng, baholashning sifat yoki miqdor usullaridan foydalanib, yuzaga keladigan ta’sir va har bir ssenariyning ehtimolligi baholanishi zarur. Bu yerda quyidagilarni ko‘rib chiqqan holda, zaifliklardan qanchalik oson foydalanilayot-ganligini va tahdidlar qanchalik tez-tez yuzaga kelayotganligini hisobga olish zarur:
- tajriba va tahdidlar ehtimolligining qo‘llaniladigan statistikasini;
- motivatsiya va vaqt o‘tishi bilan o‘zgaradigan imkoniyatlar, potensial buzg‘unchilar foydalana oladigan resurslar, shuningdek, potensial buzg‘unchining aktivlarning zaifliklarini va jozibadorigini his qilishi – qasddan bo‘ladigan tahdidlar manbalari uchun;
- mavjud boshqarish vositalari,
alohida zaifliklar va ularning jami.
- geografik omillar, masalan, kimyo yoki neftni qayta ishlash zavodiga yaqinlik, ekstremal ob-havo sharoitlarining mumkinligi va xodimlarning xatolariga ta’sir ko‘rsatishi mumkin bo‘lgan omillar hamda uskunaning to‘xtab qolishi – tasodifiy tahdidlar manbalari uchun;
- alohida zaifliklar
va ularning jami;
Masalan, axborot tizimida foydalanuvchi shaxsi maskaradingi tahdidlariga va resurslarni suiste’mol qilinishiga zaiflik bo‘lishi mumkin. Foydalanuvchi shaxsi maskaradingi bilan bog‘liq zaiflik, foydalanuvchilar autentifikatsiya qilinmaganligi tufayli yuqori bo‘lishi mumkin. Boshqa tomondan, resurslarni suiiste’mol qilish ehtimolligi foydalanuvchilar autentifikatsiya qilinmaganligiga qaramay, past bo‘lishi mumkin, chunki resurslarni suiste’mol qilish usullari cheklangan.
Aniqlik talab qilinishi–qilinmasligiga bog‘liq holda, aktivlar guruhlanishi yoki aktivlarni elementlarga ajratish va ssenariylarni elementlar bilan bog‘lash zarurati yuzaga kelishi mumkin. Masalan, geografik joylashishlar uchun ayni bir turdagi aktivlarga bo‘ladigan tahdidlar xarakteri o‘zgarishi yoki mavjud boshqarish vositalarining samaradorligi farqlanishi mumkin.