breadcrumbDescription
Hvordan Kontrol af effektivitet styrer risikoscoring
Se, hvordan kontroleffektivitetsvurderinger styrer beregninger af restrisiko, hvordan kontrolfejl automatisk øger risikoscores, og hvordan risikoejere overvåger, hvilke kontroller der beskytter deres risici.
EditionsHeading
| Tilgængelig i: Lightning Experience |
| Tilgængelig i: Enterprise, Performance og Unlimited Edition med Agentforce IT Service. |
Registreringen over overensstemmelseskontrolversionsrisiko
Når du opretter en samlingsregistrering for risikostyring af overensstemmelseskontrolversion, dokumenterer du tre vigtige oplysninger:
- Den specifikke trussel eller sårbarhed, som kontrollen håndterer. En enkelt kontrol kan reducere flere risici, og en enkelt risiko kan reduceres med flere kontrolelementer.
- En procentvurdering (0-100 %), der kvantificerer, hvor meget kontrollen reducerer risikoens påvirkning. Denne vurdering afspejler kontrollens designeffektivitet og driftsmæssige effektivitet baseret på testresultater.
- Kontroller, der passerer deres test, bevarer deres effektivitetsvurdering. Kontroller, der ikke klarer deres test, falder til 0 % effektivitet, hvilket signalerer, at risikoen ikke længere er beskyttet.
Risikobegrænsning
Forretningsregelsystemet bruger kontroleffektivitetsvurderinger til at beregne restrisikoscores. Formlen er:
Residual Risk = Inherent Risk × (1 - Control Effectiveness)
- For en enkelt kontrol, der reducerer en risiko:
Hvis den indbyggede risikoscore er 12 (Gennemsnitlig sandsynlighed × Høj påvirkning), og kontroleffektiviteten er 80 %, bliver den resterende risiko:
12 × (1 - 0.80) = 12 × 0.20 = 2.4 (Low).Denne beregning viser, at kontrollen giver væsentlig risikoreduktion fra Høj til Lav. Den resterende 20 % risiko repræsenterer den resterende eksponering, selv med kontrollen på plads.
- For flere kontroller, der reducerer den samme risiko:
Risici med høj påvirkning kræver ofte flere forebyggende, registrerende og korrigerende kontroller for at opnå tilstrækkelig beskyttelse. Når to eller flere kontroller beskytter en enkelt risiko, anvender Forretningsregelsystemet dem i rækkefølge. Formlen bliver til
Residual Risk = Inherent Risk × (1 - Control A Effectiveness) × (1 - Control B Effectiveness)En risiko har en indbygget score på 20 (Høj sandsynlighed × Meget høj påvirkning). Kontrol A (Forebyggende RBAC-kontrol) er 80 % effektiv, og Kontrol B (Gennemgang af registreringslogadgang) er 60 % effektiv. Den resterende risiko er:
20 × (1 - 0.80) × (1 - 0.60) = 20 × 0.20 × 0.40 = 1.6 (Low).Denne lagrettede forsvar reducerer risikoen fra Meget høj til Lavt, hvilket viser værdien af flere kontrolelementer, der arbejder sammen.
Hvornår skal der linkes kontroller til risici
Link kontroller til risici på kontroloprettelsestidspunktet, ikke efter risikovurdering.
| Sekvens | Opgave |
|---|---|
| 1 | Opret overensstemmelsesrisikoregistreringen, og definer den indbyggede risikoscore. |
| 2 | Definer den overensstemmelseskontrol og overensstemmelseskontrolversion, der reducerer risikoen. |
| 3 | Opret samlingsregistreringen Risici for overensstemmelseskontrolversion, og tildel effektivitetsvurderingen. |
| 4 | Opret den overensstemmelsestest, der vil validere, om kontrollen fungerer korrekt. |
| 5 | Udfør testen for at etablere et basislinjepass/fail-resultat. |
| 6 | Bekræft, at forretningsregelsystemet beregnede restrisikoen korrekt baseret på kontroleffektiviteten. |
Dette arbejdsflow sikrer, at kontrol-risikolinkningen er på plads før den første risikovurdering, og giver interessenter nøjagtige restrisikoscores fra starten.
