Homework 1

1. Briefly explain each of the steps in the risk management process.

1. อธิบายพอสังเขปกระบวนการจัดการความเสี่ยงว่ามี อะไรบ้าง

Solutions

1.Establish the organisation and risk management context

ดูบริบทขององค์กรว่ามีโครงสร้าง นโยบาย กลยุทธ์อย่างไร การจัดการความเสี่ยงที่จะเกี่ยวข้องนั้นมีอะไรบ้าง

2.Identifying, analysing and evaluating the risks the business faces

กำหนด วิเคราะห์ และประเมินความเสี่ยงที่จะเกิดขึ้นในเชิงธุรกิจ และดูว่าIT ช่วยเสริม ลดความเสี่ยงอย่างไรได้บ้าง

3.Designing and implementing preventive and corrective controls

ออกแบบและดำเนินการในการควบคุม ป้องกัน แก้ไข ผลกระทบของภัยคุกคามเหล่านั้น ว่าเราจะปกป้องอย่างไร ปกป้องแล้วยังมีผลกระทบอยู่เราก็ต้องแก้ไข (แนวโน้วทางด้าน Security จะเป็น preventive)

4.Monitoring and reviewing the strategy to ensure its effectiveness and that it responds to changes

เฝ้าดูและทบทวนดูว่าความเสี่ยงที่เกิดขึ้นและการควบคุมความเสี่ยงได้ผลหรือไม่ หรือการลดทอนความเสี่ยง ได้มากน้อยเพียงใด เราต้องมั่นดู ทบทวนหรือปรับปรุงแนวนโยบายต่างๆด้วย

2. What is the purpose of business continuity management?

2. การจัดการความต่อเนื่องทางธุรกิจ มีจุดมุ่งหมายอย่างไร

Solutions

1.The purpose of business continuity management is to identify the risks that have the potential to interrupt the normal course of business operations

2.implement preventive controls to prevent the occurrence of such risks

3. and develop corrective controls for coping should the preventive controls fail and the risk eventuate.

1. BCM เป็นส่วนหนึ่งของการจัดการความเสี่ยง จะกำหนดดูว่าความเสี่ยงทั้งหมดที่มี จะมีผลทำให้กระบวนการธุรกิจเราชงัก

2. กรรมวิธีที่จะควบคุมป้องกันผลกระทบความเสี่ยงทั้งหมด

3. พัฒนาวิธีการที่จะแก้ไข หรือป้องกันเมื่อระบบในธุรกิจของเราล้มเหลว และประเมินค่าความเสี่ยงที่จะเกิดขึ้น

3. IT governance requires that IT delivers value to the business and that IT risks are mitigated. Who is responsible for IT governance? Who is responsible for IT security and risk management?

3. ไอทีภิบาลพยามยามให้องค์กรต่างๆส่งมอบคุณค่า ใครควรเป็นคนรับผิดชอบ

Solutions

An effective IT security strategy requires a holistic security-conscious environment throughout the entire organisation. In this environment, management is committed to safeguarding the security of IT assets and the business as a whole is committed to achieving the following:

เมื่อเรามีกลยุทธ์ในเรื่องความมั่นคงปลอดภัยทางด้าน IT เอามาใช้ในองค์กร เราจะมองเป็นภาพรวมที่ทำให้องค์กรเราเป็นอย่างไรบ้าง

· Ensuring stakeholders’ confidence and trust in the business

· ผู้มีส่วนได้ส่วนเสียหรือมีส่วนเกี่ยวข้อง(stakeholders) มีความเชื่อมั่น ความเชื่อถือและไว้วางใจ ถ้าเรามีกลยุทธ์ทางด้าน security ทีเป็นมาตราฐานสากลนั้น ผู้ที่มีส่วนเกี่ยวข้องก็จะเชื่อมั่นไว้วางใจ

· Maintaining the confidentiality of personal and financial information

· คงไว้ซึ่งความลับหรือข้อมูลเฉพาะส่วนบุคคล ความลับข้อมูลทางด้านการเงิน จะคงรักษาไว้ได้ ไม่รั่วไหลไปสู่คงไม่พึ่งประสงค์

· Safeguarding sensitive business information from unauthorised disclosure

· ปกป้องไม่ให้ข้อมูลทางธุรกิจที่เป็นข้อมูลเชิงการแข่งขัน หรือข้อมูลที่อ่อนไหวมากๆ ไม่ถึงเปิดเผยออกไปสู่บุคคลภายนอก

· Preventing illegal or malicious attacks on IT resources (hardware, software and data) from inside and outside the company

· ป้องกันการกระทำที่ไม่ถูกต้องจากทั้งภายนอกและภายใน หรือการจู่โจม การบุกรุกที่ไม่หวังผลดี การเข้ามาโดยไม่ได้รับอนุญาตซึ่งจะมีผลต่อทรัพยากรเทคโนโลยีสารสนเทศของเรา

· Protecting the company’s IT resources (hardware, software and data) from misuse and fraud

· ปกป้องในเรื่องทรัพยากรทั้งมวลขององค์กร จากการใช้ประโยชน์หรือแสวงประโยชน์จากกลุ่มบุคคลผู้ใช้ต่างๆ ที่อาจจะใช้ไม่ถูกต้อง หรือมีการฉ้อโกง ขัดกับสื่งที่ควรจะเป็น

· Protecting the IT resources, physically and logically, from disruption

· ปกป้องทรัพยากรทางด้าน IT จากการแก้ไขเปลี่ยนแปลงหรือการปลอมแปลงต่างๆ ได้ทั้งหมด ถ้าเรามีนโยบายทางด้าน Security

· Fulfilling the legislative and regulatory requirements of the society in which the business operates

· เราทำตามข้อกำหนดหรือกฎระเบียบของภาครัฐที่มีไว้ ซึ่งจะทำให้ธุรกิจของเราดำเนินต่อไปได้อย่างต่อเนื่อง หรือมีความสมบูรณ์เป็นประโยชน์ สังคมก็ไม่เดือดร้อน

· Creating a responsible work culture that promotes quality and security consciousness and curtails hostile and antagonistic employee behaviour

· วัฒนธรรมองค์กร วัฒนธรรมการทำงาน เราอยากจะให้ การตระหนักรับรู้ความสำคัญของ security นั้น ให้อยู่ในวัฒนธรรมการทำงาน อยู่ในทัศนคติ ว่ามีทัศนคติในเชิงบวกต่อเรื่องนี้ ยอมรับ จะทำให้การทำงานมีคุณภาพดี ความมั่นคงปลอดภัยในเรื่องของข้อมูลก็จะสูง ถ้าเราปรับวัฒนธรรมการทำงาน ให้ยึด security อยู่ตลอด เพราะทุกคนในองค์กรล้วนแล้วมีหน้าที่ช่วยรับผิดชอบทั้งสิ้น

Business managers need to promote the risk management strategy and the preventive and corrective controls to all stakeholders to ensure that the security strategy is implemented correctly. A plan, policy or strategy is not useful if it is ignored.

4. Explain how IT represents both an opportunity and a source of vulnerability for business.

อธิบายว่า IT เป็นได้ทั้งโอกาศและความอ่อนแอในเชิงธุรกิจอย่างไร

Modern Information and Communication Technologies (ICTs) present the corporate world with new challenges and opportunities. These technologies on the one hand facilitate faster and more efficient achievement of business goals, such as manufacturing and easy access to global markets, and on the other hand, leave businesses dependent on data and information that increases their vulnerability to loss of valuable data and information through security breaches and natural calamities.

ในเรื่องของเทคโนโลยีสารสนเทศและการสื่อสารจะทำให้ธุรกิจมีโอกาศใหม่ๆ ให้มองปัญหาและอุปสรรคเป็นความท้าทาย(challenges) คือให้มองในเชิงบวก เทคโนโลยีใหม่ๆ เราถือว่าเป็นโอกาศทางธุรกิจที่จะแสวงประโยชน์หรือเอามาประยุกต์ใช้กับองค์กร โดยเฉพาะตัว IT จะช่วยอะไรเราได้บ้าง

5. Choose an organisation that uses IT (e.g. your workplace or your university) and complete the following tasks:

(a) Explain the role of IT in the organisation.

(b) Identify, analyse and evaluate the IT risks that the organisation faces.

(c) Suggest some controls that the organisation should, in your opinion, have in place to prevent and correct these risks. Be sure not to focus just on technological controls.

(d) Try to think of a new risk the organisation might face in the future. What steps should the organisation take now and in the future to protect itself from this risk?

The discussion should include critical elements of IT governance, such as:

· Alignment with the business strategy

· Delivery of value

· Management of risk

· Management of resources

· Measurement of performance.

IT risks can take many forms. For example, the business’s headquarters could be destroyed by fire or its customer database could be accessed and modified by a hacker. On the other hand, many risks are small in scale and relatively mundane, but still costly for the individual business affected. They could be a burst water pipe, a backhoe digging up a communications cable or simply a staff member dropping a hard disk drive and destroying its contents. Poor procedures for choosing and maintaining hardware and software are another risk.

Discussion on (c) may include BCM, accountability policies, intrusion identification systems, firewalls, physical security etc.

New risks may include emerging aspects, such as wireless security, privacy concerns of technologies like RFID.