Riskidentifiering och riskregister

Risk är möjligheten till förlust eller skada till följd av att ett hot utnyttjar en sårbarhet. Inom informationssäkerhet uttrycks risk som en kombination av sannolikhet (hur sannolik händelsen är) och påverkan (hur allvarliga skadorna skulle bli). Genom att förstå risk kan organisationer fatta välgrundade och kostnadseffektiva säkerhetsbeslut i stället för att försöka eliminera alla tänkbara hot.

Riskidentifiering börjar med tre grundläggande delar. En tillgång är något av värde — servrar, databaser, immateriella rättigheter eller anseende. Ett hot är varje potentiell händelse som kan skada en tillgång, till exempel en ransomware-attack eller en missnöjd anställd. En sårbarhet är en svaghet som ett hot kan utnyttja, till exempel ett ouppdaterat system eller en svag lösenordspolicy. Risk uppstår där hot möter oskyddade tillgångar.

Systematisk riskidentifiering följer en strukturerad process: först katalogiserar en inventering av tillgångar allt av värde; därefter identifierar hotmodellering vem som kan angripa och hur; sedan hittar en sårbarhetsbedömning svagheter i system och processer. Slutligen kopplar analytiker samman hot med sårbarheter för att avgöra vilka tillgångar som faktiskt är exponerade. Processen upprepas vanligtvis årligen eller efter större förändringar.

Värdering av tillgångar styr prioriteringen. Materiella tillgångar (maskinvara och programvarulicenser) har tydliga marknadsvärden. Immateriella tillgångar (varumärkets anseende och kunddata) kräver bedömningar — tillsynsmyndigheter kan fastställa ett värde per post för personligt identifierbar information (PII). Metoden med ersättningskostnad frågar vad det skulle kosta att återskapa tillgången; verksamhetspåverkan frågar vilka intäktsförluster som uppstår om tillgången inte är tillgänglig i 1 timme, 1 dag eller 1 vecka.

Ett riskregister är ett levande dokument som fångar alla identifierade risker i ett strukturerat och sökbart format. Varje post innehåller vanligtvis: riskbeskrivning, berörda tillgångar, hotkälla, utnyttjad sårbarhet, sannolikhetsbedömning, konsekvensbedömning, riskpoäng, befintliga säkerhetsåtgärder och tilldelad riskägare. Riskregister fungerar som den centrala referensen för styrning, revision och uppföljning av åtgärder.

Kolumnen sannolikhet anger hur sannolikt det är att en sårbarhet utnyttjas (1=sällsynt till 5=nästan säkert). Kolumnen påverkan anger konsekvenserna i form av ekonomisk förlust, myndighetssanktioner eller driftstopp (1=försumbar till 5=katastrofal). Genom att multiplicera dessa värden får man en riskpoäng som används för prioritering. Fältet kvarstående risk dokumenterar den risk som återstår efter att säkerhetsåtgärder har införts och säkerställer att inget antas minska till noll.

Varje risk i registret måste ha en namngiven riskägare — vanligtvis en verksamhetschef eller systemägare, inte säkerhetsteamet. Riskägaren ansvarar för att säkerhetsåtgärder införs och att den kvarstående risken håller sig inom godtagbara gränser. Säkerhetsteamet ger råd och övervakar, men kan inte äga alla risker, eftersom det skapar ett enda ansvarsställe som inte kan skalas till en hel organisation.

Flera ramverk hjälper till att strukturera identifieringen av hot. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) kategoriserar hot mot varje systemkomponent. PASTA (Process for Attack Simulation and Threat Analysis) är en riskcentrerad metod som kopplar samman angriparens mål. DREAD bedömer hot utifrån Damage, Reproducibility, Exploitability, Affected users och Discoverability — även om DREAD används mer sällan i modern praxis.

Risker kan inte identifieras utan att sårbarheter först hittas. Viktiga källor omfattar: sårbarhetsskannrar (Nessus, OpenVAS) som testar system mot kända CVE:er; penetrationstestrapporter som bekräftar möjligheten att utnyttja sårbarheter; konfigurationsrevisioner som jämför inställningar med CIS-riktlinjer; och informationsflöden om hot som lyfter fram svagheter som aktivt utnyttjas. Interna revisionsrapporter och självutvärderingar synliggör också sårbarheter på processnivå som tekniska skanningar missar.

Riskregister måste ta hänsyn till både interna hot (anställda, leverantörer och felkonfigurerade system) och externa hot (hackare, aktörer på nationstatsnivå och komprometteringar i leveranskedjan). Interna hot får ofta större påverkan eftersom personer med intern åtkomst redan har behörighet — en missnöjd anställd kan exfiltrera data utan att utlösa perimeterskydd. Program för insiderhot som övervakar avvikelser i beteenden hanterar en riskkategori som tekniska säkerhetsåtgärder ensamma inte kan minska.

Ett riskregister är inte något som levereras en enda gång – det måste granskas och uppdateras när betydande förändringar inträffar, till exempel vid nya systemdistributioner, omorganisationer, nypublicerade CVE:er eller resultat från utredningar efter incidenter. De flesta organisationer kopplar formella granskningar av riskregistret till årliga säkerhetsgranskningar, förändringshanteringsprocesser och efterlevnadsrevisioner. Föråldrade riskregister skapar en falsk trygghet och kan leda till att exponeringar förblir utan resurser när infrastrukturen förändras snabbt.

I den här lektionen har du lärt dig att risk kombinerar sannolikhet och konsekvens för att prioritera säkerhetsbeslut, att riskregister dokumenterar tillgångar, hot, sårbarheter, poäng, ansvariga och kvarstående risk, samt att metoder för hotmodellering som STRIDE hjälper till att systematiskt identifiera vad som kan gå fel. Härnäst utforskar vi kvalitativa respektive kvantitativa metoder för riskanalys.