روش‌های سنتی و مرسوم ارزیابی ریسک امنیت اطلاعات، که عمدتاً بر پایه ارزش‌گذاری ایستا و مستقل دارایی‌های اطلاعاتی استوار هستند، به دلیل عدم توجه به ماهیت پویا، وابستگی‌های متقابل و زمینه سازمانی، اغلب منجر به برآوردهای ناکارآمد و غیرواقع‌بینانه از ریسک می‌شوند. این کاستی باعث تخصیص نامناسب منابع امنیتی و کاهش اثربخشی اقدامات کنترلی می‌گردد. پژوهش حاضر با شناسایی این شکاف، به طراحی و توسعه یک روش نوآورانه و پویا برای ارزیابی ریسک امنیت اطلاعات می‌پردازد که مفهوم «ارث‌بری ارزش دارایی‌ها» را محور اصلی خود قرار داده است. این تحقیق با بهره‌گیری از یک رویکرد ترکیبی (کیفی-اکتشافی) و در سه فاز متوالی انجام شد: در فاز اول، از طریق یک مرور نظام‌مند ادبیات، آیتم‌های مؤثر شناسایی و در فاز دوم، با استفاده از روش گروه اسمی با حضور ۱۲ متخصص حوزه امنیت اطلاعات، روش نهایی طراحی و اعتبارسنجی شد. یافته‌ها منجر به شناسایی پنج عامل کلیدی مؤثر بر ارزش دارایی شد که عبارتند از: اطلاعات، فرآیندهای کسب‌وکار، ذی‌نفعان، محیط عملیاتی و الزامات قانونی. در روش پیشنهادی،پیامد یک حادثه از طریق جمع ارزش نهایی دارایی های اطلاعاتی درگیر در آن حادثه حاصل می‌شود. در این روش، ارزش نهایی یک دارایی به صورت پویا و با جمع ارزش پایه ذاتی دارایی اطلاعاتی و ارزش ارث برده شده از آیتم‌های موثر با آن دارایی محاسبه می‌کند. در نهایت، مقدار ریسک هر سناریو به صورت کمّی و عینی از طریق ضرب مقادیر پیامد حادثه، احتمال وقوع تهدید و شدت آسیب‌پذیری به دست می‌آید. در فاز سوم نیز روش پیشنهادی در یک مورد سازمانی در ایرانداک، از طریق محاسبه مقادیر ریسک در دو سناریو حادثه بکار گرفته شد. نتایج این اعتباریابی نیز نشان داد که روش پیشنهادی می تواند منجر به مقادیر دقیق‌تر ارزش‌گذاری دارایی‌های اطلاعاتی، پیامد حادثه و مقدار ریسک سناریوهای ریسک امنیت اطلاعات در سازمان شود. این روش با یکپارچه‌سازی عوامل زمینه‌ای و مدلسازی روابط ارث‌بری، تصویری واقع‌بینانه‌تر و زمینه آگاهانه‌تری از ریسک ارائه داده و ابزاری قدرتمندی برای اولویت‌بندی دقیق‌تر ریسک‌ها و تخصیص بهینه منابع امنیتی در سازمان‌ها فراهم می‌آورد.
خدمتگزار، حمیدرضا. زودآیند. طراحی روش ارزیابی ریسک امنیت اطلاعات مبتنی بر مفهوم ارث‌بری. تهران: پژوهشگاه علوم و فناوری اطلاعات ایران.
