Риск информационных технологий, или ИТ риск (англ. IT risk), любой риск, связанный с использованием информационных технологий.
В то время как информация всегда являлась ценным и важным ресурсом, сейчас, в эпоху экономики знаний и цифровой революции, организации становятся всё более зависимы от информации, её обработки и, особенно, от информационных технологий. В связи с этим, события, влияющие каким-либо образом на ИТ, могут оказать неблагоприятные воздействия на бизнес-процессы[1]. Оценка вероятности правдоподобности различных типов событий с расчётом их возможных последствий это распространённый способ оценки и измерения ИТ риска[2]. Альтернативные методы измерения ИТ рисков обычно включают в себя оценивание сопутствующих факторов, таких как, например, угрозы, уязвимости и величина активов.
Вероятность, что данная угроза воспользуется уязвимостью актива или группы ценных свойств и нанесёт, таким образом, вред организации. Примечание: это измерение в терминах комбинации вероятности случая и его последствия[3].
Существуют способы управления рисками, включающие в себя идентификацию риска, процесс оценки степени риска и процесс осуществления мероприятий, направленных на уменьшение риска до приемлемого уровня. Вовремя оценивать риск и принимать меры для его снижения позволяет ИТ-менеджерам сбалансировать эксплуатационные и экономические издержки защитных мер и тем самым обеспечивать успешную работу организации и сохранность данных, важных для достижения цели. Этот процесс - распространённое явление в ИТ сфере и мы часто наблюдаем его в повседневной жизни. Как пример можно рассмотреть домашнюю безопасность. Многие люди предпочитают установить системы домашней защиты и ежемесячно платить за их обслуживание, взамен получая сохранность своей частной собственности. Видимо, владельцы взвесили стоимость установки и обслуживания охранной системы по отношению к безопасности семьи и потенциальному ущербу от потери своей собственности. [8][9]
Цель выполнения процессов управления риском состоит в том, чтобы дать возможность организации выполнить свою миссию или миссии за счёт[10]:
Минимизация рисков - принятие мер с целью снижения совокупного риска для организации. Сюда часто включается выбор контрмер, которые снизят вероятность возникновения угрозы и (или) сократят ущерб. Они могут быть технические или операционные, а также включать изменения физической инфраструктуры. Риск потери данных вследствие заражения машин, например, может быть снижен путём установки антивирусного ПО. При оценке потенциала той или иной меры следует учитывать, как она работает: как мера, предотвращающая или выявляющая попытки реализации угроз. Часть риска, которая остаётся после применения мер или контрмер, зачастую называется остаточным риском, его организация может обработать отдельно.
Другой выход есть, если организация разделяет свой риск со сторонними контрагентами через страховые компании и(или) поставщиков услуг. Страхование является механизмом послесобытийной компенсации, снижая бремя потерь при наступлении события. Перенос риска — смещение риска от одной стороны к другой. Например, когда бумажные документы перемещаются за пределы организации, на место оказания услуг по хранению, то ответственность и расходы на защиту информации переходят к поставщику услуг. В стоимость хранения может быть включено обязательство по выплате компенсации в случае повреждения, утери или кражи документов.
Механизм исключения риска путём отказа от начала или продолжения деятельности, при которой может быть реализован риск. Например, организация может принять решение об отказе от бизнес-процесса, чтобы избежать ситуации, при которой организация подвергается риску.[11]
Обычно процесс минимизации рисков выглядит так[7]:
Снижение риска может и должно быть обеспечено через выбор контролей безопасности так, чтобы остаточный риск воспринимался как приемлемый. Но выбор этих контролей может быть довольно труден, так как существуют такие ограничения[12]:
Уязвимость не несёт вред сама по себе, должна быть угроза, которая даёт возможность эксплуатировать эту уязвимость. Уязвимость без наличия угрозы эксплуатации, возможно, и не требует контроля, но она должна быть найдена и необходим мониторинг на предмет изменений. Напротив, угроза без сопутствующих ей уязвимостей, возможно, не приведёт к риску. Уязвимости могут быть идентифицированы в следующих областях: персонале, организации, процессах и процедурах, конфигурации информационной системы, аппаратных средствах, ПО, оборудовании связи.[13]
| Аппаратные средства | ||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||||||||
| Персонал | ||||||||||||||||
| ||||||||||||||||
| Сеть | ||||||||||||||||
| ||||||||||||||||
| ПО | ||||||||||||||||
|
Поверхностная оценка рисков позволяет определить приоритет закрытия уязвимостей. В силу ограничений по снижению рисков, зачастую бывает невозможно закрыть все уязвимости, тогда требуется устранять только особо важные из них. Источники можно разделить на три категории:[14][15]