Every organization carries out task

Every organization carries out tasks to satisfy business objectives. Without objectives, organizations have no purpose. You must identify the elements in your organization that support your business objectives.
These elements are your organization’s business drivers. Business drivers include people, information, and conditions that support business objectives. Information security activities directly support several common business drivers, including compliance and efforts to protect intellectual property. Security activities can also negatively affect business drivers, making it more difficult to satisfy your business objectives.
Always consider different controls to satisfy compliance requirements. It’s important that you balance security activities with their impact on your business drivers to protect your information’s security. In this chapter, you will learn about security-related business drivers and how they support your overall business drivers.

Defining Risk Management
- Risk management is responding to a negative event when it occurs.
- Risk management is the process of identifying, assessing, prioritizing, and addressing risks.
- Risk management is not something you do just once.
- Risk management ensures that you have planned for risks that are most likely to have an effect on your organization.
- Risk is the probability that an uncertain event will affect one or more resources. The effects of risk can be positive or negative.
- PMI bases its risk-management philosophy on a proactive approach, which simultaneously does the following:
• Minimizes the effects of negative risks
• Maximizes the effects of positive risks
Risk = Threats x Vulnerabilities
- A threat is the frequency of any event.
- Vulnerability is the likelihood that a specific threat will successfully be carried out. Multiplying the probability of a threat and the likelihood of a vulnerability yields the risk of that particular event.
- Risks apply to specific assets. The result is the exposure to a specific risk.
- A risk methodology is a description of how you will manage risk. The risk methodology that your organization adopts should include the approach, the required information, and the techniques to address each risk. The approach defines how you will carry out the steps of the risk-methodology process. While the PMI approach isn’t the only way to do things, it does provide a prescriptive approach to project management in general, including risk management.
- The process of managing risks starts by identifying risks. According to PMI, the steps in the risk-management process are as follows:
• Risk identification
• Risk analysis
• Risk-response planning
• Risk monitoring and control
- A threat is an opportunity to exploit a vulnerability
- An exploited vulnerability results in an impact
1. Risk identification
Risk identification is the process of determining and classifying the risks that might affect your resources. The ability to identify risks is a key part of an effective risk-management process. Identifying risks should involve as many people working in different roles as possible. Having more people involved enables you to identify risks from multiple perspectives.
The result of the risk identification process is a list of identified risks. PMI calls this list the risk register. The risk register can contain many different types of information, but should contain at least the following:
• A description of the risk
• The expected impact if the associated event occurs
• The probability of the event occurring
•• Steps to mitigate the risk
• Steps to take should the event occur
• Rank of the risk
This goal is to document as many risks as possible. You can collect input for the risk register in several ways, including the following:
• Risk-identification brainstorming meetings
• Formal surveys
• Informal polls and requests for comments
• Incentivized events, such as “lunch and learn” sessions that include a forum for collecting comments and feedback
The Delphi method
This is an approach to using formal anonymous surveys in multiple rounds to collect opinions and information. Because the surveys are anonymous, the method encourages candid responses. A panel reviews each round of survey responses and creates a new survey based on the results of the previous round. Multiple rounds allow you to focus on areas of concern and assemble detailed information from a number of subject-matter experts.
2. Risk Analysis
The first step is to determine what and where the organization’s assets are located. The next step is to analyze the identified risks within the seven domains of an IT infrastructure to decide how to rank them. All organizations have limited budgets. They cannot respond to every potential risk. Risk analysis allows organizations to decide which risks require more attention than others do.
a.• Qualitative risk analysis
Qualitative risk analysis uses relative ranking to determ

Kết quả (Việt) 2:

Mỗi tổ chức thực hiện các nhiệm vụ để đáp ứng các mục tiêu kinh doanh. Nếu không có mục tiêu, tổ chức không có mục đích. Bạn phải xác định các yếu tố trong tổ chức của bạn có hỗ trợ các mục tiêu kinh doanh của bạn.
Những yếu tố này là điều khiển kinh doanh của tổ chức của bạn. Điều khiển kinh doanh bao gồm những người, thông tin và điều kiện hỗ trợ cho mục tiêu kinh doanh. Hoạt động an ninh thông tin trực tiếp hỗ trợ một số trình điều khiển kinh doanh chung, bao gồm cả việc tuân thủ và những nỗ lực để bảo vệ sở hữu trí tuệ. Hoạt động an ninh cũng có thể ảnh hưởng tiêu cực điều khiển kinh doanh, làm cho nó khó khăn hơn để đáp ứng các mục tiêu kinh doanh của bạn.
Luôn luôn xem xét các điều khiển khác nhau để đáp ứng yêu cầu tuân thủ. Điều quan trọng là bạn cân bằng các hoạt động an ninh với tác động của điều khiển kinh doanh của bạn để bảo vệ an ninh của thông tin của bạn. Trong chương này, bạn sẽ tìm hiểu về điều khiển kinh doanh bảo mật liên quan và làm thế nào họ hỗ trợ điều khiển kinh doanh tổng thể của bạn.

Định nghĩa Quản lý rủi ro
- Quản lý rủi ro được đáp ứng một sự kiện tiêu cực khi nó xảy ra.
- Quản lý rủi ro là quá trình xác định, đánh giá, ưu tiên , và giải quyết các rủi ro.
- quản lý rủi ro không phải là cái gì bạn làm chỉ một lần.
- quản lý rủi ro, đảm bảo rằng bạn đã lên kế hoạch cho những rủi ro mà có nhiều khả năng có ảnh hưởng đến tổ chức của bạn.
- rủi ro là xác suất mà một sự kiện không chắc chắn sẽ ảnh hưởng đến một hoặc nhiều hơn các nguồn lực. Những ảnh hưởng của rủi ro có thể là tích cực hoặc tiêu cực.
- PMI căn cứ triết lý quản lý rủi ro của nó trên một phương pháp tiếp cận chủ động, mà đồng thời thực hiện như sau:
• Giảm thiểu sự ảnh hưởng của rủi ro tiêu cực
• tối đa hóa ảnh hưởng của rủi ro tích cực
rủi ro = Thách x lỗ hổng
- A mối đe dọa là tần số của bất kỳ sự kiện.
- Tổn thương là khả năng một mối đe dọa cụ thể sẽ thành công được thực hiện. Nhân xác suất của một mối đe dọa và khả năng của một lỗ hổng mang lại nguy cơ của sự kiện đặc biệt.
- Những rủi ro áp dụng cho các tài sản cụ thể. Kết quả là việc tiếp xúc với một rủi ro cụ thể.
- Một phương pháp rủi ro là một mô tả về cách bạn sẽ quản lý rủi ro. Các phương pháp rủi ro mà tổ chức của bạn có chính phải bao gồm các phương pháp tiếp cận, các thông tin cần thiết, và các kỹ thuật để giải quyết mỗi rủi ro. Phương pháp xác định làm thế nào bạn sẽ thực hiện các bước của quy trình rủi ro phương pháp luận. Trong khi cách tiếp cận PMI không phải là cách duy nhất để làm điều đó, nó cung cấp một cách tiếp cận quy tắc quản lý dự án nói chung, bao gồm cả quản lý rủi ro.
- Quá trình quản lý rủi ro bắt đầu bằng cách xác định các rủi ro. Theo PMI, các bước trong quy trình quản lý rủi ro như sau:
• Xác định rủi ro
• Phân tích rủi ro
• Rủi ro đáp ứng kế hoạch
• Theo dõi và kiểm soát rủi ro
- Một mối đe dọa là một cơ hội để khai thác một lỗ hổng
- Một kết quả lỗ hổng khai thác trong một tác động
1. Rủi ro xác
định rủi ro là quá trình xác định và phân loại các rủi ro có thể ảnh hưởng đến tài nguyên của mình. Khả năng xác định rủi ro là một phần quan trọng của quá trình quản lý rủi ro hiệu quả. Rủi ro Xác định nên liên quan đến nhiều người làm việc trong vai trò khác nhau càng tốt. Có nhiều người tham gia cho phép bạn xác định các rủi ro từ nhiều quan điểm.
Kết quả của quá trình nhận dạng rủi ro là một danh sách các rủi ro được xác định. PMI gọi danh sách này đăng ký rủi ro. Sổ đăng ký rủi ro có thể chứa nhiều loại thông tin khác nhau, nhưng nên có ít nhất như sau:
• Mô tả các rủi ro
• Các tác động dự kiến nếu các sự kiện liên quan xảy ra
• Xác suất của sự kiện xảy ra
?? • Các bước để giảm thiểu rủi ro
• các bước thực hiện nên sự kiện này xảy ra
• Đánh giá các rủi ro
Mục tiêu này là tài liệu nhiều rủi ro càng tốt. Bạn có thể thu thập đầu vào cho các đăng ký rủi ro trong nhiều cách, bao gồm:
các cuộc họp • Rủi ro nhận dạng động não
• khảo sát chính thức
• các cuộc thăm dò không chính thức và RFC
• Sự kiện incentivized, chẳng hạn như "bữa ăn trưa và học hỏi" phiên có một diễn đàn để thu thập ý kiến và phản hồi
phương pháp Delphi
Đây là một cách tiếp cận để sử dụng các cuộc điều tra giấu tên chính thức trong nhiều vòng để thu thập ý kiến và thông tin. Bởi vì các cuộc điều tra là vô danh, phương pháp khuyến khích phản ứng thẳng thắn. Một bảng đánh giá mỗi vòng trả lời khảo sát và tạo ra một cuộc khảo sát mới dựa trên kết quả của các vòng trước. Nhiều vòng cho phép bạn tập trung vào các mối quan tâm và lắp ráp các thông tin chi tiết từ một số chuyên gia chuyên đề.
2. Phân tích rủi ro
Bước đầu tiên là xác định những gì và nơi mà các tài sản tổ chức ?? s được đặt. Bước tiếp theo là phân tích những rủi ro được xác định trong bảy lĩnh vực cơ sở hạ tầng CNTT để quyết định làm thế nào để xếp hạng chúng. Tất cả các tổ chức có ngân sách hạn chế. Họ không thể trả lời mọi nguy cơ tiềm ẩn. Phân tích rủi ro cho phép các tổ chức để quyết định rủi ro đòi hỏi phải chú ý nhiều hơn những người khác làm.
Một ??. Phân tích rủi ro định tính
phân tích rủi ro định tính sử dụng bảng xếp hạng so với determ