Eiendeler, trusler og valg av kontroller i forhold

Sikkerhetsinnsatsen er begrenset: tid, penger og hvor mye friksjon du og kollegene dine vil tolerere før du gir opp en beskyttelse. NIST Special Publication 800-30, den amerikanske regjeringens risikovurderingsguide, eksisterer for å få den innsatsen til å lande der det betyr noe. Den definerer risikovurdering som «prosessen med å identifisere, estimere og prioritere risikoer», og kjerneideen skaleres lett ned: en tomanns-NGO kan gå gjennom de samme fire spørsmålene som et stort byrå gjør, bare raskere og med mindre papirarbeid.

De fire begrepene som får risikovurdering til å fungere

Et godt eksempel: giverlisten

Ta en liten NGOs donorregneark, oppbevart i en delt skymappe. Eiendelen er givernes navn, e-post og gavebeløp. En plausibel trussel er en phishing-e-post til den som har redigeringstilgang, med sikte på å stjele påloggingen deres. Sårbarheten er at mappekoblingen bare trenger et passord, ikke en ekstra faktor, og at passordet gjenbrukes andre steder. Sannsynligheten er meningsfull (phishing er vanlig, i henhold til forrige leksjon), og virkningen er reell, men ikke katastrofal: forlegenhet, muligens en donorbekymring, ikke fysisk fare. Denne kombinasjonen peker på forholdsmessige kontroller: multifaktorautentisering på kontoen, et unikt passord og begrenset redigeringstilgang til personer som faktisk trenger det – ikke for eksempel å ta listen helt offline eller kjøpe bedriftssikkerhetsprogramvare organisasjonen ikke kan vedlikeholde.

Et godt eksempel: kildens identitet

Ta nå en journalists kunnskap om en konfidensiell kilde i et offentlig organ. Eiendelen er kildens identitet. Trusselen er en statlig aktør med juridisk makt til å kreve dokumenter, og nok motivasjon til å faktisk bruke den (husk motstandermodellen fra første leksjon: denne aktøren har reelle ressurser og lav risikoaversjon). Sårbarheten kan være at reporterens telefonoperatør logger hvem som ringte hvem, eller at notater finnes i en vanlig, ukryptert notatapp. Sannsynligheten kan være lavere enn phishing-tilfellet, men virkningen er alvorlig – kilden kan miste jobben, friheten eller sikkerheten. Denne kombinasjonen rettferdiggjør kontroller som ikke står i forhold til eksempelet på giverlisten: separate enheter for sensitiv rapportering, kommunikasjon over signal i stedet for vanlige anrop eller tekstmeldinger, og, i neste leksjon, behandle dette som et tilfelle for eksperthjelp i stedet for selvlært forsvar.

Matcher innsats med risiko, ikke frykt

NIST 800-30 rammer dette inn som å evaluere risiko "med hensyn til teknologi, prosesser, individer, [og] bedriften" og velge et svar: aksepter en liten risiko, reduser den med en kontroll, eller i sjeldne tilfeller overføre eller unngå den helt (for eksempel ved ganske enkelt ikke å beholde en del av informasjonen i det hele tatt). Disiplinen motstår to motsatte feil: å behandle enhver risiko som katastrofal, noe som brenner ut mennesker og budsjetter på kontroller ingen følger med, og behandle enhver risiko som akseptabel, noe som etterlater den ene reelle trusselen uadressert. En fem-minutters versjon av denne analysen, skrevet ned og gjenopptatt når omstendighetene endrer seg, slår en uskreven følelse av at «vi bør nok være mer forsiktige».

En kort sjekkliste for gjenbruk

• List opp de to eller tre tingene du minst vil ha eksponert, mistet eller ødelagt.
• For hver, nevne den realistiske motstanderen fra den første leksjonen – ikke den skumleste du kan forestille deg.
• Nevn en konkret svakhet som motstanderen faktisk kan bruke.
• Vurder sannsynlighet og innvirkning ærlig, og velg deretter en kontroll som passer til den vurderingen.
• Skriv ned avgjørelsen; besøk den på nytt hvis arbeidet ditt, dataene dine eller motstanderen endres.