إدارة المخاطر Risk Management

إدارة المخاطر Risk Management

المرشد

بشكل عام يمكن أن نقول أن الخطورة (ريسك Risk) هي احتمال حدوث شئ سئ. ونقاط الضعف (فولنرابيليتيز Vulnerabilities) هي ما يمكن استغلاله لالحاق الأذى. أما التهديدات (ثريت Threats) هي اي شئ يمكن أن يسبب الأذى.

مثلا في بناء طابقي لا يحتوي على عدد كافي من مطافئ الحريق ولا يحوي مخارج طوارئ في كل طابق, تكون الخطورة هي احتمال وقوع ضحايا في البناء, وتكون نقاط الضعف عدم وجود مطافئ حريق كافية وعدم وجود مخارج طوارئ, ويكون التهديد هو وجود مواد قابلة للاشتعال في المبنى كلأثاث الخشبي والسجاد أو كبلات كهربائية مهترئة ممكن أن تشعل شرارة تؤدي لحريق.

بالتالي يمكن تعريف إدارة الخطورة على أنها عملية تحديد نقاط الضعف والتهديدات الممكنة على المعلومات الخاصة بشخص ما أو بمؤسسة ما أو منظمة وتحديد الإجراءات المضادة واتباعها لانقاص الخطورة إلى حد مقبول بالنسبة لشروط العمل الموضوعية كالتكلفة والوقت والإمكانيات التقنية المتاحة.

بالعودة لمثالنا, إدارة الخطورة هي تحديد التهديدات الممكنة كوجود الكبلات الكهربائية المهترئة. وتحديد الاجراءات المضادة مثل صيانة الكبلات بالإضافة لوضع مطافئ حريق كافية وهكذا.

هنا تجدر الإشارة إلى:

1. أن عملية تحديد نقاط الضعف والتهديدات الممكنة على المعلومات يجب أن تكون عملية مستمرة ومتكررة. فطالما هناك معلومات يجب ضمان أمنه يجب ألا تتوقف عملية تحديد نقاط الضعف. لأن التهديدات الممكنة دائمة التجدد والتغير. فالتطورات التقنية مثلا تتيح المجال لاستغلال ثغرات لم يكن لها اعتبار بسبب غياب التقنية اللازمة.
2. اختيار الاجراءات المضادة لانقاص الخطورة يجب أن يحقق توازن بين انتاجية المؤسسة والتكاليف والخطورة.
3. لا يمكن تحديد كل المخاطر بالتالي لا يمكن أيضا الاستعداد لكل المخاطر.

أيضا من المفيد أن نذكر أن المخاطر على أمن المعلومات لفرد أو منظمة تزيد كلما زاد اعتماد الفرد أو المؤسسة على تقنيات العالم الرقمي. فكل تقنية جديدة تستخدمها المؤسسة أو يستخدمها الفرد في مهامه تحمل عددا جديدا من نقاط الضعف يضاف إلى نقاط الضعف الموجودة أساسا. ما يزيد بالتالي المخاطر ومعها التهديدات.

يجب إذا قبل إستخدام أو إدخال أية تقنية إلى عمل الفرد أو المؤسسة دراسة تأثيرها على مستوى الخطورة على أمن المعلومات الرقمية العام.