Roller
BGYS Sorumlusu yöntemin tutarlılığını sağlar; riskleri tanımlar, değerlendirir, işler ve kayıtları hazırlar. Üst Yönetim risk iştahını, önemli işleme kararlarını ve artık risk kabulünü onaylar. Yetki ayrıntıları BGYS Görev Atama Kararı içindeki matristen uygulanır.
Değerlendirme yöntemi
Her risk için varlık/süreç, tehdit veya olay, yararlanılan zayıflık, mevcut kontroller ve olası sonuç yazılır. Olasılık ve etki 1–3 arasında puanlanır.
| Puan | Olasılık yaklaşımı | Etki yaklaşımı |
|---|---|---|
| 1 | Nadir veya düşük olasılık | Sınırlı, yerel ve kolay giderilebilir etki |
| 2 | Mümkün | Ölçülebilir hizmet, maliyet, yükümlülük veya itibar etkisi |
| 3 | Muhtemel veya gerçekleşiyor | Önemli/kritik hizmet, yasal, mali veya müşteri etkisi |
Risk puanı olasılık × etki olarak hesaplanır. 1–2 düşük, 3–4 orta, 6 yüksek ve 9 kritik kabul edilir. Bu eşikler Üst Yönetim tarafından kurumun risk iştahına göre değiştirilebilir.
Risk işleme
Risk; azaltma, kaçınma, paylaşma/transfer veya bilinçli kabul seçeneklerinden biriyle işlenir. Her aksiyon için kontrol, sorumlu, kaynak, hedef tarih ve başarı ölçütü belirlenir. Seçilen kontrollerin gerekçesi uygulanabilirlik bildirgesinde tutulur.
Kritik riskler derhal, yüksek riskler planlı öncelikle ele alınır. Orta riskler BGYS Sorumlusu tarafından izlenir. Risk kabulü yalnızca tanımlı yetkiyle ve belirli gözden geçirme tarihiyle yapılır.
İzleme
Risk kaydı Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takvimine göre ve önemli olay, kapsam, teknoloji, tedarikçi, tehdit veya mevzuat değişikliğinde güncellenir. Uygulanan kontroller sonrası artık risk yeniden puanlanır.