Bentornati.
Una volta capito cos'è il risk,
il prossimo passo è identificarlo (identify) e valutarlo (assess).
Le organizzazioni non possono difendersi da ciò che non vedono.
In questa lezione, copriremo come i team di cybersecurity trovano potenziali risks
e come misurano i livelli di risk per prendere decisioni più intelligenti.
La Risk identification inizia con tre domande chiave.
Cosa dobbiamo proteggere? (Assets)
2. Cosa potrebbe danneggiarlo?
(Threats)
3. Quali sono i nostri punti deboli?
(Vulnerabilities)
Metodi comuni includono asset inventories,
threat modeling,
e vulnerability scanning.
L'obiettivo è creare un quadro completo del tuo risk landscape.
Ci sono due approcci principali per valutare il risk.
Qualitative usa
il giudizio degli esperti per classificare il risk come high, medium, o low.
Quantitative usa numeri e impatto finanziario
per calcolare il risk in dollari o probabilità.
Esempio:
Qualitative: "Il Phishing è un risk HIGH."
Quantitative:
"Il Phishing causa $300,000 in perdite/anno."
Entrambi i metodi hanno valore.
La maggior parte delle organizzazioni usa un mix dei due.
Molte organizzazioni seguono
risk frameworks strutturati per standardizzare come valutano le threats.
Quelli popolari includono Risk Management Framework (RMF) - governo
USA e appaltatori.
ISO 27005: Standard Internazionale per Information Security Risk.
FAIR (Factor Analysis of Information
Risk): si concentra sull'impatto finanziario.
Questi frameworks offrono linee guida, passaggi, e liste di controllo
per garantire un'analisi del risk coerente ed efficace.
Il risk assessment non è solo manuale.
Si basa su strumenti.
Strumenti comuni includono vulnerability scanners
come Nessus o OpenVAS per trovare debolezze tecniche.
Piattaforme di asset management per tracciare ciò che necessita protezione.
Risk registers per documentare risks,
punteggi, proprietari, e risposte.
Questi strumenti aiutano i team di sicurezza a lavorare più velocemente,
ridurre i punti ciechi, e mantenere i risk assessments aggiornati.
Il passo
finale è trasformare il risk in azione. Per ogni risk identificato,
devi scegliere una delle quattro strategie.
Mitigate.
Ridurre la likelihood o l'impact. 2. Transfer.
Spostare il risk a un'altra parte, es.
assicurazione.
3.
Accept: riconoscere e monitorare il risk.
4. Avoid.
Eliminare l'attività che causa il risk.
Buone valutazioni guidano la leadership nella scelta della risposta giusta.
Pronto per un piccolo quiz di riepilogo?
Domanda uno.
Quali tre elementi devi identificare?
Cybersecurity risk.
A budget, staff, policy. B Asset, Threat, Vulnerability.
C Firewall, antivirus, logs. D Larghezza di banda, encryption,
backups.
Riflettici.
La risposta corretta è B.
Identificare il risk comporta trovare un asset,
la threat ad esso, e la vulnerability sfruttata.
Domanda due.
Quale dei seguenti è un esempio di un qualitative risk assessment?
A stimare $500,000 in perdite annuali per breach.
B classificare un risk come "High" basandosi sull'opinione di esperti.
C calcolare la likelihood come 0.03.
D calcolare il costo del downtime. Pausa.
La risposta corretta è B.
Il punteggio di risk Qualitative usa il giudizio di esperti
per etichettare i risks come high, medium, o low.
Domanda finale quale delle seguenti è una risk response comune?
A ritardare il risk fino all'anno prossimo.
B fare il backup del risk.
C fare transfer del risk a una terza parte.
D criptare il risk.
Considera la tua risposta.
La scelta
corretta è C puoi fare transfer del risk spesso
tramite assicurazione o contratti per ridurre il suo impatto sulla tua organizzazione.
Bel lavoro.
Ora sai come le organizzazioni identificano e valutano il risk
usando sia frameworks strutturati che strumenti pratici.
Nella prossima lezione, esploreremo come i team fanno mitigate del risk
applicando controls tecnici, fisici, e amministrativi.
Continuiamo il tuo viaggio nella policy di sicurezza e nella strategia di risk.