Что такое система оценки рисков (raf)? - определение из техопедии

Определение - Что означает Система оценки рисков (RAF)?

Система оценки рисков (RAF) - это подход к расстановке приоритетов и обмену информацией о рисках безопасности для организации, занимающейся информационными технологиями. Информация должна быть представлена ​​так, чтобы ее могли понять как нетехнический, так и технический персонал в группе. Взгляд на RAF оказывает помощь организациям в выявлении и определении в системе как областей с низким, так и высоким уровнем риска, которые могут быть подвержены злоупотреблениям или атакам.

Техопедия объясняет рамки оценки рисков (RAF)

Данные, которые предоставляют RAF, полезны для устранения потенциальных угроз и планирования затрат и бюджетов. Многие RAF уже приняты в качестве стандартов в нескольких отраслях. Несколько примеров включают в себя оценку эксплуатационной критической угрозы, активов и уязвимостей (OCTAVE) от группы по готовности к компьютерным чрезвычайным ситуациям, контрольные задачи для информационной и смежной технологии (COBIT) из Ассоциации аудита и контроля информационных систем и руководство по управлению рисками для Информационные технологии систем от Национального института стандартов.

Как и в других системах, существуют рекомендации по созданию RAF, которым необходимо следовать:

• Инвентаризация и категоризация: сгруппируйте информационные системы, внутренние или внешние, в категории и дифференцируйте их процессы.
• Выявление потенциальных рисков: ищите угрозы, уязвимости и риски, с которыми может столкнуться система. В дополнение к атакам вредоносных программ следует учитывать природные явления, такие как бедствия или перебои в подаче электроэнергии.
• Внедрить и оценить: на основе обсуждения потенциальных рисков внедрить соответствующие меры безопасности для защиты данных. Оцените и задокументируйте выводы о том, как контроли функционируют и способствуют снижению риска.
• Авторизация и мониторинг. Авторизуйте операции системы, определив процедуру, риск для организационных операций и активов, индивидуальные сильные и слабые стороны и другие факторы, которые будут способствовать благополучию операций. Мониторинг мер безопасности - это непрерывный процесс, который включает оценку эффективности мер безопасности, документирование изменений, реализацию обсуждаемых решений и представление состояния системы соответствующему персоналу организации.