Ризик, загроза та невизначеність: як їх розрізняти

[bga68comp]

Терміни «ризик», «загроза» та «невизначеність» часто плутають. Однак вони позначають різні поняття.

Що таке невизначеність?

Невизначеність — стан, за якого бракує інформації для точного розуміння події, її ймовірності або можливих наслідків.

 
Простіше кажучи, ми не знаємо напевно:

• чи відбудеться певна подія;
• коли вона відбудеться;
• якими будуть її наслідки.

Приклад. Організація не знає, скільки часу триватиме впровадження нової інформаційної системи.

Позитивний і негативний вплив

• Позитивний вплив — наслідок невизначеності, який сприяє досягненню цілей.
• Негативний вплив — наслідок невизначеності, який перешкоджає досягненню цілей або завдає шкоди.

Приклад позитивного впливу. Нову систему впровадили раніше запланованого, завдяки чому організація скоротила витрати.
 
Приклад негативного впливу. Упровадження затрималося, що призвело до додаткових витрат і зриву строків.

Позитивний вплив: ISO чи NIST?

У ISO 31000 ризик визначено як вплив невизначеності на цілі. Такий вплив може бути:

• позитивним — створювати можливості;
• негативним — створювати загрози;
• одночасно позитивним і негативним.

У методиці оцінювання кіберризиків NIST SP 800-30 ризик розглядають переважно через негативний вплив — можливу шкоду організації, її системам, активам або людям.
 
Отже, поняття позитивного впливу ризику характерне насамперед для загального підходу ISO 31000. У сфері інформаційної безпеки NIST зосереджується на загрозах, шкоді та небажаних наслідках.

Чим ризик відрізняється від загрози?

Загроза — обставина або подія, яка потенційно може завдати шкоди.
Ризик — поєднання ймовірності реалізації загрози та тяжкості її можливих наслідків.

Приклад:

• джерело загрози — зловмисник;
• загроза — несанкціонований доступ до системи;
• вразливість — слабкий пароль і відсутність багатофакторної автентифікації;
• ризик — можливість того, що зловмисник використає цю вразливість, отримає доступ до системи та викраде дані.

Як запам’ятати?

• Невизначеність — чого ми не знаємо напевно.
• Загроза — що може завдати шкоди.
• Вразливість — що дає змогу загрозі реалізуватися.
• Ризик — наскільки ймовірною є шкода та наскільки тяжкими будуть її наслідки.

Джерела

• ISO 31000:2018. Risk management — Guidelines
• ISO Online Browsing Platform (OBP). ISO 31000:2018. Terms and definitions: risk
• NIST SP 800-30 Rev. 1. Guide for Conducting Risk Assessments
• NIST CSRC Glossary: risk
• NIST CSRC Glossary: Impact

🪟 На стартову сторінку