Analiza konfiguracji

Aby program poprawnie analizował ryzyka, należy zweryfikować ustawienia aplikacji. Nawet drobna zmiana może powodować niepoprawne wyniki. Na tym etapie weryfikujemy, czy program jest skonfigurowany zgodnie z przyjętą metodyką. Punkty objęte weryfikacją:

• ustawienia macierzy wyliczających ryzyko,
• ustawienie progu ryzyka nieakceptowalnego,
• ustawienie progu, po którym ryzyka podlegać będą przeglądowi,
• ustawienie częstotliwości wykonywania przeglądów,
• ustawienie opisów poziomów  ocenianych atrybutów.

Analiza wprowadzonych ryzyk

Etap ten ma za zadanie weryfikację poprawności wprowadzonych ryzyk. Kontrolowana jest poprawność wprowadzanych ocen dla atrybutów bezpieczeństwa, weryfikowane są skutki dla danych osobowych, zastosowane są mechanizmy bezpieczeństwa oraz zaproponowane mechanizmy w planie postępowania z ryzykami.

W ramach tego etapu dokonujemy kontroli zgodności metodyki z konfiguracją aplikacji.

 

Analiza nowych ryzyk

Źródłem wiedzy o nowych ryzykach w środowisku teleinformatycznym są między innymi audyt infrastruktury teleinformatycznej oraz rejestr zdarzeń i incydentów.

Podczas audytu weryfikowane są ryzyka związane z:

• bezpieczeństwem fizycznym,
• bezpieczeństwem środowiskowym,
• bezpieczeństwem sieciowym,
• bezpieczeństwem serwerów i stacji roboczych,
• bezpieczeństwem usług dostępnych w Internecie,
• bezpieczeństwem ciągłości działania krytycznych procesów,
• bezpieczeństwem usług realizowanych przez podmioty zewnętrzne.

Analiza ryzyk organizacyjnych

W ramach okresowego przeglądu identyfikujemy nowe ryzyka, związane z realizacją procesów biznesowych. Posiłkując się dostępną dokumentacją i wywiadami realizujemy między innymi:

• analizę zgodności z wymaganiami prawnymi,
• analizę typów przetwarzanych informacji,
• analizy związane z retencją danych.

Raport z usługi

Ostatnim etapem jest raport zidentyfikowanych i poprawionych ryzyk. Podczas spotkania podsumowującego zalecenia są przekazywane kadrze kierowniczej. Domyślnie raport przekazywany jest w formie elektronicznej.