The Impact of Cloud on an Organisation's Information Security Risk Management Process and Risk Exposure

Abstract

Antall skytjenester har økt betydelig de siste årene, og organisasjoner gjennomgår og tilpasser IT-arkitekturen for å muliggjøre overføring av applikasjoner og data til skyen. Denne nye måten å konsumere applikasjoner og behandle data på tredjepartssystemer, introduserer også nye informasjonssikkerhetsrisikoer. Dette arbeidet undersøkte skyens innvirkning på organisasjonens informasjonssikkerhetsrisikostyring og tredjeparts risikostyringsprosesser. Den identifiserte både risikofokusområder og nøkkelkriterier som kan støtte en organisasjons reise til skyen. I løpet av prosessen ble seks bransjeeksperter fra feltet intervjuet som økte totalt 15 sky-spesifikke risikoer som de opplever som en hovedutfordring for skyreisen. Videre delte de fire beslutningskriterier som brukes i deres organisasjoner regelmessig for å avgjøre om risikoen forbundet med å flytte en tjeneste til skyen er akseptabel eller ikke. Dette arbeidet har analysert disse kriteriene ytterligere og anser dem som sannsynlige, gjennomførbare og nyttige for tidlig anerkjennelse av utfordringer.

The number of cloud service offerings has significantly increased over the past years, thus organisations are reviewing and adapting their IT architectures to enable the transition of applications and data into the cloud. This new way of consuming applications and processing data on third party systems also introduces new information security risks. This work investigated the impact of cloud on organisation’s Information Security Risk Management and Third-Party Risk Management processes. It identified both risk focus areas and key criteria which can support an organisation’s journey to the cloud. During the process six industry experts from the field were interviewed who raised a total of 15 cloud-specific risks which they perceive as posing a main challenge for their cloud journey. Furthermore, they shared four decision criteria which are used in their organisations on a regular basis to determine if the risk associated with moving a service to the cloud is acceptable or not. This work has analysed these criteria further and considers them plausible, feasible and useful for early recognition of challenges.