項(xiàng)目風(fēng)險(xiǎn)評(píng)估應(yīng)警惕的失誤

1、項(xiàng)目風(fēng)險(xiǎn)評(píng)估應(yīng)警惕的失誤 作為風(fēng)險(xiǎn)管理的基礎(chǔ)，風(fēng)險(xiǎn)評(píng)估是組織確定信息安全需求的一個(gè)重要途徑，屬于組織信息安全管理體系策劃的過(guò)程。從信息安全的角度來(lái)講，風(fēng)險(xiǎn)評(píng)估是對(duì)信息資產(chǎn)(即某事件或事物所具有的信息集)所面臨的威逼、存在的弱點(diǎn)、造成的影響，以及三者綜合作用所帶來(lái)風(fēng)險(xiǎn)的可能性的評(píng)估。在企業(yè)試圖對(duì)it的安全作出更好的決策時(shí)，最重要的就是it風(fēng)險(xiǎn)評(píng)估。然而，雖然企業(yè)進(jìn)行了風(fēng)險(xiǎn)評(píng)估，但他們經(jīng)常出現(xiàn)一些錯(cuò)誤，從而大大降低了風(fēng)險(xiǎn)評(píng)估的效果。下面是企業(yè)需要避免的10個(gè)風(fēng)險(xiǎn)評(píng)估錯(cuò)誤。 1. 遺忘評(píng)估第三方風(fēng)險(xiǎn) 大多數(shù)it風(fēng)險(xiǎn)專家都認(rèn)為，現(xiàn)在大部分企業(yè)都沒(méi)有評(píng)估供應(yīng)商和其他合作伙伴的基礎(chǔ)設(shè)施的風(fēng)險(xiǎn)，而這些基礎(chǔ)設(shè)

2、施通常會(huì)觸及企業(yè)最敏感的的數(shù)據(jù)。 咨詢公司systemexperts公司副總裁bradjohnson表示，“許多企業(yè)做得不夠的方面是管理與第三方供應(yīng)商的關(guān)系。當(dāng)企業(yè)沒(méi)有真正進(jìn)行其盡職調(diào)查(無(wú)論是在簽訂合同之前還是之后)，他們勢(shì)必將錯(cuò)過(guò)關(guān)鍵的細(xì)節(jié)信息，這將提高風(fēng)險(xiǎn)。舉例來(lái)說(shuō)，客戶公司可能不知道其供應(yīng)商將其受規(guī)管的數(shù)據(jù)存儲(chǔ)在公共云中?！?2.評(píng)估過(guò)于量化 誠(chéng)然，分析和數(shù)字對(duì)于風(fēng)險(xiǎn)評(píng)估特別重要。但企業(yè)需要了解，這個(gè)數(shù)字游玩并不需要過(guò)于追求完美，特殊是當(dāng)涉及評(píng)估安全泄露事故的影響時(shí)。 “對(duì)安全事故影響的評(píng)估可以讓企業(yè)更簡(jiǎn)單地爭(zhēng)論和關(guān)注如何緩解風(fēng)險(xiǎn)，而不是花大量時(shí)間來(lái)爭(zhēng)論這種影響是價(jià)值2000萬(wàn)美元還是

3、21000美元，”tripwire公司首席技術(shù)官dwaynemelancon表示，“在你確定事故影響是災(zāi)難性的、令人苦痛的，或者沒(méi)什么大不了的，你就可以很好地爭(zhēng)論你想要花多少錢(qián)來(lái)緩解最嚴(yán)重的風(fēng)險(xiǎn)。” 過(guò)度分析可能會(huì)拖垮整個(gè)評(píng)估過(guò)程，企業(yè)應(yīng)當(dāng)避免花太久時(shí)間來(lái)進(jìn)行風(fēng)險(xiǎn)分類等工作。citrix sharefile的saas分部安全和合規(guī)性高級(jí)經(jīng)理manny landron表示，還有些定性風(fēng)險(xiǎn)因素，企業(yè)需要想方法納入評(píng)估中?！斑^(guò)于狹隘的焦點(diǎn)、采用嚴(yán)格的定量測(cè)量、沒(méi)有一個(gè)框架，以及沒(méi)有足夠的定期計(jì)劃的風(fēng)險(xiǎn)評(píng)估都是企業(yè)需要避免的錯(cuò)誤?！?3. 評(píng)估沒(méi)有考慮業(yè)務(wù)背景 it風(fēng)險(xiǎn)評(píng)估完全是關(guān)于背景學(xué)問(wèn)，無(wú)論是上

4、文提到的系統(tǒng)狀況還是業(yè)務(wù)狀況。假如企業(yè)沒(méi)有將漏洞和威逼加入到信息資產(chǎn)的背景學(xué)問(wèn)中，其對(duì)業(yè)務(wù)的重要性就不能真正反映在風(fēng)險(xiǎn)評(píng)估中。 大數(shù)據(jù)風(fēng)險(xiǎn)分析公司brinqa的amad fida表示，“在評(píng)估風(fēng)險(xiǎn)時(shí)，許多時(shí)候，首席信息安全官缺乏對(duì)業(yè)務(wù)背景的了解。換句話說(shuō)，他們需要詢問(wèn)，什么數(shù)據(jù)被訪問(wèn)了以及這它對(duì)業(yè)務(wù)的影響力?沒(méi)有考慮業(yè)務(wù)方面的分析結(jié)果供應(yīng)了一個(gè)技術(shù)觀點(diǎn)，而不是業(yè)務(wù)加技術(shù)的觀點(diǎn)?！?4. 未將it風(fēng)險(xiǎn)評(píng)估納入到企業(yè)評(píng)估 同樣地，企業(yè)需要了解it風(fēng)險(xiǎn)與全部其他風(fēng)險(xiǎn)的相互作用。通常，企業(yè)將it風(fēng)險(xiǎn)視為自己的風(fēng)險(xiǎn)類別，而沒(méi)有考慮其更廣泛的影響。 systemexperts的johnson表示，“越來(lái)越

5、多的風(fēng)險(xiǎn)意識(shí)企業(yè)意識(shí)到it是其業(yè)務(wù)成功的組成部分，他們都在努力確保讓it參與到業(yè)務(wù)風(fēng)險(xiǎn)談話中，許多企業(yè)都有跨職能團(tuán)隊(duì)，他們從整體來(lái)檢查風(fēng)險(xiǎn)以更好地了解依存關(guān)系，這些團(tuán)隊(duì)會(huì)建議從業(yè)務(wù)的角度企業(yè)應(yīng)當(dāng) 側(cè)重的風(fēng)險(xiǎn)?！?5.評(píng)估的目光過(guò)于短淺 防火墻管理公司firemon的jody brazil表示，這并沒(méi)有例外，大多數(shù)大型企業(yè)往往在其風(fēng)險(xiǎn)評(píng)估中忽視關(guān)鍵資產(chǎn)和評(píng)估指標(biāo)。他表示，“其中最常見(jiàn)的問(wèn)題是識(shí)別漏洞為風(fēng)險(xiǎn)，而沒(méi)有其他信息，例如可能供應(yīng)對(duì)數(shù)據(jù)的訪問(wèn)權(quán)限或者被利用，也可能將個(gè)人標(biāo)記為風(fēng)險(xiǎn)，而沒(méi)有對(duì)特定風(fēng)險(xiǎn)資產(chǎn)進(jìn)行標(biāo)記?！?大多數(shù)企業(yè)沒(méi)有追蹤其基礎(chǔ)設(shè)施資產(chǎn)來(lái)很好地評(píng)估它們。更重要的是，即使他們經(jīng)常評(píng)估的完整的數(shù)據(jù)集，但這通常是在單獨(dú)的孤島進(jìn)行，使其難以了解相互依存關(guān)系。 價(jià)格報(bào)價(jià)軟件開(kāi)發(fā)公司fpx高級(jí)運(yùn)營(yíng)總監(jiān)gregory blair表示，“有時(shí)