Risk — noma’lum yoki noxush hodisa yuz berib, belgilangan maqsadga zarar yetkazishi ehtimoli va uning oqibatini birgalikda ifodalovchi tushunchadir. Axborot texnologiyalarida risk ma’lumot sizishi, xizmat uzilishi, noto‘g‘ri qaror, moliyaviy yo‘qotish yoki qonuniy majburiyat buzilishi bilan bog‘liq bo‘lishi mumkin. Risk zaiflikning o‘zi emas: zaiflik, tahdid, aktiv qiymati va mavjud nazoratlar birgalikda real xavfni shakllantiradi.
Tarkibiy omillar
Aktiv himoyalanadigan narsa — ma’lumot, tizim, obro‘ yoki biznes jarayonidir. Threat actor yoki tasodifiy hodisa zararli ssenariyni yuzaga keltiradi. Vulnerability shu ssenariy foydalanadigan zaif nuqta, exposure esa unga yetib borish imkonidir. Impact hodisa ro‘y berganda oqibat ko‘lamini, likelihood esa mavjud sharoitda sodir bo‘lish ehtimolini baholaydi.
Oddiy model riskni ehtimol va ta’sir ko‘paytmasi sifatida tasvirlaydi. Bu formula tartiblashga yordam beradi, ammo raqamlar o‘lchangan statistik qiymat bo‘lmasa soxta aniqlik yaratishi mumkin. “Past, o‘rta, yuqori” kabi ordinal shkala uchun ko‘paytirish matematik ma’no bermasligi ham mumkin. Baholash usuli, dalil va noaniqlik yozib boriladi.
Baholash jarayoni
Avval scope va qaror maqsadi belgilanadi. Xuddi shu texnik topilma ommaviy test muhitida va shaxsiy ma’lumot saqlovchi production bazada turli riskka ega. Ssenariy “SQL injection mavjud” kabi umumiy emas, kim qaysi endpoint orqali qanday ma’lumot yoki funksiyaga erishishini ko‘rsatadigan shaklda yoziladi.
Likelihood internet exposure, privilege talabi, exploit murakkabligi, faol exploitation va nazoratlarning ishonchliligiga qarab baholanadi. Impact maxfiylik, yaxlitlik, mavjudlik, recovery va uchinchi tomonlarga ta’sirni qamrab oladi. Worst-case bilan eng ehtimoliy oqibat ajratiladi. Asset inventory va data classification noto‘g‘ri bo‘lsa baho ham ishonchsiz bo‘ladi.
Riskka javob
Riskdan qochish xavfli funksiyani olib tashlaydi. Kamaytirish ehtimol yoki ta’sirni nazorat bilan pasaytiradi. Transfer sug‘urta yoki shartnoma orqali moliyaviy oqibatning bir qismini boshqa tomonga o‘tkazadi, lekin texnik va obro‘ zararini yo‘q qilmaydi. Qabul qilish esa ongli qaror bo‘lib, owner, muddat va qayta ko‘rish sanasiga ega.
Residual risk nazorat joriy etilgandan keyin qoladigan xavfdir. WAF injection ehtimolini pasaytirishi mumkin, ammo kod tuzatilmaguncha bypass va ichki yo‘l qoladi. Compensating control asosiy nazorat mavjud bo‘lmaganda o‘xshash maqsadni qoplaydi va uning cheklovi hujjatlashtiriladi.
Kuzatuv va boshqaruv
Risk register ssenariy, aktiv, baho, nazorat, owner va statusni saqlaydi. U faqat audit uchun to‘ldiriladigan jadval emas; arxitektura o‘zgarishi, yangi exploit yoki incident bahoni yangilaydi. Key risk indicator exposure oshishi yoki nazorat ishlamay qolishini erta ko‘rsatadi. Rahbariyat texnik score bilan birga xizmat, mijoz va recovery oqibatini ko‘rishi kerak.
Miqdoriy tahlil
Yetarli tarixiy ma’lumot bo‘lsa yo‘qotish chastotasi va miqdori distribution sifatida modellashtiriladi. Monte Carlo simulation bitta “eng yaxshi” raqam o‘rniga ehtimoliy natijalar oralig‘ini beradi. Annualized loss expectancy tez taqqoslash uchun ishlatilishi mumkin, ammo kam uchraydigan katta hodisani average qiymat yashiradi. Sensitivity analysis qaysi taxmin yakuniy bahoga eng ko‘p ta’sir qilishini ko‘rsatadi. Nazorat xarajati expected loss kamayishi bilan solishtiriladi, lekin inson xavfsizligi, qonuniy cheklov yoki qaytarib bo‘lmaydigan obro‘ zararini faqat pulga aylantirish to‘g‘ri bo‘lmasligi mumkin.
Baholash qaror uchun yetarli bo‘lmaganida qo‘shimcha ma’lumot yig‘ish ham alohida risk response hisoblanadi.
Bog‘liq tushunchalar
Threat, Vulnerability, Impact, Likelihood, Residual risk, Risk register, Security control