پروژه تحقیقی با موضوع مدیریت ریسک در فناوری اطلاعات

چکیده

    امروزه اطلاعات و فناوری اطلاعات بعنوان عاملی مهم در کنار سایر عوامل تولید بشمار می آید. باتغییرات سریع تکنولوژی و جهانی شدن آن، دامنه استفاده از آن نیز افزایش یافته و مدیریت این پروژه ها و مدیریت ریسک در  این پروژه ها جزو الزامات رسیدن به مزیت رقابتی با کمترین آسیب است. مزایای غیرقابل انکار فناوری اطلاعات در فعالیت موسسات ، وجود سیستمهای اطلاعاتی در افزایش دقت و سرعت انجام کارها، بهبود کیفیت ، کاهش هزینه ها و رضایت بیشتر مشتریان باعث شده است تا سازمانها به سرعت به استقرار و استفاده از سیستمهای اطلاعاتی روی آورند.

از آنجا که منافع مالی و اقتصادی دلیل اصلی اجرای یک پروژه فن آوری اطلاعات است از اینرو تعریف موفقیت در ابتدای پروژه، شناسایی آن و مدیریت ریسک ها و مخاطرات و روشی که بتوان آنها را پیگیری نمود، از الزامات اساسی موفقیت پروژه های فناوری اطلاعات است . این تحقیق تلاشی در جهت تبیین نقش مدیریت ریسک درموفقیت پروژه های فن آوری اطلاعات و چگونگی مدیریت موثر آن می باشد.
     فناوری اطلاعات در زمینه های سخت افزار، نرم افزار، حجم و نوع داده ها و شبکه های مخابراتی بسرعت درحال پیشرفت و دگرگونی است.                                                           
اغلب مدیران به اهمیت استفاده از این فاوری در افزایش کارآیی و اثربخشی سازمانها و رضایت بیشتر مشتریان صحه گذاشته اند. مخاطرات در این پروژه ها علاوه برآنکه باعث عدم تحقق منافع پیش بینی شده می­گردد، همچنین موجب شکست این فناوری نیز خواهد شد.

     بنابراین مدیریت ریسک در پروژه های فناوری اطلاعات امری ناگزیر می باشد. دراین میان شناسایی و مدیریت ریسکهای مشاهده شده قبلی و حین اجرای پروژه فعالیت می تواند اثر پیشگیرانه برای آسیب های بعدی داشته باشد. دراین تحقیق علاوه بر بررسی ریسک در پروژه های فناوری،عوامل موثر بر عملکرد این پروژه ها، فرایند مدیریت ریسک و روشهای کاهش ریسکها تشریح خواهد شد.

واژگان کلیدی: فناوری اطلاعات، سیستم  اطلاعاتی، مدیریت ریسک، استراتژی  ریسک، مدیریت پروژه.

فهرست مطالب

عنوان                                                                                                                       صفحه

چکیده

 فصل اول: 13

مقدمات… 13

 فصل دوم. 16

مدیریت ریسک در فناوری اطلاعات… 16

2‌.1‌   ریسک    17

2.2‌   مدیریت ریسک… 17

2‌.3‌   سیستم اطلاعاتی.. 19

2‌.4‌   مدیریت ریسک در فناوری اطلاعات… 21

 فصل سوم. 26

اصول مدیریت ریسک…. 26

3‌.1‌   مواد، روش ها و انواع ریسک… 27

3‌.2‌   برنامه ریزی ریسک… 30

3‌.3‌   اصول مدیریت ریسک پروژه 31

 فصل چهارم. 32

استراتژی های مدیریت ریسک…. 32

4‌.1‌   استراتژی انتقال.. 34

4‌.2‌   استراتژی اجتناب… 34

4‌.3‌   استراتژی کاهش…. 35

4‌.4‌   استراتژی پذیرش…. 35

4‌.5‌   عوامل کلیدی موفقیت در مدیریت ریسک پروژه فناوری اطلاعات… 36

      فصل پنجم.. 38

مدیریت ریسک در سیستم های اطلاعاتی… 38

      فصل ششم.. 41

تکنولوژی های مدیریت ریسک…. 41

1.6   تکنولوژی ValIT.. 43

6‌.2‌   تکنولوژی CobIT.. 43

6‌.3‌   تکنولوژی RiskIT.. 44

6‌.4‌   چارچوب ISACA… 44

      فصل هفتم.. 45

تحلیل ریسک در پروژه های فناوری اطلاعات… 45

      فصل هشتم.. 54

مدیریت ریسک یکپارچه. 54

      فصل نهم.. 57

نتایج و تحلیل ها. 57

9‌.1‌   پویایی‌های سیستم در پروژه‌های فناوری اطلاعات: 58

9‌.2‌   تحلیل ریسک پروژه‌های فناوری اطلاعات: 62

9‌.3‌   تحلیل ارتباط بین سازه‌های ریسک حاصل از پژوهش…. 65

9‌.4‌   خلاصۀ نتایج تحلیل حساسیت و ارائۀ سناریوها 66

9‌.5‌   انواع روش های تحلیل ریسک… 67

6.9‌   روش تحلیل میزان تبیین سازه‌ ریسک به‌وسیلۀ مؤلفه‌های ریسک… 68

      فصل دهم.. 69

نتیجه گیری و پیشنهادات… 69

مقدمه

امروزه فناوری اطلاعات همه جنبه های زندگی بشری را تحت تاثیر قرار داده است. لذا استفاده و نیاز به اینترنت در محیط های مختلف به شدت در حال افزایش می باشد و بنابراین مدیریت ریسک و عوامل و پیامدهای آن به یک نیاز ملزم مبدل شده است.

فناوری های نوین مانند سیستم های اطلاعاتی و کاربرد IT در زندگی امروزی بسیار ضروری شده است. زیرا فناوری های نوین IT بر کسب و کارهای امروزی و کارایی ان ها بسیار تاثیر گذار است.

به عنوان مثال یک شرکت دانش بنیان نوپا را در نظر بگیرید که تعدادی از نخبگان دانشگاهی و صنعتی در ان مشغول فعالیت هستند. حوزه فعالیت شرکت، فروشگاه اینترنتی و تحویل کالا با تقاضای اینترنتی در داخل و خارج از کشور می باشد. حالا تصور کنید که برای چند ساعت اینترنت با مشکل مواجه شود، چه پیامدها و ضرر اقتصادی متوجه شرکت خواهد شد. بنابراین فناوری IT در این شرکت بسیار حائز اهمیت بوده و در پیرو آن، مدیریسک ریسک پروژه های فناوری اطلاعاتی که در این شرکت در حال انجام است از اهمیت فوق العاده ای برخوردار است….(مقدمه ادامه دارد)

آسیب‌پذیری

ضعف‌هایی می‌تواند به صورت تصادفی به منابع و اطلاعات صدمه برساند. انواع آسیب‌پذیری‌های در سیکل حیات پیشرفته سیستم عبارت است از ]6[:

الف-  اگر طراحی فناوری اطلاعات آغاز نشده‌است، جستجو برای آسیب‌ها باید بر سیاست‌های امنیتی سازمان، روال‌های امنیتی مطرح، تعاریف مورد نیاز سیستم و غیره متمرکز شود.

ب–  در صورتی که سیستم  فناوری اطلاعات  در حال اجرا است، شناخت این آسیب‌ها باید برای توسعه اطلاعات مشخص بیشتر مانند مشخصه‌های امنیتی طرح و تعریف شده در سند طراحی امنیتی و نتایج تست تأیید سیستم و ارزیابی توسعه یابد.

ج–  اگرسیتم IT عملی باشد، پروسه شناسایی آسیب باید شامل یک تجزیه و تحلیل جنبه‌های امنیت و کنترل‌های امنیت سیستم IT باشد.

 روش‌های تست

در ادامه روش های تست آورده شده است:

الف- ابزارهای خودکار وارسی آسیب‌پذیری که برای وارسی یک گروه از میزبان‌ها و شبکه جهت شناسایی سرویس‌های آسیب‌پذیر (مانند سیستم‌هایی که به پروتکل تبادل فایل (FTP) بی نام اجازه عمل می‌دهند و غیره)

ب-  ارزیابی و تست امنیت (ST & E) شامل پیشرفت و اجرای تست (برای نمونه متن سند تست، روال‌های تست و نتایج تست مورد نظر) است. هدف از این تست، تست کارا بودن کنترل‌های امنیت یک سیستم IT که در یک محیط عملیاتی به کار گرفته می‌شود است . به عبارت دیگر هدف، تضمین آن است که کنترلی که به کار گرفته شده با مشخصات امنیتی تصویب شده برای نرم‌افزار و سخت‌افزار سازش داشته باشد و اجرای سیاست امنیت سازمان یا بدست آوردن استانداردهای صنعتی است.

انواع مختلف ریسک:

 اصطلاح ریسک بصورت گسترده ای مورد استفاده قرار می‌گیرد، ولی مخاطبان مختلف اغلب تعبیرهای نسبتاً مختلفی از آن دارند (KLOMAN-90). برای مثال، شیوه ارتباط ریسک با فرصت به شرایط تلقی ریسک بستگی دارد. بعضی اوقات، یک وضعیت هم فرصت سودآوری و هم امکان بالقوه زیان را فراهم می سازد. ولی در موارد دیگر، فرصت سودآوری وجود ندارد، تنها امکان بالقوه زیان موجود است.

 

بنابراین ریسک می تواند دارای دو نوع تقسیم دیگر باشد:
1- ریسک سوداگرانه؛
2- ریسک خطرناک.

در ریسک سودا گرانه، شما می توانید یک سودآوری تحقق یافته یا بهبودی در روال شرایط نسبت به وضع موجودتان داشته باشید. و به‌طور همزمان نیز امکان بالقوه ای برای تجربه یک زیان یا بدتر شدن شرایط نسبت به وضع موجود را داشته باشید. بازی های شرطی یک مثال از انجام یک ریسک سوداگرانه است. وقتی شما یک شرط بندی انجام می دهید، می‌بایست احتمال به‌دست آوردن پول بیشتر در مقابل انتظار از دست دادن میزان شرط بندی تان، مورد ارزیابی قرار دهید. در این مثال، هدف کلی افزایش ثروتتان است، و تمایل شما به سرمایه گذاری در ریسک، به منظور فراهم‌ساختن یک فرصت سودآورانه است.
در مقابل، ریسک خطرناک فقط یک امکان بالقوه زیان به همراه دارد و هیچ فرصتی برای بهبود روال شرایط فراهم نمی سازد. برای مثال، به‌چگونگی در نظر گرفتن امنیت، به‌عنوان یک ریسک خطرناک توجه کنید. فرض کنید که شما نگران محافظت از اشیاء با ارزشی باشید که در خانه نگهداری می شوند. هدف اصلی شما در این مثال، اطمینان از عدم دستبرد به اشیاء موجود در منزل شما بدون اطلاع و اجازه از جانب شماست. بعد از بررسی میزان کیفیت امنیت اشیاء، امکان دارد که شما تصمیم به نصب یک سیستم امنیتی در منزلتان به‌منظور جلوگیری از ورود دزد و سرقت اشیاء بگیرید. توجه کنید که هدف در این مثال، طبق تعریف، تنها تمرکز ریسک بر روی محدوده امکان بالقوه زیان است. در اکثر شرایط مناسب، شما تنها آنچه را که هم اکنون مالک آن هستید، محافظت می کنید. و هیچ امکان بالقوه‌ای برای سودآوری وجود ندارد.