Identifikation af risici og risikoregister

Risiko er muligheden for tab eller skade som følge af, at en trussel udnytter en sårbarhed. Inden for informationssikkerhed udtrykkes risiko som en kombination af sandsynlighed (hvor sandsynlig hændelsen er) og påvirkning (hvor alvorlig skaden vil være). Når du forstår risiko, kan organisationer træffe velinformerede og omkostningseffektive sikkerhedsbeslutninger i stedet for at forsøge at eliminere enhver mulig trussel.

Identifikation af risiko begynder med tre centrale elementer. Et aktiv er alt af værdi — servere, databaser, intellektuel ejendom eller omdømme. En trussel er enhver potentiel hændelse, der kan skade et aktiv, f.eks. et ransomwareangreb eller en utilfreds medarbejder. En sårbarhed er en svaghed, som en trussel kan udnytte, f.eks. et system, der ikke er opdateret, eller en svag adgangskodepolitik. Risiko opstår, hvor trusler møder ubeskyttede aktiver.

Systematisk identifikation af risiko følger en struktureret proces: Først registrerer et aktivregister alt af værdi; derefter identificerer trusselsmodellering, hvem der kan angribe, og hvordan; så finder en sårbarhedsvurdering svagheder i systemer og processer. Til sidst sammenkæder analytikere trusler med sårbarheder for at afgøre, hvilke aktiver der reelt er eksponerede. Denne proces gentages typisk årligt eller efter større ændringer.

Værdiansættelse af aktiver danner grundlag for prioritering. Materielle aktiver (hardware og softwarelicenser) har tydelige markedsværdier. Immaterielle aktiver (brandets omdømme og kundedata) kræver en vurdering — tilsynsmyndigheder kan tildele en værdi pr. post for personhenførbare oplysninger (PII). Metoden med genanskaffelsesomkostninger spørger, hvad det vil koste at genskabe aktivet; forretningspåvirkning spørger, hvor stort et indtægtstab der opstår, hvis aktivet ikke er tilgængeligt i 1 time, 1 dag eller 1 uge.

Et risikoregister er et levende dokument, der registrerer alle identificerede risici i et struktureret format, som kan søges i. Hver post indeholder typisk: risikobeskrivelse, berørte aktiver, trus selskilde, udnyttet sårbarhed, sandsynlighedsvurdering, påvirkningsvurdering, risikoscore, aktuelle kontroller og den tildelte risikoansvarlige. Risikoregistre fungerer som den centrale reference for styring, revision og aktiviteter til sporing af afhjælpning.

Kolonnen sandsynlighed angiver, hvor sandsynlig en udnyttelse er (1 = Sjælden til 5 = Næsten sikker). Kolonnen påvirkning angiver konsekvenserne i form af økonomisk tab, myndighedsbøde eller driftsnedetid (1 = Ubetydelig til 5 = Katastrofal). Når disse værdier ganges, får du en risikoscore, der bruges til prioritering. Feltet restrisiko registrerer den resterende risiko, efter at kontroller er anvendt, så intet antages at nå nul.

Alle risici i registret skal have en navngiven risikoansvarlig — typisk en forretningschef eller systemejer, ikke sikkerhedsteamet. Den risikoansvarlige har ansvaret for at sikre, at kontroller implementeres, og at restrisikoen forbliver inden for acceptable tærskler. Sikkerhedsteamet rådgiver og overvåger, men kan ikke eje alle risici, da det skaber et enkelt ansvarspunkt, som ikke kan skaleres på tværs af en virksomhed.

Flere rammeværk hjælper med at strukturere identifikation af trusler. STRIDE (forfalskning, manipulation, benægtelse, videregivelse af oplysninger, tjenestenægtelse og rettighedsudvidelse) kategoriserer trusler mod hver systemkomponent. PASTA (Process for Attack Simulation and Threat Analysis) er en risikocentreret metode, der sammenkæder angribernes mål. DREAD scorer trusler efter skade, reproducerbarhed, udnyttelighed, berørte brugere og opdagelighed — selvom DREAD er mindre udbredt i moderne praksis.

Risici kan ikke identificeres uden først at finde sårbarheder. Vigtige kilder omfatter: sårbarhedsscannere (Nessus og OpenVAS), der tester systemer op mod kendte CVE'er; penetrationstest-rapporter, der validerer, om sårbarheder kan udnyttes; konfigurationsrevisioner, der sammenligner indstillinger med CIS-benchmarks; og feeds med trusselsefterretninger, der fremhæver aktivt udnyttede svagheder. Interne revisionsrapporter og selvevalueringer afdækker også sårbarheder på procesniveau, som tekniske scanninger overser.

Risikoregistre skal tage højde for både interne trusler (medarbejdere, kontrahenter og fejlkonfigurerede systemer) og eksterne trusler (hackere, aktører på nationalstatsniveau og kompromitteringer af forsyningskæden). Interne trusler har ofte større påvirkning, fordi insidere allerede har adgang — en utilfreds medarbejder kan eksfiltrere data uden at udløse perimeterkontroller. Programmer mod insidertrusler, der overvåger adfærdsmæssige afvigelser, håndterer en risikokategori, som tekniske kontroller alene ikke kan afbøde.

Et risikoregister er ikke en engangsleverance — det skal gennemgås og opdateres, hver gang der sker væsentlige ændringer: nye systemimplementeringer, organisatoriske omstruktureringer, nyligt offentliggjorte CVE'er eller resultater fra hændelser. De fleste organisationer knytter formelle gennemgange af risikoregisteret til årlige sikkerhedsgennemgange, ændringsstyringsprocesser og compliance-audits. Forældede risikoregistre skaber en falsk tryghed og kan føre til, at eksponeringer ikke får de nødvendige ressourcer under hurtige ændringer af infrastrukturen.

I denne lektion har du lært, at risiko kombinerer sandsynlighed og konsekvens for at prioritere sikkerhedsbeslutninger, at risikoregistre dokumenterer aktiver, trusler, sårbarheder, scorer, ansvarlige og restrisiko, og at teknikker til trusselmodellering som STRIDE hjælper med systematisk at identificere, hvad der kan gå galt. Nu ser vi nærmere på kvalitative og kvantitative metoder til risikoanalyse.