Risk analysis technique (ITLC version)
-
Upload
le-trung -
Category
Engineering
-
view
465 -
download
4
description
Transcript of Risk analysis technique (ITLC version)
RISK ANALYSIS TECHNIQUE
Lê Thành Trung
Aug 2014
Strictly Confidential – Do Not Distribute 2
GIỚI THIỆU
Strictly Confidential – Do Not Distribute
VỀ CÁ NHÂN
3
• Lê Thành Trung
– Senior Operation Manager
• Kinh nghiệm:
– 13 năm làm việc trong lĩnh vực IT
– 8 năm làm việc tại VNG
• 4 năm làm Software Development Manager
• 4 năm làm Operation Manager
Strictly Confidential – Do Not Distribute
VỀ VNG
4
• VNG là công ty hàng đầu Việt Nam trong lĩnh
vực Internet (www.vng.com.vn)
“Phát triển Internet để thay đổi cuộc sống
người Việt Nam”
NỘI DUNG
• Risk và IT Risk
• Phân tích rủi ro
• Phản hồi lại rủi ro
• Đánh giá rủi ro
• Xử lý rủi ro
• Ứng dựng & Template
• Q&A
Strictly Confidential – Do Not Distribute 6
RISK VÀ IT RISK
Strictly Confidential – Do Not Distribute
RISK – RỦI RO
7
• Risk là khả năng bị mất một giá trị (value)
hoặc là khả năng không đạt đƣợc một giá
trị nào đó.
• Risk là một sự kiện hoặc điều kiện có thể
mà nếu xảy ra hoặc có ảnh hƣởng thì nó
sẽ làm ảnh hƣởng đến ít nhất một mục
tiêu (objectives).
Strictly Confidential – Do Not Distribute
ENTERPRISE RISK
8
• Là rủi ro liên quan đến hoạt động kinh
doanh
Strictly Confidential – Do Not Distribute
IT RISK
9
IT Risk là một phần của rủi ro doanh nghiệp
khi doanh nghiệp sử dụng IT cho hoạt động
kinh doanh của mình
RISK IT FRAMEWORK
Giúp doanh nghiệp hiểu và quản lý các IT Risk
Strictly Confidential – Do Not Distribute
RISK IT FRAMEWORK
10
BUSINESS (Business Risk)
IT (IT Risk)
Sử dụng
Strictly Confidential – Do Not Distribute
KẾT NỐI RISK IT VỚI BUSINESS
11
Strictly Confidential – Do Not Distribute 12
PHÂN TÍCH RỦI RO
Strictly Confidential – Do Not Distribute
PHÂN TÍCH RỦI RO THEO KỊCH BẢN
13
• Phân tích các kịch bản rủi ro (Risk
scenario analysis) là một kỹ thuật kết
hợp
–Điều kiện thực tế của tổ chức
–Kỹ năng cấu trúc và phân tích
để xác định rủi ro cho các vấn đề phức
tạp của IT
Strictly Confidential – Do Not Distribute
PHƢƠNG PHÁP TIẾP CẬN
14
• Top-down: Từ mục tiêu của Business, phân tích các kịch bản rủi ro của IT có thể gây ảnh hƣởng đến mục tiêu của Busines
• Bottom-up: Liệt kê (toàn bộ) các kịch bản rủi ro cụ thể có thể xảy ra đối với IT và đánh giá khả năng ảnh hƣởng đến Business
Khuyến nghị
Nên áp dụng cả 2 để đảm bảo có đánh giá đầy đủ các rủi ro
Strictly Confidential – Do Not Distribute
PHƢƠNG PHÁP TIẾP CẬN
15
Strictly Confidential – Do Not Distribute
CÁC YẾU TỐ RỦI RO – RISK FACTORS
16
• Là các yếu tố có ảnh hƣởng tới tần xuất
hoặc tác động/ảnh hƣởng đến Business
• Yếu tố môi trƣờng (Environmental factors)
– Yếu tố bên ngoài: không kiểm soát đƣợc
– Yếu tố bên trong: kiểm soát đƣợc
• Yếu tố năng lực (Capabilities)
– Năng lực quản lý rủi ro IT
– Năng lực IT (nói chung)
– Năng lực gắn IT với hoạt động kinh doanh
Strictly Confidential – Do Not Distribute
CÁC YẾU TỐ RỦI RO – RISK FACTORS
17
Strictly Confidential – Do Not Distribute 18
PHẢN HỒI LẠI RỦI RO
Strictly Confidential – Do Not Distribute
PHẢN HỒI LẠI RỦI RO
19
• Risk Appetite: Là mức rủi ro mà một tổ
chức có thể chấp nhận
Strictly Confidential – Do Not Distribute
PHẢN HỒI LẠI RỦI RO – RISK RESPONSE
20
• Risk Response: Là sự phản hồi lại rủi ro
theo đúng yêu cầu của Risk Appetite
– Né tránh rủi ro (Risk Avoidance)
– Xử lý rủi ro (Risk Mitigation)
– San sẻ rủi ro (Risk Transfer)
– Chấp nhận rủi ro (Risk Acceptance)
• Residual risk (Rủi ro còn lại): Là rủi ro còn
lại sau khi áp dụng risk response
Strictly Confidential – Do Not Distribute
PHẢN HỒI LẠI RỦI RO
21
Strictly Confidential – Do Not Distribute 22
ĐÁNH GIÁ RỦI RO
Strictly Confidential – Do Not Distribute
YẾU TỐ ĐÁNH GIÁ RỦI RO
23
• Tần xuất/Khả năng xảy ra
(Frequence/Likelyhood)
– Số lần có thể xảy ra hoặc xác xuất khả năng
có thể xảy ra của rủi ro
• Ảnh hƣởng (Impact)
– Hậu quả ảnh hƣởng đến business khi rủi ro
xảy ra
Strictly Confidential – Do Not Distribute
XÁC ĐỊNH GIÁ TRỊ CÁC YẾU TỐ
24
• Phƣơng pháp định tính (Qualitative)
– Sử dụng kinh nghiệm chuyên gia để ƣớc
đoán
– Dựa trên thống kê một lƣợng dữ liệu định tính
phản hồi
• Phƣơng pháp định lƣợng (Quantitative)
– Sử dụng phân tích các dữ liệu định lƣợng để
đánh giá các yếu tố
Strictly Confidential – Do Not Distribute
GIÁ TRỊ THAM KHẢO
25
Strictly Confidential – Do Not Distribute 26
XỬ LÝ RỦI RO – RISK CONTROL
Strictly Confidential – Do Not Distribute
XỬ LÝ RỦI RO – RISK CONTROL
27
• Risk IT Practitioner Guide COBIT 4.1
Strictly Confidential – Do Not Distribute
XỬ LÝ RỦI RO – RISK CONTROL
28
Strictly Confidential – Do Not Distribute 29
ỨNG DỰNG & TEMPLATE
Strictly Confidential – Do Not Distribute
OPERATIONAL RISK ANALYSIS
30
IT Assets Risk & Business
Impact Risk Response
& Control
Strictly Confidential – Do Not Distribute 31
Strictly Confidential – Do Not Distribute
ISMS RISK ANALYSIS
32
Information IT Assets Risk & Business
Impact Risk Response
& Controls
Strictly Confidential – Do Not Distribute
Q&A
33
Q&A