กระบวนการรักษาความปลอดภัยข้อมูล

การรักษาความปลอดภัยของข้อมูลนั้นเป็นกระบวนการในเชิงรุกเพื่อบริหารความเสี่ยง (Risk Management) แต่ที่ผ่านมาโดยส่วนใหญ่การรักษาความปลอดภัยจะเป็นแบบเชิงรับ กล่าวคือ องค์กรจะรอให้มีเหตุการณ์เกิดขึ้นก่อนแล้วค่อยหาวิธีการที่จะป้องกันเหตุการณ์นั้น ซึ่งการทำเช่นนี้อาจเกิดความเสียหายกับองค์การมากเกินคาดก็ได้ การจัดการในเชิงรุกนั้นเป็นขั้นตอนที่ทำก่อนที่จะเกิดเหตุการณ์ขึ้น ถ้าการรักษาความปลอดภัยนั้นเป็นแบบเชิงรับ ค่าใช้จ่ายของระบบการรักษาความปลอดภัยนั้นไม่สามารถประเมินได้

ค่าใช้จ่ายการรักษาความปลอดภัย = ค่าความเสียหายเมื่อเกิดเหตุการณ์ + ค่าใช้จ่ายในการติดตั้งระบบป้องกัน

อย่างไรก็ตามค่าความเสียหายเมื่อเกิดเหตุการณ์นั้นไม่สามารถทราบได้จนกว่าจะเกิดเหตุการณ์ขึ้นก่อน และเนื่องจากองค์กรไม่ได้เตรียมการล่วงหน้าก่อนที่จะเกิดเหตุการณ์จึงทำให้ไม่สามารถทราบได้ถึงค่าความเสียหายจากเหตุการณ์นั้น ดังนั้น ความเสี่ยงขององค์กรไม่อาจทราบได้จนกว่าจะเกิดเหตุการณ์ขึ้นจริงๆ
อย่างไรก็ตามองค์กรสามารถลดค่าใช้จ่ายเกี่ยวกับการรักษาความปลอดภัยลงได้ การจัดการวางแผนเพื่อเตรียมรับเหตุการณ์ และการบริหารความเสี่ยงสามารถทำให้ค่าความเสียหายที่เกิดจากเหตุการณ์ลดลงได้ ถ้าองค์กรได้เตรียมการอย่างดีก่อนที่จะเกิดเหตุการณ์ขึ้น ดังนั้น เหตุการณ์นั้นจึงไม่เกิดขึ้นเพราะมีการป้องกันไว้อย่างดี ดังนั้น

ค่าใช้จ่ายการรักษาความปลอดภัย = ค่าใช้จ่ายในการติดตั้งระบบป้องกัน

ข้อสังเกตจากสมการทั้งสองข้างบนก็คือ ค่าความเสียหายที่เกิดจากเหตุการณ์นั้นอาจมีค่ามากกว่าค่าใช้จ่ายในการติดตั้งระบบเพื่อป้องกันเหตุการณ์มาก ทำให้ค่าใช้จ่ายในการรักษาความปลอดภัยนั้นลดลงอย่างเห็นได้ชัด การเตรียมการล่วงหน้าก่อนที่จะเกิดเหตุการณ์ขึ้นเป็นนโยบายเชิงรุกสำหรับการรักษาความปลอดภัยข้อมูลขององค์กร

กระบวนการในการรักษาความปลอดภัยข้อมูลขององค์กรนั้นเป็นกระบวนการที่ต้องทำอย่างต่อเนื่อง ซึ่งประกอบด้วย ๕ ขั้นตอนหลักคือ
• การประเมินความเสี่ยง (Risk Assessment)
• กำหนดนโยบาย (Policy)
• การติดตั้งระบบป้องกัน (Implementation)
• การฝึกอบรม (Training)
• การตรวจสอบ (Audit)

แต่ละขั้นตอนนั้นมีความสำคัญต่อกระบวนการรักษาความปลอดภัยข้อมูลขององค์กรอย่างไรก็ตามเพื่อให้กระบวนการนี้ได้ผล และมีประสิทธิภาพในการป้องกันเหตุการณ์ต่างๆ องค์กรจะต้องทำทุกขั้นตอนควบคู่กันไป