Bentornati.
Finora, abbiamo imparato cos'è il cybersecurity risk e come valutarlo (assess).
Ora arriva il passo successivo.
Mitigating risk.
Questa lezione copre come le organizzazioni riducono il risk applicando security controls.
Le difese del mondo reale che proteggono persone, sistemi e dati.
Risk mitigation significa intraprendere azioni per ridurre o
la likelihood (probabilità) che una minaccia accada, o l'impact (impatto) se accade.
La Mitigation non rimuove il risk completamente,
ma lo abbassa a un livello accettabile.
Per esempio, imporre
l'MFA riduce la possibilità di stolen credentials.
Usare i backups limita il danno da ransomware.
La Risk mitigation trasforma la strategia in protezione.
Ci sono tre tipi principali di security controls usati per fare mitigate del risk.
Technical controls.
Protezioni software e hardware come firewalls,
encryption, Access Control Lists,
antivirus.
2. Administrative controls.
Policy e procedure come security training,
background checks, e incident response plans.
3.
Physical controls.
Barriere fisiche come security badges, porte chiuse, e surveillance cameras.
Una difesa forte usa tutti e tre
chiamata Defense in Depth.
I controls sono anche categorizzati in base alla loro funzione.
Preventive: fermano gli incidenti prima che accadano, es.
access controls, MFA. Detective: identificano gli incidenti velocemente, es.
Intrusion Detection Systems, logs. Corrective: aiutano
a recuperare dopo un incidente, es.
backups, patching.
Ogni programma di sicurezza forte usa una combinazione di questi controls
per ridurre il danno e rispondere efficacemente.
Guardiamo alcuni esempi del mondo reale di risk mitigation.
Il Patch management corregge vulnerabilities note
prima che gli attaccanti le sfruttino.
Il User awareness training riduce
il risk phishing insegnando agli utenti cosa guardare.
La Network segmentation limita la diffusione del malware attraverso i sistemi.
La mitigation efficace è a livelli: se una difesa fallisce, altre possono ancora proteggerti.
Come scegli il control giusto?
Dipende dal risk level.
High risk:
Controls più forti.
Il tipo di asset protetto, es.
dati clienti, documenti interni,
il budget dell'organizzazione e la tolleranza al risk.
La Risk mitigation riguarda l'equilibrio,
ridurre il risk supportando le operazioni e gli obiettivi.
Pronto per un piccolo quiz di riepilogo?
Domanda uno.
Quale dei seguenti è un technical control?
A manuale di security policy?
B employee awareness training.
C scanner biometrico di impronte digitali.
D firewall che blocca traffico malevolo.
Pausa e decidi.
La risposta corretta è
D un firewall è un technical control.
Filtra il traffico basandosi su regole di sicurezza.
Domanda due qual è l'obiettivo della risk mitigation?
A eliminare tutte le minacce permanentemente.
B trasferire il risk a un altro dipartimento.
C ridurre la likelihood o l'impact delle minacce.
D installare software antivirus su ogni dispositivo mobile.
Riflettici bene.
La risposta corretta è C.
Mitigation significa ridurre il risk, non necessariamente eliminarlo interamente.
Domanda finale che tipo di control è un security audit log?
A preventive B detective C
corrective D administrative. Pausa.
La scelta corretta è.
B gli audit logs sono detective controls.
Aiutano a individuare e analizzare attività sospette.
Eccellente lavoro.
Ora capisci come fare mitigate del cybersecurity risk
usando una gamma di controls.
Technical, physical, e administrative.
Nella prossima lezione, vedremo come le security policies
forniscono il quadro e il meccanismo di applicazione dietro quei controls.
Continuiamo a costruire il tuo set di abilità strategiche di cybersecurity.