Tester cần biết gì về Quản lý rủi ro trong dự án ?

1. Quản lý rủi ro là gì?

Rủi ro trong dự án phát triển phần mềm có thể hiểu như là một điều gì đó không tốt xảy ra với sản phẩm của mình. Đây là một vấn đề quan trọng mà mọi tổ chức và cá nhân sử dụng công nghệ thông tin cần phải đối mặt. Dưới đây là một số rủi ro phổ biến:

• Bảo mật thông tin: Hệ thống thông tin có thể bị xâm nhập, tấn công bởi hacker, virus, hoặc malware, dẫn đến sự mất mát thông tin quan trọng hoặc lộ thông tin cá nhân của người dùng.
• Tình trạng dữ liệu không chính xác: Dữ liệu không chính xác có thể xảy ra do lỗi nhập liệu, xử lý sai, hoặc tấn công giả mạo.
• Sự cố kỹ thuật: Hệ thống có thể gặp sự cố kỹ thuật không mong muốn, dẫn đến sự gián đoạn hoạt động, mất mát dữ liệu, hoặc hư hỏng phần cứng/phần mềm.
• Quản lý rủi ro không hiệu quả: Nếu tổ chức không có một chiến lược quản lý rủi ro rõ ràng, họ có thể không nhận biết được các rủi ro tiềm ẩn và không có biện pháp phòng ngừa.

Quản lý rủi ro là quá trình định rõ, đánh giá, ưu tiên, kiểm soát và giảm thiểu các rủi ro có thể ảnh hưởng đến mục tiêu, dự án hoặc tổ chức. Mục đích của quản lý rủi ro là đảm bảo rằng tổ chức hoặc dự án có khả năng nhận biết và đáp ứng kịp thời với các rủi ro tiềm ẩn hoặc hiện hữu, giảm thiểu tác động tiêu cực của chúng và tăng cơ hội cho thành công. Quản lý rủi ro là một phần quan trọng của quản lý dự án, quản lý tổ chức và quản lý chiến lược, đặc biệt là trong môi trường kinh doanh động và biến động. Nó giúp tổ chức hoặc dự án tạo ra một chiến lược linh hoạt và phản ứng nhanh chóng trước các tình huống không mong muốn và không chắc chắn.

2. Mối đe dọa (Threat)

Mối đe dọa trong hệ thống thông tin là bất kỳ nguy cơ hoặc rủi ro nào có thể đe dọa đến tính bảo mật, tính toàn vẹn hoặc tính khả dụng của hệ thống. Mối đe dọa có thể đến từ nhiều nguồn khác nhau, bao gồm những kẻ tấn công độc hại, lỗ hổng phần mềm, sự cố phần cứng, thảm họa tự nhiên và lỗi người dùng. Dưới đây là một số loại mối đe dọa phổ biến trong hệ thống phần mềm:

• Phần mềm độc hại, Lỗ hổng phần mềm
• Mối đe dọa vật lý: Rủi ro liên quan đến thiệt hại vật lý hoặc mất mát các thành phần phần cứng, cơ sở hạ tầng hoặc thiết bị lưu trữ dữ liệu, thường là kết quả của tai nạn, trộm cắp hoặc thảm họa tự nhiên.
• Mối đe dọa từ bên trong: Rủi ro do cá nhân trong tổ chức sử dụng sai quyền truy cập của họ, cố ý hoặc vô tình, để đe dọa bảo mật hoặc phá hỏng hệ thống.

3. Lỗ hổng bảo mật

Có câu “Sẽ không xảy ra rủi ro gì nếu hệ thống không có lỗi” tuy nhiên để xây dựng 1 hệ thống – phần mềm không có lỗ hổng nào rất khó. Vậy Lỗ hổng bảo mật là gì? Lỗ hổng bảo mật là những điểm yếu, lỗi, hoặc khuyết điểm trong phần mềm có thể bị khai thác bởi kẻ tấn công để xâm nhập vào hệ thống, đánh cắp dữ liệu, hoặc gây ra các vấn đề bảo mật khác. Các lỗ hổng này có thể tồn tại trong một phần mềm do lỗi trong quá trình thiết kế, lập trình, hoặc triển khai.

Ví dụ: Giả sử có một trang web cho phép người dùng tìm kiếm thông tin sản phẩm bằng cách nhập tên sản phẩm vào một trường tìm kiếm. Nếu trường nhập liệu không được kiểm tra kỹ lưỡng, kẻ tấn công có thể chèn các câu lệnh SQL độc hại vào trường tìm kiếm dẫn đến việc tiết lộ dữ liệu nhạy cảm, sửa đổi dữ liệu trong cơ sở dữ liệu, hoặc thậm chí là kiểm soát toàn bộ hệ thống cơ sở dữ liệu. Hậu quả của cuộc tấn công này có thể nghiêm trọng, từ mất mát dữ liệu đến thất thoát tài chính hoặc ảnh hưởng đến uy tín của tổ chức.

4. Quá trình quản lý rủi ro

4.1. Xác định rủi ro

Trong dự án Công nghệ thông tin (IT), việc xác định rủi ro là một phần quan trọng của quản lý rủi ro và quản lý dự án. Dưới đây là một số loại rủi ro cụ thể mà bạn có thể muốn xác định trong dự án:

• Rủi ro về Bảo mật Thông tin
• Rủi ro về Công nghệ và Phần mềm
• Rủi ro về Quản lý Dự án
• Rủi ro về Nhân lực
• Rủi ro về Phần cứng và Cơ sở hạ tầng
• Rủi ro về Phân phối và Tích hợp
• Rủi ro về Cơ sở Dữ liệu và Dữ liệu

4.2. Đánh giá rủi ro

Đánh giá rủi ro là quá trình định lượng và định kỳ các rủi ro tiềm ẩn và xác định mức độ ảnh hưởng của chúng đối với dự án. Dưới đây là một số bước cơ bản để thực hiện đánh giá rủi ro trong dự án:

• Xác định rủi ro
• Ưu tiên rủi ro
• Đo lường rủi ro
• Phân tích tác động
• Xác định biện pháp giảm nhẹ rủi ro
• Theo dõi và đánh giá

4.3. Khẩu vị rủi ro

Khẩu vị rủi ro trong dự án đề cập đến mức độ mà tổ chức hoặc dự án có thể chấp nhận các rủi ro trong quá trình thực hiện mà không ảnh hưởng quá mức đến mục tiêu và mục đích của dự án. Điều này phản ánh sự cân nhắc giữa việc đạt được lợi ích từ việc chấp nhận rủi ro và việc tránh hoặc giảm thiểu chúng.

Dưới đây là một số yếu tố quan trọng cần xem xét khi xác định khẩu vị rủi ro:

• Mục tiêu và Chiến lược của tổ chức
• Lịch sử và Kinh nghiệm
• Đặt mức độ chấp nhận rủi ro vào tình huống cụ thể của tổ chức

4.4. Kiểm soát rủi ro

Kiểm soát rủi ro trong dự án là quá trình quản lý và giảm thiểu các rủi ro tiềm ẩn để đảm bảo dự án tiến triển một cách hiệu quả và đạt được mục tiêu dự án. Dưới đây là một số bước quan trọng để kiểm soát rủi ro trong dự án:

• Xác định rủi ro
• Ưu tiên rủi ro
• Phát triển kế hoạch quản lý rủi ro
• Triển khai biện pháp giảm nhẹ rủi ro
• Xây dựng kế hoạch ứng phó với rủi ro
• Theo dõi và đánh giá

Trên đây là những kiến thức cơ bản về quản lý rủi ro mà 1 tester nên biết và cũng như để phục vụ cho việc thi lấy chứng chỉ ISTQB. Để có thể tìm hiểu chuyên sâu hơn về nghiệp vụ này, mọi người có thể tham khảo thêm tài liệu tại các link sau:

https://www.ibm.com/topics/risk-management

Quản trị rủi ro trong dự án phần mềm