Risk Identification & Assessment
هاكرز، منافسين، مجموعات منظمة
عن قصد أو دون قصد
موردون، شركاء، مقاولون
أعطال تقنية، كوارث طبيعية
التصيد الاحتيالي، الاحتيال عبر الهاتف
فيروسات، برامج الفدية، أحصنة طروادة
ثغرات البرمجيات، تكوينات خاطئة
وضع السياسات، تخصيص الموارد، المساءلة النهائية
التنفيذ، المراقبة، الاستجابة للحوادث
اتباع السياسات، الإبلاغ عن الحوادث
الامتثال للاتفاقيات، حماية البيانات المشتركة
| نوع الهجوم | الاحتمالية | التأثير المحتمل |
|---|---|---|
| هجوم تصيد احتيالي | مرتفعة | سرقة بيانات، خسائر مالية |
| برامج الفدية | متوسطة | توقف الخدمة، خسائر مالية |
| هجمات DDoS | متوسطة | توقف الخدمة، تلف السمعة |
| اختراق داخلي | منخفضة | سرقة بيانات، تلف كبير |
تأثير فوري وكبير على الأعمال
تأثير كبير خلال ساعات
تأثير خلال أيام
تأثير محدود أو يمكن تعويضه
| مستوى الخطورة | التكرار المتوقع | طرق الاستغلال الشائعة |
|---|---|---|
| مرتفعة | يومي - أسبوعي | التصيد، البرمجيات الخبيثة |
| متوسطة | شهري - ربع سنوي | استغلال الثغرات، هجمات DDoS |
| منخفضة | سنوي - نادر | هجمات متقدمة مستهدفة |
كمية ونوع المخاطر التي تكون المنظمة مستعدة لتحملها لتحقيق أهدافها الاستراتيجية
الحد الأقصى للمخاطر التي تقبل المنظمة تحملها في نشاط أو عملية محددة
Probability
Consequence
Risk Matrix
| التأثير / الاحتمالية | منخفضة | متوسطة | مرتفعة |
|---|---|---|---|
| مرتفع | متوسط | مرتفع | مرتفع جداً |
| متوسط | منخفض | متوسط | مرتفع |
| منخفض | منخفض جداً | منخفض | متوسط |
| نوع الفجوة | الأمثلة | الأولوية |
|---|---|---|
| فجوات تقنية | أنظمة قديمة، نقص في التشفير | عالية |
| فجوات عملية | غياب إجراءات الاستجابة، تدريب غير كافي | متوسطة |
| فجوات تنظيمية | عدم وضوح المسؤوليات، نقص في السياسات | منخفضة |
| المخاطر | مستوى الخطورة | التوصية | الإطار الزمني |
|---|---|---|---|
| هجمات التصيد الاحتيالي | مرتفع | تنفيذ برنامج تدريبي للموظفين | فوري (30 يوم) |
| ثغرات البرمجيات غير المصححة | متوسط | تنفيذ نظام إدارة التحديثات | قصير (90 يوم) |
| غياب خطة التعافي من الكوارث | مرتفع | تطوير واختبار خطة التعافي | فوري (60 يوم) |