ИТ риски: управление ИТ-рисками и информационная безопасность

Риски ИС и безопасность: риск менеджмент

Стоит отметить, что информационные технологии представляют собой целую систему дисциплин, благодаря которым можно изучить методы, предназначенные для эффективной организации работы сотрудников, которые занимаются обработкой и хранением важной для бизнеса информации. Также к категории информационных технологий можно отнести способы организации и взаимодействия специалистов предприятия, вычислительную и компьютерную технику, целый ряд экономических и социальных факторов в компании. Если использовать более узкое понятие информационных технологий, то оно подразумевает под собой целый комплекс методов, а также структуру производственного процесса, программных, технических средств, которые представляют собой технологическую цепочку. С ее помощью осуществляется сбор, хранение, а также обработка, передача и обмен информации. Это позволяет снизить трудоемкость использования информационных ресурсов компании и обеспечить эффективную защиту имеющихся данных.

И теперь следует понять, что представляют собой ИТ риски. Понятие рисков информационных технологий подразумевает под собой возможность появления негативных последствий, связанных с возникновением различных угроз. Они представлены в виде вирусов, разнообразных методов хищения информации, хакерских атак, различных видов специального уничтожения оборудования. Такие варианты могут возникать не только на этапе создания информационных технологий. Их можно встретить уже в процессе эксплуатации созданной системы.

Когда осуществляется проектирование, разработка или внедрение и модернизация информационных систем, возникновение ИТ рисков можно спровоцировать целым рядом факторов, которые связанны с данной системой. К ним можно отнести:

• выбор неправильного решения, направленного на автоматизацию;
• ошибки в проектной деятельности;
• несоответствия инфраструктуры и принятого решения по автоматизации;
• ошибки при установке какой-либо системы.

При эксплуатации информационной системы следует учитывать такой перечень факторов, препятствующих достижению желаемых целей:

• малоэффективное взаимодействие таких структур, как бизнес и ИТ, когда нужно определить оптимальный уровень поддержки;
• слабый потенциал применения имеющихся технологий;
• невозможность собственными силами обеспечить должный уровень сопровождения и всестороннего развития систем;
• ошибки, связанные с развитием информационных технологий.

Для предупреждения появления подобных угроз предприятия создают комплексные системы, интегрирующие так называемый риск-менеджмент. А также внутренний контроль и аудит, выполняемый в виде основной деятельности или в качестве средства поддержки информационных технологий. Важно понимать, что наиболее зрелая ИТ система имеет минимальные риски в ИТ сфере. Соответственно, эффективность использования ИТ здесь на уровень выше.

Классификация ИТ рисков

Стоит понимать, что риск – это вид деятельности, выполняемый в интересах руководства компании. Такие работы позволяют собирать свидетельства аудита, оценивать степень их соответствия тем критериям, которые были разработаны при независимой оценке уровня ИТ-рисков. Также это дает возможность составить рекомендации, связанные с их минимизацией.

Классификация рисков информационных технологий

Перечень здесь достаточно широкий. Сюда стоит отнести риск внутреннего контроля, информационной безопасности, операционный бизнес риск, персонала и IT проекта.

Автоматизация деятельности компании или даже отдельного процесса – это эффективный инструмент, позволяющий выполнять управление рисками в ИТ проектах. Но, как показывает практика, ожидания многих руководителей не оправдываются.

Почему же так происходит, и почему не удается достичь результатов качественного и эффективного планирования? Основная причина заключается в том, что успешная реализация проектной деятельности следует только после грамотного и четкого планирования. Уже начальный уровень каждого проекта должен показать, насколько сложной должна быть поставленная задача и ее реализация. 

Второй немаловажный фактор – это компетентность и профессионализм сотрудников. Даже если в какой-то сфере ваш сотрудник не является профи, он должен уметь быстро обучаться.

Риски ИТ проектов в области исполнения

Это категория, которая связана с непосредственным исполнением проекта. Такие риски ИТ проектов могут быть самые разнообразные, но в любом случае они представляют собой общий результат деятельности заказчика и исполнителя. Также есть еще одна классификация рисков ИТ проекта – это все вопросы, которые касаются информационной безопасности. Именно поэтому для управления и ведения всеми категориями рисков компания выбирает только тех участников, которым она действительно доверяет.

Типичные для ИТ-проектов риски

Для каждого проекта может быть свой перечень рисков, и обычно он включает в себя от 10 до 20 различных факторов. Классификация рисков обычно имеет пять основных практически для всех проектов. Это внутренние недочеты планирования, изменения требований, постоянные изменения в кадрах, невысокая производительность и нарушение спецификации.

Первый вариант можно отнести к тому, что возникают недочеты самого процесса планирования средств и времени. Такие ошибки обычно основываются на требованиях заказчика, которые не всегда соответствуют реальным затратам времени. Обычно перерасход составляет до 80%.

Изменение требований очень часто являются той категорией, когда в процессе реализации проекта появляются новые требования заказчика. И даже если исполнитель отбрасывает в сторону те проекты, которые уже выполнены, он тратит время на выполнение новых. Для управления рисками компания-разработчик продумывает все, чтобы размер таких изменений составлял не более одного процента.

Еще один вариант рисков – это текучесть кадров. Такой риск подразумевает, что только что нанятому сотруднику придется потратить определенный период времени на то, чтобы достичь необходимой производительности. И чем сложнее уровень проекта, тем дольше придется новому сотруднику обучаться и вливаться в общую систему.

Такое присутствие, как нарушение спецификаций, представляет собой деструктивную составляющую для проекта. Это очень серьезная проблема, которая возникает по вине исполнителя. Она может проявить себя в двух случаях: когда исполнитель перегружает продукт различными ненужными функциями, или старается выдать желаемое за действительное.

Низкая производительность – это категория рисков, для возникновения которой нужно появление всего лишь одного незначительного риска или фактора, влияющего на его появление. В больших компаниях, где для полноценного процесса принимают участие сразу несколько специалистов или целых отделов, спад производительности работы одного сотрудника может компенсироваться увеличением энтузиазма другого специалиста. Небольшие организации, имеющего одного сотрудника, который работает в области информационных технологий, снижение его активности становится очень заметным и ущемляет интересы руководства и компании в целом.

Управление рисками в ИТ. Risk IT

Концепция и понятия того, что представляет собой Risk IT

Основным объектом в такой методологии является ИТ-риск. Его можно определить как бизнес риски, связанные с применением, владением, влиянием ИТ на сам бизнес, а также уровень его влияния на использование в организации.

Risk IT имеет несколько базовых принципов.

В первую очередь управление рисками ИТ проекта всегда связывается с целями предприятия (его деятельности). Соответственно, это лишь разновидность бизнес риска, при этом процесс управления рисками в ИТ дает возможность получить эффективный результат для компании. Анализ ИТ рисков показывает зависимость процесса в бизнесе от ресурсов информационных технологий. Кроме того, управление не только не затормаживает бизнес, а способствует его развитию.

Управление ИТ-рисками обязательно согласовывается с корпоративной общей системой управления всеми рисками. В данном случае определяются размеры, цели бизнеса, при этом они становятся не аморфными понятиями, а четко выверенными величинами. Все виды корпоративных процессов, связанные с принятием решений, охватывают все имеющиеся последствия. Проблемы организации, которые связанные с ИТ-рисками, формируются на уровне всего масштаба предприятия. Также назначаются уполномоченные лица, которые принимают решения, напрямую связанные с возникновением рисков.

Стоит отметить, что в данном случае можно уравновесить преимущества, которые возникают от управления рисками, а также различными сопутствующими затратами. Здесь используется приоритетное отношение, при этом реализуются средства для управления. Они основаны на анализе осуществляемых затрат и полученных выгод. Дополнительно усиливаются все необходимые средства, чтобы появилась возможность наиболее эффективно управлять всеми ИТ-рисками.

Также благодаря такой деятельности появляется возможность открыто обсуждать имеющиеся разновидности рисков. То есть, обмен информации по данному поводу происходит быстро, четко и максимально прозрачно (даже если учитывать такой продукт, как 1С). А все решения основываются именно на такой информации. Кроме того, все решения технического характера тоже переводятся на понятный для участников бизнеса язык.

Результативный вариант управления ИТ рисками позволяет появляться постоянным улучшениям. При этом он является частью жизненного цикла и повседневной деятельности компании.

Управление рисками ИТ-проектов

Очень важно для каждого предприятия правильно адаптироваться к внешнему окружению, а также к изменениям, которые в нем происходят. В рамках управления рисками выполняются такие базовые задачи, как управление рисками всей без исключения проектной деятельности. Также такие работы называют рисками проекта.

Чтобы определить финансовые потребности, заключить контракт, подготовить смету или бюджет, необходимо защитить участников любой проектной деятельности от разнообразных видов рисков. При этом очень важным моментом является достижение результатов и определенных целей. Для внедрения проекта действует полномочный орган, специальный менеджер, руководство. Также это могут быть и другие участники какого-либо проекта, выполняющие специфические работы или участвующие в определенном направлении проекта.

В качестве частичной занятости работы по проекту выполняют сотрудники отдельных подразделений других компаний, которые занимаются специфическим видом деятельности. Они отвечают за определенные функции, задачи или решения.

Чтобы понять, что представляет собой понятие управления рисками, необходимо выяснить, что подразумевается под таким определением, как риски ИТ проектов. Риск – это возможное событие, которое с хорошей или с плохой стороны может повлиять на проект.

Важно понимать, что у рисков есть вероятность. Если какое-то событие должно случиться гарантировано, то это нельзя считать риском. Также нужно понимать, что он может иметь положительное и отрицательное влияние. К группе отрицательных факторов можно отнести такой момент, когда из команды уходит специалист или сразу несколько сотрудников. Положительным моментом может быть появление нового эксперта. В процессе планирования рисков очень важно снизить вероятность возникновения отрицательных рисков, и увеличить – положительных.

Очень часто считают, что к идентификации рисков привлекаются абсолютно все сотрудники и даже сторонние специалисты. Действительно для самостоятельного решения проблемы ограничиваться собственными силами не стоит – необходимо сотрудничать с различными экспертами, представителями других компаний, инвесторами. В первую очередь проводится анализ документов. В документации имеется большое количество информации, которые позволяют составить выводы о предполагаемых рисках. Второй источник получения информации – это совещания, интервью и другие способы. При планировании встреч, совещаний, интервью нужно детально обсуждать и предполагаемые, и текущие риски.

После идентификации рисков можно получить возможность выявлять угрозы проекта. Для хранения информации можно использовать таблицы, которые закрываются после завершения проекта. В такой таблице описывают сам риск и ответственное за него лицо, которое предпринимает определенные меры при наступлении риска.  Ответственным лицом может быть и сотрудник компании, и внештатный специалист. Важно, чтобы он не забывал описывать все риски и предпринимать меры для его решения.

К смешанной категории рисков можно отнести риск невостребованной производимой продукции. Он может быть связан как с внутренними, так и с внешними причинами. Так, существует несколько основных факторов:

• безграмотная организация производства;
• особые производственные условия;
• неправильное руководство предприятием;
• отсутствие спроса на продукцию;
• низкая платежеспособность покупателя;
• повышение ставок по вкладам.

Также существуют так называемые социокультурные риски. Данная категория рисков связана с социальными, культурными нормами, целым рядом политических факторов, экономическими отношениями. Важно понимать, что геополитические риски возникают чаще между отдельными государствами из-за различий в политической и экономической системе. Это напрямую влияет на налоговое законодательство, на импорт и экспорт, политические и военные конфликты между государствами.

Категория юридических рисков возникает тогда, когда вступают в действие законы, предписания, договоры, контракты. Также существует вариант рисков окружающей среды. Чаще всего они появляются при осуществлении различных инновационных проектов. При этом внутри государства повлиять на течение таких рисков практически невозможно.

Оценка рисков IT проекта предполагает выполнения нескольких этапов. И в первую очередь это получение и качественная обработка информации. Оценка рисков ИТ проекта предполагает определенные требования к качеству получаемой информации. Она должна быть достоверной, полной, объективной, актуальной и значимой. Самым достоверным видом информации является документированная информация. С ее помощью можно выявить все категории потенциальных рисков. При этом исследуются технические документы, первичная документация, финансовые отчеты, управленческие решения, статистические и бухгалтерские данные. Кроме того, может оцениваться такой вид информации, как результаты инспекционных проверок различных подразделений организации.

Качественный анализ рисков ИТ проектов представляет собой субъективную оценку обнаруженных рисков. Соответственно, нужно понять, как тот или иной риск может представлять угрозу для всего проекта. Один из самых популярных методов, который выявляет группы рисков в ИТ – это оценка по двум основным показателям: вероятность и влияние. Значения для них можно задать в трех категориях: низкое, среднее и высокое. Благодаря такой градации можно определить, какие риски требуют безотлагательного решения и вмешательства, и с какими можно работать потом.

Данная классификация рисков дает возможность определить общий уровень, который выявляет все IT риски. Когда анализ будет завершен, в качестве результатов можно представить принцип светофора. Красный цвет будет говорить о том, что влияние рисков для проекта является катастрофическим, желтый – умеренным, зеленый – низким. Также оценка ИТ рисков может быть объективной и выполненной в виде количественного анализа. Но при этом такие мероприятия осуществляются только в тех проектах, уровень которых является значимым.

Анализ управления рисками предполагает такие методики управления рисками в ИТ, как сбор всех необходимых мнений экспертов, оценка стоимости риска. При этом количественную оценку вероятности риска умножают на влияние такого риска. К такому способу, например, можно прибегнуть, если необходимо сравнить несколько возможных сценариев. При этом каждый из них является альтернативным.

Еще одним важным нюансов для рисков является стратегия, которая может быть представлена в четырех видах, как для положительных, так и для отрицательных рисков. Если говорить о стратегии нивелирования и использования, то с ее помощью можно устранить главную причину риска. Например, когда сотрудник не может справиться со своими обязанностями, его заменяют на более опытного и профессионального специалиста.

При стратегии переноса и разделения управление ИТ проектами предоставляется субподрядчику или страховой компании. Риски в ИТ проектах в данном случае всей ответственностью ложатся на третье лицо. Классификация рисков ИТ проекта в третьем варианте стратегии может подразумевать под собой такие понятия, как ослабление и усиление. Одной из ее основных целей является изменение имеющихся рисков (их вероятности или влияния). Например, если сотрудник не справляется с поставленной задачей в 1С, для таких работников предприятия проводят специальные тренинги.

К стратегии, предполагающей принятие, можно отнести вариант, когда руководство и ответственные лица в случае, когда возникает риск менеджмент в ИТ, бездействуют и смиряются с возникшими «непреодолимыми» обстоятельствами. Несмотря на то, что такая стратегия является пассивной, она тоже может присутствовать в деятельности компании. Ведь некоторые виды рисков проще игнорировать и принять, чем выполнять действия по их устранению. Например, можно уволить нерадивого сотрудника, который был ответственен за какой-либо проект, но при этом не принимать решений по завершению такого проекта более опытным и квалифицированным специалистом.

Управление рисками при внедрении ИТ-проектов

Стоит отметить, что управление рисками, классификация рисков – это очень важная часть  деятельности компании в целом и того раздела, который касается информационных технологий и информационных систем в частности. Такая деятельность определяет, оценивает, контролирует эффект, возникающий вследствие влияния внутренних и различных внешних факторов. Получается, что точная карта ИТ рисков дает возможность заблаговременно определить факторы, связанные с внедрением информационных систем. При этом полученная информация будет полезна на протяжении всего жизненного цикла предприятия.

Кроме того, очень важно, что риски в ИТ разбивались на несколько отдельных программ. В то же время для управления всей системой нужен один человек, например, директор программы, который будет контролировать все происходящее и управлять рисками в целом.

Методики управления рисками в ИТ могут быть весьма специфическими, поэтому следует привлекать специалистов, которые разбираются в управлении, а не тех, кто имеет узкую специализацию. Оценка рисков ИТ проекта может иметь положительный результат только в том случае, если фирма не ограничивается своими силами, а использует все доступные ресурсы. Например, можно привлекать сторонних специалистов или организации, выполняющие работы в данном направлении профессионально. Дело в том, что управление рисками, выполняемое теми специалистами, которые были задействованы в разработке и реализации проекта, может быть неэффективным. Так как такие люди могут не принять всю серьезность ситуации возникших рисков, например, если произошел сбой в программе 1С.  

Немного о процессах анализа и управления рисками

Риск менеджмент ИТ – это тот риск, который связан с применением различных информационных систем. Также его можно связывать с применением информационных технологий, которые в свою очередь можно связывать с качеством управления субъекта, ведь модель информационных технологий дает возможность понять, насколько эффективным является управление и реализация проектов.

Риски ИТ проектов примеры могут иметь совершенно разные – все зависит от направленности предполагаемого проекта, вариантов его решения, реализации отдельных направлений каждого уровня проекта.

Сегодня в век информационных технологий использование различных информационных систем приобретает массовый характер. В то же время неуправляемые системы могут повлечь за собой очень серьезные риски, с которыми справиться самостоятельно практически невозможно. Риск менеджмент ИТ решений – это тот вариант, когда справиться с возникшими трудностями можно структурировано и грамотно. При этом учитывается все: полученная информация из документов, выводы результатов интервьюирования, собеседований, совещаний, тренингов, анализов финансовой составляющей компании.

Риски IT проекта примеры. Если это технологические риски, то это может быть база данных, не обеспечивающая в необходимых объемах обработку информации. Также могут быть такие ИТ риски примеры, когда невозможно подобрать профессиональных сотрудников, ведущие специалисты уходят на больничный или нет возможности организовать для сотрудников обучение для повышения квалификации. Все это относится с рискам, связанных с персоналом. Кроме того, они могут быть организационные, системные, инструментальные и многие другие.