Активы, угрозы и соразмерный выбор мер защиты

Усилия на безопасность ограничены: время, деньги и то, сколько неудобств вы и ваши коллеги готовы терпеть, прежде чем отказаться от меры защиты. Специальная публикация NIST 800-30, руководство правительства США по оценке риска, существует для того, чтобы направить эти усилия туда, где они действительно важны. Она определяет оценку риска как «процесс выявления, оценки и расстановки приоритетов рисков» (the process of identifying, estimating, and prioritizing risks), и её базовая идея легко масштабируется вниз: НКО из двух человек может пройти те же четыре вопроса, что и крупное агентство, — просто быстрее и с меньшим объёмом бумажной работы.

Четыре термина, на которых строится оценка риска

Разобранный пример: список доноров

Возьмём таблицу доноров небольшой НКО, хранящуюся в общей папке в облаке. Актив — это имена доноров, их адреса электронной почты и суммы пожертвований. Правдоподобная угроза — фишинговое письмо тому, у кого есть доступ на редактирование, с целью украсть его логин. Уязвимость в том, что для доступа к папке нужен только пароль, без второго фактора, и этот пароль используется повторно где-то ещё. Вероятность значима (фишинг распространён, согласно предыдущему уроку), а последствия реальны, но не катастрофичны: неловкость, возможно, беспокойство некоторых доноров, но не физическая опасность. Это сочетание указывает на соразмерные меры: многофакторная аутентификация на учётной записи, уникальный пароль и ограничение доступа на редактирование людьми, которым он реально нужен, — а не, например, полный перевод списка в офлайн или покупка корпоративного ПО безопасности, которое организация не сможет поддерживать.

Разобранный пример: личность источника

Теперь возьмём знание журналиста о конфиденциальном источнике внутри государственного ведомства. Актив — личность источника. Угроза — государственный субъект с законным правом требовать записи и достаточной мотивацией реально этим правом воспользоваться (вспомните модель противника из первого урока: у этого субъекта реальные ресурсы и низкое неприятие риска). Уязвимость может заключаться в том, что оператор связи журналиста ведёт журнал, кто кому звонил, или что заметки хранятся в обычном, незашифрованном приложении для заметок. Вероятность может быть ниже, чем в случае с фишингом, но последствия серьёзны — источник может потерять работу, свободу или безопасность. Это сочетание оправдывает меры, несоразмерные с примером списка доноров: отдельные устройства для чувствительных репортажей, общение через Signal, а не через обычные звонки или сообщения, и, согласно следующему уроку, отношение к этому как к случаю, требующему помощи эксперта, а не самостоятельно освоенной защиты.

Соразмерность усилий риску, а не страху

NIST 800-30 описывает это как оценку риска «применительно к технологиям, процессам, отдельным людям, [и] организации в целом» (with respect to technology, processes, individuals, and the enterprise) и выбор реакции: принять небольшой риск, снизить его мерой защиты или, в редких случаях, полностью передать или избежать его (например, просто не храня определённую информацию вообще). Дисциплина заключается в сопротивлении двум противоположным ошибкам: считать каждый риск катастрофическим, что изматывает людей и бюджеты на мерах, которые никто не поддерживает, и считать каждый риск приемлемым, что оставляет ту самую реальную угрозу без внимания. Пятиминутная версия такого анализа, записанная и пересматриваемая при изменении обстоятельств, лучше незаписанного ощущения «нам, наверное, стоит быть осторожнее».

Короткий контрольный список для повторного использования

• Перечислите две-три вещи, которые вы меньше всего хотели бы раскрыть, потерять или уничтожить.
• Для каждой назовите реалистичного противника из первого урока — а не самого страшного, какого можете представить.
• Назовите одну конкретную слабость, которой этот противник реально мог бы воспользоваться.
• Честно оцените вероятность и последствия, затем выберите меру защиты, соразмерную этой оценке.
• Запишите решение; пересматривайте его, если изменится ваша работа, ваши данные или противник.