Tillgångar, hot och val av kontroller i proportion

Säkerhetsarbetet är begränsat: tid, pengar och hur mycket friktion du och dina kollegor kommer att tolerera innan de ger upp ett skydd. NIST Special Publication 800-30, den amerikanska regeringens riskbedömningsguide, finns för att få den insatsen att landa där det är viktigt. Den definierar riskbedömning som "processen att identifiera, uppskatta och prioritera risker", och dess kärnidé kan lätt skalas ner: en icke-statlig organisation på två personer kan gå igenom samma fyra frågor som en stor byrå gör, bara snabbare och med mindre pappersarbete.

De fyra termerna som får riskbedömning att fungera

Ett fungerande exempel: donatorlistan

Ta en liten NGO:s givarkalkylblad, förvarat i en delad molnmapp. Tillgången är givarnas namn, mejl och gåvobelopp. Ett troligt hot är ett nätfiske-e-postmeddelande till den som har redigeringsbehörighet, i syfte att stjäla deras inloggning. Sårbarheten är att mapplänken bara behöver ett lösenord, inte en andra faktor, och att lösenordet återanvänds någon annanstans. Sannolikheten är meningsfull (nätfiske är vanligt, enligt föregående lektion), och påverkan är verklig men inte katastrofal: pinsamhet, möjligen någon oro för givaren, inte fysisk fara. Den kombinationen pekar på proportionerliga kontroller: multifaktorautentisering på kontot, ett unikt lösenord och begränsning av redigeringsåtkomst för personer som faktiskt behöver det – inte till exempel att ta listan helt offline eller köpa företagssäkerhetsprogram som organisationen inte kan underhålla.

Ett fungerande exempel: källans identitet

Ta nu en journalists kunskap om en konfidentiell källa inom en statlig myndighet. Tillgången är källans identitet. Hotet är en statlig aktör med laglig makt att kräva register, och tillräckligt med motivation för att faktiskt använda det (minns motståndarmodellen från första lektionen: denna aktör har verkliga resurser och låg riskaversion). Sårbarheten kan vara att reporterns telefonoperatör loggar vem som ringt vem, eller att anteckningar finns i en vanlig, okrypterad anteckningsapp. Sannolikheten kan vara lägre än nätfiskefallet, men påverkan är allvarlig – källan kan förlora sitt jobb, sin frihet eller sin säkerhet. Den kombinationen motiverar kontroller som inte står i proportion till exemplet på givarlistan: separata enheter för känslig rapportering, kommunikation över signal snarare än vanliga samtal eller sms, och, per nästa lektion, att behandla detta som ett fall för experthjälp snarare än självlärda försvar.

Matcha ansträngning till risk, inte till rädsla

NIST 800-30 ramar in detta som att utvärdera risk "med avseende på teknik, processer, individer [och] företaget" och välja ett svar: acceptera en liten risk, minska den med en kontroll, eller i sällsynta fall överför eller undvik den helt (till exempel genom att helt enkelt inte behålla en del av information alls). Disciplinen motsätter sig två motsatta misstag: att behandla varje risk som katastrofal, vilket bränner ut människor och budgetar på kontroller som ingen hänger med, och att behandla varje risk som acceptabel, vilket lämnar det enda verkliga hotet oåtgärdat. En femminutersversion av denna analys, nedskriven och återbesökt när omständigheterna förändras, slår en oskriven känsla av att "vi förmodligen borde vara mer försiktiga".

En kort checklista att återanvända

• Lista de två eller tre saker du minst skulle vilja exponeras, förloras eller förstöras.
• För varje, nämn den realistiska motståndaren från den första lektionen - inte den läskigaste du kan föreställa dig.
• Nämn en konkret svaghet som motståndaren faktiskt skulle kunna använda.
• Betygsätt sannolikhet och påverkan ärligt och välj sedan en kontroll med storleken på det betyget.
• Skriv ner beslutet; besök det igen om ditt arbete, dina data eller motståndaren ändras.