تجزیه و تحلیل سازگاری حالت شکست و تحلیل اثر (FMEA) در ارزیابی ریسک فناوری اطلاعات

این یک مقاله با دسترسی آزاد تحت مجوز CC BY-NC-ND (http://creativecommons.org/licenses/by-nc-nd/4. 0/) است.

چکیده

FMEA به عنوان روشی برای ارزیابی ریسک های فناوری اطلاعات است. این تحقیق با هدف بررسی سازگاری FMEA سنتی و FMEA بهبود یافته در ارزیابی ریسک فناوری اطلاعات انجام شد. FMEA بهبود یافته نتیجه یک چارچوب سنتز برای به حداقل رساندن سازگاری در FMEA سنتی است. در این تحقیق از دو مجموعه چرخه اقدام پژوهی (برنامه ریزی، عمل، مشاهده، تأمل) استفاده شد. اقدام پژوهی 1 برای بررسی و اثبات سازگاری FMEA سنتی استفاده شد. از سوی دیگر، Action Research 2 برای بررسی سازگاری FMEA بهبود یافته استفاده شد. آزمایشات توسط دو تیم مختلف در یک مطالعه موردی انجام شد. سازگاری در شکاف نتایج RPN در هر دو تیم مشاهده شد و تفاوت ها در هر دو چرخه اقدام پژوهی منتج می شود. اقدام پژوهشی 1 ثابت کرد که FMEA سنتی سازگار نیست. شکاف در میزان ریسک در سطح بسیار بالا چهار ریسک بود. با این حال، اقدام پژوهی 2 دارای همان میزان خطر در سطح بسیار بالایی بود. بر اساس آزمون همبستگی، ثبات اقدام پژوهی 1 848/0 (همبستگی بسیار زیاد) و اقدام پژوهی 2 937/0 (همبستگی تقریباً کامل) به دست آمد. ثابت شد که ثبات FMEA بهبود یافته نسبت به FMEA سنتی سازگارتر است. محدودیت این مطالعه مسائل مربوط به حافظه بود زیرا هر دو چرخه اقدام پژوهی توسط یک تیم و با مطالعات موردی مشابه انجام شد. انتظار می رود تحقیقات بیشتر برای مقایسه FMEA سنتی و FMEA بهبود یافته در مطالعات موردی مختلف. سهم نظری سنتز بهبود یافته FMEA بر اساس محدودیت های FMEA سنتی بود. تیم FMEA ممکن است از Framework بهبود یافته FMEA استفاده کند.

کلمات کلیدی: مهندسی سیستم، مهندسی ایمنی، امنیت اطلاعات، سیستم های اطلاعات، مدیریت سیستم های اطلاعات، فناوری اطلاعات، مدیریت اطلاعات، بهبود FMEA، سازگاری FMEA، ریسک فناوری اطلاعات

1. مقدمه

هر سازمان باید امنیت اطلاعات خود را از خطرات فناوری اطلاعات (IT) حفظ کند. جنبه امنیت اطلاعات شامل محرمانه بودن ، صداقت و در دسترس بودن است (ویتمن و ماتورد ، 2012). این خطر مربوط به تهدیدات و خطرات ناشی از استفاده گسترده از آن است. علاوه بر این ، این خطر می تواند باعث آسیب و از بین رفتن غیر منتظره شود (Spremic and Popovic ، 2008). ریسک از جنبه های مالی و غیر مالی بر سازمان تأثیر می گذارد.

خطرات آن را می توان با روش های مختلف اندازه گیری کرد: کمی ، کیفی و نیمه کمی. روش هایی که کاملاً کیفی و توصیفی هستند ، تمایل به ارزیابی ریسک ذهنی تر دارند. علاوه بر این ، یک روش کمی می تواند اطلاعات زیادی را از بین ببرد و برای توصیف خطرات موجود در یک سازمان ، وقت گیر و همچنین پیچیده است (چن ، 2015). یک روش اندازه گیری نیمه کمی روش های کمی و کیفی را با هم ترکیب می کند. حالت خرابی و تجزیه و تحلیل اثر (FMEA) به عنوان روش نیمه کمی طبقه بندی می شود. شماره اولویت ریسک (RPN) در FMEA از تجزیه و تحلیل کمی از وقایع ریسک پشتیبانی می کند. این روش نه تنها بالاترین ریسک را به طور دقیق و سریع پیدا می کند بلکه نگرانی های مربوط به از دست دادن اطلاعات را نیز برطرف می کند (ژائو و بای ، 2010). FMEA می تواند ریسک بالقوه را به صورت انتقادی ارزیابی کند (مورفی و همکاران ، 2011).

FMEA برای ارزیابی خطر آن مناسب است (Najwa and Subriadi ، 2018). FMEA ساختارها و زبانهای مشترکی را فراهم می کند که می تواند در بسیاری از سازمان ها مورد استفاده قرار گیرد ، به عنوان مثال: صنایع تولید و خدمات ، سازمان های سود و غیرانتفاعی ، سازمان های خصوصی و دولتی و سازمان های دولتی (مک ددرت و همکاران ، 2009). تفاوت در اندازه گیری با استفاده از FMEA از IT با سایر FMEA در اشیاء خطر تحقیق شده نهفته است. FMEA در جنبه های فناوری اطلاعات خطرات موجود در جنبه امنیت اطلاعات (محرمانه بودن ، یکپارچگی و در دسترس بودن) را ارزیابی می کند.

FMEA انتقادات زیادی را از چندین مطالعه قبلی در مورد قوام ارزیابی ریسک دریافت می کند. نقاط ضعف FMEA موجود در یافتن علل ریشه بالقوه ریسک ، ارزیابی دقیق عوامل خطر ، تعیین معیارهای مقیاس ، که واضح و مشکوک نیستند ، مقیاس اولویت 1-10 غیر خطی ، ذهنیت/خطای انسانی ، تعصب ، وقت گیر است.، سطح اهمیت پارامترهای مشابه ، تکثیر RPN کپی شده و فرمولاسیون RPN.

هرچه سطح وابستگی سازمانی به آن بالاتر باشد ، شکست بالقوه و تأثیر آن بیشتر می شود (Najwa and Subriadi ، 2018). با این حال ، یک سازمان به FMEA مناسب نیاز دارد و نتیجه اندازه گیری مداوم را بدست می آورد. تأثیر نتایج ارزیابی ریسک متناقض جنبه مهمی است که توسط سازمان در نظر گرفته می شود. اگر FMEA به طور نادرست اعمال شود ، سازمان کاهش نادرست را انجام می دهد (Subriadi و همکاران ، 2018). این ممکن است اتفاق بیفتد زیرا اولویت پرخطر نیاز به هزینه بالاتری و درمان اولویت دارد. از طرف دیگر ، سطح کم خطر نیاز به بودجه کم دارد یا می توان آن را نادیده گرفت. در صورت اندازه گیری نادرست ، ضررهایی که سازمان تجربه کرده است دو برابر خواهد شد.

مطالعاتی که ترکیب استفاده از FMEA و خطرات امنیت اطلاعات را نشان می دهد ، تعداد زیادی از آنها نیست (سیلوا و همکاران ، 2014). بنابراین ، FMEA در زمینه IT باید مورد بررسی قرار گیرد (Lai and Chin ، 2014). این مطالعه به تجزیه و تحلیل قوام FMEA سنتی و بهبود FMEA در ارزیابی ریسک IT. روش مورد استفاده تحقیقات عمل (برنامه ، عمل ، مشاهده ، تأمل) بود که شامل دو چرخه بود. تحقیقات عمل 1 قوام سنتی FMEA را مورد بررسی و اثبات قرار داد ، در حالی که تحقیقات اکشن 2 شامل یک تجزیه و تحلیل انتقادی ، سنتز FMEA بهبود یافته و بررسی قوام FMEA بهبود یافته است. مراحل تجزیه و تحلیل قوام ، در همان مطالعه موردی توسط دو تیم مختلف خطرات آن را بررسی کرده است. اندازه گیری قوام بر اساس نتایج نمره RPN از هر تیم بود. هر دو مدل تحقیق اکشن مقایسه نمره RPN را از هر دو تیم بر اساس سطح خطر (بسیار زیاد ، زیاد ، متوسط ، کم و بسیار کم) ارائه دادند. تفاوت میزان خطر در هر سطح از نتایج هر دو تیم نشان داد که یک مسئله ناسازگاری وجود دارد.

سهم نظری این تحقیق اثبات مسئله سازگاری FMEA سنتی در ارزیابی ریسک فناوری اطلاعات است. این تحقیق یک مدل (بهبود FMEA) را بر اساس ادبیات و نتیجه قوام FMEA سنتی پیشنهاد می کند. سپس این تحقیق همچنین سازگاری FMEA را بهبود می بخشد. نتیجه این تحقیق مقایسه قوام FMEA سنتی و بهبود FMEA را نشان می دهد. علاوه بر این ، سهم عملی این مطالعه در ارائه راهنمایی برای بهبود FMEA است که می تواند آزمایش شود و سعی در دستیابی به نتایج اندازه گیری ریسک مداوم تر داشته باشد.

2. بررسی ادبیات

2. 1حالت خرابی و تجزیه و تحلیل اثر (FMEA)

مدیریت ریسک فناوری اطلاعات برای محافظت از دارایی های فناوری اطلاعات مانند داده ها ، سخت افزار ، نرم افزار ، پرسنل و تسهیلات از هر دو تهدید خارجی (یعنی فاجعه) و تهدیدهای داخلی (به عنوان مثال ، خطای فنی ، خرابکاری ، دسترسی غیرمجاز) اعمال می شود (Bandyopadhyay و همکاران.، 2011). یکی از روشی که بیش از 40 سال در اندازه گیری خطرات مورد استفاده قرار گرفته است ، حالت خرابی و تجزیه و تحلیل اثر (FMEA) است. FMEA به طور کلی توسط صنعت حمل و نقل هوایی در اواسط دهه 1960 مورد استفاده قرار می گرفت و به ویژه در مسائل ایمنی یا امنیتی مورد استفاده قرار می گیرد (مک درموت و همکاران ، 2009). FMEA در حال رشد است و می تواند در زمینه های مختلف از جمله فناوری اطلاعات مورد استفاده قرار گیرد. تفاوت در استفاده از FMEA مبتنی بر هدف ریسک است که باید اندازه گیری شود (Lai and Chin ، 2014). علاوه بر این ، نقطه کانونی اندازه گیری ریسک در این تحقیق خطر دارد. FMEA در زمینه IT بر داده های حساس و امنیت اطلاعات متمرکز است (مک ددرت و همکاران ، 2009). چارچوب FMEA به مدیران و تکنسین ها کمک می کند تا حالت های خرابی احتمالی ، دلایل بالقوه و کاهش را شناسایی کنند (شارما و شارما ، 2010).

FMEA از روش اولویت ریسک (RPN) و همچنین اصطلاحات زبانی برای تعیین تأثیر ریسک (شدت) ، احتمال خطر (وقوع) و فرصت های ریسک (تشخیص) استفاده می کند. تعیین مقیاس روش خاصی ندارد ، بنابراین می توان با استفاده از سفارشی سازی تیم ریسک تعیین کرد. متداول ترین مقیاس معیارها در مقیاس 1-10 است (ون لیوون و همکاران ، 2009). مقدار RPN با ضرب مقدار سه پارامتر بدست می آید. خطرات با بالاترین مقادیر RPN فرض بر این است که خطرات مهمی هستند و باید در مقایسه با خطرات با مقادیر کم RPN ، از اولویت بالایی برخوردار شوند (Sankar and Prabhu ، 2001).

2. 2کارهای مرتبط

روش FMEA که در مدیریت ریسک اعمال می شود ، مسئله سازگاری دارد (Barends et al. ، 2012 ؛ Estorilio and Posso ، 2010 ؛ Gary Teng et al. ، 2006 ؛ Oldenhof et al. ، 2011). تحقیقاتی که توسط (Lai and Chin ، 2014) انجام شده است ، Circle FMEA امنیت اطلاعات را پیشنهاد کرد که روش سنتی FMEA را اصلاح کرده است. علاوه بر این ، یک تحقیق دیگر توسط (Oldenhof و همکاران ، 2011) با ارزیابی خطرات در تیم های مختلف در یک مطالعه موردی ، قوام FMEA را بررسی کرد. مراحل تجزیه و تحلیل ریسک شناسایی علت بالقوه ، شدت و تشخیص خطر در هر دارایی بحرانی است. این تحقیق ثابت می کند که اجرای FMEA سنتی سازگار نیست. بنابراین ، نتیجه تحقیق ، راهنمایی برای بررسی قوام FMEA سنتی و بهبود FMEA است.

تحقیقاتی که توسط (Estorilio and Poso ، 2010) انجام شده است با تثبیت هر مرحله در روش FMEA ، از قوام FMEA انتقاد کرده است. هفت عامل بر بی نظمی (قوام FMEA) در FMEA تأثیر می گذارد: دانش ، آموزش ، تاریخچه شکست ، کار تیمی و هم افزایی ، نیاز به زمان و کنترل. این مطالعه راهنمایی در سنتز چارچوب بهبود یافته FMEA را ارائه می دهد ، که همچنین با نتایج حاصل از تجزیه و تحلیل شکاف از روش مورد استفاده توسط (Oldenhof et al. ، 2011) پشتیبانی می شود.

عدم اطمینان از مقدار RPN را می توان از عدم قطعیت ارزیابی ریسک در هر یک از این پارامترها تجزیه و تحلیل کرد: شدت ، وقوع و تشخیص (کامرون و همکاران ، 2017). ضعف RPN این است که اهمیت نسبی پارامترها را در نظر نمی گیرد ، RPN تکراری با ترکیب متفاوت وجود داشت ، و پیامدهای ریسک اساسی نیز می تواند متفاوت باشد ، ارزیابی دقیق آن آسان نیست و فرمول RPNمی تواند ارزیابی کند (چای و همکاران ، 2016). ضعف FMEA به دلیل تنوع زیادی از ترکیبات ، بنابراین می تواند باعث تکثیر ارزش RPN شود. RPN کپی که دارای تأثیر کم خطر یا پرخطر بود ، همان میزان اهمیت را برای کاهش ریسک هدف قرار داده است (Banghart ، 2014).

مدل جدید FMEA هیبریدی ، که ترکیبی از برنامه نویسی اولویت فازی (FPP) ، نقشه های شناختی فازی (FCMS) و رویکرد ماتریس گرافیکی فازی (GTMA) است ، توسط (Baykasoğlu and Gölcük ، 2017) پیشنهاد شده است. این هدف تحقیق کمک به اشکالات FMEA سنتی و RPN بود. FPP برای به دست آوردن رتبه علل خطر از مقایسه ناقص ، نادرست و ارزیابی متقابل استفاده شد. FCM ها برای گرفتن وابستگی های علی در بین ریسک بودند. سپس ، GTMA فازی برای ارزیابی اولویت ریسک حالت های شکست با ارتباط تعامل بین علل ریسک بود. محدودیت این مطالعه بسیار کمی بود ، بنابراین روند جزئیات و تجزیه و تحلیل ریسک در موارد ناکافی بود. علاوه بر این ، نتایج این مطالعه به دیدگاه متخصص بستگی داشت.

با توجه به نتایج بررسی ادبیات انجام شده توسط (لیو و همکاران، 2013)، ضعف FMEA در نداشتن مقادیر وزنی نهفته است زیرا در هر پارامتر سطح مهم یکسانی دارد. تحقیقات قبلی روش های فازی و FMEA را در ارزیابی ریسک ترکیب کردند. FMEA با روش فازی ترکیب شده است تا بر نقاط ضعف FMEA در مسئله سطح یکسان در هر پارامتر غلبه کند (لیو و همکاران، 2013). این نقاط ضعف عبارتند از: (1) تعریف کارکردهایی که با عوامل خطر مرتبط هستند دشوار بود زیرا درک زبان یا اصطلاحات به راحتی دشوار بود.(2) برای به کارگیری فازی نیاز به هزینه بالا و زمان طولانی دارد.(3) یک محاسبه پیچیده با در نظر گرفتن مقدار زیادی از دست دادن اطلاعات در فرآیند تحلیل ریسک. پیاده سازی فازی در واقع هنوز مشکل است و به زمان طولانی در فرآیند تحلیل ریسک نیاز دارد.

تعداد مطالعاتی که ریسک های FMEA و امنیت اطلاعات را ترکیب می کنند، هنوز محدود است (سیلوا و همکاران، 2014). استفاده از FMEA در زمینه فناوری اطلاعات هنوز نیاز به بررسی دارد (لای و چین، 2014). سازگاری FMEA سنتی در زمینه فناوری اطلاعات توسط (Subriadi et al., 2018) به اثبات رسیده است. نتایج این مطالعه مشکل ناسازگاری FMEA سنتی را اثبات می کند. نتیجه نهایی این تحقیق چارچوب سنتز FMEA را بر اساس مطالعه موردی ارائه کرد. با این حال، تحقیق هنوز به مرحله آزمایش تجربی نرسیده بود و سازگاری سنتز FMEA را ثابت کرد.

تفاوت این تحقیق با تحقیقات دیگر در این است که این تحقیق FMEA را در زمینه فناوری اطلاعات مورد بررسی قرار داد و مسائل مربوط به سازگاری سنتی FMEA را مطابق با انتقادات تحقیقات قبلی آزمایش کرد. برخلاف آزمایش سنتی سازگاری FMEA که توسط (Oldenhof و همکاران، 2011) انجام شد، که ارزیابی ریسک را در زمینه صنعت شیمی انجام داد، این تحقیق ریسک فناوری اطلاعات را ارزیابی کرد. این تحقیق همچنین راه حل های توصیه ای را بر اساس نقاط ضعف FMEA با توسعه یک چارچوب بهبود برای بهبود FMEA ارائه کرد. سازگاری بهبود یافته FMEA به همان روشی که روش سنتی سازگاری FMEA مورد آزمایش قرار گرفت. بنابراین، می توان دید که قابلیت اطمینان FMEA بهبود یافته از FMEA سنتی سازگارتر و بهتر است.

3. روش شناسی

3. 1. سوال تحقیق و موضوع تحقیق

هدف از این تحقیق اثبات ثبات FMEA سنتی و بهبودفرمیا بود. اسناد FMEA که توسط هر دو تیم به عنوان ابزار اندازه گیری خطر IT استفاده می شود ، مشابه بودند. قوام FMEA بر اساس تفاوت در مقدار RPN به دست آمده مشاهده شد. براساس شکافی که به پیشینه تحقیق تبدیل شد ، سؤالات تحقیق (1) چگونه است که قوام با استفاده از FMEA سنتی حاصل می شود؟(2) نتیجه چارچوب FMEA سنتز برای غلبه بر قوام سنتی سنتی چیست؟(3) نتایج حاصل از سنتز چارچوب FMEA بهبود یافته چقدر تجربی است؟

اولین سؤال با آزمایش چارچوب سنتی FMEA در دو تیم مختلف در همان مطالعه موردی (تحقیقات اکشن 1) پاسخ داده شد (Subriadi و همکاران ، 2018). سؤال دوم با هماهنگی نقاط ضعف FMEA مشخص شده ، تشخیص علل و ارائه توصیه برای راه حل ها پاسخ داده شد. نتیجه تراز بهبود یافته FMEA ، که یک مدل بهبود یافته FMEA سنتی بود. سؤال سوم با آزمایش چارچوب بهبود یافته FMEA در دو تیم مختلف در همان مطالعه موردی (تحقیقات اکشن 2) پاسخ داده شد.

هدف تحقیق یک وزارت دولت در اندونزی بود که دارایی های مهم فناوری اطلاعات را دارد. استفاده از آن در دولت وزارتخانه برای بهبود عملکرد و خدمات به شهروند مورد استفاده قرار گرفت.

3. 2چرخه تحقیقات عمل

این مطالعه توسط دو چرخه تحقیقاتی اکشن انجام شد (هال و کت ، 2005 ؛ رز و همکاران ، 2015). تحقیقات اقدام 1 بررسی قوام سنتی FMEA بود و تحقیقات اقدام 2 بررسی سازگاری FMEA به عنوان توصیه ای برای راه حل ها بود. دو تیم FMEA وجود داشتند که هر کدام شامل سه عضو بودند. تیم FMEA ترکیبی از رئیس بخش ، یک کارمند ارشد ، دو پزشک IT و یک محقق به عنوان هماهنگ کننده تیم FMEA بود.

3. 3تحقیقات اقدام 1

تحقیقات اقدام 1 4 مرحله داشت. توضیح به شرح زیر است:

طرح. برنامه ریزی با طراحی سناریوهای سنتی ارزیابی ریسک FMEA انجام شد که توسط دو تیم مختلف انجام شد. طراحی یک سناریوی ارزیابی ریسک شامل شناسایی فرآیندهای تجاری و ایجاد مشخصات تهدید مبتنی بر دارایی و شناسایی آسیب پذیری های زیرساختی با پیروی از روش تهدید عملیاتی بحرانی ، دارایی و ارزیابی آسیب پذیری (OCTAVE) بود (Alberts and Dorofee ، 2002). تجزیه و تحلیل سناریو در تجزیه و تحلیل ریسک فناوری اطلاعات با شناسایی ریسک فناوری اطلاعات ، ارزیابی ریسک توسط دو تیم ، اولویت بندی خطرات و مقایسه نتیجه (تجزیه و تحلیل GAP) است (Oldenhof et al. ، 2011).