Security risk assessment and manage

Security risk assessment and management are essential for effective security engineer- ing. Risk management is concerned with assessing the possible losses that might ensue from attacks on assets in the system and balancing these losses against the costs of security procedures that may reduce these losses. Credit card companies do this all the time. It is relatively easy to introduce new technology to reduce credit card fraud but the cost of this would be more than covering the losses to credit card users. As costs drop and attacks increase, this balance may change. For example, credit card companies are now encoding information on an on-card chip instead of a magnetic strip. This makes card copying much more difficult.
Risk management is a business issue rather than a technical issue, so software engineers should not decide what controls should be included in a system. It is up to senior management to decide whether or not to accept the cost of security or to accept the exposure that results from the lack of security procedures. However, the role of software engineers is to provide informed technical guidance and judgements on security issues. They are, therefore, essential participants in the risk manage- ment process.

Kết quả (Việt) 2:

Đánh giá rủi ro an ninh và quản lý là rất cần thiết cho ing bảo mật hiệu quả engineer-. Quản lý rủi ro liên quan đến việc đánh giá các thiệt hại có thể có thể xảy ra sau các cuộc tấn công vào các tài sản trong hệ thống và cân bằng các mức giảm so với chi phí của các thủ tục bảo mật có thể làm giảm những tổn thất này. Các công ty thẻ tín dụng làm điều này tất cả các thời gian. Nó là tương đối dễ dàng để giới thiệu công nghệ mới để giảm gian lận thẻ tín dụng nhưng chi phí này sẽ được nhiều hơn bao gồm các thiệt hại cho người sử dụng thẻ tín dụng. Vì chi phí giảm xuống và tấn công gia tăng, sự cân bằng này có thể thay đổi. Ví dụ, các công ty thẻ tín dụng đang mã hóa thông tin trên một con chip trên thẻ thay vì một dải từ. Điều này làm cho việc sao chép thẻ nhiều khó khăn hơn.
Quản lý rủi ro là một vấn đề kinh doanh chứ không phải là một vấn đề kỹ thuật, vì vậy các kỹ sư phần mềm không nên quyết định điều khiển nên được bao gồm trong một hệ thống. Đó là vào quản lý cấp cao để quyết định có hay không chấp nhận các chi phí về an ninh hoặc để chấp nhận sự tiếp xúc đó là kết quả của việc thiếu các thủ tục an ninh. Tuy nhiên, vai trò của các kỹ sư phần mềm là cung cấp hướng dẫn kỹ thuật thông tin và nhận định về các vấn đề an ninh. Họ đang có, do đó, các đại biểu cần thiết trong quá trình quản lý rủi ro.