Risikohåndtering: akseptere, overføre, redusere og unngå

Risikooverføring flytter de økonomiske konsekvensene av en risiko til en tredjepart. Cyberforsikring er det vanligste eksempelet – organisasjonen betaler en premie, og forsikringsselskapet dekker tap fra hendelser som omfattes av avtalen. Risiko kan også overføres gjennom kontrakter: serviceavtaler (SLA-er) med skyleverandører kan legge ansvaret for datainnbrudd på leverandøren, og skadesløsholdelsesklausuler i kontrakter kan overføre ansvar til forretningspartnere. Det er viktig å merke seg at overføring ikke eliminerer selve risikoen – bare den økonomiske belastningen.

Risikoaksept betyr å tolerere en risiko bevisst uten å innføre ytterligere tiltak, fordi kostnaden ved risikoreduksjon overstiger det forventede tapet, eller fordi risikoen ligger under organisasjonens risikoterskel. Aksept må være en dokumentert og bevisst beslutning tatt av en ansvarlig myndighet, vanligvis en risikoeier eller leder. Udokumentert, stilltiende aksept – å ignorere en risiko fordi ingen har fått ordnet den – er ikke det samme som formell aksept og fører til revisjonsfunn.

Risikounngåelse eliminerer risikoen fullstendig ved å ikke delta i aktiviteten som skaper risikoen. En organisasjon kan for eksempel bestemme seg for ikke å lagre betalingskortdata direkte – og dermed unngå hele PCI-DSS-omfanget ved å overlate all kortbehandling til en tredjepartstjeneste for tokenisering. Unngåelse er hensiktsmessig når risikoen er uakseptabelt høy og det ikke finnes et kostnadseffektivt alternativ for risikoreduksjon eller -overføring, men det kan også innebære at man gir avkall på en forretningsmulighet.

Valg av håndteringsalternativ innebærer å sammenligne risikoeksponeringen med kostnadene ved tiltaket. Hvis ALE er $50,000 og risikoreduksjon koster $10,000 per år, er risikoreduksjon klart kostnadseffektivt. Hvis ALE er $5,000 og risikoreduksjon koster $30,000 per år, kan aksept eller overføring være mer fornuftig. Organisasjoner vurderer også risikoappetitt – hvor stor risiko ledelsen er villig til å tolerere – og risikotoleranse, det akseptable avviket fra risikoappetitten for bestemte risikokategorier.

Risikoappetitt er det overordnede, strategiske risikonivået en organisasjon er villig til å akseptere for å nå målene sine – ofte fastsatt av styret. Risikotoleranse er det akseptable avviket innenfor bestemte risikokategorier. En organisasjon kan ha lav generell risikoappetitt, men høyere toleranse for omdømmerisiko i en bestemt produktlinje. Disse tersklene avgjør når risikoaksept er hensiktsmessig, og når eskalering er nødvendig.

Når det ideelle risikoreduserende tiltaket ikke kan implementeres – på grunn av kostnader, tekniske begrensninger eller eldre systemer – gir et kompenserende sikkerhetstiltak en alternativ risikoreduksjon. Hvis et gammelt system for eksempel ikke støtter MFA, kan økt overvåking, nettverksisolasjon og ytterligere logging kompensere for dette. Kompenserende sikkerhetstiltak er formelt anerkjent i PCI-DSS og andre rammeverk som gyldig risikohåndtering når de dokumenteres med en begrunnelse og godkjennes av riktig myndighet.

Etter at et risikohåndteringstiltak er iverksatt, gjenstår det nesten alltid noe risiko. Restrisiko er det som gjenstår etter at sikkerhetstiltakene er på plass. Den må formelt erkjennes og aksepteres av risikoeieren. Hvis restrisikoen fortsatt ligger over den akseptable terskelen, er ytterligere tiltak nødvendige. Beslutninger om risikohåndtering og nivåer for restrisiko bør registreres i risikoregisteret og gjennomgås med fastsatte intervaller, særlig når trusselbildet endrer seg.

Etterlevelsesrammeverk begrenser hvilke alternativer for risikobehandling som er akseptable. HIPAA tillater ikke at man unngår behandling av beskyttede helseopplysninger – organisasjoner må redusere eller overføre risikoen. PCI-DSS krever bestemte sikkerhetstiltak uavhengig av kostnad–nytte-analysen. Når man forstår disse begrensningene, unngår man situasjoner der organisasjonens foretrukne behandlingsalternativ (for eksempel å akseptere et kontrollgap) bryter med et regulatorisk krav som kan føre til bøter eller tap av retten til å behandle kortbetalinger.

Risikobehandling gjelder også risiko knyttet til tredjeparter og leverandørkjeden. Når leverandører eller partnere har tilgang til systemene eller dataene dine, blir sikkerhetsnivået deres en del av risikoprofilen din. Behandlingsalternativer omfatter kontraktsfestede sikkerhetstiltak (overføre), sikkerhetsvurderinger av leverandører (redusere), valg av alternative leverandører (unngå) eller en formell aksept av risikoen med jevnlige gjennomganger. Kompromittering av leverandørkjeden (SolarWinds, XZ Utils) viser hvorfor håndtering av tredjepartsrisiko er en prioritet på Security+-eksamenen.

I denne leksjonen lærte du at risikoredusering reduserer sannsynligheten for eller konsekvensene av en risiko ved hjelp av sikkerhetstiltak, risikooverføring flytter de økonomiske konsekvensene til tredjeparter som forsikringsselskaper, risikoaksept er en dokumentert beslutning om å tolerere en risiko, og risikounngåelse eliminerer risikoen ved å ikke gjennomføre aktiviteten. Neste tema er en gjennomgang av viktige sikkerhetsrammeverk: NIST RMF, ISO 27001 og CIS Controls.