在企業(yè)試圖對IT的安然作出更好的決定計劃時，最首要的就是IT風(fēng)險評估。但是，當(dāng)然企業(yè)進行了風(fēng)險評估，但他們常常呈現(xiàn)一些弊端，從而大年夜大年夜降落了風(fēng)險評估的結(jié)果。下面是企業(yè)需要避免的10個風(fēng)險評估弊端。
1. 健忘評估第三方風(fēng)險
大年夜大都IT風(fēng)險專家都覺得，此刻大年夜部門企業(yè)都沒有評估供給商和其他合作火伴的根本舉措措施的風(fēng)險，而這些根本舉措措施凡是會觸及企業(yè)最敏感的的數(shù)據(jù)。
咨詢公司SystemExperts公司副總裁Brad Johnson暗示，“良多企業(yè)做得不敷的方面是治理與第三方供給商的關(guān)系。當(dāng)企業(yè)沒有真正進行其盡職查詢拜訪(不管是在簽定合同之前仍是以后)，他們勢必將錯過關(guān)頭的細節(jié)信息，這將進步風(fēng)險。舉例來講，客戶公司可能不知道其供給商將其受規(guī)管的數(shù)據(jù)存儲在公共云中?！?/P>
2.評估過于量化
誠然，闡發(fā)和數(shù)字對風(fēng)險評估很是首要。但企業(yè)需要體味，這個數(shù)字游戲其實不需要過于尋求完美，出格是當(dāng)觸及評估安然泄漏變亂的影響時。
“對安然變亂影響的評估可讓企業(yè)更等閑地會商和存眷若何減緩風(fēng)險，而不是花大年夜量時候來會商這類影響是價值2000萬美元仍是21000美元，”Tripwire公司首席手藝官Dwayne Melancon暗示，“在你肯定變亂影響是災(zāi)害性的、令人疾苦的，或沒甚么大年夜不了的，你便可以很好地會商你想要花多少錢來減緩最嚴(yán)重的風(fēng)險?！?/P>
過度闡發(fā)可能會拖垮全部評估過程，企業(yè)應(yīng)當(dāng)避免花太久時候來進行風(fēng)險分類等工作。Citrix ShareFile的SaaS分部安然和合規(guī)性高級經(jīng)理Manny Landron暗示，還有些定性風(fēng)險身分，企業(yè)需要想編制納進評估中。 “過于狹隘的核心、采取嚴(yán)格的定量測量、沒有一個框架，和沒有足夠的按期打算的風(fēng)險評估都是企業(yè)需要避免的弊端。”
3.評估的目光過于短淺
防火墻治理公司FireMon的Jody Brazil暗示，這并沒有例外，大年夜大都大年夜型企業(yè)常常在其風(fēng)險評估中忽視關(guān)頭資產(chǎn)和評估指標(biāo)。他暗示，“此中最多見的標(biāo)題問題是辨認(rèn)縫隙為‘風(fēng)險’，而沒有其他信息，例如可能供給對數(shù)據(jù)的拜候權(quán)限或被操縱，也可能將小我標(biāo)識表記標(biāo)幟為‘風(fēng)險’，而沒有對特定風(fēng)險資產(chǎn)進行標(biāo)識表記標(biāo)幟?！?/P>
大年夜大都企業(yè)沒有追蹤其根本舉措措施資產(chǎn)來很好地評估它們。更首要的是，即便他們常常評估的完全的數(shù)據(jù)集，但這凡是是在伶仃的孤島進行，使其難以體味彼此依存關(guān)系。
代價報價軟件開辟公司FPX高級運營總監(jiān)Gregory Blair暗示，“有時辰評估側(cè)重于很是特定的利用法度，可是沒有放眼全部根本舉措措施，例如，評估可能只會查抄呵護數(shù)據(jù)庫的利用法度，而沒有查抄全部計較節(jié)制，例如加密、防火墻、身份驗證和授權(quán)等。”
4. 評估沒有考慮營業(yè)布景
IT風(fēng)險評估美滿是關(guān)于布景常識，不管是上文提到的系統(tǒng)環(huán)境仍是營業(yè)環(huán)境。假定企業(yè)未將縫隙和威脅加進到信息資產(chǎn)的布景常識中，其對營業(yè)的首要性就不克不及真正反應(yīng)在風(fēng)險評估中。
大年夜數(shù)據(jù)風(fēng)險闡發(fā)公司Brinqa的Amad Fida暗示，“在評估風(fēng)險時，良多時辰，首席信息安然官貧乏對營業(yè)布景的體味。換句話說，他們需要扣問，‘甚么數(shù)據(jù)被拜候了和這它對營業(yè)的影響力?’沒有考慮營業(yè)方面的闡發(fā)成果供給了一個手藝不雅點，而不是營業(yè)加手藝的不雅點。”
5. 未將IT風(fēng)險評估納進到企業(yè)評估
一樣地，企業(yè)需要體味IT風(fēng)險與所有其他風(fēng)險的彼此感化。凡是，企業(yè)將IT風(fēng)險視為本身的風(fēng)險類別，而沒有考慮其更遍及的影響。
SystemExperts的Johnson暗示，“愈來愈多的風(fēng)險意識企業(yè)意想到IT是其營業(yè)成功的構(gòu)成部門，他們都在盡力確保讓IT介入到營業(yè)風(fēng)險談話中，良多企業(yè)都有跨本能機能團隊，他們從整體來查抄風(fēng)險以更好地體味依存關(guān)系，這些團隊會建議從營業(yè)的角度企業(yè)應(yīng)當(dāng)側(cè)重的風(fēng)險?！?/P>
6. 沒有進行評估和健忘評估
專家警告稱，此刻企業(yè)做的風(fēng)險評估常常不敷。而這是應(yīng)對不竭改變的威脅環(huán)境的獨一編制。Rook咨詢公司安然參謀Luke Klink暗示：“按期履行風(fēng)險評估讓企業(yè)治理人員可以有效地操縱其安然預(yù)算。經(jīng)由過程進行具體的風(fēng)險評估，我們不再需要操縱“遍地開花式、祈求式(spray and pray)的呵護編制，而是以實際的編制履行真實的風(fēng)險治理?！?/P>
此刻最進步前輩的企業(yè)正在遵循NIST編制來進行延續(xù)監(jiān)測，來更好地體味環(huán)境和改進評估距離。他暗示，“這類編制供給了更好的風(fēng)險可視性、響應(yīng)預(yù)備程度，并最大年夜限度地削減整體風(fēng)險，在實際中，安然風(fēng)險ing顧應(yīng)當(dāng)延續(xù)進行，乃至嵌進到企業(yè)的事務(wù)響應(yīng)治理過程，每個事務(wù)城市觸發(fā)高層次的風(fēng)險評估。假定發(fā)現(xiàn)關(guān)頭風(fēng)險，企業(yè)將可以履行更具體的風(fēng)險評估?！?/P>
7.過于依托評估東西
幫忙企業(yè)延續(xù)監(jiān)測IT資產(chǎn)的主動化東西不該該是風(fēng)險評估的全數(shù)。因為有些風(fēng)險必需要經(jīng)由過程手動滲入測試深進發(fā)掘才可以或許被發(fā)現(xiàn)。Rhino Security嘗試室量和初創(chuàng)人兼首席參謀Benjamin Caudill暗示：“凡是環(huán)境下，最首要的風(fēng)險只能經(jīng)由過程專門的手動闡發(fā)被發(fā)現(xiàn)，例如網(wǎng)站的邏輯缺點。首席信息安然官應(yīng)當(dāng)寄望這個標(biāo)題問題，因為過于依托風(fēng)險評估東西會給帶來子虛的安然感，不克不及找出某些縫隙?！?/P>
8. 履行以縫隙為中間的評估
當(dāng)企業(yè)評估手藝縫隙來肯定風(fēng)險時，他們常常健忘，數(shù)據(jù)本身的安然性或不服安性才是風(fēng)險身分，而不是承載數(shù)據(jù)的系統(tǒng)。
Imperva公司安然計謀主管Barry Shteiman暗示，“風(fēng)險評估凡是是以縫隙為中間的，而不是以數(shù)據(jù)為中間，IT凡是選擇呵護包含數(shù)據(jù)的平臺，而沒有真正體味系統(tǒng)中包含哪些數(shù)據(jù)，和誰正在拜候或拜候過這些數(shù)據(jù)?！?/P>
企業(yè)應(yīng)當(dāng)服膺，在內(nèi)部收集根本舉措措施上的縫隙風(fēng)險身分帶來的影響可能比不上拜候IP和傳染IP的用戶帶來的風(fēng)險。
9. 健忘衡量人的風(fēng)險
Green Armor Solutions公司首席履行官Joseph Steinberg暗示，一樣地，企業(yè)必需記住，系統(tǒng)和軟件縫隙只是風(fēng)險評估的一個組件。沒有考慮人類行動模式對風(fēng)險的影響可能會導(dǎo)致最終風(fēng)險評估成果無效。例如，風(fēng)險評估可能會確認(rèn)只有準(zhǔn)確的人可以或許拜候敏感的數(shù)據(jù)，但是，評估可能不會是不是進行了評估員工培訓(xùn)來呵護數(shù)據(jù)。
10.健忘考慮設(shè)備的物理安然性
當(dāng)企業(yè)運行其評估時，常常被忽視的一個標(biāo)題問題是物理安然性。舉措措施的物理安然凡是會直接影響內(nèi)部的手藝資產(chǎn)。物理安然性不但影響著員工的安然、設(shè)備或硬拷貝數(shù)據(jù)資產(chǎn)的安然，并且還可能被用來植進奧秘設(shè)備來承諾報復(fù)打擊者長途策動報復(fù)打擊。