सूचना सुरक्षा जोखिम प्रबंधन सुरक्षा मुद्दों की खोज, सुधार और रोकथाम की एक सतत प्रक्रिया है। जोखिम मूल्यांकन किसी संगठन की जोखिम प्रबंधन प्रक्रिया का एक अनिवार्य हिस्सा है, जिसे उसके डेटा सिस्टम और डेटा के लिए उचित सुरक्षा स्तर का समर्थन करने के लिए डिज़ाइन किया गया है।
जोखिम की अवधारणा
जोखिम मूल रूप से वह सब कुछ है जो किसी संगठन के अपने मिशन को लागू करने की क्षमता को खतरे में डालता है या सीमित करता है। जोखिम प्रबंधन सतत और विकसित होने वाली प्रक्रियाओं का एक समूह होना चाहिए जिसका उपयोग पूरे संगठन के दृष्टिकोण में किया जाता है और जो पिछली, वर्तमान और भविष्य की गतिविधियों से जुड़े जोखिमों को व्यवस्थित रूप से संबोधित करता है।
संगठनात्मक संदर्भ में जोखिम
किसी संगठन के सामने आने वाले सूचना सुरक्षा जोखिम, संगठन द्वारा कार्यान्वित प्रसंस्करण की प्रकृति और संसाधित डेटा की संवेदनशीलता के साथ भिन्न होते हैं। जोखिम की समझ और जोखिम मूल्यांकन पद्धति का अनुप्रयोग एक सुरक्षित कंप्यूटिंग वातावरण को कुशलतापूर्वक और प्रभावी ढंग से बनाने में सक्षम होने के लिए महत्वपूर्ण है।
जोखिम प्रबंधन प्रक्रिया
यह किसी संगठन द्वारा व्यावसायिक उद्देश्यों को लागू करने में उपयोग किए जाने वाले डेटा संसाधनों की कमजोरियों और खतरों की पहचान करने की प्रक्रिया है, और यह निर्धारित करना कि संगठन के लिए डेटा संसाधन के मूल्य के आधार पर जोखिम को स्वीकार्य स्तर तक कम करने के लिए कौन से प्रतिउपाय, यदि कोई हों, लिए जाने चाहिए। सफल जोखिम प्रबंधन के लिए संगठन के सभी स्तरों के कर्मचारियों की भागीदारी आवश्यक है।
समग्र दृष्टिकोण: एंटरप्राइज जोखिम प्रबंधन
एक सफल जोखिम प्रबंधन कार्यक्रम किसी संगठन को उसके सामने आने वाले जोखिमों की पूरी श्रृंखला पर विचार करने में मदद करता है। जोखिम प्रबंधन जोखिमों के बीच संबंध और उनके व्यापक प्रभाव को भी निर्धारित करता है जो किसी संगठन के रणनीतिक उद्देश्यों पर पड़ सकते हैं।
जोखिम को संभालने के इस समग्र दृष्टिकोण को एंटरप्राइज जोखिम प्रबंधन (ERM) के रूप में परिभाषित किया गया है क्योंकि यह पूरे संगठन में जोखिम का अनुमान लगाने और समझने पर जोर देता है। आंतरिक और बाहरी खतरों पर ध्यान केंद्रित करने के अलावा, ERM सकारात्मक जोखिम को संभालने के महत्व पर जोर देता है।
सकारात्मक जोखिम
सकारात्मक जोखिम वे अवसर हैं जो व्यावसायिक मूल्य को बढ़ा सकते हैं या, इसके विपरीत, यदि नहीं लिए गए तो संगठन को नुकसान पहुंचा सकते हैं। वास्तव में, जोखिम प्रबंधन कार्यक्रम का उद्देश्य सभी जोखिमों को समाप्त करना नहीं है, बल्कि स्मार्ट जोखिम निर्णय लेकर उद्यम मूल्य को संरक्षित करना और बढ़ाना है।
जोखिम प्रबंधन के तीन प्रकार
- परियोजना जोखिम - परियोजना जोखिम बजट, शेड्यूल, कर्मियों, संसाधन और उपयोगकर्ता-संबंधी समस्याओं के विभिन्न रूपों से संबंधित हैं। एक बुनियादी परियोजना जोखिम शेड्यूल स्लिपेज है। चूंकि सॉफ्टवेयर अमूर्त है, इसलिए सॉफ्टवेयर प्रोजेक्ट की निगरानी और नियंत्रण करना जटिल है। उस चीज़ को नियंत्रित करना जटिल है जिसे पहचाना नहीं जा सकता। कुछ विनिर्माण कार्यक्रमों, जैसे कारों के निर्माण में, योजना कार्यकारी उत्पाद को आकार लेते हुए देख सकता है।
- तकनीकी जोखिम - तकनीकी जोखिम संभावित डिजाइन, कार्यान्वयन, इंटरफेसिंग, परीक्षण और रखरखाव की समस्याओं से संबंधित हैं। इसमें अस्पष्ट विशिष्टता, अपूर्ण विशिष्टता, बदलती विशिष्टता, तकनीकी अनिश्चितता और तकनीकी अप्रचलन भी शामिल हैं। कुछ तकनीकी जोखिम विकास टीम के प्रोजेक्ट के बारे में अपर्याप्त ज्ञान के कारण उत्पन्न होते हैं।
- व्यावसायिक जोखिम - व्यावसायिक जोखिम में एक उत्कृष्ट उत्पाद बनाने का जोखिम शामिल है जिसकी किसी को आवश्यकता नहीं है, बजटीय या कर्मियों की प्रतिबद्धताओं को खोना, आदि।
