نحوه طراحی ماتریس ریسک؛ راهنمای ۵×۵ با مثال واقعی

ماتریس ریسک ابزار ساده‌ای به نظر می‌رسد: احتمال در یک محور، اثر در محور دیگر و چند خانه رنگی. اما اگر تعریف سطوح روشن نباشد، دو ارزیاب برای یک سناریو دو امتیاز کاملاً متفاوت می‌دهند. کیفیت ماتریس بیشتر از رنگ‌ها به تعریف معیارها وابسته است.

مرحله اول: مقیاس را انتخاب کنید

برای بسیاری از سازمان‌ها مقیاس ۵×۵ قابل فهم است، اما اجباری نیست. آنچه اهمیت دارد این است که هر سطح احتمال و اثر تعریف قابل مشاهده داشته باشد. «زیاد» و «کم» به‌تنهایی معیار نیستند.

نمونه تعریف احتمال

اثر را فقط مالی نبینید

برای فناوری اطلاعات و امنیت، اثر می‌تواند توقف خدمت، افشای اطلاعات، پیامد حقوقی، آسیب اعتباری یا اختلال عملیاتی باشد. بهتر است سازمان برای هر سطح، نمونه قابل فهم تعریف کند و قاعده تجمیع ابعاد اثر را نیز روشن سازد.

نمونه ماتریس ۵×۵

مرز سطح پایین، متوسط، بالا و بحرانی باید توسط خود سازمان بر اساس اشتهای ریسک و نوع کسب‌وکار تعیین شود. کپی‌کردن آستانه یک سازمان دیگر، فقط ظاهر استاندارد ایجاد می‌کند.

سناریو: آسیب‌پذیری روی سرور عمومی

فرض کنید آسیب‌پذیری مهمی روی یک سرویس اینترنتی وجود دارد. اگر سرویس حیاتی، در معرض اینترنت و دارای داده حساس باشد، اثر و احتمال با یک سرور آزمایشگاهی یکسان نیست. ماتریس زمانی معنا دارد که زمینه سناریو در ارزیابی لحاظ شود.

ریسک ذاتی و باقیمانده را جدا امتیاز دهید

ابتدا ریسک را بدون اتکا به کنترل‌های موجود بسنجید، سپس کنترل‌های واقعی و اثربخشی آن‌ها را بررسی کنید و ریسک باقیمانده را ثبت کنید. این کار نشان می‌دهد کنترل‌ها چه تغییری ایجاد کرده‌اند.

ماتریس ریسک در MedaGRC

در مدیریت ریسک MedaGRC امتیاز باید در کنار Owner، کنترل و برنامه پاسخ دیده شود. ماتریس به‌تنهایی تصمیم نیست؛ یک ورودی برای اولویت‌بندی است.

سخن پایانی

ماتریس ریسک خوب باعث نمی‌شود همه با هم موافق باشند؛ باعث می‌شود دلیل اختلاف روشن باشد. اگر تعریف احتمال و اثر دقیق باشد، بحث از «حس من این است» به «شواهد ما برای این امتیاز چیست» منتقل می‌شود.