Καλώς ήρθατε πίσω.
Μόλις κατανοήσουμε τι είναι το risk,
το επόμενο βήμα είναι να το εντοπίσουμε (identify) και να το αξιολογήσουμε (assess).
Οι οργανισμοί δεν μπορούν να αμυνθούν ενάντια σε ό,τι δεν μπορούν να δουν.
Σε αυτό το μάθημα, θα καλύψουμε πώς οι ομάδες cybersecurity βρίσκουν πιθανά risks
και πώς μετράνε τα επίπεδα risk για να πάρουν εξυπνότερες αποφάσεις.
Ο εντοπισμός risk (Risk identification) ξεκινά με τρεις βασικές ερωτήσεις.
Τι χρειάζεται να προστατεύσουμε; (Assets)
2. Τι θα μπορούσε να το βλάψει;
(Threats)
3. Ποια είναι τα αδύναμα σημεία μας;
(Vulnerabilities)
Συνηθισμένες μέθοδοι περιλαμβάνουν asset inventories,
threat modeling,
και vulnerability scanning.
Ο στόχος είναι να δημιουργήσετε μια πλήρη εικόνα του risk landscape σας.
Υπάρχουν δύο κύριες προσεγγίσεις στην αξιολόγηση risk.
Η Qualitative (ποιοτική) χρησιμοποιεί
κρίση ειδικών για να κατατάξει το risk ως high, medium, ή low.
Η Quantitative (ποσοτική) χρησιμοποιεί αριθμούς και οικονομικό αντίκτυπο
για να υπολογίσει το risk σε δολάρια ή πιθανότητες.
Παράδειγμα:
Qualitative: "Το Phishing είναι ένα HIGH risk."
Quantitative:
"Το Phishing προκαλεί $300,000 σε απώλειες/έτος."
Και οι δύο μέθοδοι έχουν αξία.
Οι περισσότεροι οργανισμοί χρησιμοποιούν ένα μείγμα των δύο.
Πολλοί οργανισμοί ακολουθούν δομημένα
risk frameworks για να τυποποιήσουν το πώς αξιολογούν απειλές.
Τα δημοφιλή περιλαμβάνουν το Risk Management Framework (RMF) - U.S.
κυβέρνηση και εργολάβοι.
ISO 27005: Διεθνές Πρότυπο για Information Security Risk.
FAIR (Factor Analysis of Information
Risk): εστιάζει στον οικονομικό αντίκτυπο.
Αυτά τα frameworks προσφέρουν κατευθυντήριες γραμμές, βήματα, και λίστες ελέγχου
για να διασφαλίσουν συνεπή και αποτελεσματική risk ανάλυση.
Το risk assessment δεν είναι μόνο χειροκίνητο.
Βασίζεται σε εργαλεία.
Συνηθισμένα εργαλεία περιλαμβάνουν vulnerability scanners
όπως Nessus ή OpenVAS για να βρουν τεχνικές αδυναμίες.
Πλατφόρμες asset management για να παρακολουθούν τι χρειάζεται προστασία.
Risk registers για να τεκμηριώνουν risks,
βαθμολογίες, κατόχους, και απαντήσεις.
Αυτά τα εργαλεία βοηθούν τις ομάδες ασφαλείας να εργάζονται γρηγορότερα,
να μειώνουν τα τυφλά σημεία, και να διατηρούν τα risk assessments επίκαιρα.
Το τελικό
βήμα είναι η μετατροπή του risk σε δράση. Για κάθε αναγνωρισμένο risk,
πρέπει να επιλέξετε μία από τέσσερις στρατηγικές.
Mitigate.
Μειώστε την πιθανότητα ή τον αντίκτυπο. 2. Transfer.
Μεταφέρετε το risk σε άλλο μέρος, π.χ.
ασφάλεια.
3.
Accept: αναγνωρίστε και παρακολουθήστε το risk.
4. Avoid.
Εξαλείψτε τη δραστηριότητα που προκαλεί το risk.
Οι καλές αξιολογήσεις καθοδηγούν την ηγεσία στην επιλογή της σωστής απάντησης.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη.
Ποια τρία στοιχεία χρειάζεται να αναγνωρίσετε;
Cybersecurity risk.
Α προϋπολογισμός, προσωπικό, πολιτική. Β Asset, Threat, Vulnerability.
Γ Firewall, antivirus, logs. Δ Εύρος ζώνης, κρυπτογράφηση,
backups.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Β.
Ο εντοπισμός risk περιλαμβάνει την εύρεση ενός asset,
την απειλή προς αυτό, και την ευπάθεια που γίνεται exploited.
Ερώτηση δύο.
Ποιο από τα παρακάτω είναι παράδειγμα μιας qualitative risk assessment;
Α εκτίμηση $500,000 σε ετήσιες απώλειες breach.
Β κατάταξη ενός risk ως "High" βάσει γνώμης ειδικών.
Γ υπολογισμός πιθανότητας ως 0.03.
Δ υπολογισμός του κόστους του downtime. Παύση.
Η σωστή απάντηση είναι Β.
Η Qualitative βαθμολόγηση risk χρησιμοποιεί κρίση ειδικών
για να χαρακτηρίσει τα risks ως high, medium, ή low.
Τελευταία ερώτηση ποια από τις παρακάτω είναι μια κοινή απάντηση σε risk;
Α καθυστέρηση risk μέχρι του χρόνου.
Β back up το risk.
Γ transfer (μεταφορά) του risk σε τρίτο μέρος.
Δ κρυπτογράφηση του risk.
Εξετάστε την απάντησή σας.
Η σωστή
επιλογή απάντησης είναι Γ μπορείτε να κάνετε transfer το risk συχνά
μέσω ασφάλισης ή συμβολαίων για να μειώσετε τον αντίκτυπό του στον οργανισμό σας.
Ωραία δουλειά.
Τώρα ξέρετε πώς οι οργανισμοί εντοπίζουν και αξιολογούν το risk
χρησιμοποιώντας τόσο δομημένα frameworks όσο και πρακτικά εργαλεία.
Στο επόμενο μάθημα, θα εξερευνήσουμε πώς οι ομάδες κάνουν mitigate το risk
εφαρμόζοντας ελέγχους (controls) τεχνικούς, φυσικούς, και διοικητικούς.
Ας συνεχίσουμε το ταξίδι σας στην πολιτική ασφαλείας και στη στρατηγική.