Καλώς ήρθατε πίσω.
Μέχρι στιγμής, έχουμε μάθει τι είναι το cybersecurity risk και πώς να το κάνουμε assess.
Τώρα έρχεται το επόμενο βήμα.
Mitigating risk.
Αυτό το μάθημα καλύπτει πώς οι οργανισμοί μειώνουν το risk εφαρμόζοντας security controls.
Οι άμυνες του πραγματικού κόσμου που προστατεύουν ανθρώπους, συστήματα και δεδομένα.
Risk mitigation σημαίνει ανάληψη δράσης για τη μείωση είτε
της likelihood (πιθανότητας) ότι μια απειλή θα συμβεί, είτε του impact (αντικτύπου) αν συμβεί.
Το Mitigation δεν αφαιρεί το risk τελείως,
αλλά το χαμηλώνει σε ένα αποδεκτό επίπεδο.
Για παράδειγμα, η επιβολή
MFA μειώνει την πιθανότητα stolen credentials.
Η χρήση backups περιορίζει τη ζημιά από ransomware.
Το Risk mitigation μετατρέπει τη στρατηγική σε προστασία.
Υπάρχουν τρεις κύριοι τύποι security controls που χρησιμοποιούνται για να γίνει mitigate το risk.
Technical controls.
Προστασίες λογισμικού και υλικού όπως firewalls,
encryption, Access Control Lists,
antivirus.
2. Administrative controls.
Πολιτικές και διαδικασίες όπως security training,
background checks, και incident response plans.
3.
Physical controls.
Φυσικά εμπόδια όπως security badges, κλειδωμένες πόρτες, και surveillance cameras.
Μια ισχυρή άμυνα χρησιμοποιεί και τα τρία
αποκαλούμενη Defense in Depth.
Τα controls κατηγοριοποιούνται επίσης με βάση τη λειτουργία τους.
Preventive: σταματούν περιστατικά από το να συμβούν, π.χ.
access controls, MFA. Detective: εντοπίζουν περιστατικά γρήγορα, π.χ.
Intrusion Detection Systems, logs. Corrective: βοηθούν
στην ανάκαμψη μετά από ένα περιστατικό, π.χ.
backups, patching.
Κάθε ισχυρό πρόγραμμα ασφαλείας χρησιμοποιεί έναν συνδυασμό αυτών των controls
για να μειώσει τη ζημιά και να ανταποκριθεί αποτελεσματικά.
Ας δούμε μερικά παραδείγματα πραγματικού κόσμου του risk mitigation.
Το Patch management διορθώνει γνωστά vulnerabilities
πριν οι επιτιθέμενοι τα εκμεταλλευτούν.
Το User awareness training μειώνει
το risk phishing διδάσκοντας τους χρήστες τι να προσέχουν.
Το Network segmentation περιορίζει την εξάπλωση του malware στα συστήματα.
Το αποτελεσματικό mitigation είναι πολυεπίπεδο: αν μια άμυνα αποτύχει, άλλες μπορούν ακόμα να σας προστατεύσουν.
Πώς επιλέγετε το σωστό control;
Εξαρτάται από το risk level.
High risk:
Ισχυρότερα controls.
Τον τύπο του asset που προστατεύεται, π.χ.
δεδομένα πελατών, εσωτερικά έγγραφα,
τον προϋπολογισμό του οργανισμού και την ανοχή στο risk.
Το Risk mitigation έχει να κάνει με την ισορροπία,
τη μείωση του risk ενώ υποστηρίζονται οι λειτουργίες και οι στόχοι.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη.
Ποιο από τα παρακάτω είναι ένα technical control;
Α εγχειρίδιο security policy;
Β employee awareness training.
Γ βιομετρικός σαρωτής δακτυλικών αποτυπωμάτων.
Δ firewall που μπλοκάρει κακόβουλη κίνηση.
Παύση και αποφασίστε.
Η σωστή απάντηση είναι
Δ ένα firewall είναι ένα technical control.
Φιλτράρει την κίνηση με βάση κανόνες ασφαλείας.
Ερώτηση δύο ποιος είναι ο στόχος του risk mitigation;
Α εξάλειψη όλων των απειλών μόνιμα.
Β μεταφορά του risk σε άλλο τμήμα.
Γ μείωση της likelihood ή του impact των απειλών.
Δ εγκατάσταση antivirus λογισμικού σε κάθε κινητή συσκευή.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Γ.
Mitigation σημαίνει μείωση του risk, όχι απαραίτητα εξάλειψή του εντελώς.
Τελευταία ερώτηση τι είδους control είναι ένα security audit log;
Α preventive Β detective Γ
corrective Δ administrative. Παύση.
Η σωστή επιλογή απάντησης είναι.
Β τα audit logs είναι detective controls.
Βοηθούν στον εντοπισμό και την ανάλυση ύποπτης δραστηριότητας.
Εξαιρετική δουλειά.
Τώρα καταλαβαίνετε πώς να κάνετε mitigate το cybersecurity risk
χρησιμοποιώντας μια σειρά από controls.
Technical, physical, και administrative.
Στο επόμενο μάθημα, θα δούμε πώς οι security policies
παρέχουν το πλαίσιο και τον μηχανισμό επιβολής πίσω από αυτά τα controls.
Ας συνεχίσουμε να χτίζουμε το στρατηγικό σύνολο δεξιοτήτων σας στο cybersecurity.