Què és un marc d’avaluació de riscos (RAF)? - Definició de tecnologia

Definició: què significa el marc d’avaluació de riscos (RAF)?

Un marc d’avaluació de riscos (RAF) és un enfocament per prioritzar i compartir informació sobre els riscos per a la seguretat que comporta una organització de tecnologia de la informació. La informació s’ha de presentar de manera que el personal no tècnic i tècnic del grup pugui entendre. El punt de vista del RAF proporciona assistència a les organitzacions per identificar i localitzar zones del baix i d’alt risc del sistema que puguin ser susceptibles d’abusos o atacs.

Techopedia explica el marc de valoració de riscos (RAF)

Les dades que proporcionen les RAF són beneficioses per fer front a possibles amenaces, planificar els costos i els pressupostos. Moltes RAF ja són acceptades com a estàndards en diverses indústries. Alguns exemples són l’avaluació de la amenaça, l’actiu i la vulnerabilitat de la crítica (OCTAVE) operacionalment de l’equip de preparació d’emergència per ordinador, els objectius de control d’informació i tecnologia relacionada (COBIT) de l’Associació d’Auditoria i Control de Sistemes d’Informació i la Guia per a la gestió del risc. Sistemes de Tecnologies de la Informació de l'Institut Nacional de Normes.

Igual que altres marcs, hi ha directrius per crear RAF que cal seguir:

• Inventari i categorització: agrupa els sistemes d'informació, interns o externs, en categories i diferencien els seus processos.
• Identifiqueu riscos potencials: busqueu amenaces, vulnerabilitats i riscos amb el sistema. A més dels atacs de programari maliciós, cal tenir en compte esdeveniments naturals, com ara calamitats o apagaments.
• Implementar i avaluar: a partir de la discussió de possibles riscos, implementem controls de seguretat corresponents per a la seguretat de les dades. Avaluar i documentar les conclusions sobre el funcionament dels controls i contribuir a la reducció del risc.
• Autoritzar i supervisar: autoritzar les operacions del sistema mitjançant la determinació del procediment, el risc per a les operacions i els actius organitzatius, els punts forts i febles individuals i altres factors que contribueixin al benestar de les operacions. El control dels controls de seguretat és un procés continu que inclou l'avaluació de l'efectivitat dels controls de seguretat, documentació dels canvis, implementació de les solucions discutides i presentació de l'estat del sistema al personal organitzatiu adequat.