RISK MANAGEMENT AND THE RMF Risk ma

RISK MANAGEMENT AND THE RMF
Risk management and the risk management framework seem to be the same thing,
but it is important to understand the distinction between the two. The risk management
process is specifically detailed by NIST in three different volumes. NIST SP
800-30, Guide for Conducting Risk Assessments, provides an overview of how risk
management fits into the system development life cycle (SDLC) and describes how
to conduct risk assessments and how to mitigate risks. NIST SP 800-37 discusses the
risk management framework that is the subject of this book; the guide is discussed in
great detail in coming chapters. Finally, NIST SP 800-39, Managing Information
Security Risk, defines the multi-tiered, organization-wide approach to risk management
that is discussed in this chapter.
The older certification and accreditation (C&A) process had a number of shortcomings,
including looking at risk only from the information systems perspective.
This view focused on evaluating risks as they impacted a specific system, in a vacuum
and does not address how the systems risks will impact larger business unit or
the organization itself. In developing the RMF, members of the Joint Task Force
Transformation Initiative, including members from NIST, determined that the best
approach to risk management is to view risks at not only the system level, but also at
the business unit level and the organizational level. This approach includes determining
how the organizational risk picture may be impacted if a specific system is placed
into the production environment. This evaluation takes place at three levels: the
organizational level, or tier 1; the mission and business process level, or tier 2;
and the system level, or tier 3, as illustrated in Figure 3-1. This holistic, multi-tiered,
organizational view of risk assists senior leaders in determining how to effectively
and efficiently manage risk in the most cost-effective manner across the entire
organization

ผลลัพธ์ (ไทย) 1:

การบริหารความเสี่ยงและ RMF การบริหารความเสี่ยงและกรอบการบริหารความเสี่ยงที่ดูเหมือนจะ เป็นสิ่งเดียวกันแต่สิ่งสำคัญคือต้องเข้าใจความแตกต่างระหว่างทั้งสอง การบริหารความเสี่ยงโดยเฉพาะกระบวนการละเอียด โดย NIST ในปริมาณแตกต่างกันสาม NIST SP800-30 คู่มือการประเมินความเสี่ยงดำเนินการ แสดงภาพรวมของวิธีความเสี่ยงจัดการใส่เข้าไปในวงจรชีวิตการพัฒนาระบบ (SDLC) และอธิบายวิธีการดำเนินการประเมินความเสี่ยงและวิธีการลดความเสี่ยง NIST SP 800-37 กล่าวถึงการกรอบการบริหารความเสี่ยงที่เป็นชื่อเรื่องของหนังสือเล่มนี้ แนะนำระบุไว้ในรายละเอียดที่ดีในบทมา สุดท้าย NIST SP 800-39 การจัดการข้อมูลปลอดภัย กำหนดวิธีหลายชั้น ทั่ว ทั้งองค์กรเพื่อการบริหารจัดการที่กล่าวถึงในบทนี้อายุใบรับรองและการรับรอง (C & A) การมีตัวเลขแสดงรวมถึงมองความเสี่ยงเฉพาะจากมุมมองของระบบข้อมูลมุมมองนี้เน้นการประเมินความเสี่ยงเป็นผู้รับผลกระทบระบบเฉพาะ ในสุญญากาศและว่าความเสี่ยงของระบบจะส่งผลกระทบต่อหน่วยธุรกิจขนาดใหญ่ หรือองค์กรตัวเอง ในการพัฒนาสมาชิกของการร่วมงานกองทัพ RMFริเริ่มการแปลง รวมถึงสมาชิกจาก NIST กำหนดที่ดีสุดวิธีการบริหารความเสี่ยงคือการ ดูความเสี่ยงที่ไม่เพียงแต่ระดับระบบ แต่ยังระดับหน่วยธุรกิจและระดับองค์กร วิธีการนี้มีการกำหนดว่าอาจได้รับผลกระทบความเสี่ยงองค์กรรูปภาพว่าถ้าวางระบบเฉพาะในสภาพแวดล้อมการผลิต ประเมินนี้เกิดขึ้นในระดับที่สาม: การระดับองค์กร หรือระดับ 1 ภารกิจ และระดับกระบวนการธุรกิจ หรือชั้นที่ 2และระดับระบบ หรือระดับ 3 ดังที่แสดงในรูป 3-1 แบบองค์รวมนี้ หลาย ขนาดมุมมององค์กรความเสี่ยงช่วยให้ผู้นำอาวุโสในการกำหนดวิธีการได้อย่างมีประสิทธิภาพและจัดการความเสี่ยงอย่างมีประสิทธิภาพอย่างคุ้มค่าที่สุดในทั้งหมดองค์กร

ผลลัพธ์ (ไทย) 3:

การบริหารจัดการความเสี่ยงและการบริหารจัดการความเสี่ยง และ RMF
กรอบบริหารความเสี่ยงดูเหมือนจะเหมือนกัน
แต่มันเป็นสิ่งสำคัญที่จะเข้าใจความแตกต่างระหว่างสอง กระบวนการบริหารจัดการความเสี่ยงโดยเฉพาะ
รายละเอียดโดย NIST ในสามปริมาณที่แตกต่างกัน NIST SP
800-30 , คู่มือสำหรับการดำเนินการประเมินความเสี่ยง ให้ภาพรวมของวิธีการเสี่ยง
การจัดการที่เหมาะสมกับวงจรการพัฒนาระบบ ( SDLC ) และอธิบายถึงวิธีการ
ดำเนินการการประเมินความเสี่ยงและวิธีการลดความเสี่ยง NIST SP 800-37 กล่าวถึง
กรอบบริหารความเสี่ยงที่เป็นหัวข้อของหนังสือเล่มนี้คือคู่มือที่กล่าวถึงในรายละเอียดในบท
มา ในที่สุด , NIST SP 800-39 การจัดการความเสี่ยงความปลอดภัยข้อมูล
, กำหนดระบบหลายวิธีการกว้างองค์กรความเสี่ยงที่กล่าวถึงในบทนี้
.
พี่รับรองและการรับรอง ( C & ) กระบวนการมีจำนวนของจุดอ่อน
รวมทั้งมองความเสี่ยงเพียงจากมุมมองของระบบสารสนเทศ
มุมมองนี้มุ่งเน้นไปที่การประเมินความเสี่ยงที่พวกเขาได้รับผลกระทบระบบเฉพาะในสูญญากาศ
และไม่มีที่อยู่แล้วระบบความเสี่ยงจะต่อหน่วยธุรกิจใหญ่หรือ
องค์กรนั่นเอง ในการพัฒนาเพื่อสมาชิกร่วมมือ
งานริเริ่มการเปลี่ยนแปลง รวมถึงสมาชิกจาก NIST , ตัดสินใจว่าวิธีที่ดีที่สุด
การบริหารความเสี่ยงคือเพื่อดูความเสี่ยงที่ไม่เพียง แต่ในระดับของระบบ แต่ยังที่
ระดับหน่วยธุรกิจและระดับองค์การวิธีการนี้รวมถึงการกำหนด
วิธีลดความเสี่ยงองค์กรภาพอาจได้รับผลกระทบหากระบบที่เฉพาะเจาะจงอยู่
ในสภาพแวดล้อมการผลิต การประเมินนี้จะเกิดขึ้นใน 3 ระดับ :
ระดับองค์กร หรือระดับ 1 ; ภารกิจและกระบวนการทางธุรกิจระดับหรือชั้นที่ 2 ;
และระดับระบบ หรือ Tier 3 ดังแสดงในรูปที่ 3-1 นี้แบบองค์รวมหลายฉัตร
, ,มุมมององค์กรความเสี่ยงช่วยให้ผู้นำอาวุโสในการกำหนดวิธีการได้อย่างมีประสิทธิภาพและมีประสิทธิภาพการจัดการ
ความเสี่ยงในลักษณะที่ประหยัดต้นทุนมากที่สุดทั่วทั้งองค์กร