Sådan udfører du en risikovurdering af cybersikkerhed (2023-vejledning)

Risikovurderinger er ikke noget nyt, og uanset om du kan lide det eller ej, hvis du arbejder med informationssikkerhed, er du i risikostyringsbranchen. Efterhånden som organisationer er mere afhængige af informationsteknologi og informationssystemer for at drive forretning, udvides det digitale risikotrusselslandskab og udsætter økosystemer for nye kritiske sårbarheder.

National Institute of Standards and Technology (NIST) har udviklet en cybersikkerhedsramme for at skabe et grundlag for risikovurderingspraksis.

Få en rundvisning i UpGuards risikovurderingsfunktioner >

Hvad er cyberrisiko?

Cyberrisiko er sandsynligheden for at lide negative forstyrrelser af følsomme data, økonomi eller forretningsdrift online. Cyberrisici er almindeligvis forbundet med begivenheder, der kan resultere i et databrud.

Cyberrisici omtales nogle gange som sikkerhedstrusler. Eksempler på cyberrisici omfatter:

• Løsning
• Datalækager
• Phishing
• Malware
• Insider-trusler
• Cyberangreb

Der er praktiske strategier, som du kan tage for at reducere din cybersikkerhedsrisiko.

Selv om de ofte bruges i flæng, er cyberrisici og sårbarheder ikke det samme. En sårbarhed er en svaghed, der resulterer i uautoriseret netværksadgang, når den udnyttes, og en cyberrisiko er sandsynligheden for, at en sårbarhed udnyttes.

Cyberrisici er kategoriseret fra nul, lav, medium til høj risiko. De tre faktorer, der påvirker sårbarhedsvurderinger, er:

• Hvad er truslen?
• Hvor sårbart er systemet?
• Hvad er den omdømmemæssige eller økonomiske skade, hvis den krænkes eller gøres utilgængelig?

Cyberrisiko=Trussel x Sårbarhed x Informationsværdi

Download dette indlæg som PDF >

Forestil dig, at du skulle vurdere risikoen forbundet med et cyberangreb, der kompromitterer et bestemt operativsystem. Dette operativsystem har en kendt bagdør i version 1.7 af sin software, der let kan udnyttes via fysiske midler og gemmer information af høj værdi på den. Hvis dit kontor ikke har nogen fysisk sikkerhed, vil din risiko være høj.

Men hvis du har gode it-medarbejdere, der kan identificere sårbarheder, og de opdaterer operativsystemet til version 1.8, er din sårbarhed lav, selvom informationsværdien stadig er høj, fordi bagdøren blev rettet i version 1.8.

Et par ting, du skal huske på, er, at der er meget få ting med nul risiko for en forretningsproces eller et informationssystem, og risiko indebærer usikkerhed. Hvis der er garanti for noget, er det ikke en risiko. Det er en del af den generelle forretningsdrift.

Processen med at kvantificere cyberrisici er en funktion af potentielle risici, risikotolerance, dine specifikke cybersikkerhedstrusler og andre risikobegrænsende faktorer. For at lære mere om denne proces, se dette indlæg.

Hvad er en cyberrisikovurdering?

NIST definerer cyberrisikovurderinger som risikovurderinger, der bruges til at identificere, estimere og prioritere risici for organisatoriske operationer, organisatoriske aktiver, enkeltpersoner, andre organisationer og nationen, som følge af drift og brug af informationssystemer.

Det primære formål med en cyberrisikovurdering er at holde interessenterne informeret og støtte passende reaktioner på identificerede risici. De giver også et resumé for at hjælpe ledere og direktører med at træffe informerede sikkerhedsbeslutninger.

Få mere at vide om, hvordan UpGuard strømliner cyberrisikovurderinger >

Risikovurderingsprocessen for informationssikkerhed beskæftiger sig med at besvare følgende spørgsmål:

• Hvad er vores organisations vigtigste informationsteknologiske aktiver?
• Hvilken type databrud vil have en betydelig indvirkning på vores forretning, uanset om det er fra malware, cyberangreb eller menneskelige fejl? Tænk på kundeoplysninger.
• Kan alle trusselskilder identificeres?
• Hvad er niveauet for den potentielle indvirkning af hver identificeret trussel?
• Hvad er de interne og eksterne sårbarheder?
• Hvad er konsekvensen, hvis disse sårbarheder udnyttes?
• Hvad er sandsynligheden for udnyttelse?
• Hvilke cyberangreb, cybertrusler eller sikkerhedshændelser kan påvirke virksomhedens evne til at fungere?
• Hvad er det risikoniveau, min organisation er tryg ved at tage?

Download din skabelon til risikovurdering af leverandører >

Hvis du kan besvare disse spørgsmål, kan du beslutte, hvad der er vigtigt at beskytte. Det betyder, at du kan udvikle it-sikkerhedskontroller og datasikkerhedsstrategier til risikoafhjælpning. Før du kan gøre det, skal du dog besvare følgende spørgsmål:

• Hvad er den risiko, jeg reducerer?
• Er dette den højest prioriterede sikkerhedsrisiko?
• Reducerer jeg risikoen mest omkostningseffektivt?

Lær de vigtigste funktioner i effektiv software til risikoafhjælpning >

Dette vil hjælpe dig med at forstå informationsværdien af de data, du forsøger at beskytte, og bedre forstå din informationsrisikostyringsproces inden for rammerne af beskyttelse af forretningsbehov.

Der findes flere risikostyringsrammer. Dit valg afhænger af din branche, din risikovillighed og eventuelle gældende regler - som GDPR. Hvis du er usikker på, hvilken sikkerhedsvurderingsramme du skal vælge, er NIST Cybersecurity Framework populær til de fleste generelle krav til cybersikkerhedsprogrammer.

Få mere at vide om NIST CSF->

Hvorfor udføre en cyberrisikovurdering?

Der er flere grunde til, at du ønsker at udføre en cyberrisikovurdering, og et par grunde til, at du har brug for det. Lad os gennemgå dem:

• Reduktion af langsigtede omkostninger - Identifikation af potentielle trusler og sårbarheder og derefter afbødning af dem kan forhindre eller reducere sikkerhedshændelser, hvilket sparer din organisation penge og/eller skade på omdømme på lang sigt.
• Giver en skabelon til vurdering af cybersikkerhedsrisici til fremtidige vurderinger - Cyberrisikovurderinger er ikke en af processerne; du skal opdatere dem løbende; at gøre en god første tur vil sikre gentagelige processer, selv med personaleudskiftning.
• Bedre organisatorisk viden - At kende organisatoriske sårbarheder giver dig en klar idé om, hvor din organisation skal forbedres.
• Undgå databrud - Databrud kan have en enorm økonomisk og omdømmemæssig indvirkning på enhver organisation.
• Undgå lovgivningsmæssige problemer - Kundedata, der er stjålet, fordi du ikke har overholdt HIPAA, PCI DSS eller APRA CPS 234.
• Undgå nedetid for applikationer - Interne eller kundevendte systemer skal være tilgængelige og fungerende, så personale og kunder kan udføre deres arbejde.
• Datatab - Tyveri af forretningshemmeligheder, kode eller andre kritiske informationsaktiver kan betyde, at du mister forretning til konkurrenter.

Derudover er cyberrisikovurderinger en integreret del af informationsrisikostyringen og enhver organisations bredere risikostyringsstrategi.

Hvem skal udføre en cyberrisikovurdering?

Ideelt set bør organisationer have dedikerede interne teams, der behandler risikovurderinger. Det betyder, at du skal have it-medarbejdere med en forståelse af, hvordan din digitale infrastruktur og netværksinfrastruktur fungerer, ledere, der forstår, hvordan information flyder, og enhver proprietær organisatorisk viden, der kan være nyttig under vurderingen.

Organisatorisk gennemsigtighed er nøglen til en grundig cyberrisikovurdering.

Små virksomheder har måske ikke de rigtige folk internt til at udføre et grundigt stykke arbejde og skal outsource vurderingen til en tredjepart. Organisationer henvender sig også til cybersikkerhedssoftware for at overvåge deres cybersikkerhedsscore, forhindre brud, sende sikkerhedsspørgeskemaer og reducere tredjepartsrisikoen.

Få mere at vide om, hvordan UpGuard beregner sikkerhedsvurderinger >

Sådan udfører du en cyberrisikovurdering

Vi starter med en oversigt på højt niveau og dykker ned i hvert trin i de følgende afsnit. Før du begynder at vurdere og afbøde risici, skal du forstå dine data, din infrastruktur og værdien af de data, du forsøger at beskytte.

Det kan være en god ide at starte med at overvåge dine data for at besvare følgende spørgsmål:

• Hvilke data indsamler vi?
• Hvordan og hvor opbevarer vi disse data?
• Hvordan beskytter og dokumenterer vi dataene?
• Hvor længe opbevarer vi data?
• Hvem har adgang internt og eksternt til dataene?
• Er det sted, hvor vi opbevarer dataene, ordentligt sikret? Mange brud kommer fra dårligt konfigurerede S3-spande; Tjek dine S3-tilladelser, ellers vil en anden gøre det.

Derefter skal du definere parametrene for din vurdering. Her er et par gode grundspørgsmål til at komme i gang:

• Hvad er formålet med vurderingen?
• Hvad er omfanget af vurderingen?
• Er der nogen prioriteter eller begrænsninger, jeg bør kende til, som kan påvirke vurderingen?
• Hvem skal jeg have adgang til i organisationen for at få alle de oplysninger, jeg har brug for?
• Hvilken risikomodel bruger organisationen til risikoanalyse?

Mange af disse spørgsmål er selvforklarende. Det, du vil vide, er, hvad du vil analysere, hvem der har ekspertisen til at vurdere dem korrekt, og om der er nogen lovgivningsmæssige krav eller budgetbegrænsninger, du skal være opmærksom på.

Få mere at vide om de bedste cyberregler inden for finans >

Lad os nu se på, hvilke skridt der skal tages for at gennemføre en grundig cyberrisikovurdering, der giver dig en risikovurderingsskabelon.

Trin 1: Bestem informationsværdi

De fleste organisationer har ikke et ubegrænset budget til informationsrisikostyring, så det er bedst at begrænse dit omfang til de mest forretningskritiske aktiver.

For at spare tid og penge senere skal du bruge lidt tid på at definere en standard til bestemmelse af vigtigheden af et aktiv. De fleste organisationer inkluderer aktivværdi, juridisk status og forretningsmæssig vigtighed. Når standarden formelt er indarbejdet i organisationens politik for informationsrisikostyring, skal du bruge den til at klassificere hvert aktiv som kritisk, større eller mindre.

Der er mange spørgsmål, du kan stille for at bestemme værdien:

• Er der økonomiske eller juridiske sanktioner forbundet med at afsløre eller miste disse oplysninger?
• Hvor værdifuld er denne information for en konkurrent?
• Kunne vi genskabe disse oplysninger fra bunden? Hvor lang tid vil det tage, og hvad vil de dermed forbundne omkostninger være?
• Vil det have en indvirkning på omsætningen eller rentabiliteten, hvis du mister disse oplysninger?
• Ville tab af disse data påvirke den daglige forretningsdrift? Kunne vores personale arbejde uden?
• Hvad ville være den omdømmemæssige skade ved disse data, der lækkes?

Trin 2: Identificer og prioriter aktiver

Det første skridt er at identificere aktiver for at evaluere og bestemme omfanget af vurderingen. Dette giver dig mulighed for at prioritere, hvilke aktiver der skal vurderes. Du vil måske kun vurdere nogle bygninger, medarbejdere, elektroniske data, forretningshemmeligheder, køretøjer og kontorudstyr. Husk, at ikke alle aktiver har samme værdi.

Du skal arbejde sammen med forretningsbrugere og ledelsen for at oprette en liste over alle værdifulde aktiver. For hvert aktiv indsamles følgende oplysninger, hvor det er relevant:

• Programmel
• Hardware
• Data
• Grænseflade
• Slutbrugere
• Støt personlig
• Formål
• Kritikalitet
• Funktionelle krav
• Politikker for it-sikkerhed
• IT-sikkerhedsarkitektur
• Netværkstopologi
• Beskyttelse af lagring af oplysninger
• Informationsflow
• Teknisk sikkerhedskontrol
• Fysisk sikkerhedskontrol
• Miljømæssig sikkerhed

Prioritering af aktiver er forenklet med en risikomatrix, der angiver kritiske risici, der med størst sandsynlighed vil påvirke din sikkerhedsstilling negativt. En risikomatrix kan også opsummere din risikoeksponering på tredjepartsleverandørniveau.

Her er et eksempel på en risikomatrix, der repræsenterer distributionen af kritiske tredjepartsleverandører, der kræver større opmærksomhed på cybersikkerhed.

Trin 3: Identificer cybertrusler

En cybertrussel er enhver sårbarhed, der kan udnyttes til at bryde sikkerheden til at forårsage skade eller stjæle data fra din organisation. Mens hackere, malware og andre it-sikkerhedsrisici springer i tankerne, er der mange andre trusler:

• Naturkatastrofer: Oversvømmelser, orkaner, jordskælv, lyn og brand kan ødelægge lige så meget som enhver cyberangriber. Du kan ikke kun miste dine data, men også dine servere. Når du vælger mellem lokale og cloud-baserede servere, skal du overveje de potentielle virkninger af naturkatastrofer.
• Systemfejl: Kører dine mest kritiske systemer på udstyr af høj kvalitet? Har de god støtte?
• Menneskelige fejl: Er dine S3-spande med følsomme oplysninger korrekt konfigureret? Har din organisation ordentlige uddannelsespolitikker, der dækker almindelige cyberkriminelle taktikker, såsom malware, phishing og social engineering?
• Fjendtlige trusler: tredjepartsleverandører, insidere, betroede insidere, privilegerede insidere, etablerede hackerkollektiver, ad hoc-grupper, virksomhedsspionage, leverandører, nationalstater

Nogle almindelige trusler, der påvirker enhver organisation, omfatter:

• Uautoriseret adgang: både fra angribere, malware, medarbejderfejl
• Misbrug af oplysninger af autoriserede brugere: typisk en insidertrussel, hvor data ændres, slettes eller bruges uden godkendelse
• Datalækager: Personligt identificerbare oplysninger (PII) og andre følsomme data fra angribere eller via dårlig konfiguration af cloud-tjenester
• Tab af data: Organisationen mister eller ved et uheld slettede data som en del af dårlig sikkerhedskopiering eller replikering
• Tjenesteafbrydelse: tab af omsætning eller skade på omdømme på grund af nedetid

Når du har identificeret din organisations trusler, skal du vurdere deres indvirkning. For at sikre, at dine sikkerhedsteams reagerer hurtigt på cybertrusler, skal du sikre dig, at du har en veldesignet og regelmæssigt testet hændelsesresponsplan.

Få mere at vide om, hvordan du opretter en plan for hændelsesrespons >

Trin 4: Identificer sårbarheder

Nu er det tid til at bevæge sig fra det, der "kunne" ske, til det, der har en chance for at ske. En sårbarhed er en svaghed, som en trussel kan udnytte til at bryde sikkerheden, skade din organisation eller stjæle følsomme data. Sårbarheder findes gennem sårbarhedsanalyse, revisionsrapporter, National Institute for Standards and Technology (NIST) sårbarhedsdatabase, leverandørdata, hændelsesresponsteams og softwaresikkerhedsanalyse.

Du kan reducere organisatoriske softwarebaserede sårbarheder med korrekt patch management via automatiske tvungne opdateringer. Men glem ikke fysiske sårbarheder, chancen for, at nogen får adgang til en organisations computersystem, reduceres ved at have adgang til nøglekort.

Identifikation af sårbarheder i dit økosystem er betydeligt forenklet med en løsning til overvågning af angrebsoverfladen. Administration af angrebsoverflader er en effektiv strategi til at minimere antallet af angrebsvektorer i dit digitale fodaftryk for at reducere din risiko for at blive udsat for databrud

Du kan få en introduktion til administration af angrebsoverfladen i denne video.

Få en gratis prøveversion af UpGuard >

Trin 5: Analysér kontrolelementer, og implementer nye kontrolelementer

Analysér kontrolelementer, der er på plads for at minimere eller eliminere sandsynligheden for en trussel eller sårbarhed. Kontroller kan implementeres ved hjælp af tekniske midler, såsom hardware eller software, kryptering, mekanismer til registrering af indtrængen, to-faktor-autentificering, automatiske opdateringer, kontinuerlig detektion af datalækage eller gennem ikke-tekniske midler som sikkerhedspolitikker og fysiske mekanismer som låse eller nøglekortadgang.

Kontrol bør klassificeres som forebyggende eller detektiv kontrol. Forebyggende kontroller forsøger at stoppe angreb gennem kryptering, firewalls, antivirus eller kontinuerlig sikkerhedsovervågning; Detektivkontroller forsøger at opdage, hvornår et angreb har fundet sted, f.eks. kontinuerlig registrering af dataeksponering.

Få mere at vide om håndtering af eksponering for cybertrusler >

Trin 6: Beregn sandsynligheden for og virkningen af forskellige scenarier pr. år

Nu kender du informationsværdien, truslerne, sårbarhederne og kontrollerne; Det næste skridt er at identificere, hvor sandsynligt det er, at disse cyberrisici opstår, og deres indvirkning, hvis de sker.

Skift din tankegang fra "hvis jeg bliver påvirket" til "hvad er mine chancer for succes, når jeg bliver påvirket."

Forestil dig, at du har en database, der gemmer alle din virksomheds mest følsomme oplysninger, og disse oplysninger er vurderet til 100 millioner dollars baseret på dine estimater. Du anslår, at i tilfælde af et brud vil mindst halvdelen af dine data blive eksponeret, før de kan inddæmmes, hvilket resulterer i et anslået tab på 50 millioner dollars.

Men du forventer, at det er usandsynligt, at dette vil ske, lad os sige en ud af halvtreds år, dette vil svare til et anslået tab på 50 millioner dollars hvert 50. år eller, i årlige termer, 1 million dollars årligt. I sidstnævnte scenarie ville det give mening at planlægge et årligt budget på 1 million dollars til et program til forebyggelse af databrud.

Lær, hvordan du forhindrer databrud med denne gratis guide >

Trin 7: Prioriter risici baseret på omkostningerne ved forebyggelse vs. informationsværdi

Brug risikoniveau som grundlag og fastlæg handlinger for den øverste ledelse eller andre ansvarlige personer for at mindske risikoen. Her er nogle generelle retningslinjer:

• Højkorrigerende foranstaltninger, der skal udvikles hurtigst muligt
• Medium - korrekte foranstaltninger udviklet inden for en rimelig periode.
• Lav - beslut dig for, om du vil acceptere risikoen eller mindske risikoen

Husk, at du nu har bestemt aktivets værdi, og hvor meget du kan bruge for at beskytte det. Det næste skridt er nemt: Hvis det koster mere at beskytte aktivet, end det er værd, giver det måske ikke mening at bruge forebyggende kontrol til at beskytte det. Når det er sagt, skal du huske, at der kan være en indvirkning på omdømmet, ikke kun en økonomisk indvirkning, så det er vigtigt også at tage højde for det.

Overvej også følgende:

• Organisatoriske politikker
• Skade på omdømme
• Gennemførlighed
• Forordninger
• Kontrollens effektivitet
• Sikkerhed
• Pålidelighed
• Organisatorisk holdning til risiko
• Tolerance over for usikkerhed om risikofaktorer
• Den organisatoriske vægtning af risikofaktorer

Trin 8: Dokumentér resultater fra risikovurderingsrapporter

Det sidste trin er at udvikle en risikovurderingsrapport for at støtte ledelsen i at træffe beslutninger om budgetter, politikker og procedurer. Rapporten skal beskrive risikoen, sårbarhederne og værdien af hver trussel sammen med virkningen og sandsynligheden for forekomst og kontrolanbefalinger.

Når du arbejder dig gennem denne proces, vil du forstå, hvilken infrastruktur din virksomhed driver, hvad dine mest værdifulde data er, og hvordan du bedre kan drive og sikre din virksomhed. Du kan derefter oprette en risikovurderingspolitik, der definerer, hvad din organisation skal gøre med jævne mellemrum for at overvåge dens sikkerhedstilstand, hvordan risici håndteres og afbødes, og hvordan du vil udføre efterfølgende risikovurderingsprocesser.

Uanset om du er en lille virksomhed eller en multinational virksomhed, er informationsrisikostyring kernen i cybersikkerhed. Disse processer hjælper med at etablere regler og retningslinjer, der besvarer, hvilke trusler og sårbarheder der kan forårsage økonomisk skade og omdømmemæssig skade på din virksomhed, og hvordan de afbødes.

Ideelt set bør din cybersikkerhedsstilling også forbedres, efterhånden som dine sikkerhedsimplementeringer forbedres, og du adresserer de risici, der opdages i vurderingssvar. Risikovurderinger af cybersikkerhed hjælper organisationer med at forstå, kontrollere og afbøde alle former for cyberrisiko. Det er en kritisk komponent i risikostyringsstrategien og databeskyttelsesindsatsen.

Hvis du vil vide, hvordan UpGuard kan hjælpe dig med at strømline dine arbejdsgange til risikovurdering af cybersikkerhed, kan du se denne video.