Riskhantering: acceptera, överföra, minska eller undvika

När risker har identifierats och analyserats måste organisationer besluta vad de ska göra åt dem. Riskbehandling är processen att välja och införa en åtgärd för varje risk utifrån dess sannolikhet, konsekvens och kostnaden för att åtgärda den. Det finns fyra allmänt erkända alternativ för riskbehandling: acceptera, överföra, minska och undvika. Inget enskilt alternativ är alltid rätt – rätt val beror på verksamhetens sammanhang, riskaptit och tillgängliga resurser.

Riskreducering minskar sannolikheten för eller konsekvensen av en risk genom att införa säkerhetsåtgärder. Detta är det vanligaste alternativet för riskbehandling. Exempel är att införa en brandvägg för att minska sannolikheten för nätverksintrång, korrigera programvara för att täppa till kända sårbarheter eller införa MFA för att minska konsekvenserna av stulna autentiseringsuppgifter. Riskreducering eliminerar inte risken helt – den skapar kvarstående risk, som måste omvärderas efter att säkerhetsåtgärderna har införts.

Risköverföring flyttar de ekonomiska konsekvenserna av en risk till en tredje part. Cyberförsäkring är det vanligaste exemplet – organisationen betalar en premie och försäkringsbolaget täcker förluster från incidenter som omfattas av försäkringen. Risk kan också överföras genom avtal: service level agreements (SLA:er) med molnleverantörer kan lägga ansvaret för dataintrång på leverantören, och skadeslöshetsklausuler i avtal kan överföra ansvaret till affärspartner. Det är viktigt att förstå att överföring inte eliminerar själva risken – endast den ekonomiska bördan.

Riskacceptans innebär att en risk medvetet tolereras utan att ytterligare säkerhetsåtgärder införs, eftersom kostnaden för riskreducering överstiger den förväntade förlusten eller eftersom risken ligger under organisationens risktröskel. Acceptansen måste vara ett dokumenterat och avsiktligt beslut som fattas av en behörig instans, vanligtvis en riskägare eller chef. O||||okumenterad, underförstådd acceptans – att ignorera en risk eftersom ingen har tagit itu med den – är inte samma sak som formell acceptans och leder till revisionsanmärkningar.

Riskundvikande eliminerar risken helt genom att inte ägna sig åt den aktivitet som skapar risken. En organisation kan till exempel besluta att inte lagra betalkortsdata direkt och därigenom helt undvika PCI-DSS-omfattning genom att överlåta all kortbetalning till en extern tokeniseringstjänst. Undvikande är lämpligt när risken är oacceptabelt hög och det inte finns något kostnadseffektivt alternativ för riskreducering eller risköverföring, men det kan också innebära att man avstår från en affärsmöjlighet.

Att välja ett alternativ för riskbehandling innebär att jämföra riskexponeringen med kostnaderna för åtgärden. Om ALE är 50 000 dollar och riskreducering kostar 10 000 dollar per år är riskreducering uppenbart kostnadseffektiv. Om ALE är 5 000 dollar och riskreducering kostar 30 000 dollar per år kan acceptans eller överföring vara mer rimligt. Organisationer tar också hänsyn till riskaptit – den mängd risk ledningen är beredd att tolerera – och risktolerans, den acceptabla avvikelsen från riskaptiten för specifika riskkategorier.

Riskaptit är den övergripande, strategiska risknivå som en organisation är beredd att acceptera för att nå sina mål – ofta fastställd av styrelsen. Risktolerans är den acceptabla variationen inom specifika riskkategorier. En organisation kan ha en låg övergripande riskaptit men högre tolerans för anseenderisker inom en viss produktlinje. Dessa tröskelvärden avgör när riskacceptans är lämplig och när frågan måste eskaleras.

När den idealiska riskreducerande säkerhetsåtgärden inte kan införas – på grund av kostnad, tekniska begränsningar eller äldre system – ger en kompenserande säkerhetsåtgärd en alternativ riskreducering. Om ett gammalt system till exempel inte stöder MFA kan utökad övervakning, nätverksisolering och ytterligare loggning kompensera för detta. Kompenserande säkerhetsåtgärder erkänns formellt i PCI-DSS och andra ramverk som giltig riskbehandling när de dokumenteras med en motivering och godkänns av behörig instans.

Efter att en riskbehandling har tillämpats kvarstår nästan alltid en viss risk. Kvarstående risk är det som återstår efter att säkerhetsåtgärder har införts. Den måste formellt bekräftas och accepteras av riskägaren. Om den kvarstående risken fortfarande överstiger den acceptabla tröskeln krävs ytterligare säkerhetsåtgärder. Beslut om riskbehandling och nivåer för kvarstående risk bör registreras i riskregistret och granskas med fastställda intervall, särskilt när hotbilden förändras.

Efterlevnadsramverk begränsar vilka alternativ för riskbehandling som är godtagbara. HIPAA tillåter inte att behandling av skyddade hälsouppgifter undviks — organisationer måste minska risken eller överföra den. PCI-DSS kräver specifika kontroller oavsett kostnads- och nyttoanalys. Genom att förstå dessa begränsningar kan man undvika situationer där en organisations föredragna behandlingsalternativ, till exempel att acceptera en kontrollbrist, strider mot ett regelkrav som kan leda till böter eller förlust av rätten att behandla kortbetalningar.

Riskbehandling gäller även risker hos tredje part och i leveranskedjan. När leverantörer eller partner har åtkomst till era system eller data blir deras säkerhetsnivå en del av er riskprofil. Behandlingsalternativ omfattar avtalsbaserade kontroller (överföra), säkerhetsbedömningar av leverantörer (minska), att välja alternativa leverantörer (undvika) eller att formellt acceptera risken med regelbundna granskningar. Angrepp mot leveranskedjan (SolarWinds, XZ Utils) visar varför hantering av risker hos tredje part är en prioritet på Security+-provet.

I den här lektionen lärde ni er att riskreducering minskar sannolikheten eller konsekvensen genom kontroller, att risköverföring flyttar ekonomiska konsekvenser till tredje parter, till exempel försäkringsbolag, att riskacceptans är ett dokumenterat beslut att tolerera en risk och att riskundvikande eliminerar risken genom att inte utföra aktiviteten. Härnäst går vi igenom viktiga säkerhetsramverk: NIST RMF, ISO 27001 och CIS Controls.