Risikovurderingsmetode for it-sikkerhed: Kvalitativ vs kvantitativ

Formulering af en metode til vurdering af IT-sikkerhedsrisici er en vigtig del af opbygningen af et robust risikostyringsprogram for informationssikkerhed.

De to mest populære typer risikovurderingsmetoder, der anvendes af bedømmere, er:

1. Kvalitativ risikoanalyse: En scenariebaseret metode, der bruger forskellige trusselssårbarhedsscenarier til at forsøge at besvare spørgsmål af typen "hvad nu hvis". Disse vurderinger er subjektive af natur.
2. Kvantitativ risikoanalyse: Tildeler en numerisk værdi til forskellige risikovurderingskomponenter. Accessors sigter mod at kvantificere alle elementer (aktivværdi, trusselsfrekvens, sikkerhedseffektivitet, usikkerhed og sandsynlighed) for at besvare spørgsmål som "Hvor meget ville et databrud koste os?" og "Hvor lang tid er en acceptabel tid offline, før vi skal igangsætte vores hændelsesresponsplan?"

Hvad er en risikovurdering?

En risikovurdering er en proces, der har til formål at identificere cybersikkerhedsrisici, deres kilder og hvordan de kan afbødes til et acceptabelt risikoniveau.

Processen starter generelt med en række spørgsmål for at etablere en fortegnelse over informationsaktiver, procedurer, processer og personale.

Dette giver din organisation og dens adgange mulighed for at forstå, hvad dine vigtigste informationsaktiver er, og hvilke der udgør den største risiko. Risiko beregnes generelt som virkningen af en hændelse ganget med hændelsens hyppighed eller sandsynlighed.

Uanset om din organisation bruger en kvalitativ eller kvantitativ risikovurderingsproces, er der et vist niveau af beslutningstagning, der kræves. Dette kommer generelt i form af en cost/benefit-analyse for at afgøre, hvilke risici der er acceptable, og hvilke der skal afbødes.

En robust risikovurderingsproces vil fokusere på alle aspekter af informationssikkerhed, herunder fysisk og miljømæssig, administrativ og ledelsesmæssig samt teknisk kontrol.

Dette er en besværlig proces for assessorer, der kræver stærke kvalitetssikrings- og projektledelsesevner, og som bliver sværere, efterhånden som din organisation vokser. Drevet af det stigende tempo i informationssystemer, processer og personaleændringer samt introduktionen af nye cybertrusler, sårbarheder og tredjepartsleverandører.

Få en rundvisning i UpGuards risikovurderingsfunktioner >

Hvornår skal risikovurderinger foretages?

Risikovurderinger skal udføres på tværs af et informationsaktivs livscyklus, efterhånden som forretningsbehovene ændrer sig, og nye angrebsvektorer dukker op.

Ved at anvende en kontinuerlig risikovurderingstilgang kan organisationer identificere nye cybersikkerhedsrisici og kontroller, der skal indføres for at imødegå dem.

Som med enhver anden proces skal sikkerheden løbende overvåges, forbedres og behandles som en del af den overordnede produkt-/servicekvalitet.

Overvej at foretage en risikovurdering, når der findes sikkerhedshuller eller risikoeksponeringer, samt når du beslutter dig for at implementere eller droppe en bestemt kontrol eller tredjepartsleverandør.

Som med enhver informationsrisikostyringsproces er dette i vid udstrækning baseret på CIA-triaden (fortrolighed, integritet og tilgængelighed) og dine forretningsbehov.

For at strømline risikovurderingsprocessen bør organisationer have interne sikkerhedspolitikker og -standarder, der kræver sikkerhedskrav, processer og procedurer på tværs af organisationen og dens leverandører, f.eks. kun ved at bruge tredjepartsleverandører med SOC 2-sikkerhed og en sikkerhedsvurdering over 850.

Download din skabelon til risikovurdering af leverandører >

Hvorfor er en risikovurderingsproces vigtig?

Cybersikkerhed handler i høj grad om risikoreduktion. I det øjeblik du opretter forbindelse til internettet, er afhængig af ny informationsteknologi eller onboarder en ny tredjepartsleverandør, introducerer du en vis risiko.

Risikovurderinger identificerer vigtige informationsaktiver, hvad deres værdi er (kvalitativ eller kvantitativ) for organisationen samt dens kunder og partnere.

Med disse oplysninger er ledelsen bedre i stand til at forstå sin risikoprofil, og om de eksisterende sikkerhedskontroller er tilstrækkelige.

Dette bliver stadig vigtigere på grund af stigningen i outsourcing og en stigende afhængighed af leverandører til at behandle, opbevare og overføre følsomme data samt til at levere varer og tjenester til kunderne.

Kombiner dette med voksende regulering med fokus på beskyttelse og videregivelse af personligt identificerbare oplysninger (PII) og beskyttede sundhedsoplysninger (PHI), og behovet for klare risikovurderingsmetoder har aldrig været større.

Forstå, at hvert stykke teknologi, leverandør og medarbejder er en potentiel angrebsvektor, uanset om det er fra social engineering-angreb som phishing og spear phishing eller teknologibaserede angreb som udnyttelse af CVE-listede sårbarheder, man-in-the-middle-angreb, ransomware og andre typer malware.

For at minimere potentielle tab og forblive operationelle skal alle niveauer i din organisation forstå sikkerhedskrav, og en robust risikovurderingsmetode kan gøre meget for at afbøde identificerede risici.

Som et resultat af risikovurderinger bliver personalet mere opmærksomme på cybertrusler og lærer at undgå dårlig praksis, der kan være skadelig for informationssikkerheden, datasikkerheden og netværkssikkerheden, øge sikkerhedsbevidstheden og hjælpe med at planlægge hændelsesrespons.

Er en kvantitativ eller kvalitativ risikovurderingsmetode bedre?

Der er fordele og ulemper ved kvantitative og kvalitative risikovurderingsmetoder. Klassens bedste organisation anvender en hybrid tilgang, der tager højde for kvantitative og kvalitative input.

Risikostyring er fokuseret på at træffe risikojusterede beslutninger for at gøre det muligt for din organisation at fungere effektivt, samtidig med at du påtager dig så meget eller så lidt risiko, som du finder acceptabel.

Og den eneste måde at gøre det på er at forstå, hvilke risici du har, hvad du er villig til at acceptere, og hvilke du ønsker at overføre, afbøde eller undgå. Du kan f.eks. vælge at ignorere en høj risiko med ekstremt lav sandsynlighed, f.eks. at Amazon ophører med Amazon Web Services, fordi du beslutter, at det ikke er omkostningseffektivt at afbøde den.

I modsætning hertil kan en anden organisation med en lavere risikotolerance beslutte at skræve over to cloud-tjenesteudbydere for at mindske risikoen.

Uanset din risikoprofil er der altid restrisiko, da det bare ikke er omkostningseffektivt at afbøde alt.

FordeleUlemperKvalitativ

• Kvalitativ analyse er en enklere vurderingsmetode, der er ingen komplekse beregninger
• Det er ikke altid nødvendigt eller muligt at bestemme den monetære værdi af aktiver for at værdiansætte immaterielle aktiver som omdømme og kundegoodwill
• Det er ikke nødvendigt at kvantificere trusselsfrekvensen
• Lettere at inddrage ikke-sikkerhedspersonale og ikke-teknisk personale

• Subjektiv af natur
• Resultaterne og kvaliteten af vurderingen afhænger af ekspertise og kvaliteten af risikostyringsteamet
• Begrænset indsats for at forstå pengeværdien af aktiver
• Ingen cost/benefit-analyse for risikoreduktionsteknikker, f.eks. omkostninger ved implementering af sikkerhedskontroller og sikkerhedspolitikker

kvantitativ

• Kvantitativ analyse er baseret på objektive processer og metrikker, der fjerner subjektivitet
• Aktivernes værdi og risikoreduktionsmuligheder er velkendte
• Cost/benefit-vurderinger er stærkt beskæftiget, hvilket hjælper den øverste ledelse med at afbøde højrisikoaktiviteter først
• Resultaterne kan udtrykkes i ledelsesspecifikt sprog (f.eks. pengeværdi og sandsynlighed)

• Kvantitative tilgange kan være komplekse og tidskrævende
• Fungerer historisk kun godt med et anerkendt automatiseret sikkerhedsstyringsværktøj og tilhørende vidensbase
• Kræver forarbejde for at indsamle og kvantificere forskellige risikooplysninger
• Generelt ikke fokuseret på personaleniveau, kan træning i sikkerhedsbevidsthed blive overset

Hvad er hindringerne for effektiv risikostyring?

En almindelig klage fra sikkerhedsledelsesteams er, at de ikke har tid til at foretage dybdegående risikovurderinger.

Selv for dem, der gør, kæmper de ofte med, hvor de skal starte. Dette skyldes, at der ikke er én industristandard, som alle accepterer som bedste praksis.

Desuden er de fleste retningslinjer som ISO 27001 og NIST Security Self Assessment Guide for Information Technology Systems, SP 800-26 generelle af natur og giver ikke nok detaljer om, hvordan man udfører en korrekt risikovurdering.

Dette har ført til, at mange organisationer outsourcer risikostyringsprocessen til eksterne leverandører, der har ekspertise i at udføre ordentlige risikovurderinger. De kan også hjælpe din organisation med at skabe effektive politikker som f.eks. en politik for leverandørstyring og en ramme for risikostyring fra tredjepart.

Men efterhånden som organisationer vokser i størrelse og kompleksitet, og antallet af tredjepartsleverandører vokser, bliver det dyrt at outsource. Du ønsker heller ikke, at din organisation skal blive afhængig af en ekstern leverandør til at træffe vigtige forretnings- og risikoreduktionsbeslutninger.

Det er derfor, at flere og flere organisationer insourcerer deres risikostyrings- og leverandørrisikostyringsprogrammer.

Værktøjer til cybersikkerhedsvurderinger kan hjælpe med at skalere dit risikostyringsteam ved automatisk at overvåge og vurdere første-, tredje- og fjerdeparts sikkerhedsstilling. Dette giver dit risikostyringsteam mulighed for at fokusere på de mest højrisiko- og effektrettelser først og øger eksponentielt antallet af tredjepartsleverandører, som en person kan administrere.

Sårbarhedsvurderinger giver små teams mulighed for at opskalere og forstå tredjepartsrisici og fjerdepartsrisici i realtid.

Hvis din organisation mangler ekspertise inden for risikostyring eller blot ønsker at skalere deres risikostyringsteam, kan du overveje at investere i et værktøj, der kan automatisere leverandørrisikostyring, levere skabeloner til spørgeskemaer til risikovurdering af leverandører og overvåge for førstepartsrisici og lækkede legitimationsoplysninger.