Risk Analysis10.14 The extent of se

Risk Analysis
10.14 The extent of security measures required to be put in place depends on an
assessment of risks and the perceived impact of these risks on business. The countermeasures
would also depend on the extent of damage that these risks can pose to
business and the estimated financial implication of such counter-measures. Risk
analysis is not a one-time effort and needs to be carried out at periodic intervals in
order to factor in changes taking place in technology, new threats emerging and the
vulnerability of IT systems to such threats and the need to ensure that the current
controls in place are working effectively.
10.15 Risk analysis involves:
• business modelling to determine which information systems support which
business functions;
• impact analysis to determine the sensitivity of key business functions to a
breach of confidentiality, integrity or availability;
• dependency analysis to determine points of access to information systems and
assets that must be in place to deliver a service to a business function; and
• threat and vulnerability analysis to determine points of weakness in the
system configuration and the likelihood of events that would exploit the
weaknesses identified to cause impacts in terms of a breach of confidentiality,
integrity or availability.
10.16 The following diagram illustrates the relationship between the various aspects
of security that need to be considered in order to reduce the risk to an acceptable level:

ผลลัพธ์ (ไทย) 1:

วิเคราะห์ความเสี่ยง10.14 ขนาดจำเป็นต้องมีมาตรการรักษาความปลอดภัยขึ้นอยู่กับการการประเมินความเสี่ยงและรับรู้ผลกระทบของความเสี่ยงในธุรกิจเหล่านี้ วิธีการรับมือที่ยังต้องขึ้นอยู่กับขอบเขตของความเสียหายซึ่งความเสี่ยงเหล่านี้สามารถก่อให้เกิดการธุรกิจและเนื่องจากการเงินประเมินมาตรการปราบปรามดังกล่าว ความเสี่ยงวิเคราะห์ไม่พยายามเพียงครั้งเดียว และต้องดำเนินการในช่วงเวลางวดในสั่งให้ปัจจัยในการเปลี่ยนแปลงขึ้นเทคโนโลยี ภัยคุกคามใหม่ ๆ ที่เกิดขึ้นและช่องโหว่ของระบบเป็นการคุกคามดังกล่าวและต้องให้แน่ใจว่าปัจจุบันควบคุมในสถานที่ทำงานได้อย่างมีประสิทธิภาพ10.15 เกี่ยวข้องกับการวิเคราะห์ความเสี่ยง:•ธุรกิจแบบจำลองในการกำหนดระบบสารสนเทศที่สนับสนุนการฟังก์ชันทางธุรกิจวิเคราะห์ผลกระทบในการกำหนดความไวของฟังก์ชันทางธุรกิจที่สำคัญเพื่อการละเมิดความลับ ความสมบูรณ์ หรือความพร้อมใช้ งาน•วิเคราะห์อ้างอิงเพื่อกำหนดจุดการเข้าถึงสารสนเทศ และสินทรัพย์ที่ต้องอยู่ในสถานที่ให้บริการการทำธุรกิจ และ•ภัยคุกคามและช่องโหว่วิเคราะห์เพื่อกำหนดจุดของความอ่อนแอในการตั้งค่าคอนฟิกระบบและความเป็นไปได้ของเหตุการณ์ที่จะใช้ประโยชน์ในจุดอ่อนที่ระบุเพื่อทำให้เกิดผลกระทบในแง่ของการละเมิดการรักษาความลับความสมบูรณ์หรือความพร้อมใช้งาน10.16 แผนภาพแสดงความสัมพันธ์ระหว่างด้านต่าง ๆรักษาความปลอดภัยที่จำเป็นต้องพิจารณาเพื่อลดความเสี่ยงกับระดับการยอมรับ:

ผลลัพธ์ (ไทย) 2:

การวิเคราะห์ความเสี่ยง
10.14 ขอบเขตของมาตรการรักษาความปลอดภัยที่จำเป็นที่จะใส่ในสถานที่ขึ้นอยู่กับ
การประเมินความเสี่ยงและผลกระทบการรับรู้ของความเสี่ยงเหล่านี้ในธุรกิจ มาตรการ
นี้ยังจะขึ้นอยู่กับขอบเขตของความเสียหายที่ความเสี่ยงเหล่านี้สามารถก่อให้เกิดการ
ดำเนินธุรกิจและความหมายทางการเงินโดยประมาณของเช่นมาตรการตอบโต้ ความเสี่ยง
การวิเคราะห์ไม่ได้เป็นความพยายามครั้งเดียวและจะต้องมีการดำเนินการในช่วงระยะใน
การสั่งซื้อปัจจัยในการเปลี่ยนแปลงที่เกิดขึ้นในเทคโนโลยีภัยคุกคามใหม่ ๆ ที่เกิดขึ้นใหม่และ
ความเปราะบางของระบบไอทีกับภัยคุกคามดังกล่าวและจำเป็นที่จะต้องให้แน่ใจว่าในปัจจุบัน
การควบคุม ในสถานที่ทำงานได้อย่างมีประสิทธิภาพ
10.15 การวิเคราะห์ความเสี่ยงที่เกี่ยวข้องกับ:
การสร้างแบบจำลองทางธุรกิจ•เพื่อตรวจสอบว่าระบบข้อมูลสนับสนุนซึ่ง
ฟังก์ชั่นทางธุรกิจ
•การวิเคราะห์ผลกระทบที่จะตรวจสอบความไวของฟังก์ชั่นทางธุรกิจที่สำคัญในการ
ละเมิดการรักษาความลับความสมบูรณ์หรือความพร้อม;
การวิเคราะห์การพึ่งพา•เพื่อตรวจสอบ จุดการเข้าถึงระบบข้อมูลและ
สินทรัพย์ที่จะต้องอยู่ในสถานที่ที่จะส่งมอบบริการให้กับการทำงานทางธุรกิจ; และ
•ภัยคุกคามและการวิเคราะห์ความเสี่ยงเพื่อกำหนดจุดที่อ่อนแอใน
การกำหนดค่าของระบบและความน่าจะเป็นของเหตุการณ์ที่จะใช้ประโยชน์จาก
จุดอ่อนระบุที่จะทำให้เกิดผลกระทบในแง่ของการละเมิดการรักษาความลับ,
ความสมบูรณ์หรือความพร้อม
10.16 แผนภาพต่อไปนี้แสดงให้เห็นถึงความสัมพันธ์ระหว่าง แง่มุมต่าง ๆ
ของการรักษาความปลอดภัยที่จำเป็นต้องได้รับการพิจารณาในการที่จะลดความเสี่ยงในระดับที่ยอมรับ:

ผลลัพธ์ (ไทย) 3:

การวิเคราะห์ความเสี่ยง
10.14 ขอบเขตของมาตรการรักษาความปลอดภัยที่จำเป็นที่จะใส่ในสถานที่ที่ขึ้นอยู่กับการประเมินความเสี่ยง
และการรับรู้ผลกระทบของความเสี่ยงในธุรกิจ มาตรการแก้ไข
ก็ขึ้นอยู่กับขอบเขตของความเสียหายที่สามารถก่อให้เกิดความเสี่ยงเหล่านี้

ความหมายของธุรกิจและประมาณการทางการเงิน เช่น พลุล่อเป้า ความเสี่ยง
การวิเคราะห์ไม่ใช่ความพยายามเพียงครั้งเดียว และต้องดำเนินการในช่วงเวลาที่เป็นระยะ ๆเพื่อให้ปัจจัยในการเปลี่ยนแปลงใน
ถ่ายสถานที่ในเทคโนโลยีใหม่ , ภัยคุกคามที่เกิดขึ้นใหม่ และความอ่อนแอของระบบ
เช่นภัยคุกคาม และต้องแน่ใจว่า การควบคุมในปัจจุบัน
ในสถานที่ทํางานอย่างมีประสิทธิภาพ การวิเคราะห์ความเสี่ยงที่เกี่ยวข้องกับ :
-
บริการธุรกิจการตรวจสอบระบบสารสนเทศที่สนับสนุนหน้าที่ทางธุรกิจ
-
; การวิเคราะห์ผลกระทบต่อการตรวจสอบความไวของฟังก์ชั่นทางธุรกิจที่สำคัญกับ
การละเมิดการรักษาความลับสมบูรณ์หรือความพร้อม ;
- พึ่งพาการวิเคราะห์เพื่อกำหนดจุดของการเข้าถึงข้อมูลและระบบ
ทรัพย์สินที่ต้องอยู่ในสถานที่ให้บริการ ฟังก์ชั่น ธุรกิจ
; และ- ภัยคุกคามและการวิเคราะห์ความเสี่ยงเพื่อกำหนดจุดของความอ่อนแอใน
การกําหนดค่าระบบและโอกาสของเหตุการณ์ที่อาจใช้ประโยชน์จากจุดอ่อนที่ระบุสาเหตุ
ผลกระทบในแง่ของการละเมิดการรักษาความลับสมบูรณ์หรือความพร้อม
.
10.16 แผนภาพต่อไปนี้แสดงให้เห็นถึงความสัมพันธ์ระหว่าง
ด้านต่าง ๆความปลอดภัยที่ต้องพิจารณา เพื่อลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ :