Co to jest ryzyko rezydualne? Dlaczego to ma znaczenie w 2023 roku

Ryzyko szczątkowe to zagrożenie lub luka w zabezpieczeniach, która pozostaje po wdrożeniu wszystkich działań związanych z leczeniem ryzyka i usuwaniem go.

Nawet przy przenikliwym programie sanitarnym dotyczącym luk w zabezpieczeniach, zawsze będą istnieć ślady zagrożeń, które pozostaną, są to zagrożenia szczątkowe.

Ponieważ będą one zawsze obecne, proces zarządzania ryzykiem szczątkowym polega na ustaleniu akceptowalnego progu, a następnie wdrożeniu programów i rozwiązań mających na celu ograniczenie wszystkich ryzyk poniżej tego progu.

Czytaj dalej, aby dowiedzieć się, jak identyfikować i kontrolować ryzyko szczątkowe na powierzchniach cyfrowych.

Dlaczego ryzyko rezydualne jest tak ważne w 2023 roku?

Ryzyko szczątkowe jest ważne, ponieważ jego ograniczenie jest obowiązkowym wymogiem przepisów ISO 27001. Jest to popularny standard bezpieczeństwa informacji w ramach rodziny najlepszych praktyk bezpieczeństwa ISO/IEC 2700, który pomaga organizacjom określić ilościowo bezpieczeństwo zasobów przed i po udostępnieniu ich dostawcom.

Aby zachować zgodność z normą ISO 27001, organizacje muszą przeprowadzić szczątkową kontrolę bezpieczeństwa oprócz nieodłącznych procesów bezpieczeństwa, zanim udostępnią dane jakimkolwiek dostawcom.

Jednak w 2021 r. ryzyko szczątkowe nabrało jeszcze większego znaczenia, odkąd prezydent Biden podpisał rozporządzenie wykonawcze w sprawie cyberbezpieczeństwa. Obecnie oczekuje się, że organizacje znacznie zmniejszą ryzyko szczątkowe w całym łańcuchu dostaw, aby ograniczyć wpływ naruszeń przez strony trzecie przez podmioty stwarzające zagrożenia z państw narodowych.

Aby spełnić rygorystyczne oczekiwania dotyczące zgodności z normą ISO/IEC 27001 i rozporządzeniem wykonawczym Bidena, organizacje muszą połączyć rozwiązania do monitorowania powierzchni ataku z oceną ryzyka szczątkowego.

Jaka jest różnica między ryzykiem nieodłącznym a ryzykiem rezydualnym?

Ryzyko nieodłączne to wielkość ryzyka w ekosystemie IT w przypadku braku kontroli, a ryzyko szczątkowe to wielkość ryzyka, które istnieje po wdrożeniu środków kontroli bezpieczeństwa cybernetycznego.

Nieodłączne oceny ryzyka pomagają zespołom ds. bezpieczeństwa informacji i dyrektorom ds. bezpieczeństwa informacji w ustaleniu ram wymagań dotyczących projektowania niezbędnych środków kontroli bezpieczeństwa. Poza tą oceną na wysokim poziomie oceny nieodłącznego ryzyka mają niewielką wartość. Prawdziwa wartość wynika z ocen ryzyka szczątkowego, które pomagają identyfikować i korygować zagrożenia, zanim zostaną one wykorzystane przez cyberprzestępców.

Oceny ryzyka nieodłącznego i rezydualnego

Podstawowa różnica między ocenami ryzyka nieodłącznego a rezydualnego polega na tym, że w tych ostatnich uwzględnia się wpływ kontroli i innych rozwiązań łagodzących. Zgodnie z oczekiwaniami prawdopodobieństwo wystąpienia incydentu w

Poniższe definicje są ważne dla każdego programu oceny.

Prawdopodobieństwo wystąpienia zdarzenia w środowisku, w którym nie obowiązują żadne mechanizmy kontroli zabezpieczeń.

Nieodłączny wpływ — wpływ zdarzenia na środowisko bez wdrożonych środków kontroli zabezpieczeń.

Prawdopodobieństwo szczątkowe — prawdopodobieństwo wystąpienia zdarzenia w środowisku z wdrożonymi mechanizmami kontroli zabezpieczeń.

Wpływ szczątkowy — wpływ incydentu na środowisko, w którym obowiązują mechanizmy kontroli zabezpieczeń.

W przypadku wdrożenia skutecznych środków kontroli bezpieczeństwa istnieje oczywista rozbieżność między ocenami ryzyka nieodłącznego i szczątkowego. Wyniki te nie są wystarczające do zweryfikowania zgodności i zawsze powinny być zatwierdzone za pomocą niezależnego audytu wewnętrznego.

Im dłuższa trajektoria między ryzykiem nieodłącznym a ryzykiem rezydualnym, tym większa zależność, a tym samym skuteczność, od ustanowionych kontroli wewnętrznych.

Dowiedz się więcej o ocenach ryzyka szczątkowego

Jak obliczyć ryzyko rezydualne

Zanim będzie można opracować plan zarządzania ryzykiem, należy określić ilościowo wszystkie ryzyka szczątkowe unikalne dla Twojego środowiska cyfrowego. Pomoże to zdefiniować konkretne wymaganie dla planu zarządzania, a także umożliwi zmierzenie sukcesu działań łagodzących.

Kwantyfikacja ryzyka szczątkowego w ekosystemie jest bardzo złożonym obliczeniem. Na wysokim poziomie formuła jest następująca:

Ryzyko szczątkowe=Ryzyko nieodłączne - wpływ kontroli ryzyka.

Ryzyko szczątkowe można również ocenić w odniesieniu do tolerancji ryzyka (lub apetytu na ryzyko) w celu oceny skuteczności planów naprawy. Pozwoli to na przeprowadzenie audytu wszystkich wdrożonych środków kontroli bezpieczeństwa i zidentyfikowanie wszelkich uchybień pozwalających na nadmierne ryzyko wewnętrzne. Dzięki takim bezcennym analizom zespoły ds. bezpieczeństwa mogą prowadzić ukierunkowane kampanie naprawcze, wspierając efektywną dystrybucję zasobów wewnętrznych.

Dowiedz się, jak obliczyć apetyt na ryzyko dla programu zarządzania ryzykiem przez osoby trzecie.

Ponieważ nowoczesna powierzchnia ataku stale się powiększa i tworzy dodatkowe zmienne ryzyka, obliczenia te lepiej powierzyć inteligentnym rozwiązaniom zapewniającym dokładność. Jednakże, aby uzyskać wstępną ocenę profilu ryzyka rezydualnego, można postępować zgodnie z następującym procesem obliczeniowym.

Krok 1: Oblicz swój wrodzony czynnik ryzyka.

Obliczanie RTO dla krytycznych jednostek biznesowych

Nieodłączny czynnik ryzyka jest funkcją docelowych czasów odzyskiwania (RTO) dla procesów krytycznych - tych, które mają najniższe RTO. W związku z tym wymagane jest najpierw obliczenie RTO dla każdej jednostki biznesowej.

Dowiedz się, jak obliczyć docelowy czas odzyskiwania

Obliczanie potencjalnego wpływu każdej kategorii RTO

Po obliczeniu RTO każdej jednostki biznesowej lista ta powinna być uporządkowana według poziomu potencjalnego wpływu na działalność. Niższe RTO mają wyższy poziom krytyczności i w związku z tym będą miały największy negatywny wpływ na organizację,

Każdemu RTO należy przypisać ocenę wpływu na działalność w następujący sposób:

1=nieznaczny wpływ
2=minimalny wpływ
3=Umiarkowany wpływ
4=Wpływ krytyczny
5=Katastrofalne uderzenie

na przykład:

Jeśli jednostka biznesowa A składa się z procesów 1, 2 i 3, które mają RTO wynoszące 12 godzin, 24 godziny i 36 godzin, plan odzyskiwania firmy powinien być oceniany tylko dla procesu 1. Wynika to z faktu, że proces 1 ma najniższy cel odzyskiwania, co czyni go najbardziej krytycznym procesem biznesowym w swojej kategorii jednostek biznesowych.

Ponieważ jednostka biznesowa A ma RTO wynoszący 12 godzin lub mniej, zostałaby sklasyfikowana jako proces wysoce krytyczny i dlatego powinna zostać przypisana do oceny wpływu 4 lub 5.

Przypisywanie oceny poziomu zagrożenia do jednostki biznesowej

Następnie konieczne będzie zmapowanie krajobrazu zagrożeń cybernetycznych w każdej jednostce biznesowej. Aby zapewnić dokładne wykrywanie luk w zabezpieczeniach, należy to zrobić za pomocą rozwiązania do monitorowania obszaru ataków.

Następnie do każdej jednostki należy przypisać ocenę poziomu zagrożenia w oparciu o liczbę luk w zabezpieczeniach i ryzyko wykorzystania.

System punktacji poziomu zagrożenia jest następujący:

1=Niski
2=Minimalny
3=Umiarkowany
4=Wysoki
5=Krytyczny

Oszacuj nieodłączny czynnik ryzyka jednostki biznesowej

Oszacowanie ryzyka nieodłącznego można obliczyć za pomocą następującego wzoru:

Ryzyko nieodłączne=[ (Wynik wpływu na biznes) x (Wynik krajobrazu zagrożeń) ]/5

Wynikowa ocena ryzyka nieodłącznego będzie wynosić od 2,0 do 5,0 i będzie można ją sklasyfikować w następujący sposób:

Od 2 do 3=niskie ryzyko własne
Od 3 do 3,9=umiarkowane ryzyko własne
Od 4 do 5 - Wysokie ryzyko własne

Krok 2: Określ akceptowalne poziomy ryzyka

Poziomy akceptowalnego ryzyka zależą od wymagań zgodności z przepisami każdej organizacji. Na wysokim poziomie wszystkie akceptowalne zagrożenia powinny mieć minimalny wpływ na przychody, cele biznesowe, świadczenie usług i zarządzanie obszarem ataku.

Jak zdefiniować akceptowalne poziomy ryzyka

Dopuszczalne ryzyko musi być zdefiniowane dla każdego składnika aktywów z osobna. Może to stać się przytłaczającym warunkiem wstępnym przy kompleksowej inwentaryzacji aktywów. Poniższe akceptowalne ramy analizy ryzyka pomogą rozłożyć wysiłek i przyspieszyć proces.

Można to osiągnąć za pomocą następujących akceptowalnych ram analizy ryzyka:

Zidentyfikuj wszystkie zasoby za pomocą cyfrowego mapowania śladu.
Przypisz każdy zasób lub grupę zasobów do właściciela.
Zidentyfikuj obecne i potencjalne luki w zabezpieczeniach każdego zasobu.
Ilość prawdopodobieństwa wykorzystania tych luk w zabezpieczeniach
Określ ilościowo ryzyko każdego składnika aktywów za pomocą następującego wzoru:
Ryzyko=Prawdopodobieństwo x Wpływ
Gdzie:
- Prawdopodobieństwo jest funkcją podatności, ekspozycji i zagrożeń.
- Wpływ jest funkcją krytyczności biznesowej.

Dopuszczalne poziomy ryzyka powinny być określone jako wartość procentowa, gdzie:

Jeśli nieodłączny czynnik ryzyka jest mniejszy niż 3=20% dopuszczalnego ryzyka (wysoka tolerancja ryzyka).
Jeśli nieodłączny czynnik ryzyka wynosi od 3 do 3,9=15% dopuszczalnego ryzyka (umiarkowana tolerancja ryzyka).
Nieodłączny czynnik ryzyka od 4 do 5=10% (tolerancja niskiego ryzyka).

Im niższy odsetek, tym surowsze są wymagania dotyczące kontroli ryzyka w cyberprzestrzeni. A im lepsza kontrola ryzyka, tym większe szanse na odzyskanie sprawności po cyberataku.

Maksymalną tolerancję ryzyka można obliczyć za pomocą następującego wzoru:

Maksymalna tolerancja ryzyka=Procent tolerancji ryzyka nieodłącznego x Czynnik ryzyka nieodłącznego

Ostateczny próg tolerancji ryzyka oblicza się w następujący sposób:

Próg tolerancji ryzyka=Nieodłączny czynnik ryzyka - maksymalna tolerancja ryzyka.

Na przykład:

Przy nieodłącznym czynniku ryzyka równym 3 odpowiadająca mu tolerancja ryzyka nieodłącznego wynosi 15%. Maksymalna tolerancja ryzyka wynosi:

3 x 15%=0,45.

Próg tolerancji ryzyka wynosi wówczas:

3 - 0,45=2,55.

Oznacza to, że aby kontrole łagodzące mieściły się w granicach tolerancji, ich możliwości muszą sumować się do 2,55 lub więcej.

Koszt ograniczenia tych ryzyk jest większy niż wpływ na biznes.

Nawet przy wdrożeniu rozwiązań nowe ryzyka szczątkowe, takie jak ryzyko nowych wycieków danych, będą nadal pojawiać się powyżej progu.

Ograniczenie tych zagrożeń wymaga dynamicznego stylu zarządzania typu "walnij kreta" - szybkiego identyfikowania nowych zagrożeń, które przekraczają próg, i spychania ich z powrotem w dół za pomocą odpowiednich reakcji zaradczych. Celem jest utrzymanie wszystkich ryzyk szczątkowych poniżej dopuszczalnego progu ryzyka tak długo, jak to możliwe.

Krok 3: Przypisz wagi dla wszystkich kontrolek łagodzących

Wszystkim kontrolom, które chronią plan naprawy, należy przypisać wagę w oparciu o ważność. Do najbardziej krytycznych kontroli należą zazwyczaj:

Strategia odzyskiwania — znana również jako plan reagowania na zdarzenia.
Ćwiczenia regeneracyjne - Poziom doświadczenia w testowaniu strategii odzyskiwania

Inne typowe kontrolki obejmują:

Szkolenia i świadomość w zakresie incydentów cybernetycznych
Analiza ryzyka przez strony trzecie
Wykrywanie wycieków danych i korygowanie ich.

Teraz przypisz ważony wynik dla każdej kontrolki ograniczania ryzyka na podstawie analizy wpływu na działalność biznesową (BIA).

Dodaj wyniki ważone dla każdej kontrolki ograniczającej ryzyko, aby określić ogólny stan kontrolki ograniczającej ryzyko

Krok 4: Oblicz swoje ryzyko rezydualne.

Aby uzupełnić formułę ryzyka rezydualnego, porównaj ogólny numer stanu kontroli ograniczającej z progiem tolerancji ryzyka.

Mieścisz się w zakresie tolerancji, jeśli liczba ograniczających stan kontroli jest równa lub wyższa niż próg tolerancji ryzyka.

Znajdujesz się poza zakresem tolerancji, jeśli liczba ograniczającego stanu kontroli jest niższa niż próg tolerancji ryzyka.

Im niższy wynik, tym więcej wysiłku trzeba włożyć, aby ulepszyć plan odzyskiwania firmy. I odwrotnie, im wyższy wynik, tym skuteczniejszy jest Twój plan naprawczy.

Często zadawane pytania dotyczące ryzyka rezydualnego

Co oznacza ryzyko szczątkowe?

Ryzyko szczątkowe to wszystkie rodzaje ryzyka, które pozostają po ich zmniejszeniu za pomocą środków kontroli bezpieczeństwa.

Jakie są przykłady ryzyka szczątkowego?

Przykłady ryzyka szczątkowego obejmują:

Ryzyko naruszeń ze strony osób trzecich
Ryzyko ataków na łańcuch dostaw
Ryzyko przejęcia domeny
Ryzyko ataku phishingowego
Odsłonięte łyżki S3

Co to jest ryzyko rezydualne w bankowości?

Przykłady ryzyka rezydualnego w bankowości obejmują:

Niemożność uregulowania długu
Ryzyko utraty pracy przez osobę ubiegającą się o pożyczkę
Ryzyko likwidacji aktywów

Jakie są czynniki, które przyczyniają się do ryzyka szczątkowego?

Ryzyko szczątkowe może być spowodowane nieskutecznymi środkami kontroli bezpieczeństwa lub samymi środkami kontroli bezpieczeństwa - są to znane jako zagrożenia wtórne.