Энэхүү баримт бичгийг жилд нэг удаа эсвэл шаардлага гарсан тухай бүрд удирдлагын зөвшөөрлөөр шинэчлэн сайжруулна.
Эрсдэлийн үнэлгээ
Байгууллагын бүртгэгдсэн мэдээллийн хөрөнгө, түүний холбогдох процесст учирч болох эрсдэлийг үйл ажиллагааны гадаад дотоод асуудлууд болон хөрөнгөд хамаарах аливаа өөрчлөлтийн үед тухайн хөрөнгийн эзэмшигч болон НМТ-ны төслийн баг хамтран тодорхойлж, эрсдэлийг бүртгэн, үнэлж, тухайн эрсдэлийн хариу арга хэмжээ авах эзнийг тодорхойлж, томилдог байна.
Эрсдэлийг үнэлэх:
Байгууллагын үйл ажиллагаанд хамаарах бүх хөрөнгийг тодорхойлж, баримтжуулах
Мэдээллийн хөрөнгө бүрийн холбогдох процессыг тодорхойлох
Тухайн процессын Нууцлалтай, Бүрэн бүтэн, Хүртээмжтэй байдалд нөлөө үзүүлэх аюул заналыг (threat) тодорхойлно.
Аюул заналыг бий болгож байгаа сул тал, эмзэг байдлыг (vulnerabilities) тодорхойлно.
Мэдээллийн хөрөнгийн аюулгүй байдлыг хангахад одоо хэрэгжүүлж буй хяналтыг тодорхойлно.
Эрсдэлийн магадлал тооцох аргачлал болон Эрсдэлийн нөлөөлөл тооцох аргачлал харгалзах хүснэгтээс олж тооцон эрсдэлийн түвшнийг үнэлнэ.
Эрсдэлийн магадлал нь дараах байдлаар тодорхойлогдоно:
5 - Одоогийн нөхцөл байдалд эрсдэл үүсэх нь бараг тодорхой
4 - Тохиолдох магадлал өндөр
3 - Хэд хэдэн удаа тохиолдож болно
2 - Бага магадлалтай, гэхдээ тохиолдож болно
1 - Төсөөллөөр тохиолдох боломжгүй - Үйл явдал гэнэтийн бэлэг байх болно
Эрсдэлийн нөлөөлөл нь дараах байдлаар тодорхойлогдоно:
Тодорхой эрсдэл үүсэхэд Байгууллагад үзүүлж болзошгүй нөлөөллийг тооцоолоход ашиглах ба холбогдох нөлөөллийн хувьд 1-ээс дээш нөлөөлөл үзүүлэх үед эдгээр нөлөөллүүдээс хамгийн өндөрийнх нь оноог авч тооцно.
Эрсдэлийн түвшин нь Нөлөөлөл* Магадлал байдлаар тодорхойлогдоно:
Өндөр:16-25
Дунд зэрэг:10-15
Бага:1-9
Тодорхойлогдсон эрсдэл бүрд эрсдэл эзэмшигчийг томилно. Эрсдэл эзэмшигч нь ихэвчлэн эрсдэлийг удирдах, шаардлагатай хяналтыг хэрэгжүүлэх эрх мэдэл, мэдлэгтэй хүн байна.
Тодорхойлогдсон эрсдэлийг хүлээн авч үйл ажиллагааг үргэлжлүүлснээр байгууллагын үйл ажиллагаанд боломж үүсэх тохиолдолд тухайн боломжийг тодорхойлж эрсдэлд авах арга хэмжээг шийдвэрлэнэ.
Эрсдэлийн түвшний хувьд эрсдэлийн хүлээн зөвшөөрөх түвшнээс гадна үлдэгдэл эрсдэлийн түвшнийг тодорхойлон тусгана. Ингэхдээ тухайн эрсдэлийн магадлалыг хамгийн бага байх үеийн утгыг ойлгоно.
Эрсдэлийн одоогийн түвшнийг үлдэгдэл эрсдэлийн түвшинд хүргэх зорилгоор эрсдэлд авах арга хэмжээг дараахаас сонгоно.
Хүлээн зөвшөөрөх:
Эрсдэлийн үнэлгээгээр 9-аас доош үнэлэгдсэн үед
Эрсдэлийн үнэлгээгээр хүлээн зөвшөөрөх түвшнээс дээш үнэлэгдсэн боловч эрсдэлд авах арга хэмжээний зардал нь эрсдэлээс үүсэж болох санхүүгийн алдагдлаас илүү гарах үед
Ойрын хугацаанд хийгдэх өөрчлөлт нь тухайн эрсдэлийг бууруулах эсвэл бүрэн арилгах нь тодорхой үед
Үлдэгдэл эрсдэлийн түвшинтэй ижил буюу одоогийн хяналт нь хангалттай гэж тодорхойлогдсон үед
Тухайн эрсдэлийг хүлээн зөвшөөрөх нь байгууллагын үйл ажиллагаанд аюулаас давсан боломжийг үүсгэж байгаа үед
Зайлсхийх
Тухайн эрсдэлийг үүсгэж буй сул тал, эмзэг байдалтай холбоотой үйл ажиллагаа, болон хөрөнгийг ашиглах, хэрэгжүүлэхээс татгалзах тохиолдолд
Шилжүүлэх
Тухайн эрсдэлийг үүсгэж буй сул тал, эмзэг байдалтай холбоотой үйл ажиллагаа, болон хөрөнгийг бусдаар гүйцэтгүүлдэг буюу гэрээний хүрээнд хариуцлагыг хуваалцах, шилжүүлэх боломжтой тохиолдолд
Бууруулах:
Тухайн эрсдэлийн магадлал болон нөлөөллийг бууруулах зорилгоор зайлшгүй арга хэмжээг хэрэгжүүлэх шаардлагатай тохиолдолд
Эрсдэлд авах арга хэмжээг сонгосноор тухайн сонгосон арга хэмжээг хэрэгжүүлэхэд шаардлагатай бүх хяналтыг зохиох эсхүл аливаа эх сурвалж(ISO27001-Annex A, NIST)-аас тодорхойлно.
Тодорхойлсон хяналтуудыг ISO27001-Annex A-ээс сонгосон тохиолдолд сонгон хэрэглэх тухай Хяналтыг хэрэглэх тухай мэдэгдлийг гаргана.
Эрсдэлүүдийг холбогдох мэдээллийн хөрөнгө болон авах арга хэмжээгээр нь бүлэглэн Эрсдэлд авах арга хэмжээний төлөвлөгөөг боловсруулан эрсдэл эзэмшигчээр батлуулах ба үлдэгдэл эрсдэлийг хүлээн зөвшөөрүүлнэ.
Эрсдэлийн хяналт
Эрсдэлийн бүртгэлийн хариуцагч нь НМТ-ны төслийн баг байх ба үнэлгээ бүрийн төгсгөлд хүлээн зөвшөөрөх түвшинд тодорхойлогдсон хэмжээг хянаж, шаардлагатай буюу оновчгүй байгааг мэдсэн тохиолдолд менежментийн хурлаар хэлэлцүүлэн шинэчлэн сайжруулна.
Эрсдэлийн бүртгэлийг шинээр илрүүлсэн эрсдэл, одоо байгаа эрсдэлд гарсан өөрчлөлт, хэрэгжүүлсэн хяналтын эрсдэлийн түвшинд үзүүлэх нөлөө зэрэг эрсдэл бүрийн өнөөгийн байдал зэргийг тусган тогтмол шинэчлэн сайжруулах ба дээрхээс бусад тохиолдолд эрсдэлийн бүртгэлийн хариуцагч нь жилд дор хаяж 1 удаа эрсдэлийн бүртгэлийг хянадаг байна.
Эрсдэлийн бүртгэл нь өөртөө дараах мэдээллүүдийг агуулсан байна:
Мэдээллийн хөрөнгийн нэр
Холбогдох процесс
Аюул занал
Эмзэг байдал
Одоогийн хяналт
Нөлөөлөл
Магадлал
Эрсдэлийн түвшин
Эрсдэлийн эзэмшигч
Үүсэх боломж
Хүлээн зөвшөөрөх үлдэгдэл эрсдэл
Эрсдэл, Боломжид авах арга хэмжээ
Хяналтын дагуу хийгдэх үйл ажиллагаа
Сонгон хэрэгжүүлэх хяналт
Хэрэгжүүлэх эзэн
Хийгдэж дуусах хугацаа
Хэрэгжилтийн хяналт