Model
It-risikostyringsmodellen afdækker virksomhedens it-risici og indfører sikkerhedsforanstaltninger på et tilstrækkeligt og betryggende niveau.
It-risikostyringsmodellen består af 3 elementer:
1. Risikovurdering
Risikovurderingen indledes med identifikation af virksomhedens it-systemer. Risikovurderingen er baseret på en gennemgang af værdikæden og en kortlægning af alle it-aktiver opdelt i infrastruktur, applikationer, data og mennesker.
Efter identifikationen af it-systemer og it-aktiver foretages der en vurdering af den forretningsmæssige afhængighed af de enkelte systemer. Vurderingen er baseret på kravene om:
- at systemerne er tilgængelige på de tidspunkter, de skal anvendes (tilgængelighed).
- at virksomhedens data i systemerne er troværdige og pålidelige (integritet).
- at virksomhedens fortrolige data er beskyttet mod uautoriseret adgang (fortrolighed).
For de kritiske systemer foretages der en detaljeret risikoanalyse med henblik på at vurdere sikkerhedsniveauet, herunder om der er behov for yderligere sikkerhedsforanstaltninger.
2. Sikkerhedspolitikker
I sikkerhedspolitikkerne fastlægges de konkrete mål for tilgængelighed, integritet og fortrolighed. Politikkerne implementeres i organisationen i form af politikker for medarbejderes brug af it og i form af politikker, procedurer og standarder for system-, data- og driftssikkerhed i it-afdelingen.
3. Beredskabsplaner
Beredskabsplaner omfatter en beskrivelse af, hvordan virksomhedens it-systemer retableres i tilfælde af katastrofer eller alvorlige it-nedbrud og en beskrivelse af, hvordan virksomhedens processer og aktiviteter skal varetages i en periode uden it. Ofte indeholder beredskabsplaner også en beskrivelse af, hvordan der etableres nøddrift af it-systemer.
Kontakt
Per Sloth, Partner, it-revisionschef
Tlf.: 3915 5206
psc@bdo.dk