ارايه مدلي جهت اولويت بندي ريسكهاي امنيت اطلاعات سازماني با استفاده از AHP فازي و شبكه بيزين در صنعت بانكداري

A model to Prioritizing Organizational Information security risks using by Fuzzy AHP and Bayesian Networks in the banking industry

چكيده: ريسك جزيي ذاتي و جدايي ناپذيراز زندگي و تجارت است. همواره شرايط عدم اطميناني كه ناشي از اطلاعات و دادههاي ناقص و يا متغيرهاي غيرقابلكنترل است، با فرصتها و تهديداتي همراه است. در عصر حاضر بسياري از سازمانها به شدت به سيستمهاي اطلاعاتي خود متكياند و مديريت امنيت اطلاعات به يكي از موضوعات مهم سازماني تبديل شدهاست. با توجه به اين واقعيت كه در استفاده از سيستمهاي امنيت اطلاعات نيز ريسكهايي وجود دارد، يك فرايند مديريت ريسك موثر، ميتواند برنامه امنيتي موفقي را نتيجه دهد. مديريت ريسك شامل فرايند شناسايي ريسكها، ارزيابي ريسك، و تلاش براي كاهش ريسكها به سطح قابل قبول ميباشد. هدف اين پژوهش، اولويتبندي ريسكهاي امنيت اطلاعات سازماني، بهمنظور ارايه راهكاري براي ارتقا وضعيت امنيت اطلاعات سازماني است. به اين منظور، با استفاده از AHP فازي و شبكه بيزين، مدلي جهت ارزيابي و اولويتبندي ريسكهاي امنيت اطلاعات سازماني ارايه گرديد. در فرايند ارزيابي ريسك،شدت ريسكها با استفاده از AHP فازي و احتمال آنها با استفاده از شبكه بيزين،محاسبه شد و سرانجام ريسكها اولويتبندي شدند. يافتههاي اين پژوهش نشان ميدهد در سازمان مورد پژوهش، ريسك عدم آگاهي و عدم ارايه آموزشهاي مناسب در حوزه امنيت اطلاعات، بالاترين اولويت و بيشترين نياز به توجه را دارد.

Risk is inherent and inseparable part of life and business. Always uncertainty condition arising from incomplete information and data or ungovernable variables, associated with opportunities and threats.Nowadays many organizations and companies have relied heavily on information systems and information security management has transformed to an important organizational topics. And due to the fact that the use of information systems security may be created some risks, an effective risk management process, will result in a successful security program. Risk management includes risk identification process, risk assessment and risk-reduction efforts to acceptable levels. The objective of this research is to prioritize information security risks, in order to provide a mechanism to enhance the security of enterprise information. To this end, a model has been presented for organizational information security risk assessment using the fuzzy AHP and Bayesian networks. In the assessment process, risks impact by fuzzy AHP and risks probability by Bayesian networks have calculated and finally The risks Prioritized. The findings suggest In the case study, the risk of lack of knowledge and lack of proper training in the field of information security, have the highest priority and attention is needed most