Aktywa, zagrożenia i proporcjonalne dobieranie kontroli

Wysiłki w zakresie bezpieczeństwa są skończone: czas, pieniądze i to, ile tarć Ty i Twoi współpracownicy będziecie tolerować, zanim zrezygnujecie z zabezpieczenia. Publikacja specjalna NIST 800-30, przewodnik rządu USA dotyczący oceny ryzyka, istnieje po to, aby wysiłki te zostały podjęte tam, gdzie jest to istotne. Definiuje ocenę ryzyka jako „proces identyfikacji, szacowania i ustalania priorytetów ryzyka”, a jej podstawowa idea jest łatwa do ograniczenia: dwuosobowa organizacja pozarządowa może odpowiedzieć na te same cztery pytania, co duża agencja, tylko szybciej i przy mniejszej liczbie dokumentów.

Cztery warunki, które sprawiają, że ocena ryzyka działa

Sprawdzony przykład: lista dawców

Weź arkusz kalkulacyjny darczyńców małej organizacji pozarządowej, przechowywany w udostępnionym folderze w chmurze. Aktywem są nazwiska darczyńców, adresy e-mail i kwoty prezentów. Prawdopodobnym zagrożeniem jest wiadomość e-mail phishingowa wysyłana do osoby mającej uprawnienia do edycji i mająca na celu kradzież jej loginu. Luka polega na tym, że łącze do folderu wymaga jedynie hasła, a nie drugiego czynnika, a hasło to jest ponownie wykorzystywane w innym miejscu. Prawdopodobieństwo jest znaczące (jak wynika z poprzedniej lekcji, phishing jest powszechny), a skutki są realne, ale nie katastrofalne: zawstydzenie, być może obawa jakiegoś darczyńcy, a nie fizyczne zagrożenie. Ta kombinacja wskazuje na proporcjonalne kontrole: wieloczynnikowe uwierzytelnianie konta, unikalne hasło i ograniczanie dostępu do edycji do osób, które rzeczywiście tego potrzebują – a nie na przykład całkowite przełączenie listy w tryb offline lub kupowanie oprogramowania zabezpieczającego dla przedsiębiorstw, którego organizacja nie może utrzymać.

Sprawdzony przykład: tożsamość źródła

Teraz weźmy wiedzę dziennikarza z poufnego źródła w agencji rządowej. Zasobem jest tożsamość źródła. Zagrożeniem jest aktor państwowy posiadający władzę prawną do żądania dokumentacji i wystarczającą motywację, aby faktycznie z niej skorzystać (przypomnijmy sobie model adwersarza z pierwszej lekcji: aktor ten ma realne zasoby i niską awersję do ryzyka). Luka może polegać na tym, że operator telefoniczny reportera rejestruje, kto do kogo dzwonił, lub czy notatki znajdują się w zwykłej, niezaszyfrowanej aplikacji do notatek. Prawdopodobieństwo może być mniejsze niż w przypadku phishingu, ale skutki są poważne – źródło może stracić pracę, wolność lub bezpieczeństwo. Ta kombinacja uzasadnia kontrole nieproporcjonalne w porównaniu z przykładem z listą dawców: oddzielne urządzenia do wrażliwych raportów, komunikacja za pośrednictwem Signal zamiast zwykłych rozmów lub SMS-ów i, jak pokazano na następnej lekcji, traktowanie tego jako przypadku pomocy ekspertów, a nie obrony samouka.

Dopasuj wysiłek do ryzyka, a nie do strachu

NIST 800-30 ujmuje to jako ocenę ryzyka „w odniesieniu do technologii, procesów, osób i [i] przedsiębiorstwa” i wybór reakcji: zaakceptuj niewielkie ryzyko, zmniejsz je poprzez kontrolę lub w rzadkich przypadkach przenieś je lub całkowicie go unikniesz (na przykład po prostu nie przechowując w ogóle jakiejkolwiek informacji). Dyscyplina opiera się dwóm przeciwstawnym błędom: traktowaniu każdego ryzyka jako katastrofalnego, co wypala ludzi i budżety w związku z kontrolami, których nikt nie przestrzega, oraz traktowaniu każdego ryzyka jako akceptowalnego, co pozostawia jedyne realne zagrożenie bez rozwiązania. Pięciominutowa wersja tej analizy, spisana i ponownie przeglądana w przypadku zmiany okoliczności, bije niepisane poczucie, że „prawdopodobnie powinniśmy być bardziej ostrożni”.

Krótka lista kontrolna do ponownego wykorzystania

• Wymień dwie lub trzy rzeczy, których najmniej chciałbyś odsłonić, zgubić lub zniszczyć.
• Dla każdego z nich nazwij realistycznego przeciwnika z pierwszej lekcji – a nie najstraszniejszego, jakiego możesz sobie wyobrazić.
• Wymień jedną konkretną słabość, którą przeciwnik mógłby faktycznie wykorzystać.
• Uczciwie oceń prawdopodobieństwo i wpływ, a następnie wybierz kontrolę dostosowaną do tej oceny.
• Zapisz decyzję; odwiedź go ponownie, jeśli Twoja praca, dane lub przeciwnik ulegną zmianie.