1. Сутність поняття "ризик"

Ризик – невід’ємна складова частина людського життя. Він породжується невизначеністю, відсутністю достатньо повної інформації про подію чи явище та неможливістю прогнозувати розвиток подій. Ризик виникає тоді, коли рішення вибирається з декількох можливих варіантів і немає

відношенню можливих втрат на шляху до мети. Поняття “ризик” можна конкретизувати стосовно до мети дослідження, визначаючи його то як “відхилення фактичного результату від очікуваного”, то як “ймовірність певної небажаної події”. На наш погляд, під ризиком необхідно розуміти ймовірність (небезпеку) втрати особою чи організацією частини своїх ресурсів, недоодержання прибутків або появу додаткових витрат внаслідок здійснення певної виробничої або фінансової політики. Можна приймати рішення та запроваджувати дії направлені на зменшення ризику але позбутися його неможливо. Ситуації коли відсутній ризик в економіці майже не зустрічаються. Більшість ситуацій яким притаманний ризик є дуже важко прогнозованими та контрольованими, тому усунути ризик повністю майже неможливо. Це є причиною того, що навіть ідеальні з першого погляду рішення приводять до збитків. Разом з тим ризик слід розглядати як невід’ємний елемент процесу існування організації на ринку. Фактично, якщо основною метою функціонування організації є максимізація прибутку, то він (прибуток) є винагородою за вдало взятий на себе ризик. Марно було б сподіватися, що отримання більш менш значних прибутків не пов’язано з серйозним ризиком. В економічній літературі склалися стійкі поняття “безризикові інвестиції” або “нульовий ризик”. Інвестиція вважається не ризиковою, якщо доход по ній гарантований. Прикладом не ризикової інвестиції є цінні папери казначейства. Дійсно, шанси того, що держава не взмозі викупити свої цінні папери, дорівнюють нулю. Для конкретного малого та середнього підприємства ризик завжди конкретний, а аналіз ризиків розділяється на два взаємно доповнюючи один одного види: якісний, задачею якого є визначення факторів ризику і обставин, що привели до ризикових ситуацій, і кількісний, якій дозволяє обчислити розміри як окремих ризиків, так і їх сукупності. Як вітчизняна, так і зарубіжна література приділяє багато уваги визначенню терміна “ризик”. Найчастіше зустрічаються такі визначення ризику:Вірогідність збитків чи втрат.

1. Ймовірність невдачі чи втрат, що пов’язані з конкретним напрямком дій фірми.

2. Ймовірність небажаної події.

Ризик в ділових операціях – це об’єктивно-суб’єктивна економічна категорія, що відображає ступінь успіху (невдачі ) в досягненні цілей з урахуванням впливу контрольованих і неконтрольованих чинників за наявності прямих і зворотних зв’язків. Проблеми ризику мають розглядатися й ураховуватися як при розробленні стратегії, так і в процесі виконання оперативних завдань. У кожній ситуації, що пов’язана з ризиком, постає питання: що означає доцільний ризик, де межа, що відокремлює доцільний ризик від нерозумного. Таким чином, проблема ризику і прибутку - одна із ключових в економічній діяльності, зокрема в управлінні виробництвом і фінансами.  Визначення  такої  межі  не може бути правильним без розуміння причин виникнення ризику взагалі та його зростання на протязі останнього періоду розвитку людства. Основні з них: Останнім часом розвиток суспільства набув дуже великих швидкостей насамперед через науково-технічний прогрес. Була створена потреба у неординарному, швидкому вирішенні питань, що постають перед людством. Принципово  нові шляхи розв’язання задач на творчому рівні, вимусили застосовувати методи та прийоми до яких ще ніколи і ніхто не удавався, природно, що на підставі цього виник і великий ризик зазнати невдачу. Якщо співставити такі фактори як необхідність вирішення проблеми швидко, якісно, не традиційно, наявне населення і стрімко спадаючу кількість придатних до використання ресурсів, то можна побачити й наступну причину ризику.

1. Для того щоб вижити, необхідно надати своїм діям підприємницького забарвлення, тобто: незалежність, нестандартність дій, сміливість, винахідливість, орієнтація на максимально можливий успіх. На сучасному етапі важливість цього питання розуміє все більша частина людей, тому не дивно, що в їх діях починають з’являтися вищеназвані ознаки, які й породжують зростання рівня ризику взагалі.

2. Середовище діяльності людства все більше набуває ринкового характеру, це породжує дуже жорстку конкуренцію при якій природним стають факти чисельних банкруцтв та крахів.

3. Також дуже важливим є проблема зростання глобального ризику, тобто знищення людства внаслідок власних дій.

Отже ризикованій ситуації притаманні такі основні ознаки:

1. Наявність невизначеності.

2. Існування альтернатив і необхідність вибору.

3. Можливість оцінити наявні альтернативи.

4. Зацікавлення у результатах вибору

Слово " ризик" пішло від французького слова risqué або італійського risico. Воно означає можливість або вірогідність настання подій з негативними наслідками в результаті певних рішень або дій. Відповідно до суті процесів, явищ і об'єктів, що породжують випадковості, розрізняють об'єктивну і суб'єктивну випадковості. Об'єктивна випадковість пов'язана з природою матерії, її суттю. У найбільш явній формі об'єктивна випадковість проявляється в мікросвіті на рівні молекул, атомів, елементарних часток. Суб'єктивна випадковість визначається неповнотою інформації про причини і суть випадкових подій.На практиці більшість ризикових подій відносяться до класу суб'єктивних випадкових подій. Отримання усієї необхідної інформації обмежується відсутністю відповідних інструментальних засобів і методик, часу на збір і обробку інформації, а також відсутністю повних наукових знань про суть процесу або явища, протидією конкурентів і зловмисників. Таким чином, усі риски є випадковими подіями, і випадковість визначається їх випадковою природою і недоліком якісної інформації про ці події. Інформаційна невизначеність є або єдиною основою випадковості події для людини, або вона супроводжує і доповнює об'єктивну випадковість. З такого висновку виходить інформаційна парадигма ризиків будь-якої природи : інформаційна невизначеність є суть усіх ризиків.

Негативні наслідки широкого кола загроз інформаційної безпеки (починаючи від атак хакерів і закінчуючи діями інсайдерів, які використовують свої знання і права доступу до даних компанії для своєї вигоди) можна зменшити, використовуючи підхід до управління інцидентами інформаційної безпеки, описаний в новому міжнародному стандарті ISO/IEC 27035 : 2011. Порушення в області інформаційної безпеки можуть ставити під загрозу функціонування бізнес-систем і порушувати роботу бізнесу. Від підготовленості та своєчасності і ефективності реагування може залежати, чи виллється інцидент в незначну пригоду або стане катастрофою для бізнесу. Застосування системи управління інцидентами інформаційної безпеки дасть організаціям інструменти управління і процедури, що дозволяють контролювати широкий діапазон інцидентів і вразливостей. Стандарт ISO/IEC 27035:2011 «Інформаційні технології. Методи забезпечення безпеки. Управління інцидентами інформаційної безпеки» надає практичні рекомендації з виявлення, реєстрації і оцінки випадків порушення інформаційної безпеки і вразливостей. Він допоможе організаціям реагувати на інциденти інформаційної безпеки, зокрема, вводити відповідні інструменти контролю для їхнього запобігання та скорочення, а також відновлення, і, таким чином, витягувати уроки та покращувати загальний підхід. Інтеграція системи управління інцидентами інформаційної безпеки дає ряд переваг:

• підвищення загального рівня інформаційної безпеки;

• зменшення негативних наслідків для бізнесу;

• посилення акценту на попередження інцидентів інформаційної безпеки,

• призначення пріоритетів і збору даних;

• внесок в обгрунтування рішень щодо виділення бюджету та ресурсів;

• поліпшення якості результатів оцінки та управління ризиками інформаційної безпеки;

• поліпшення інформованості в галузі інформаційної безпеки і допомога у підготовці матеріалів для навчання;

• надання додаткової інформації для розроблення політики інформаційної безпеки та супутньої документації.

Едвард Хамфріс, під керівництвом якого була розроблена початкова версія стандарту ISO/IEC TR 18044:2004, коментує: «Ефективне і своєчасне вирішення серйозних інцидентів може вирішити долю організації, що стоїть перед альтернативою порятунку чи загибелі». Новий стандарт ISO/IEC 27035 пропонує перевірені рішення в галузі процесів і методів забезпечення ефективного управління інцидентами інформаційної безпеки. «Ступінь критичності інцидентів може варіювати від незначних, які можуть вплинути на працездатність ізольованої системи, до великих, які охоплюють усі бізнес-системи. Одні інциденти можуть призвести до збою в роботі організації та використання її бізнес-ресурсів на 24-72 і більше годин, інші можуть призвести до серйозних втрат та/або знищення даних, а деякі можуть зробити організацію, яка винна у серйозному злочині. Стандарт ISO/IEC 27035:2011 пропонує рішення». Стандарт ISO/IEC 27035:2011 замінює технічний звіт ISO/IEC TR 18044:2004 та узгоджується з загальними принципами, встановленими в стандарті ISO/IEC 27001:2005 «Інформаційні технології. Методи забезпечення безпеки. Системи менеджменту інформаційної безпеки. Вимоги». Новий стандарт може застосовуватися в будь-якій організації, незалежно від її розміру. Стандарт поширюється на широкий діапазон інцидентів інформаційної безпеки, навмисних чи випадкових, викликаних технічними або фізичними причинами. Стандарт ISO/IEC 27035:2011 «Інформаційні технології. Методи забезпечення безпеки. Управління інцидентами інформаційної безпеки» розроблений підкомітетом SC 27 «Методи забезпечення безпеки» спільного технічного комітету ISO/IEC JTC 1 «Інформаційні технології».