systemy zarządzania bezpieczeństwem

Szacowanie ryzyka - całościowy proces analizy ryzyka i jego oceny.

"Organizacja powinna:

• określić metodykę szacowania ryzyka, która jest odpowiednia dla SZBI i zdefiniowanych biznesowych, prawnych i regulaminowych wymagań w zakresie bezpieczeństwa informacji
• opracować kryteria akceptowania ryzyka i zdefiniować akceptowalne poziomy ryzyka

Organizacja powinna wybrać taką metodykę szacowania ryzyka, aby kolejne szacowania ryzyka dawały porównywalne i powtarzalne wyniki."

Proces szacowania ryzyk składa sie z następujących elementów:

1. Wejście: podstawowe kryteria, zakres i granice,
2. Działanie: identyfikacja, estymacja, ewaluacja i  priorytyzacja ryzyk,
3. Wyjście: lista uporządkowanych według kryteriów ewaluacji ryzyk

Organizacja powinna zidentyfikować ryzyka, w tym:

• zidentyfikować aktywa w zakresie SZBI
• zidentyfikować właściciela (osobę lub jednostkę) aktywów, który formalnie odpowiada za wytwarzanie, rozwój, utrzymanie, użytkowanie i bezpieczeństwo aktywów
• zidentyfikować zagrożenia dla tych aktywów
• zidentyfikować podatności które mogą być wykorzystane przez zagrożenie
• zidentyfikować skutki jakie utrata poufności, integralności i dostępności może mieć dla aktywów