Rawatan Risiko: Terima, Pindah, Kurangkan, Elakkan

Selepas risk dikenal pasti dan dianalisis, organisasi mesti menentukan tindakan terhadapnya. Rawatan risk ialah proses memilih dan melaksanakan tindak balas terhadap setiap risk berdasarkan kemungkinan, impak dan kos pemulihannya. Terdapat empat pilihan rawatan yang diiktiraf secara universal: menerima, memindahkan, mengurangkan dan mengelakkan. Tiada satu pilihan yang sentiasa betul — pilihan yang sesuai bergantung pada konteks perniagaan, selera risk dan sumber yang tersedia.

Mitigasi risk mengurangkan kemungkinan atau impak sesuatu risk dengan melaksanakan kawalan keselamatan. Ini ialah pilihan rawatan yang paling biasa. Contohnya termasuk menggunakan tembok api untuk mengurangkan kemungkinan pencerobohan rangkaian, menampal perisian untuk menutup kerentanan yang diketahui atau melaksanakan MFA untuk mengurangkan impak kecurian kelayakan. Mitigasi tidak menghapuskan risk sepenuhnya — ia menghasilkan residual risk, yang mesti dinilai semula selepas kawalan digunakan.

Pemindahan risk mengalihkan akibat kewangan sesuatu risk kepada pihak ketiga. Insurans siber ialah contoh yang paling biasa — organisasi membayar premium dan syarikat insurans menanggung kerugian daripada insiden yang dilindungi. Risk juga boleh dipindahkan secara kontrak: perjanjian tahap perkhidmatan (SLA) dengan penyedia awan mungkin meletakkan liabiliti bagi pelanggaran data pada vendor, manakala klausa indemniti dalam kontrak boleh memindahkan liabiliti kepada rakan niaga. Yang penting, pemindahan tidak menghapuskan risk itu sendiri — hanya beban kewangan.

Penerimaan risk bermaksud bertolak ansur dengan sesuatu risk secara sedar tanpa melaksanakan kawalan tambahan, kerana kos mitigasi melebihi kerugian yang dijangka atau kerana risk tersebut berada di bawah ambang risk organisasi. Penerimaan mesti merupakan keputusan yang didokumenkan dan disengajakan oleh pihak berkuasa yang sesuai (biasanya pemilik risk atau eksekutif). Penerimaan tersirat yang tidak didokumenkan — mengabaikan risk kerana tiada sesiapa sempat membaikinya — tidak sama dengan penerimaan rasmi dan boleh menghasilkan penemuan audit.

Pengelakan risk menghapuskan risk sepenuhnya dengan tidak menjalankan aktiviti yang mewujudkan risk tersebut. Contohnya, organisasi mungkin memutuskan untuk tidak menyimpan data kad pembayaran secara langsung — sekali gus mengelakkan skop PCI-DSS sepenuhnya dengan menyerahkan semua pemprosesan kad kepada perkhidmatan tokenisasi pihak ketiga. Pengelakan sesuai apabila risk terlalu tinggi dan tiada pilihan mitigasi atau pemindahan yang menjimatkan kos, tetapi tindakan ini juga mungkin bermaksud melepaskan peluang perniagaan.

Pemilihan pilihan rawatan melibatkan perbandingan antara pendedahan risk dengan kos tindak balas. Jika ALE ialah $50,000 dan kos mitigasi ialah $10,000 setahun, mitigasi jelas menjimatkan kos. Jika ALE ialah $5,000 dan kos mitigasi ialah $30,000 setahun, penerimaan atau pemindahan mungkin lebih munasabah. Organisasi juga mempertimbangkan selera risk — jumlah risk yang sanggup ditanggung oleh kepimpinan — serta toleransi risk, iaitu penyimpangan yang boleh diterima daripada selera risk bagi kategori risk tertentu.

Selera risk ialah tahap risk yang luas dan strategik yang sanggup diterima oleh organisasi demi mencapai matlamatnya — biasanya ditentukan oleh lembaga pengarah. Toleransi risk ialah variasi yang boleh diterima bagi kategori risk tertentu. Sesebuah organisasi mungkin mempunyai selera risk keseluruhan yang rendah tetapi toleransi yang lebih tinggi terhadap risk reputasi dalam barisan produk tertentu. Ambang ini menentukan masa penerimaan risk sesuai berbanding masa eskalasi diperlukan.

Apabila kawalan mitigasi yang ideal tidak dapat dilaksanakan — disebabkan kos, kekangan teknikal atau sistem Legacy — kawalan pampasan menyediakan pengurangan risk alternatif. Contohnya, jika sistem lama tidak menyokong MFA, pemantauan yang dipertingkatkan, pengasingan rangkaian dan logging tambahan boleh menjadi pampasan. Kawalan pampasan diiktiraf secara rasmi dalam PCI-DSS dan rangka kerja lain sebagai rawatan risk yang sah apabila didokumenkan bersama justifikasi dan diluluskan oleh pihak berkuasa yang sesuai.

Selepas sebarang rawatan risk dilaksanakan, hampir selalu masih terdapat sebahagian risk. Residual risk ialah perkara yang tinggal selepas kawalan tersedia. Risk ini mesti diakui dan diterima secara rasmi oleh pemilik risk. Jika residual risk masih melebihi ambang yang boleh diterima, kawalan tambahan diperlukan. Keputusan rawatan risk dan tahap residual risk hendaklah direkodkan dalam daftar risk dan disemak pada selang masa yang ditetapkan, khususnya apabila landskap ancaman berubah.

Rangka kerja pematuhan mengehadkan pilihan pengendalian risiko yang boleh diterima. HIPAA tidak membenarkan pengelakan pemprosesan maklumat kesihatan yang dilindungi — organisasi mesti mengurangkan atau memindahkan risiko tersebut. PCI-DSS mewajibkan kawalan tertentu tanpa mengira analisis kos-manfaat. Memahami kekangan ini dapat mencegah keadaan apabila pilihan pengendalian yang diutamakan oleh organisasi (seperti menerima jurang kawalan) melanggar keperluan kawal selia yang boleh mengakibatkan denda atau kehilangan keistimewaan memproses pembayaran kad.

Pengendalian risiko juga terpakai pada risiko pihak ketiga dan rantaian bekalan. Apabila vendor atau rakan kongsi mempunyai akses kepada sistem atau Data anda, tahap Security mereka menjadi sebahagian daripada profil risiko anda. Pilihan pengendalian termasuk: kawalan kontrak (memindahkan), penilaian Security vendor (mengurangkan), memilih vendor alternatif (mengelakkan), atau menerima risiko secara rasmi dengan semakan berkala. Pencerobohan rantaian bekalan (SolarWinds, XZ Utils) menunjukkan sebab pengurusan risiko pihak ketiga menjadi keutamaan dalam peperiksaan Security+.

Dalam lesson ini, anda telah mempelajari bahawa: pengurangan risiko mengurangkan kemungkinan atau impak melalui kawalan, pemindahan risiko mengalihkan kesan kewangan kepada pihak ketiga seperti insurer, penerimaan risiko ialah keputusan yang didokumenkan untuk menoleransi sesuatu risiko, dan pengelakan risiko menghapuskan risiko dengan tidak menjalankan aktiviti tersebut. Seterusnya, kita akan meninjau rangka kerja Security utama: NIST RMF, ISO 27001 dan CIS Controls.