ISACA IT Risk Fundamentals Sertifikat İmtahanına Hazırlıq Flashcard-ları

ISACA IT Risk Fundamentals imtahanı üçün 6 domen üzrə əsas terminləri və anlayışları əhatə edən lüğət tipli flashcard-lar.

Risk (Risk)

Müəyyən bir hadisənin baş vermə ehtimalı (Likelihood) ilə həmin hadisənin təşkilatın məqsədlərinə vura biləcəyi təsirin (Impact) birləşməsi.

Konseptual Risk Düsturu

$$Risk = \text{Threat} \times \text{Vulnerability} \times \text{Asset Value}$$

Aktiv (Asset)

Təşkilat üçün dəyər daşıyan hər şey: məlumat, sistem, avadanlıq və ya insan resursu.

Təhdid (Threat)

Aktivə zərər vura biləcək istənilən hadisə, şəxs və ya vəziyyət.

Zəiflik (Vulnerability)

Təhdid (Threat) tərəfindən istismar oluna biləcək zəif nöqtə və ya boşluq.

Ehtimal (Likelihood)

Müəyyən hadisənin baş vermə şansı və ya tezliyi.

Təsir (Impact)

Hadisə baş verdikdə yaranacaq zərərin böyüklüyü.

Məruz qalma (Exposure)

Aktivin Təhdidə (Threat) açıq olma dərəcəsi.

Risk iştahı (Risk Appetite)

Təşkilatın qəbul etməyə hazır olduğu ümumi risk miqdarı.

Risk dözümlülüyü (Risk Tolerance)

Risk Appetite ətrafında icazə verilən konkret sapma həddi.

Risk tutumu (Risk Capacity)

Təşkilatın obyektiv olaraq daşıya biləcəyi maksimum risk miqdarı.

Qabaqlayıcı nəsəzarət (Preventive Control)

Hadisənin baş verməsinin qarşısını alan nəsəzarət növü (məs. firewall, giriş nəsəzarəti).

Aşkaredici nəsəzarət (Detective Control)

Baş vermiş hadisəni müəyyən edən nəsəzarət növü (məs. log monitorinqi, IDS).

Düzəldici nəsəzarət (Corrective Control)

Hadisədən sonra zərəri azaldan və bərpanı təmin edən nəsəzarət növü (məs. backup-dan bərpa).

İstiqamətləndirici nəsəzarət (Directive Control)

Davranışı qaydalara yönləndirən nəsəzarət növü (məs. siyasətlər, təlimatlar).

Doğma/xam risk (Inherent Risk)

Heç bir nəsəzarət (Control) tətbiq olunmadan mövcud olan xam risk səviyyəsi.

Cari/qalıq risk (Current/Residual Risk)

Mövcud nəsəzarətlər (Controls) tətbiq olunduqdan sonra qalan risk səviyyəsi.

Governance (İdarəetmə)

'Nə edilməli olduğunu' (what should be done) müəyyən edən struktur və prinsiplər mənsubiyyəti.

Management (İdarəetmə/Menecment)

Tapşırıqların 'necə həyata keçiriləcəyini' (how it is executed) və icrasını müəyyən edən proseslər.

Üç Müdafiə Xətti (Three Lines Model)

1-ci xətt: Əməliyyat menecmenti; 2-ci xətt: Risk və uyğunluq funksiyaları; 3-cü xətt: Daxili audit (Internal Audit).

CIA Triadı

Aktivlərin dərəcəsini qiymətləndirmək üçün istifadə olunan Konfidensiallıq (Confidentiality), Tamlıq (Integrity) və Əlçatanlıq (Availability) meyarları.

Yuxarıdan-aşağı yanaşma (Top-Down Approach)

Risk ssenarisi işlənərkən biznes məqsədlərindən başlayıb bunlara təsir edən riskləri müəyyən edən yanaşma.

Aşağıdan-yuxarı yanaşma (Bottom-Up Approach)

Risk ssenarisi işlənərkən konkret texniki hadisələrdən başlayıb biznesə təsirini qiymətləndirən yanaşma.

Risk reyestri (Risk Register)

Müəyyən edilmiş bütün risklərin təsviri, sahibi, qiymətləri və cavab planlarını əhatə edən mərkəzləşdirilmiş sənəd.

Keyfiyyət analizi (Qualitative Analysis)

Riskləri 'aşağı/orta/yüksək' kimi təsviri kateqoriyalarla qiymətləndirən metod.

Kəmiyyət analizi (Quantitative Analysis)

Riskləri konkret rəqəmsal dəyərlərlə ($Annual Loss Expectancy$ kimi) ölçən metod.

Risk istilik xəritəsi (Risk Heat Map)

Likelihood (üfüqi ox) və Impact-i (şaquli ox) vizual rəng kodlaşdırması ilə birləşdirən matris.

Dizayn effektivliyi (Design Effectiveness)

Nəsəzarətin (Control) nəzəri olaraq riski düzgün ünvanlayıb-ünvanlamadığını göstərən meyar.

Riskdən qaçınma (Risk Avoidance)

Riskə səbəb olan fəaliyyətdən tamamilə imtina etməkdən ibarət cavab strategiyası.

Riskin köçürülməsi (Risk Transfer)

Riski sığorta və ya outsourcing vasitəsilə üçüncü tərəfə ötürməkdən ibarət cavab strategiyası.

Recovery Time Objective (RTO)

Sistemin fəlakətdən sonra bərpası üçün maksimum icazə verilən müddət.

Recovery Point Objective (RPO)

Bərpa zamanı icazə verilən maksimum məlumat itkisi müddəti.

Key Risk Indicator (KRI)

Risk səviyyəsinin dəyişməsini erkən siqnal verən, gələcəyə yönəlik (Leading) ölçülə bilən metrik.

Davamlı nəzarət monitorinqi (Continuous Control Monitoring)

Real vaxt rejimində anomaliyaları və nəsəzarət pozuntularını aşkar etməyə imkan verən proses.