Identyfikacja ryzyka i rejestr ryzyka

Ryzyko to możliwość wystąpienia straty lub szkody wskutek wykorzystania podatności przez zagrożenie. W bezpieczeństwie informacji ryzyko wyraża się jako połączenie prawdopodobieństwa (jak prawdopodobne jest wystąpienie zdarzenia) i wpływu (jak poważne byłyby szkody). Zrozumienie ryzyka pozwala organizacjom podejmować świadome i opłacalne decyzje dotyczące bezpieczeństwa, zamiast próbować eliminować każde możliwe zagrożenie.

Identyfikacja ryzyka rozpoczyna się od trzech podstawowych elementów. Zasób to wszystko, co ma wartość — serwery, bazy danych, własność intelektualna lub reputacja. Zagrożenie to każde potencjalne zdarzenie, które może zaszkodzić zasobowi, takie jak atak ransomware lub niezadowolony pracownik. Podatność to słabość, którą może wykorzystać zagrożenie, na przykład niezałatany system lub słaba polityka haseł. Ryzyko występuje tam, gdzie zagrożenia napotykają niezabezpieczone zasoby.

Systematyczna identyfikacja ryzyka przebiega według uporządkowanego procesu: najpierw inwentaryzacja zasobów obejmuje wszystkie wartościowe elementy; następnie modelowanie zagrożeń pozwala ustalić, kto i w jaki sposób może przeprowadzić atak; potem ocena podatności wykrywa słabości systemów i procesów. Na koniec analitycy mapują zagrożenia na podatności, aby określić, które zasoby są rzeczywiście narażone. Proces ten jest zazwyczaj powtarzany co roku lub po wprowadzeniu istotnych zmian.

Przypisanie wartości zasobom pomaga ustalić priorytety. Zasoby materialne (sprzęt, licencje na oprogramowanie) mają jasno określoną wartość rynkową. Zasoby niematerialne (reputacja marki, dane klientów) wymagają osądu — organy regulacyjne mogą przypisać określoną wartość każdemu rekordowi PII. Metoda kosztu odtworzenia polega na ustaleniu, ile kosztowałoby ponowne utworzenie zasobu; wpływ na działalność określa, jaką utratę przychodów spowodowałaby niedostępność zasobu przez 1 godzinę, 1 dzień lub 1 tydzień.

Rejestr ryzyka to aktualizowany na bieżąco dokument, który zawiera wszystkie zidentyfikowane ryzyka w uporządkowanym i przeszukiwalnym formacie. Każdy wpis zazwyczaj obejmuje: opis ryzyka, zasoby, których ono dotyczy, źródło zagrożenia, wykorzystywaną podatność, ocenę prawdopodobieństwa, ocenę wpływu, wynik ryzyka, istniejące mechanizmy kontrolne oraz wyznaczonego właściciela ryzyka. Rejestry ryzyka stanowią centralne źródło informacji dla działań związanych z zarządzaniem, audytem i śledzeniem działań naprawczych.

Kolumna prawdopodobieństwo określa, jak prawdopodobne jest wykorzystanie podatności (od 1 = Rzadkie do 5 = Niemal pewne). Kolumna wpływ określa konsekwencje w kategoriach strat finansowych, kar regulacyjnych lub przestoju operacyjnego (od 1 = Pomijalne do 5 = Katastrofalne). Pomnożenie tych wartości daje wynik ryzyka używany do ustalania priorytetów. Pole ryzyko rezydualne rejestruje ryzyko pozostałe po zastosowaniu mechanizmów kontrolnych, dzięki czemu nie zakłada się, że spadnie ono do zera.

Każde ryzyko w rejestrze musi mieć wskazanego właściciela ryzyka — zazwyczaj jest nim kierownik biznesowy lub właściciel systemu, a nie zespół ds. bezpieczeństwa. Właściciel ryzyka odpowiada za zapewnienie wdrożenia mechanizmów kontrolnych i utrzymanie ryzyka rezydualnego w akceptowalnych granicach. Zespół ds. bezpieczeństwa doradza i monitoruje sytuację, ale nie może być właścicielem wszystkich ryzyk, ponieważ prowadziłoby to do skupienia odpowiedzialności w jednym miejscu, co nie sprawdza się w całym przedsiębiorstwie.

Kilka platform pomaga uporządkować identyfikację zagrożeń. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) kategoryzuje zagrożenia dotyczące każdego komponentu systemu. PASTA (Process for Attack Simulation and Threat Analysis) to metodologia skoncentrowana na ryzyku, która odwzorowuje cele atakującego. DREAD ocenia zagrożenia według czynników Damage, Reproducibility, Exploitability, Affected users i Discoverability, choć obecnie DREAD jest rzadziej stosowany.

Nie można zidentyfikować ryzyka bez wcześniejszego wykrycia podatności. Najważniejsze źródła obejmują: skanery podatności (Nessus, OpenVAS), które sprawdzają systemy pod kątem znanych CVE; raporty z testów penetracyjnych, które potwierdzają możliwość wykorzystania podatności; audyty konfiguracji, które porównują ustawienia z wzorcami CIS; oraz źródła informacji o zagrożeniach, które wskazują aktywnie wykorzystywane słabości. Raporty z audytów wewnętrznych i samooceny również ujawniają podatności na poziomie procesów, pomijane przez skanowanie techniczne.

Rejestry ryzyka muszą uwzględniać zarówno zagrożenia wewnętrzne (pracownicy, wykonawcy, błędnie skonfigurowane systemy), jak i zagrożenia zewnętrzne (hakerzy, grupy powiązane z państwami, naruszenia bezpieczeństwa w łańcuchu dostaw). Zagrożenia wewnętrzne często mają większy wpływ, ponieważ osoby wewnątrz organizacji już dysponują dostępem — niezadowolony pracownik może przeprowadzić eksfiltrację danych bez uruchomienia mechanizmów kontrolnych na granicy sieci. Programy przeciwdziałania zagrożeniom wewnętrznym, które monitorują anomalie behawioralne, odnoszą się do kategorii ryzyka, której same mechanizmy kontrolne o charakterze technicznym nie mogą ograniczyć.

Rejestr ryzyka nie jest jednorazowym rezultatem prac — należy go przeglądać i aktualizować za każdym razem, gdy zachodzą istotne zmiany: wdrażane są nowe systemy, następuje restrukturyzacja organizacji, ujawniane są nowe CVE lub pojawiają się wnioski po incydencie. Większość organizacji łączy formalne przeglądy rejestru ryzyka z corocznymi przeglądami bezpieczeństwa, procesami zarządzania zmianą oraz audytami zgodności. Nieaktualne rejestry ryzyka tworzą fałszywe poczucie bezpieczeństwa i mogą prowadzić do nieuwzględnionych zasobami zagrożeń podczas szybkich zmian w infrastrukturze.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) z tej lekcji.

W tej lekcji dowiedział się Pan / dowiedziała się Pani, że: ryzyko łączy prawdopodobieństwo i wpływ, aby ustalać priorytety decyzji dotyczących bezpieczeństwa, rejestry ryzyka dokumentują zasoby, zagrożenia, podatności, oceny, właścicieli oraz ryzyko rezydualne, a techniki modelowania zagrożeń, takie jak STRIDE, pomagają systematycznie identyfikować potencjalne problemy. W następnej części omówimy jakościowe i ilościowe metody analizy ryzyka.