zbornik radova (.pdf 11,5 MB) - Hrvatsko društvo inženjera sigurnosti

−−−nedostatak mehanizama identifikacije i provjere kao što je provjera korisnika (prijetnja: skrivanjeidentiteta korisnika);nedostatak ili neispravna politika kontrole pristupa (neovlašteni pristup informacijama, sustavimaili softveru);itd.PosljedicePosljedice su oblik štete koju kompanija trpi ako prijetnja iskoristi ranjivost objekta. Ukoliko nepostoji posljedica (šteta) tada ne postoji rizik. Posljedica uvijek treba biti iskazana u financijskomsmislu za prikaz kolika je velika šteta. Vrste posljedica mogu biti različite i njih definira kompanijakada provodi upravljanje rizicima. Primjeri nekih posljedica su: gubitak tajnosti informacije,neostvarivanje cilja objekta, gubitak tržišta, gubitak ugleda, gubitak profita, gubitak imovine, gubitakintelektualnog kapitala, štetni utjecaj na okoliš, itd. Za svaku navedenu ili neku drugu posljedicu možese i mora izraziti financijska šteta. Ponekad je to teško, ali je uvijek moguće. Jedna od mogućnosti jeodreñivanje iznosa štete i procjena koliko kompanija treba investirati da bi vratila stanje kakvo je biloprije realizacije rizika.U pravilu se kod svih vrsta rizika, pa tako i operativnih u kompaniji unaprijed odabere nekolikoposljedica koje će se analizirati za sve objekte koji su uključeni za tu vrstu rizika. Npr. za sveoperativne rizike u nekoj kompaniji će se definirati nekoliko relevantnih posljedica, za strateške rizikeneke druge (ili iste), itd.Na slici 4 je prikazana ilustracija tipičnog operativnog rizika. Fizičko oštećenje (u primjeru IT opreme)dovodi do prestanka funkcioniranja niza IT procesa, ali i drugih procesa u kompaniji, u kojima tiprekinuti IT procesi predstavljaju podprocese ili procese podrške. Kako prema definiciji poslovnogprocesa, svaki od njih obvezno mora imati izmeñu ostalog i nekakve resurse pomoću koji se obavljafunkcija procesa, očito je da svi procesi koji uključuju IT opremu za situaciju prema slici 4 imajuproblem s operativnim rizicima.Slika 4. Ilustracija pojave operativnog rizika u IT područjuIzvor: vlastitiOPERATIVNI RIZIK KAO ELEMENT UPRAVLJANJAUkoliko se slika 2 interpretira samo za operativne rizike može se uočiti kako oni utječu na upravljanjeu kompaniji. Prema svom mjestu gdje se operativni rizici mogu pojaviti, njihovom značaju ipotencijalnim posljedicama realizacije dogañaja s negativnim učinkom (štetom) može se reći da seoperativni rizici opisuju sa: rizik da će nešto poći naopako.Operativni rizik se definira kao rizik od gubitka koji nastaje zbog neadekvatnih ili pogrešnih internihprocesa, pogrešaka koje su uzrokovali ljudi i sustavi ili kao rezultat vanjskih dogañaja. Definicija jeuzeta iz područja bankarstva i njihovog dokumenta Basel II [10] u kojem je precizno i sveobuhvatnodana definicija koja je primjenjiva u svim vrstama kompanija ili organizacija. U tabeli 1 su dani430M&S 8(2013)