Hvad er restrisiko? Hvorfor det betyder noget i 2023

Restrisiko er den trussel eller sårbarhed, der er tilbage, efter at alle risikobehandlings- og afhjælpningsindsatser er blevet implementeret.

Selv med et klogt sårbarhedssanitetsprogram vil der altid være rester af risici, der er tilbage, det er resterende risici.

Fordi de altid vil være til stede, indebærer processen med at håndtere restrisiko at sætte en acceptabel tærskel og derefter implementere programmer og løsninger for at afbøde alle risici under denne tærskel.

Læs videre for at lære, hvordan du identificerer og kontrollerer de resterende risici på tværs af dine digitale overflader.

Hvorfor er restrisiko så vigtig i 2023?

Restrisiko er vigtig, fordi afbødning heraf er et obligatorisk krav i ISO 27001-reglerne. Dette er en populær informationssikkerhedsstandard inden for ISO/IEC 2700-familien af bedste sikkerhedspraksis, der hjælper organisationer med at kvantificere sikkerheden af aktiver før og efter deling af dem med leverandører.

For at være i overensstemmelse med ISO 27001 skal organisationer gennemføre et resterende sikkerhedstjek ud over iboende sikkerhedsprocesser, før de deler data med leverandører.

Men i 2021 har restrisikoen nået en endnu højere grad af betydning, siden præsident Biden underskrev Cybersecurity Executive Order. Nu forventes organisationer at reducere resterende risici betydeligt i hele deres forsyningskæde for at begrænse virkningen af tredjepartsbrud fra nationalstatslige trusselsaktører.

For at opfylde de strenge forventninger til overholdelse af ISO/IEC 27001 og Bidens bekendtgørelse skal organisationer kombinere løsninger til overvågning af angrebsoverfladen med vurdering af restrisiko.

Hvad er forskellen mellem iboende risiko og restrisiko?

Iboende risiko er mængden af risiko inden for et IT-økosystem i mangel af kontroller, og restrisiko er mængden af risiko, der eksisterer, efter at cybersikkerhedskontroller er blevet implementeret.

Iboende risikovurderinger hjælper informationssikkerhedsteams og CISOS med at etablere en kravramme for design af nødvendige sikkerhedskontroller. Ud over denne evaluering på højt niveau har iboende risikovurderinger ringe værdi. Den reelle værdi kommer fra resterende risikovurderinger, der hjælper med at identificere og afhjælpe eksponeringer, før de udnyttes af cyberkriminelle.

Iboende vs. resterende risikovurderinger

Den primære forskel mellem iboende risikovurderinger og restrisikovurderinger er, at sidstnævnte tager hensyn til indflydelsen fra kontroller og andre afbødende løsninger. Som forventet er sandsynligheden for, at der opstår en hændelse i en

Følgende definitioner er vigtige for hvert vurderingsprogram.

Iboende sandsynlighed - Sandsynligheden for, at en hændelse opstår i et miljø uden sikkerhedskontrol på plads.

Iboende indvirkning - Virkningen af en hændelse på et miljø uden sikkerhedskontrol på plads.

Residualsandsynlighed - Sandsynligheden for, at der opstår en hændelse i et miljø med sikkerhedskontroller på plads.

Residual Impact - Virkningen af en hændelse på et miljø med sikkerhedskontrol på plads.

Når der implementeres effektive sikkerhedskontroller, er der en åbenlys uoverensstemmelse mellem iboende og resterende risikovurderinger. Disse resultater er ikke nok til at verificere overholdelse og bør altid valideres med en uafhængig intern revision.

Jo længere forløbet er mellem iboende risici og resterende risici, jo større er afhængigheden og dermed effektiviteten af etablerede interne kontroller.

Få mere at vide om vurderinger af restrisici

Sådan beregnes restrisiko

Før en risikostyringsplan kan designes, skal du kvantificere alle de resterende risici, der er unikke for dit digitale landskab. Dette vil hjælpe med at definere det specifikke krav til din forvaltningsplan og også give dig mulighed for at måle succesen af dine afbødningsindsatser.

Kvantificering af resterende risici inden for et økosystem er en meget kompleks beregning. På et højt niveau er formlen som følger:

Restrisiko=Iboende risici - virkningen af risikostyring.

Restrisici kan også vurderes i forhold til risikotolerance (eller risikovillighed) for at evaluere effektiviteten af genopretningsplaner. Dette vil gennemtvinge en revision af alle implementerede sikkerhedskontroller og identificere eventuelle mangler, der tillader overdrevne iboende risici. Med sådanne uvurderlige analyser kan sikkerhedsteams gennemføre målrettede afhjælpningskampagner, der understøtter en effektiv fordeling af interne ressourcer.

Få mere at vide om, hvordan du beregner risikovilligheden for dit tredjeparts risikostyringsprogram.

Da den moderne angrebsflade bliver ved med at udvide sig og skabe yderligere risikovariabler, er denne beregning bedre overladt til intelligente løsninger for at sikre nøjagtighed. For at opnå en foreløbig evaluering af din restrisikoprofil kan følgende beregningsproces følges.

Trin 1: Beregn din iboende risikofaktor.

Beregne RTO'er for kritiske forretningsenheder

Den iboende risikofaktor er en funktion af Recovery Time Objectives (RTO) for kritiske processer - dem, der har de laveste RTO'er. Dette kræver, at RTO'erne for hver forretningsenhed beregnes først.

Få mere at vide om, hvordan du beregner mål for restitutionstid

Beregn den potentielle effekt af hver RTO-kategori

Når RTO'en for hver forretningsenhed er beregnet, skal denne liste sorteres efter niveau for potentiel forretningspåvirkning. Lavere RTO'er har et højere niveau af kritikalitet og vil derfor have den største negative indvirkning på en organisation,

Hver RTO skal tildeles en score for forretningspåvirkning som følger:

1=Ubetydelig påvirkning
2=Minimal påvirkning
3=Moderat påvirkning
4=Kritisk påvirkning
5=Katastrofale konsekvenser

for eksempel:

Hvis forretningsenhed A består af proces 1, 2 og 3, der har RTO'er på 12 timer, 24 timer og 36 timer, bør en genopretningsplan kun evalueres for proces 1. Dette skyldes, at proces 1 har den laveste RTO, hvilket gør den til den mest kritiske forretningsproces i sin afdelingskategori.

Da forretningsenhed A har en RTO på 12 timer eller mindre, vil den blive klassificeret som en meget kritisk proces og bør derfor tildeles en effektscore på 4 eller 5.

Tildele en trusselsniveauscore til afdelingen

Cybertrusselslandskabet for hver forretningsenhed skal derefter kortlægges. For at sikre nøjagtig registrering af sårbarheder bør dette gøres med en løsning til overvågning af angrebsfladen.

En trusselsniveauscore skal derefter tildeles hver enhed baseret på sårbarhedsantal og risikoen for udnyttelse.

Scoringssystemet for trusselsniveau er som følger:

1=Lav
2=Minimal
3=Moderat
4=Høj
5=Kritisk

Estimere den iboende risikofaktor for forretningsenheden

Et skøn over iboende risiko kan beregnes med følgende formel:

Iboende risiko=[ (Business Impact Score) x (Threat Landscape score) ]/5

Den resulterende iboende risikoscore vil være mellem 2,0 og 5,0 og kan derefter klassificeres som følger:

Mellem 2 og 3=Lav iboende risiko
Mellem 3 og 3,9=Moderat iboende risiko
Mellem 4 og 5 - Høj iboende risiko

Trin 2: Identificer acceptable risikoniveauer

Niveauerne af acceptable risici afhænger af de lovmæssige krav til overholdelse af lovgivningen i hver organisation. På et højt niveau bør alle acceptable risici have minimal indvirkning på omsætning, forretningsmål, servicelevering og angrebsoverfladestyring.

Sådan defineres acceptable risikoniveauer

Der skal defineres acceptable risici for hvert enkelt aktiv. Dette kan blive en overvældende forudsætning med en omfattende aktivopgørelse. Følgende acceptable risikoanalyseramme vil hjælpe med at fordele indsatsen og fremskynde processen.

Dette kan opnås med følgende acceptable risikoanalyseramme:

Identificer alle aktiver med kortlægning af digitalt fodaftryk.
Tildel hvert aktiv eller gruppe af aktiver til en ejer.
Identificer hvert aktivs nuværende og potentielle sårbarheder.
Kvantér sandsynligheden for, at disse sårbarheder udnyttes
Kvantificer hvert aktivs risiko ved hjælp af følgende formel:
Risiko=Sandsynlighed x Indvirkning
Hvor:
- Sandsynlighed er en funktion af sårbarheder, eksponering og trusler.
- Impact er en funktion af forretningskritisk karakter.

De acceptable risikoniveauer bør defineres som en procentdel, hvor:

Hvis den iboende risikofaktor er mindre end 3=20 % acceptabel risiko (højrisikotolerance).
Hvis den iboende risikofaktor er mellem 3 og 3,9=15 % acceptabel risiko (tolerance over for moderat risiko).
En iboende risikofaktor mellem 4 og 5=10 % (lav risikotolerance).

Jo lavere procentdelen er, jo strengere er kravene til cybersikkerhedsrisikokontrol. Og jo bedre risikostyringen er, jo større er chancerne for genopretning efter et cyberangreb.

Den maksimale risikotolerance kan beregnes med følgende formel:

Maksimal risikotolerance=Iboende risikotoleranceprocent x Iboende risikofaktor

Og den endelige risikotolerancetærskel beregnes som følger:

Risikotolerancetærskel=Iboende risikofaktor - maksimal risikotolerance.

For eksempel:

Med en iboende risikofaktor på 3 er den tilsvarende iboende risikotolerance 15 %. Den maksimale risikotolerance er:

3 x 15 %=0,45.

Risikotolerancetærsklen bliver derefter:

3 - 0.45 = 2.55.

Det betyder, at for at afbødende kontroller skal være inden for tolerancen, skal deres kapacitet lægge op til 2,55 eller højere.

Omkostningerne ved at afbøde disse risici er større end indvirkningen på virksomheden.

Selv med løsninger på plads vil nye resterende risici blive ved med at springe over tærsklen, såsom risikoen for nye datalækager.

Afbødning af disse risici kræver en dynamisk whack-a-mole-ledelsesstil - hurtigt at identificere nye risici, overskride tærsklen og skubbe dem ned igen med passende afhjælpningsreaktioner. Målet er at holde alle resterende risici under den acceptable risikotærskel så længe som muligt.

Trin 3: Tildel vægte for alle afhjælpende kontroller

Alle kontroller, der beskytter en genopretningsplan, bør tildeles en vægt baseret på vigtighed. De mest kritiske kontroller er normalt:

Genopretningsstrategien - Også kendt som Incident Response Plan.
Restitutionsøvelser - Erfaringsniveauet med at teste restitutionsstrategien

Andre almindelige kontroller omfatter:

Træning og bevidsthed om cyberhændelser
Risikoanalyse af tredjepart
Detektion og afhjælpning af datalækage.

Tildel nu en vægtet score for hvert afhjælpningskontrolelement baseret på din BIA (Business Impact Analysis).

Tilføj de vægtede scorer for hvert afhjælpende kontrolelement for at bestemme din overordnede afhjælpende kontroltilstand

Trin 4: Beregn din restrisiko.

Hvis du vil fuldføre formlen for restrisiko, skal du sammenligne dit samlede tal for afhjælpende kontroltilstand med din risikotolerancegrænse.

Du er inden for toleranceintervallet, hvis nummeret på din afhjælpende kontroltilstand er lig med eller højere end risikotolerancegrænsen.

Du er uden for dit toleranceinterval, hvis dit afhjælpende kontroltilstandsnummer er lavere end risikotolerancegrænsen.

Jo lavere resultatet er, jo mere indsats kræves der for at forbedre din virksomheds genopretningsplan. Omvendt, jo højere resultatet er, jo mere effektiv er din genopretningsplan.

Ofte stillede spørgsmål om restrisiko

Hvad betyder restrisiko?

Resterende risici er alle de risici, der er tilbage, efter at de er blevet reduceret med sikkerhedskontroller.

Hvad er nogle eksempler på resterende risiko?

Eksempler på restrisici omfatter:

Risikoen for brud på tredjeparts
Risikoen for angreb i forsyningskæden
Risikoen for domænekapring
Risikoen for phishing-angreb
Udsatte S3-skovle

Hvad er restrisiko i bankvirksomhed?

Eksempler på restrisiko i banksektoren omfatter:

Den manglende evne til at afvikle en gæld
Risikoen for, at en låneansøger mister sit job
Risikoen for likvidation af aktiver

Hvad er de faktorer, der bidrager til restrisiko?

Resterende risici kan skyldes ineffektive sikkerhedskontroller eller selve sikkerhedskontrollen - disse er kendt som sekundære risici.