Rizikų vertinimas
Ne visos rizikos vienodos – svarbu žinoti, kurias spręsti pirmiausia. Vertinimas paverčia nerimą konkrečiu sąrašu su prioritetais.
Paruošta pagal ISO 27001NIS2 / TIS2DORA
- Turto inventorizacija
- Grėsmių identifikavimas
- Poveikio įvertinimas
Nuo bendro nerimo iki konkretaus sąrašo
Rizikų vertinimas paverčia neapibrėžtą nerimą konkrečiu sąrašu: kas gali nutikti, kokia tikimybė, kiek tai kainuotų ir ką galima padaryti.
Tai pagrindas, kurio reikalauja ir TIS2, ir DORA – ir kuris bet kuriuo atveju padeda protingai paskirstyti saugumo biudžetą. Turėdami rizikų registrą, sprendimus priimate pagal skaičius, o ne pagal tai, kuri grėsmė paskutinė pateko į naujienas.
Vertinimo eiga
Šeši žingsniai nuo turto sąrašo iki veiksmų plano, kurį galima pradėti vykdyti.
Turto inventorizacija
Grėsmių identifikavimas
Poveikio įvertinimas
Rizikų registras
Valdymo planas
Tiekėjų rizikos
Ataskaita vadovybei
Periodinė peržiūra
Dažniausiai užduodami klausimai (DUK)
Kuo rizikų vertinimas skiriasi nuo saugumo audito?
Auditas tikrina, kaip veikia tai, ką jau turite. Rizikų vertinimas žiūri plačiau: kokie scenarijai apskritai gali pakenkti veiklai, kokia jų tikimybė ir kokie nuostoliai. Praktikoje jie papildo vienas kitą – auditas pateikia faktus, vertinimas nustato prioritetus.
Ar rizikų vertinimo reikalauja TIS2 ir DORA?
Taip. Abu reglamentai remiasi rizikomis grįstu požiūriu, o dokumentuotas rizikų vertinimas yra vienas pirmųjų dalykų, kurio paprašoma įrodant atitiktį. Tai taip pat pagrindas, nuo kurio priklauso, kokių priemonių jums iš tiesų reikia.
Kas iš mūsų pusės turi dalyvauti?
Paprastai reikia žmogaus, išmanančio IT infrastruktūrą, ir žmogaus, išmanančio veiklos procesus. Vertingiausia informacija dažniausiai ateina ne iš IT, o iš tų, kurie žino, kas nutiktų verslui sustojus konkrečiai sistemai.
Kaip dažnai vertinimą reikia kartoti?
Įprastai kartą per metus, taip pat po reikšmingų pokyčių – naujos sistemos diegimo, veiklos plėtros ar rimto incidento. Tarp peržiūrų pakanka atnaujinti registrą, o ne kartoti visą procesą iš naujo.
Kompetencija, patvirtinta sertifikatais
Šią paslaugą teikia specialistai su galiojančiais tarptautiniais sertifikatais – kompetenciją patvirtino ne mes patys, o nepriklausomos organizacijos.
-
Certified in Risk and Information Systems Control
Rizikos vertinamos ir kontroliuojamos pagal tarptautinę IT rizikos metodiką.
-
Certified Information Systems Auditor
Auditas ir įrodymai pagal tarptautinius informacinių sistemų audito standartus.
-
ISACA Advanced in AI Risk
AI rizikos identifikuojamos ir valdomos kaip bet kuri kita IT rizika.
Užsisakykite rizikų vertinimą
Atsakome per 1 darbo dieną