Kvalitativní nebo kvantitativní analýza rizik?

Občas můžeme narazit na otázku, zda je lepší provádět analýzu rizik kvantitativní anebo kvalitativní.

Problém je, že na tuhle otázku jednoznačně nelze odpovědět, protože každý přístup je vhodné použít v trochu jiné situaci.

Štítky:
celý článek

Semikvantitativní a semikvalitativní analýza rizik

Kromě kvalitativní a kvantitativní analýzy rizik se můžeme setkat ještě se semikvalitativní nebo také semikvantitativní analýzou rizik.

V takovém případě je pro hodnocení pravděpodobnosti hrozeb a dopadů použita taková stupnice hodnocení, kdy je jednotlivým stupňům hodnocení přisouzena nějaká hodnota a výsledná hodnota rizika je pak dána matematickou operací, zpravidla součinem těchto dvou hodnot.

Štítky:
celý článek

Rychlé zhodnocení metodiky Open FAIR

Metodika Open Factor Analysis of Information Risk, zkr. Open FAIR poskytuje návod, jak provést analýzu informačních rizik, nic víc od ní ale nečekejte.

Na řízení rizik v celém jejich životním cyklu jsou tady jiné, vhodnější metodiky, např. M_o_R, takže jestliže proces řízení rizik ve vaší organizaci zavedený ještě nemáte, začněte nejdříve s ním, než vám začne management řídit rizika kreativně.

Štítky: ,
celý článek

Vybíráme vhodný nástroj na analýzu rizik

Na trhu je spousta nástrojů, které slouží k analýze rizik, a mnohé z nich jsou k dispozici i zdarma.

Neznám však bohužel takový nástroj, který by byl ihned po instalaci nebo spuštění okamžitě použitelný a umožňoval vše, co bych si představoval.

Štítky:
celý článek

Má vůbec smysl se zabývat něčím takovým, jako je inherentní riziko?

Inherentní riziko bývá nejčastěji definováno jako riziko bez implementace příslušných opatření.

Problém je však v tom, že v okamžiku, kdy budete výši rizika stanovovat bez ohledu na stávající opatření, tak vám zcela nesmyslně vzroste pravděpodobnost hrozby a spolu s ní i dopad.

Štítky: ,
celý článek

Jaký je přínos asistované analýzy rizik

V tomto příspěvku bych se chtěl zamyslet nad tím, jaký je přínos asistované analýzy rizik.

Pokud organizace nemá s analýzou rizik informačního systému praktické zkušenosti, tak je celkem logické, že se v této záležitosti obrací na externího konzultanta.

Štítky:
celý článek

Jak stanovit hodnotu dopadu na základě ohodnocení primárních a podpůrných aktiv

O tom, jak identifikovat primární a podpůrná aktiva a stanovit závislost mezi nimi, jsem psal posledně, nyní se zamysleme nad tím, jak určit jejich hodnotu.

Poměrně jasnou odpověď na otázku, jak stanovit hodnotu aktiva, přináší norma ČSN ISO/IEC 27005:2013, která uvádí, že bychom měli vzít v úvahu následující dvě kritéria:

Štítky:
celý článek

Je možné považovat bezpečnostní opatření za podpůrná aktiva?

Byť lze dle ČSN ISO/IEC 27005:2013 za aktivum považovat cokoliv, co má pro organizaci nějakou hodnotu, a bezpečnostní opatření nepochybně nějakou hodnotu má, tak bych je mezi podpůrná aktiva přesto neřadil.

Pokud je totiž mezi podpůrná aktiva zařadíte, dostanete se tak trochu do schizofrenní situace, protože před vámi vyvstane otázka, jaké opatření nasadíte za účelem jejich ochrany.

Štítky:
celý článek

Jak identifikovat primární a podpůrná aktiva a zachytit závislost mezi nimi

Cílem tohoto příspěvku je objasnit, jaký je rozdíl mezi primárními a podpůrnými aktivy a jaký je mezi nimi vztah.

S pojmem primární a podpůrná aktiva, někdy označována též jako sekundární, se můžeme setkat v rámci analýzy rizik. Na první pohled by se mohlo zdát, že sekundární aktiva jsou méně významná, ale není tomu tak, protože primární aktiva jsou na podpůrných závislá.

Štítky:
celý článek

Jak (ne)provést analýzu rizik dle ZoKB

cyber-security-lawAnalýzu rizik je možné provést dle doporučení uvedených ve vyhlášce č. 316/2014 Sb. Problém je, že vyhláška, tak jak je napsána, neposkytuje kompletní návod, jak analýzu rizik provést, a také požadavky v ní uvedené, lze vyložit různě.

Doporučuji vám, držet se vyhlášky, co to jde, protože se tím vyhnete pozdějšímu vysvětlování, proč jste to či ono udělali jinak. I tak ale narazíte na několik zásadních problémů, které budete muset vyřešit, abyste mohli vůbec analýzu rizik provést.

Štítky: , ,
celý článek