Zarządzanie ryzykiem IT - obalenie mitów

Przeczytaj także: Zarządzanie ryzykiem informatycznym

Z raportu wynika, że firmy, które działają najwydajniej, przyjęły podejście kompleksowe. Jednak wiele firm nie wdrożyło nawet najbardziej podstawowych mechanizmów zarządzania ryzykiem informatycznym, takich jak klasyfikacja i zarządzanie zasobami, a tylko 40 procent uczestników badania oceniło ich skuteczność na 75 procent lub więcej. Ponadto jedynie 34 procent ankietowanych wyznało, że dysponuje aktualną ewidencją urządzeń bezprzewodowych i przenośnych, które są niezbędne w nowoczesnym świecie biznesu.

Mit trzeci: sama technologia może zmniejszyć ryzyko informatyczne

Technologia odgrywa wprawdzie kluczową rolę w eliminowaniu zagrożeń, ale nie można zapominać o roli ludzi i procesów wspieranych przez technologię, również decydujących o skuteczności programu zarządzania ryzykiem informatycznym. Według raportu problemy dotyczące procesów stanowią przyczynę 53 procent incydentów informatycznych. Inne środki kontroli również spadły w rankingach w porównaniu z wynikami z poprzedniego raportu opracowanego przez Symantec rok temu. Na przykład skuteczność mechanizmów kontroli w zakresie szkoleń i wiedzy została oceniona na ponad 75 procent przez 50 procent respondentów w pierwszej części raportu, a w drugiej już tylko przez 43 procent osób.

Podobnie jak w pierwszej części raportu, teraz także odnotowano niewielki awans niskiego notowania mechanizmu kontroli klasyfikacji zasobów. Na koniec, tylko 43 procent badanych oceniło skuteczność zarządzania cyklem eksploatacji danych na „ponad 75 procent”, co stanowi spadek o 17 procent w stosunku do pierwszej części raportu. Niska efektywność tych mechanizmów zabezpieczeń sugeruje, że zasoby będą traktowane równorzędnie, a zatem część systemów, procesów i obiektów będzie nadmiernie zabezpieczona, a inne pozostaną niewystarczająco chronione przed zagrożeniami informatycznymi, co może być przyczyną dodatkowych kosztów i niskiej wydajności usług.

Mit czwarty: zarządzanie ryzykiem informatycznym to dziedzina naukowa

Z raportu jasno wynika, że zarządzanie ryzykiem informatycznym stanowi rozwijającą się dziedzinę biznesową, a nie przedmiot badań naukowych, ponieważ bazuje głównie na doświadczeniach osób i firm w zmieniającym się środowisku biznesowym i technologicznym. Coraz więcej osób ma świadomość, że zarządzanie zagrożeniami informatycznymi zawiera elementy sterowania ryzykiem operacyjnym, kontrolą jakości, infrastrukturą biznesową i zasobami informatycznymi. Charakteryzuje się jednak również procesami i technologiami specyficznymi dla branży informatycznej.

Różnice branżowe

Okazuje się, że spośród wszystkich branż respondenci działający w sektorze medycznym spodziewają się największej liczby tzw. incydentów informatycznych. Biorąc pod uwagę złożoność i „ludzki” charakter usług medycznych oraz konieczność zachowania zgodności z niezwykle restrykcyjnymi wymogami, wyniki te są dosyć niepokojące. Najwyższą notę w zakresie wdrażania mechanizmów zarządzania ryzykiem informatycznym osiągnęła branża telekomunikacyjna, a za nią uplasowały się sektory bankowy i finansowy. Za tym sukcesem stoją najprawdopodobniej surowe przepisy i skuteczne procedury zarządzania stosowane w tych branżach, a także troska o zabezpieczenie danych osobistych klientów.