Əsas fikir
Risk reyestrində aktivi, ssenarini, təsiri, ehtimalı, nəzarətləri, qalıq riski və qərar sahibini qeyd edin; qəbul edilmiş risk üçün son baxış tarixi təyin edin.
Aktivləri və biznes asılılığını müəyyən edin
Məlumatı, tətbiqləri, hesabları, şəbəkələri, təchizatçıları və prosesləri inventara daxil edin. Hər aktiv üçün sahib, məlumat həssaslığı, əlçatanlıq ehtiyacı və asılı xidmətləri qeyd edin. Texniki tapıntını hansı əməliyyatı dayandıra, məlumatı poza və ya bərpa xərci yarada biləcəyi ilə əlaqələndirin.
Təhdid ssenarilərini qiymətləndirin
Hesabın ələ keçirilməsi, açıq bulud resursundan məlumat çıxarılması, zəiflikdən istifadə, ransomware və ya təchizatçı kəsintisi kimi konkret hadisəni təsvir edin. Ehtimalı, nəzarətləri və təsiri sübutla qiymətləndirin; qeyri-müəyyənliyi ayrıca qeyd edin. Tək texniki şiddət balı biznes prioriteti üçün kifayət etmir.
Prioritet və risk sahibini təyin edin
Aktivin vacibliyini, istismar imkanını, etibarlı təhdid məlumatını, nəzarətin işləməsini və təsiri birlikdə qiymətləndirin. Biznes tərəfdən risk barədə qərar verməyə səlahiyyətli məsul şəxsi təyin edin; texniki düzəlişin icraçısı ayrıca müəyyən edilə bilər. Eskalasiya həddini yazın və nəzarətlərdən əvvəlki ilkin riski tədbirlərdən sonra qalan qalıq riskdən ayırın.
Tədbir planını və qəbul edilmiş riski qeyd edin
Tədbiri ssenarinin biznes təsirinə görə seçin. Qərarın sahibini və yenidən baxış şərtini qeyd edin; müqavilə və ya sığorta təhdidi aradan qaldırmır və bütün məsuliyyəti ötürmür.
| Seçim | Nə dəyişir | Nə sənədləşdirilir |
|---|---|---|
| Azaltmaq | Nəzarət və ya düzəliş riski azaldır. | Sahib, tədbir, tarix və nəticənin yoxlanması. |
| Nəticələrin bir hissəsini ötürmək | Müqavilə və ya sığorta razılaşdırılmış nəticələri bölüşdürür. | Əhatə, istisnalar və təşkilatda qalan məsuliyyət. |
| Fəaliyyətdən imtina etmək | Riskli fəaliyyəti dayandırmaq və ya yenidən qurmaq. | Biznes təsiri və keçid qərarı. |
| Qəbul etmək | Səlahiyyətli sahib qalıq riskə razılıq verir. | Əsaslandırma, qalan təsir, nəzarətlər və baxış tarixi və ya şərti. |
Hadisə və dəyişikliklərdən sonra yeniləyin
Yeni zəiflik, təhdid, xidmət, təchizatçı və ya bulud konfiqurasiyası risk hesabını dəyişə bilər. İnsidentdən sonra faktiki təsiri, aşkarlama vaxtını, cavab addımlarını və bərpanı reyestrə qaytarın. Rəhbərliyə yüksək qalıq riskləri, gecikmiş tədbirləri, təkrar səbəbləri və tələb olunan qərarları göstərin.
Biznes üçün riskin mənası
Risk qiymətləndirməsi texniki boşluqların sayılması ilə məhdudlaşmır. Korporativ məlumat və əqli mülkiyyət itkisini, xidmət kəsintisini, bərpa işlərini, insanlara təsiri və müqavilə ilə bağlı nəticələri nəzərə alın. Satış veb-saytının əlçatan olmaması kimi ssenarilərdə kəsintinin müddətini və asılılıqları da göstərin. Fərziyyələri biznes tərəfdən məsul şəxslə yoxlayın ki, prioritetlər əməliyyat və bərpa ehtiyaclarını əks etdirsin.
Maliyyə, etibar və iş prosesləri
Tədbir seçərkən bərpa xərcini, gəlir yaradan xidmətlərin davamlılığını və məlumatla məsuliyyətli işi qiymətləndirin. Müştəri və işçi etimadı üçün aydın siyasət, təlim və insident kommunikasiyasını nəzərə alın. Komandalararası əməkdaşlığı, böhran işinə və planlı İT işinə sərf olunan vaxtı izləyin; sənədləşdirilmiş vəzifə və eskalasiyanın faydasını faktiki nəticə ilə yoxlayın. Nəzarət sübutunu müştəri və təchizatçı müzakirələrində istifadə edin.
Fasiləsizliyi və risklərin idarə edilməsi üzrə irəliləyişi ölçün
Kritik xidmət üçün bərpa məqsədi və ehtiyat nüsxə sınağını müəyyən edin. Riskin yaşı, gecikmiş tədbir, təkrar insident və faktiki kəsintini izləyin. Eyni əhatəni müqayisə edin; ölçünü qəbul edilmiş risk və investisiya qərarına bağlayın. Xidmət və təhdid dəyişəndə planı yeniləyin. İnsident baş verməzdən əvvəl cavab rollarını təlimlərdə sınaqdan keçirin.