مدیریت ریسک پروژه های فناوری اطلاعات

شکل زیر هفت مرحله مدیریت ریسک پروژه­های فناوری اطلاعات را نشان می­دهد که شامل برنامه­ ریزی ریسک، شناسایی ریسک، برآورد و تخمین ریسک، استراتژی­های برخورد با ریسک، کنترل و پایش ریسک، پاسخ به ریسک و ارزیابی ریسک می­گردد.

۱- برنامه ریزی ریسک:

در این مرحله باید لیست ذینفعان و تعهدات آنها برای مدیریت ریسک تهیه می­شود.

۲- شناسایی ریسک :

در این مرحله، دسته بندی ریسک از نظر نوع اثر و منشأ تولید آن و در نهایت لیست ریسک­های پیش­بینی شده برای پروژه سیستم ارائه می­شود.

• ریسک­ها از نظر نوع تأثیر، به سه دسته تقسیم بندی می­شوند:

جدول ۲-۱: تقسیم بندی ریسک­ها از نظر نوع تأثیر

نوع اثر	شرح
پروژه	ریسک­هایی که روی زمان­بندی و منابع پروژه اثر گذارند.
محصول	ریسک­هایی که روی کیفیت و کارایی نرم افزار اثر گذارند.
کسب و کار	ریسک­هایی که در توسعه سازمان اثرگذارند.

• منشأ و عواملی که برای ریسک­های پروژه­های فناوری اطلاعات و نرم­افزاری وجود دارند، می­توانند وابسته به عوامل مختلفی باشند:

جدول ۲-۲: منشأ ریسک

منشأ ریسک	شرح
فناوری	ریسک­هایی که در صورت ناکارآمد بودن فناوری مانند نرم­افزارها یا تجهیزات سخت افزاری حاصل می­شوند.
افراد	ریسک­های ناشی از افراد از جمله کاربران، تیم پروژه، کارمندان و …
سازمانی	ریسک­هایی که از سازمان نشأت می­گیرند؛ مانند عدم تعهد، تغییر در مدیریت و …
ابزار	ریسک­های ناشی از ابزارهای مورد استفاده
ملزومات	ریسک­های ناشی از عدم شناسایی درست نیازمندی­ها و تغییرات عمده در آنها
تخمین	ریسک­های ناشی از تخمین نادرست زمان و هزینه
قانونی	ریسک­های ناشی از مسائل قانونی
فرآیند	ریسک­های ناشی از فرآیندهای ناصحیح
محیط	ریسک­های ناشی از محیط

• در جدول زیر ۷ دسته بندی کلی برای ریسک­های ممکن در نظر گرفته شده و پس از آن لیست ریسک­های پیش بینی شده آورده شده است:

جدول ۲-۳: دسته­ بندی کلی ریسک ­ها

ردیف	عنوان فاکتور ریسک	توصیف ریسک	اثرات ناشی از ظهور ریسک	روش‎های کاهش ریسک
۱	ریسک دسترسی	منظور از ریسک دسترسی، خدشه «دسترسی غیر مجاز» به منابع اطلاعاتی، سخت افزار و نرم افزارهای کامپیوتری و (هر آنچه به عنوان سرمایه اصلی ذینفعان و متولی طرح می‎باشد) است که میزان اهمیت هر یک از اقلام سرمایه‎ای، می‎توان درجه ریسک آن را معین نمود.	* از دست دادن اطلاعات محرمانه * از کار افتادن سخت افزار و نرم افزارهای کامپیوتری * از دست دادن فرصت‎های توسعه فناوری اطلاعات	* افزایش امنیت نرم‎افزاری و سخت‎افزاری * سطح بندی مناسب منابع سرمایه ای بر اساس اختیار افراد و تدوین سیاست‎های کنترلی
۲	ریسک خدمت­رسانی و پاسخگویی به  کاربران	چنانچه در ارائه خدمات به کاربران، نظارت و کنترلی صورت نپذیرد و میزان رضایت‎مندی یا دریافت خدمات توسط کاربران بررسی نشود، ریسک خدمت­رسانی و پاسخگویی به کاربران رخ می‎دهد.	* نارضایتی کاربران و کاهش اعتبار سازمان‎ها * از دست دادن فرصت‎های بهره گیری مؤثر از فناوری اطلاعات	* پیش بینی دلایل شکست پاسخگویی به کاربران و تمهید راه­حل‎های مناسب * دریافت بازخورد از کاربران و بهبود مستمر در روش ارائه خدمت به آنان
۳	ریسک جامعیت داده	اگر برای گزارشات مدیریتی یا توسعه خدمات سازمان­ها، از داده نادرست استفاده شود، ریسک جامعیت داده رخ می‎دهد. همچنین از منظر برون­سازمانی نیز، چنانچه اطلاعات کاربران درست به سازمان‎ها ارائه نگردد یاداده نادرست به کاربران و ذینفعان ارائه گردد. نیز خود باعث برهم ریختگی و اختلال در خدمت‎رسانی سازمان‎ها گردیده و ریسک جامعیت داده رخ می‎دهد.	* از دست دادن فرصت‎های سازمان­ها * ظاهر شدن ناکارآمدی در فرآیندهای خدمت رسانی سازمان ها * تأثیر منفی بر کاربران	* اختصاص راه‎حل امنیتی و سطح دسترسی به اقلام داده‎ای * کنترل و نظارت پیوسته بر یکپارچگی داده
۴	ریسک سوءاستفاده	امکان اختلال در منابع سازمانی، یا دستکاری و از بین بردن رکورد‎های سازمانی به عنوان ریسک سوءاستفاده دیده می‎شود. از بیرون سازمان نیز ممکن است افراد غیر مجازی به کانال‎های ارتباطی نفوذ نمایند و به اطلاعات محرمانه دسترسی پیدا کنند یا این که از منابع و دارایی‎های سازمان، استفاده نادرست نمایند که این امر خود منجر به وقوع ریسک سوءاستفاده خواهد شد.	* اختلال در ارائه خدمات سازمان‎ها * از دست دادن اطلاعات محرمانه و منابع با ارزش سازمانی * کاهش اعتبار و اعتماد سازمانی * از دست دادن فرصت‎های بهره‎گیری مؤثر از فناوری اطلاعات در خدمت‎رسانی	* افزایش امنیت دسترسی به اطلاعات و منابع سازمانی * کنترل و نظارت پیوسته بر دسترسی به منابع سازمانی
۵	ریسک حقوقی-قانونی	در ارائه خدمات دولتی بر بستر فناوری اطلاعات می‎بایست بررسی شود که نیازمندی‎های حقوقی-قانونی آن پوشش داده شود، در صورت عدم پوشش نیازمندی‎های حقوقی-قانونی، ریسک حقوقی-قانونی رخ می‎دهد.	* انحرافات حقوقی-قانونی * ایجاد مشکل در ارائه خدمات	* تعیین نیازمندی‎ها و بررسی وجود بستر حقوقی-قانونی قبل از ارائه خدمات و رفع موانع موجود
۶	ریسک فرهنگی-آموزشی	آماده پذیری کارکنان داخل سازمان‎ها برای ارائه خدمات و همچنین کاربران برای دریافت خدمات، می‎بایست قبل از ارائه خدمات و همچنین همزمان با آن، مورد بررسی قرار گیرد که در صورت عدم وجود بستر فرهنگی،ریسک فرهنگی-آموزشی مورد توجه قرار گیرد.	* تعلل و کندی در ارائه خدمات * عدم استقبال یا رضایت از ارائه خدمات	* بستر سازی فرهنگی و آموزش اختصاصی کارکنان سازمان برای ارائه خدمات * آموزش‎های عمومی کاربران و ایجاد فضای مناسب برای استقبال و پذیرش خدمات سازمان‎ها
۷	ریسک صدمه­پذیری (از کار افتادن) منابع سخت‎افزاری	این ریسک در صورتی رخ می‎دهد که منابع سخت ‎افزاری ای که در دسترسی و استفاده کارکنان سازمان یا کاربران است، دچار وقفه یا خرابی گردد. میزان اهمیت تجهیزات سخت‎افزاری در ارائه خدمات،بحرانی بودن و نسبت درجه ریسک را مشخص می‎نماید.	* نا کارآیی در فرآیندهای ارائه خدمات * نارضایتی کاربران و کاهش اعتبار بهره‎گیری از فناوری اطلاعات در ارائه خدمات	* اخذ سیاست‎های تست منابع سخت‎افزاری و رفع خرابی‎ها * در نظر گرفتن نسخه‎های پشتیبانی برای سخت افزارها

۳- برآورد و تخمین ریسک:

 بعد از شناسایی ریسک­ها، در این مرحله احتمال وقوع و تأثیر آن بر روی پروژه باید بررسی شود که برای این منظور از روش کمی استفاده شده و یک سری پارامترهایی برای احتمال وقوع و اثر ریسک در نظر گرفته شده است که جداول آن به صورت زیر می­باشد؛ که با توجه به آنها، درجه و رتبه ریسک مشخص می­گردد.

جدول ۲-۴: احتمال وقوع ریسک و مقدار عددی متناظر

احتمال وقوع	مقدار عددی
کم (Low)	۱
متوسط (Moderate)	۲
زیاد (High)	۳

 جدول ۲-۵: اثر ریسک و مقدار عددی متناظر

اثر ریسک	مقدار عددی
ناچیز	۱
قابل تحمل	۲
خطرناک	۳
فاجعه انگیز	۴

با توجه به جداول بالا، رتبه ریسک به صورت زیر محاسبه می­شود:

رتبه ریسک = احتمال وقوع ریسک x تأثیر ریسک

رابطه ۲-۱

که برای ریسک­های پروژه، معمولا احتمال وقوع،تأثیر و رتبه ریسک،در جدولی به صورت زیر قرار می­گیرد:

جدول ۲-۶: احتمال وقوع، تأثیر و رتبه ریسک

ردیف	شرح ریسک	احتمال وقوع	تأثیر ریسک	رتبه ریسک
				تأثیر x احتمال

۴- استراتژی­های برخورد با ریسک:

هدف این مرحله، رسیدگی به ریسک­های مختلف می­باشد. استراتژی و نحوه برخورد با ریسک باید مشخص شود. در کل چهار نوع استراتژی برای برخورد با ریسک وجود دارد که عبارتند از:

• قبول یا رد ریسک
• اجتناب کامل از ریسک
• کاهش احتمال یا اثر ریسک
• انتقال ریسک به یک فرد دیگر

که در نتیجه، استراتژی برخورد با ریسک­های شناسایی شده، معمولا در جدولی بدین شکل قرار داده می­شوند:

جدول ۲-۷: ریسک و استراتژی برخورد

ردیف	شرح ریسک	استراتژی برخورد	نوع استراتژی

۵- کنترل و پایش ریسک:

در این مرحله باید ریسک­هایی که شناسایی شده اند؛ تحت نظارت و کنترل قرار گیرند که هر ریسکی شاخص­های خاص خودش را دارد و همچنین ممکن است تأثیرات و احتمال وقوع آنها تغییر پیدا کند؛ بنا بر این،ممکن است در این مرحله، تصمیمات جدیدی نسبت به برخورد با ریسک­ها گرفته شود.

جدول ۲-۸: شاخص ریسک

ردیف	شرح ریسک	شاخص (Indicator)

۶- پاسخ به ریسک:

بعد از کنترل و پایش ریسک­ها،در این مرحله،مالکان ریسک باید عملکرد لازم برای ریسکی که متعهد شده اند را انجام دهند و همچنین منابع لازم را در اختیار بگذارند؛ لذا در جدولی به شکل زیر، مالک (مالکان) ریسک­های مربوط به پروژه قید می­شوند.

۷- ارزیابی ریسک:

در این مرحله، باید ریسک­ها و عملکردهای مربوط به آنها مستند سازی شوند تا بتوان از آنها برای انجام عملکرد بهتر در پروژه­های بعدی استفاده نمود.

۲-۲-۴-۱- مدیریت ریسک امنیت اطلاعات

مدیریت و تحلیل مخاطرات یکی از فعالیت‌های مهم در طراحی امنیت محسوب می‌شود و دارای چرخه‌ای است که برای ادامه بقای یک سیستم امنیتی باید مرتباً و در طول حیات سازمان تکرار شود؛ به این معنا که برای مخاطرات سازمان، پس ارزیابی و تحلیل هر یک از آنها، سیاست مقابله ای مناسبی جهت برطرف کردن و یا کاستن از میزان ضرر مربوطه تعریف و پیاده‌سازی می‌شود؛سپس نحوه کارکرد این سیاست کنترلی و میزان تأثیر آن اندازه‌گیری می‌شود تا بر اساس آن مجدداً چرخه مدیریت مخاطرات با خطرات جدید آغاز به کار نماید.

[۱] Indicator

[۲] Risk Owners