Pengenalpastian Risiko dan Daftar Risiko

Pengenalpastian risiko secara sistematik mengikut proses berstruktur: pertama, inventori aset mengkatalogkan semua perkara yang bernilai; seterusnya, pemodelan ancaman mengenal pasti pihak yang mungkin menyerang dan caranya; kemudian, penilaian kelemahan mencari kelemahan dalam sistem dan proses. Akhirnya, penganalisis memetakan ancaman kepada kelemahan untuk menentukan aset yang benar-benar terdedah. Proses ini biasanya diulangi setiap tahun atau selepas perubahan besar.

Penetapan nilai kepada aset membantu menentukan keutamaan. Aset ketara (perkakasan, lesen perisian) mempunyai nilai pasaran yang jelas. Aset tidak ketara (reputasi jenama, data pelanggan) memerlukan pertimbangan — pengawal selia mungkin menetapkan nilai bagi setiap rekod PII. Kaedah kos penggantian bertanya berapakah kos untuk mencipta semula aset tersebut; impak perniagaan bertanya berapakah kehilangan hasil jika aset tidak tersedia selama 1 jam, 1 hari atau 1 minggu.

Daftar risiko ialah dokumen dinamik yang merekodkan semua risiko yang dikenal pasti dalam format berstruktur dan boleh dicari. Setiap entri biasanya merangkumi: perihalan risiko, aset yang terjejas, sumber ancaman, kelemahan yang dieksploitasi, penarafan likelihood, penarafan impact, skor risiko, kawalan semasa dan pemilik risiko yang ditugaskan. Daftar risiko menjadi rujukan utama untuk aktiviti tadbir urus, audit dan penjejakan pemulihan.

Lajur likelihood menilai kebarangkalian eksploitasi (1=Jarang hingga 5=Hampir Pasti). Lajur impact menilai kesan dari segi kerugian kewangan, penalti kawal selia atau masa henti operasi (1=Boleh Diabaikan hingga 5=Malapetaka). Pendaraban kedua-duanya menghasilkan skor risiko yang digunakan untuk menentukan keutamaan. Medan risiko baki merekodkan risiko yang masih ada selepas kawalan digunakan, bagi memastikan tiada risiko dianggap mencapai sifar.

Setiap risiko dalam daftar mesti mempunyai pemilik risiko yang dinamakan — biasanya pengurus perniagaan atau pemilik sistem, bukannya pasukan keselamatan. Pemilik risiko bertanggungjawab memastikan kawalan dilaksanakan dan risiko baki kekal dalam ambang yang boleh diterima. Pasukan keselamatan memberikan nasihat dan memantau, tetapi tidak boleh memiliki semua risiko kerana hal itu mewujudkan akauntabiliti titik tunggal yang tidak dapat diskalakan merentas seluruh perusahaan.

Beberapa rangka kerja membantu menyusun pengenalpastian ancaman. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) mengkategorikan ancaman terhadap setiap komponen sistem. PASTA (Proses untuk Simulasi Serangan dan Analisis Ancaman) ialah metodologi berpusatkan risiko yang memetakan matlamat penyerang. DREAD memberikan skor ancaman berdasarkan Damage, Reproducibility, Exploitability, Affected users dan Discoverability — walaupun DREAD kurang lazim dalam amalan moden.

Risiko tidak boleh dikenal pasti tanpa mencari kelemahan terlebih dahulu. Sumber utama termasuk: pengimbas kelemahan (Nessus, OpenVAS) yang menguji sistem terhadap CVE yang diketahui; laporan ujian penembusan yang mengesahkan keboleheksploitan; audit konfigurasi yang membandingkan tetapan dengan penanda aras CIS; dan suapan risikan ancaman yang menyerlahkan kelemahan yang sedang dieksploitasi. Laporan audit dalaman dan penilaian kendiri turut mendedahkan kelemahan pada peringkat proses yang terlepas daripada imbasan teknikal.

Daftar risiko mesti mengambil kira kedua-dua ancaman dalaman (pekerja, kontraktor, sistem yang tersalah konfigurasi) dan ancaman luaran (penggodam, pelaku negara bangsa, pencerobohan rantaian bekalan). Ancaman dalaman sering memberikan impak yang lebih besar kerana orang dalam sudah mempunyai akses — pekerja yang tidak berpuas hati boleh menyingkirkan data tanpa mencetuskan kawalan perimeter. Program ancaman orang dalam yang memantau keabnormalan tingkah laku menangani kategori risiko yang tidak boleh dikurangkan oleh kawalan teknikal sahaja.

Daftar risk bukan hasil kerja sekali sahaja — daftar ini mesti disemak dan dikemas kini setiap kali berlaku perubahan penting: penggunaan sistem baharu, penstrukturan semula organisasi, CVE yang baru didedahkan atau penemuan selepas insiden. Kebanyakan organisasi mengaitkan semakan rasmi daftar risk dengan semakan keselamatan tahunan, proses pengurusan perubahan dan audit pematuhan. Daftar risk yang lapuk mewujudkan keyakinan palsu dan boleh menyebabkan pendedahan yang tidak diperuntukkan sumber semasa perubahan infrastruktur berlaku dengan pantas.

Dalam pelajaran ini, anda telah mempelajari bahawa: risk menggabungkan kemungkinan dan impak untuk mengutamakan keputusan keselamatan, daftar risk mendokumenkan aset, ancaman, kerentanan, skor, pemilik dan residual risk, manakala teknik pemodelan ancaman seperti STRIDE membantu mengenal pasti secara sistematik perkara yang mungkin berlaku. Seterusnya, kita akan meneroka kaedah analisis risk kualitatif berbanding kuantitatif.