Metodologia oceny ryzyka bezpieczeństwa IT: jakościowa a ilościowa

Sformułowanie metodologii oceny ryzyka związanego z bezpieczeństwem IT jest kluczowym elementem budowania solidnego programu zarządzania ryzykiem związanym z bezpieczeństwem informacji.

Dwa najpopularniejsze rodzaje metodyk oceny ryzyka stosowanych przez asesorów to:

Jakościowa analiza ryzyka: Metodologia oparta na scenariuszach, która wykorzystuje różne scenariusze zagrożeń i podatności, aby spróbować odpowiedzieć na pytania typu "co jeśli". Oceny te mają charakter subiektywny.
Ilościowa analiza ryzyka: Przypisuje wartość liczbową różnym składnikom oceny ryzyka. Akcesorzy mają na celu ilościowe określenie wszystkich elementów (wartość aktywów, częstotliwość zagrożeń, skuteczność zabezpieczeń, niepewność i prawdopodobieństwo), aby odpowiedzieć na pytania takie jak "Ile kosztowałoby nas naruszenie danych?" i "Jak długo trwa akceptowalny czas offline, zanim będziemy musieli zainicjować nasz plan reagowania na incydenty?".

Co to jest ocena ryzyka?

Ocena ryzyka to proces, który ma na celu zidentyfikowanie zagrożeń dla cyberbezpieczeństwa, ich źródeł oraz sposobów ich ograniczenia do akceptowalnego poziomu ryzyka.

Proces ten zazwyczaj rozpoczyna się od serii pytań w celu ustalenia spisu zasobów informacyjnych, procedur, procesów i personelu.

Dzięki temu organizacja i jej metody dostępu mogą zrozumieć, jakie są kluczowe zasoby informacyjne i które z nich stanowią największe ryzyko. Ryzyko jest zazwyczaj obliczane jako wpływ zdarzenia pomnożony przez częstotliwość lub prawdopodobieństwo zdarzenia.

Niezależnie od tego, czy Twoja organizacja korzysta z procesu jakościowej czy ilościowej oceny ryzyka, wymagany jest pewien poziom podejmowania decyzji. Zazwyczaj odbywa się to w formie analizy kosztów i korzyści w celu określenia, które ryzyko jest dopuszczalne, a które należy ograniczyć.

Solidny proces oceny ryzyka będzie koncentrował się na wszystkich aspektach bezpieczeństwa informacji, w tym na kwestiach fizycznych i środowiskowych, administracyjnych i zarządczych, a także na kontrolach technicznych.

Jest to pracochłonny proces dla asesorów, który wymaga silnych umiejętności w zakresie zapewniania jakości i zarządzania projektami, a staje się trudniejszy wraz z rozwojem organizacji. Napędzany rosnącym tempem zmian w systemach informatycznych, procesach i personelu, a także wprowadzaniem nowych zagrożeń cybernetycznych, luk w zabezpieczeniach i dostawców zewnętrznych.

Zapoznaj się z funkcjami oceny ryzyka UpGuard >

Kiedy należy przeprowadzić ocenę ryzyka?

Oceny ryzyka muszą być przeprowadzane przez cały cykl życia zasobów informacyjnych, w miarę jak zmieniają się potrzeby biznesowe i pojawiają się nowe wektory ataków.

Stosując podejście oparte na ciągłej ocenie ryzyka, organizacje mogą identyfikować pojawiające się zagrożenia cyberbezpieczeństwa i środki kontroli, które należy wprowadzić, aby im zaradzić.

Podobnie jak w przypadku każdego innego procesu, bezpieczeństwo musi być stale monitorowane, ulepszane i traktowane jako część ogólnej jakości produktu/usługi.

Rozważ przeprowadzenie oceny ryzyka za każdym razem, gdy zostaną znalezione luki w zabezpieczeniach lub narażenie na ryzyko, a także gdy decydujesz się na wdrożenie lub rezygnację z określonej kontroli lub dostawcy zewnętrznego.

Podobnie jak w przypadku każdego procesu zarządzania ryzykiem informacyjnym, opiera się on w dużej mierze na triadzie CIA (poufność, integralność i dostępność) oraz potrzebach biznesowych.

Aby usprawnić proces oceny ryzyka, organizacje powinny posiadać wewnętrzne polityki i standardy bezpieczeństwa, które określają wymagania, procesy i procedury dotyczące bezpieczeństwa w całej organizacji i jej dostawcach, np. korzystając wyłącznie z usług dostawców zewnętrznych z gwarancją SOC 2 i oceną bezpieczeństwa powyżej 850.

Pobierz szablon oceny ryzyka dostawcy >

Dlaczego proces oceny ryzyka jest ważny?

Cyberbezpieczeństwo polega w dużej mierze na ograniczaniu ryzyka. W momencie, gdy łączysz się z Internetem, polegasz na nowej technologii informatycznej lub wdrażasz nowego dostawcę zewnętrznego, wprowadzasz pewien poziom ryzyka.

Oceny ryzyka identyfikują kluczowe zasoby informacyjne, jaka jest ich wartość (jakościowa lub ilościowa) dla organizacji, a także jej klientów i partnerów.

Dzięki tym informacjom kierownictwo jest w stanie lepiej zrozumieć swój profil ryzyka i sprawdzić, czy istniejące środki kontroli bezpieczeństwa są odpowiednie.

Staje się to coraz ważniejsze ze względu na rozwój outsourcingu i rosnącą zależność od dostawców w zakresie przetwarzania, przechowywania i przesyłania danych wrażliwych, a także dostarczania towarów i usług klientom.

W połączeniu z rosnącymi regulacjami dotyczącymi ochrony i ujawniania danych osobowych (PII) i chronionych informacji zdrowotnych (PHI), potrzeba jasnej metodologii oceny ryzyka nigdy nie była większa.

Zrozum, że każdy element technologii, dostawca i pracownik jest potencjalnym wektorem ataku, niezależnie od tego, czy chodzi o ataki socjotechniczne, takie jak phishing i spear phishing, czy ataki oparte na technologii, takie jak wykorzystanie luk w zabezpieczeniach CVE, ataki typu man-in-the-middle, oprogramowanie ransomware i inne rodzaje złośliwego oprogramowania.

Aby zminimalizować potencjalne straty i zachować zdolność operacyjną, każdy poziom organizacji musi zrozumieć wymagania dotyczące bezpieczeństwa, a solidna metodologia oceny ryzyka może wiele zdziałać w celu ograniczenia zidentyfikowanych zagrożeń.

W wyniku ocen ryzyka pracownicy stają się bardziej świadomi zagrożeń cybernetycznych i uczą się unikać złych praktyk, które mogą być szkodliwe dla bezpieczeństwa informacji, bezpieczeństwa danych i bezpieczeństwa sieci, podnosząc świadomość bezpieczeństwa i pomagając w planowaniu reagowania na incydenty.

Czy lepsza jest metodologia ilościowej czy jakościowej oceny ryzyka?

Istnieją plusy i minusy ilościowych i jakościowych metod oceny ryzyka. Najlepsza w swojej klasie organizacja stosuje podejście hybrydowe, które uwzględnia dane wejściowe ilościowe i jakościowe.

Zarządzanie ryzykiem koncentruje się na podejmowaniu decyzji skorygowanych o ryzyko, aby umożliwić organizacji efektywne działanie przy jednoczesnym podejmowaniu tak dużego lub tak małego ryzyka, jakie użytkownik uznasz za dopuszczalne.

A jedynym sposobem, aby to zrobić, jest zrozumienie, jakie ryzyko jest w stanie zaakceptować, a co chcesz przenieść, złagodzić lub uniknąć. Na przykład możesz zignorować wysokie ryzyko z bardzo niskim prawdopodobieństwem, np. zaprzestanie świadczenia usług Amazon Web Services przez Amazon, ponieważ uznasz, że ograniczenie go nie jest opłacalne.

Z kolei inna organizacja o niższej tolerancji ryzyka może zdecydować się na współpracę z dwoma dostawcami usług w chmurze w celu ograniczenia ryzyka.

Niezależnie od profilu ryzyka, zawsze istnieje ryzyko szczątkowe, ponieważ ograniczanie wszystkiego nie jest opłacalne.

PlusyConsJakościowe

Analiza jakościowa jest prostszym podejściem do oceny, nie ma żadnych skomplikowanych obliczeń
Określenie wartości pieniężnej aktywów nie zawsze jest konieczne lub możliwe do wyceny wartości niematerialnych i prawnych, takich jak reputacja i wartość klienta
Nie jest konieczne ilościowe określanie częstotliwości zagrożeń
Łatwiejsze angażowanie personelu niezwiązanego z bezpieczeństwem i nietechnicznego

Charakter subiektywny
Wyniki i jakość oceny zależą od wiedzy fachowej i jakości zespołu ds. zarządzania ryzykiem
Ograniczony wysiłek w celu zrozumienia wartości pieniężnej aktywów
Brak analizy kosztów i korzyści w odniesieniu do technik ograniczania ryzyka, np. kosztów wdrożenia środków kontroli bezpieczeństwa i polityk bezpieczeństwa

ilościowy

Analiza ilościowa opiera się na obiektywnych procesach i metrykach, usuwając subiektywizm
Wartość aktywów i możliwości ograniczania ryzyka są dobrze poznane
Oceny kosztów i korzyści są szeroko stosowane, pomagając kierownictwu wyższego szczebla w pierwszej kolejności ograniczyć działania wysokiego ryzyka
Wyniki mogą być wyrażone w języku specyficznym dla zarządzania (np. wartość pieniężna i prawdopodobieństwo)

Podejścia ilościowe mogą być złożone i czasochłonne
Historycznie rzecz biorąc, działa dobrze tylko z uznanym zautomatyzowanym narzędziem do zarządzania bezpieczeństwem i powiązaną bazą wiedzy
Wymaga wstępnych prac w celu zebrania i ilościowego określenia różnych informacji o ryzyku
Szkolenie w zakresie świadomości bezpieczeństwa, które na ogół nie koncentruje się na poziomie personelu, może zostać pominięte

Jakie są przeszkody w skutecznym zarządzaniu ryzykiem?

Częstym zarzutem zespołów ds. zarządzania bezpieczeństwem jest to, że nie mają czasu na przeprowadzanie dogłębnych ocen ryzyka.

Nawet ci, którzy to robią, często mają problem z tym, od czego zacząć. Dzieje się tak, ponieważ nie ma jednego standardu branżowego, który wszyscy akceptują jako najlepszą praktykę.

Co więcej, większość wytycznych, takich jak ISO 27001 i NIST Security Self Assessment Guide for Information Technology Systems, SP 800-26, ma charakter ogólny i nie zawiera wystarczających szczegółów na temat tego, jak przeprowadzić właściwą ocenę ryzyka.

Doprowadziło to do tego, że wiele organizacji zleca proces zarządzania ryzykiem zewnętrznym dostawcom, którzy mają doświadczenie w przeprowadzaniu odpowiednich ocen ryzyka. Mogą również pomóc organizacji w tworzeniu skutecznych zasad, takich jak zasady zarządzania dostawcami i ramy zarządzania ryzykiem innych firm.

Jednak wraz ze wzrostem wielkości i złożoności organizacji oraz wzrostem liczby dostawców zewnętrznych, outsourcing staje się kosztowny. Nie chcesz również, aby Twoja organizacja stała się zależna od zewnętrznego dostawcy w zakresie podejmowania ważnych decyzji biznesowych i ograniczania ryzyka.

Dlatego coraz więcej organizacji korzysta z programów zarządzania ryzykiem i zarządzania ryzykiem dostawców.

Narzędzia do oceny bezpieczeństwa cybernetycznego mogą pomóc w skalowaniu zespołu zarządzania ryzykiem poprzez automatyczne monitorowanie i ocenę stanu zabezpieczeń pierwszej, trzeciej i czwartej strony. Dzięki temu zespół ds. zarządzania ryzykiem może w pierwszej kolejności skupić się na poprawkach o największym ryzyku i dużym wpływie, a także wykładniczo zwiększa liczbę dostawców zewnętrznych, którymi może zarządzać jedna osoba.

Oceny luk w zabezpieczeniach umożliwiają małym zespołom skalowanie w górę i zrozumienie ryzyka związanego z osobami trzecimi i ryzykiem innych firm w czasie rzeczywistym.