Riska analīzes process - solis pa solim

SO/IEC 27005:2022 nosaka strukturētu pieeju informācijas drošības risku pārvaldībai - risku identificēšanai, novērtēšanai, apstrādei un uzraudzībai.

1. Konteksta noteikšana
   Definē biznesa mērķus, atbilstības prasības, riska kritērijus un riska toleranci.
2. Risku identifikācija
   Nosaka aktīvus, draudus un ievainojamības, izmantojot principu: aktīvs – drauds – ievainojamība.
3. Riska analīze
   Novērtē ietekmi un iespējamību kvalitatīvi, piemēram, Low / Medium / High, vai kvantitatīvi, piemēram, ALE = SLE × ARO.
4. Risku izvērtēšana
   Salīdzina risku līmeni ar organizācijas riska toleranci un nosaka prioritātes.
5. Risku apstrāde
   Izvēlas stratēģiju: samazināt, pārnest, pieņemt vai izvairīties no riska.
6. Uzraudzība un pārskatīšana
   Regulāri pārskata riskus un kontroles, īpaši pēc būtiskām izmaiņām organizācijā vai IT vidē.