Често размишљамо о томе „како да се одбранимо“ од сајбер претњи и напада када разговарамо о сајбер безбедности.
Све је у томе шта треба да се уради да би ствари биле безбедне и шта да се ради када ствари крену на југ. Али како неко знати да ће они бити мета? Због чега ће бити нападнути? Колико би коштало да се организација подигне на ноге након сајбер напада?
Процена ризика за сајбер безбедност може да одговори на сва ова питања. Стога је процена једна од кључних ствари при изради стратегије сајбер безбедности.
Преглед садржаја
Шта је процена ризика од сајбер безбедности?
Процена ризика за сајбер безбедност је процес који помаже у усклађивању плана сајбер безбедности организације са њеним пословним циљевима. Такође помаже бољем разумевању циљева и процени расположивих/потребних средстава да би се ствари одржале на површини.
Извештај о процени ће технички покрити све врсте ствари за своју игру сајбер безбедности. Такође може побољшати сајбер отпорност организације.
У распону од онога што су претње до вредности имовине и осигурања. Све ове информације треба да помогну заинтересованим странама и администрацији да донесу информисану одлуку када постоји ризик од сајбер напада (или након инцидента).
Важност процене ризика у сајбер безбедности
Уз процену ризика, добијате изглед претње који вам помаже да сазнате шансе да будете нападнути, потенцијални циљ злонамерних актера против ваше организације и штету коју ће она учинити.
Нисте ограничени на врсте претњи вашој организацији, већ такође будите свесни шта они могу да ураде и како ће то утицати на организацију.
Дакле, то вам даје целу слику о томе шта можете да урадите у случају успешног сајбер напада на ваше пословање.
Другим речима, процена ризика од сајбер безбедности чини да схватите степен ризика повезан са сајбер нападом. И то помаже организацији, њеним заинтересованим странама и било ком од одговорних колега у организацији да се припреме да минимизирају ризик и имају чврст план за све.
Врсте процене ризика
Док кораци за процену ризика од сајбер безбедности углавном остају стандардни, врсте процена се разликују.
Тип процене вам говори на шта се тачно организација фокусира за процену безбедносних потреба свог пословања.
#1. Генеричка процена
Процена заснована на упитнику бави се једноставним, али ефикасним стварима које смањују безбедносне ризике.
На пример, стање политике лозинке, тип имплементираног заштитног зида, редовне безбедносне закрпе и смернице за аутентификацију/шифровање.
Иако ово може бити једноставно и без проблема, можда неће одговарати свим врстама организација. Ово би могло да одговара организацији са ограниченом имовином и мање осетљивим подацима.
#2. Квалитативна процена ризика
Квалитативна процена ризика би могла бити мало спекулативна, јер зависи од тога ко (појединац или група људи) прегледа и проверава позадину како би разговарао о стварима као што су кршење података и финансијски ризици.
То не укључује посебан извештај, већ више сесију „браинсторминг“ за појединце на највишем нивоу одговорне за организацију.
#3. Квантитативна процена ризика
Када се разматра квантитативна процена, бавимо се подацима и увидима и израчунавамо ризик.
Ова процена ће помоћи да се покрије широк спектар ствари за веће организације, где је финансијски ризик већи, а средства података већа и вреднија.
#4. Процена ризика специфична за локацију
Процена ризика специфична за локацију фокусира се само на један случај употребе. Било да се ради о једном делу организације или одређеној локацији, ову врсту процене можете сматрати специфичном за нишу.
Он само процењује одређену мрежу, технологију и сличне статичке ствари. Не можете очекивати да ће ово бити од помоћи за остатак организације.
#5. Динамичка процена ризика
Динамичка процена ризика суочава се са ризицима који се мењају у реалном времену.
Да би била ефикасна, организација мора да прати и решава претње/нападе када се догоде.
Кораци за процену ризика за сајбер безбедност
Кораци за обављање процене зависе од организације и ресурса које имају да би то остварили.
Иако је скоро исто, може постојати неколико подешавања за различите организације. На пример, број корака и начин на који категоришу и дају приоритет сваком кораку.
Овде разматрамо девет корака који нам омогућавају да се позабавимо свим ситним детаљима, што би требало да вам помогне да правилно процените ризик за сајбер безбедност.
#1. Идентификујте своју имовину
Идентификовање имовине у вашој организацији је критично и требало би да буде приоритет.
Средства могу укључивати хардвер (лаптопови, телефони, УСБ дискови), софтвер (бесплатан или лиценциран), датотеке, ПДФ документе, инфраструктуру за електричну енергију и друге попут папирних докумената.
Повремено ћете можда морати да укључите онлајн услуге од којих организације зависе као једну од средстава јер оне индиректно/директно утичу на неке операције организације.
На пример, решење за складиштење у облаку које користите за складиштење докумената.
#2. Идентификујте своје претње
Према вашим средствима, можете идентификовати потенцијалне претње које би биле повезане са њима.
Али како то учинити? Најлакши начин је да будете у току са трендовима сајбер претњи и вестима. Дакле, организација може бити свесна свега на површини.
Затим, могу да користе библиотеке претњи, базе знања и ресурсе владиних или безбедносних агенција како би сазнали о свим врстама сајбер претњи.
На крају, такође можете да искористите помоћ оквира као што је ланац сајбер убијања да бисте проценили које кораке треба да предузмете да бисте заштитили своју имовину од тих претњи.
#3. Процените своје рањивости
Сада када знате своју имовину и њихове потенцијалне претње, како нападач може да им приступи?
Наравно, ако ваши уређаји, мрежа или било које средство имају рањивости, то би могло дозволити злонамерном актеру да их искористи за неовлашћени приступ.
Рањивости могу бити у оперативном систему на лаптопу, телефону, веб локацији портала компаније или на налогу на мрежи. Било шта може отворити рањивости. Чак и једноставна лозинка коју је лако разбити се рачуна као рањивост.
Можете се позвати на Влада је искористила рањивости каталог да истражите више.
Све у свему, било да се ради о нечему унутар система или нечему споља, рањивости могу бити било где. Дакле, предузимање мера за уклањање уобичајених/познатих рањивости требало би да помогне.
#4. Израчунајте свој ризик
Ризик се рачуна на основу опасности, рањивости и вредности средства.
Ризик = претња к рањивост к вредност
Када процењујете ризик, он се односи на вероватноћу претње која утиче на организацију.
Није ракетна наука да што је већа вероватноћа, већи је ризик. Али, то се не може прецизно предвидети јер се пејзаж претњи стално мења.
Дакле, уместо тога треба израчунати ниво ризика, који говори колико је ризик значајан—ако се нешто искористи. Ниво се може одредити тако што се разговара о томе која је имовина вреднија, а ако иста имовина буде угрожена или украдена, какав би утицај имала на организацију?
Ово може да варира између организација. На пример, ПДФ датотека за одређену компанију може бити јавно доступна информација, а за друге може бити веома поверљива.
#5. Одредите своје ризике
Једном када процените нивое ризика, лако је одредити им приоритет.
На шта прво треба да се фокусирате на заштиту? Тип напада за који је већа вероватноћа да ће се десити и напад који може проузроковати највећу штету, зар не?
Као и све остало, може бити субјективно. Али, ако можете да категоризујете ризике, можете имати приоритет за њих.
То може бити једно од следећег:
- Ризицима дајете приоритет према вредности која је повезана са њима.
- Филтрирајте ризике на основу хардвера, софтвера и других спољних фактора као што су ваши добављачи, услуге отпреме итд.
- Филтрирајте ризике предвиђањем будућег правца деловања ако одређени ризик постане стварност.
Дозволите ми да овде разјасним три тачке:
Ако је ризик процењен на милион долара, други ризик има вредност од милијарду долара. Наравно, овом последњем се више пажње посвећује.
Затим, ако ваши пословни циљеви зависе од хардвера, а не од спољних фактора, ви им дајете више приоритета.
Слично томе, ако је за одређени ризик потребан велики подухват, то би требало да има већи приоритет.
#6. Имплемент Цонтролс
Када говоримо о примени контрола, то се односи на мере безбедности које помажу у управљању ризицима.
Контроле би могле да помогну у смањењу ризика, а понекад и да их елиминишу.
Било да се ради о примени контроле приступа, строгој политици лозинке или заштитном зиду, све мере вам помажу да управљате ризиком.
#7. Пратите и побољшајте
Сва средства, закрпе рањивости и потенцијални ризици морају бити надгледани да би се идентификовао простор за побољшање.
С обзиром на то да се пријетње сајбер безбједности развијају и могу на крају поразити солидну сигурносну стратегију, од суштинског је значаја да се сва спремност редовно провјерава.
Да, безбедносне ревизије помажу, али не може се престати надгледати након добрих резултата ревизије.
Ако не надгледате, снижавате опрез од сајбер претњи.
#8. Усклађеност и прописи
Иако комплетирање процене сајбер безбедности природно чини да се ваша организација придржава одређених стандарда и закона, можда бисте желели да проверите више о томе.
Не би требало да вршите своју процену према захтеву усаглашености, већ да извршите процену, а затим извршите подешавања да бисте испунили захтеве усаглашености који вам омогућавају да радите без кршења закона или стандарда.
На пример, усклађеност са ХИПАА је неопходна ако се ваша организација бави здравственим информацијама у Сједињеним Државама.
Можете истражити регулаторне захтеве на географској локацији вашег предузећа/организације, а затим радити на њима.
#9. Континуирано побољшање
Без обзира на то колико су добре мере, контроле и истраживање претњи – оно се увек своди на сталне напоре да се они побољшају.
Ако организација не жели да поново прегледа, побољша или направи суптилне промене да би поправила/побољшала ствари, стратегија сајбер безбедности може пропасти раније него што се очекивало.
Процена ризика за сајбер безбедност је од суштинског значаја
Процена ризика за сајбер безбедност је кључна за све врсте организација.
Било да је велика или мала, ослања се на мање или више онлајн услуга; је важно. Процена ће помоћи администратору, заинтересованим странама или продавцима повезаним са организацијом да знају ресурсе потребне да ствари буду безбедне и да буду спремни да минимизирају штету након било каквог сајбер напада.
Такође можете истражити контролну листу кибернетичке безбедности за мала и средња предузећа.