Varlıklar, tehditler ve kontrollerin orantılı olarak seçilmesi

Küçük, tekrarlanabilir bir risk analizi: elinizde ne var, ne ters gidebilir, ne kadar muhtemel ve ne kadar kötü olabilir ve hangi kontroller bununla gerçekten eşleşiyor.

Güvenlik çabası sınırlıdır: zaman, para ve sizin ve iş arkadaşlarınızın bir güvenlik önleminden vazgeçmeden önce ne kadar sürtüşmeye tahammül edeceğiniz. ABD hükümetinin risk değerlendirme kılavuzu olan NIST Özel Yayını 800-30, bu çabanın gerekli yere ulaşmasını sağlamak için mevcuttur. Risk değerlendirmesini "risklerin belirlenmesi, tahmin edilmesi ve önceliklendirilmesi süreci" olarak tanımlıyor ve temel fikri kolayca küçültülebiliyor: iki kişilik bir STK, büyük bir kurumun yaptığı dört soruyu yalnızca daha hızlı ve daha az evrak işiyle çözebilir.

Risk değerlendirmesinin işe yaramasını sağlayan dört terim

Terim	NIST tanımı (başka kelimelerle ifade edilmiş)	Somut bir örnek
Varlık	Değer verdiğiniz ve kaybetmenin acısını çekeceğiniz bir şey	Kaynağın kimliği; bir müşterinin dava dosyası; bir bağışçı listesi; kuruluşun e-posta hesabı
Tehdit	Yetkisiz erişim, ifşa veya kesinti nedeniyle zarara yol açma potansiyeli olan her türlü olay	Kimlik avı mesajı; kayıp bir dizüstü bilgisayar; bir mahkeme celbi; eski kimlik bilgilerine sahip eski bir çalışan
Güvenlik Açığı	Bir tehdidin yararlanabileceği veya tetikleyebileceği bir zayıflık	Ekran kilidi yok; paylaşılan bir şifre; yama yapılmamış yazılım; halka açık bir bağışçı e-tablosu bağlantısı
Olasılık ve etki	Tehdidin ne kadar muhtemel olduğu ve gerçekleşmesi durumunda ne kadar kötü olacağı	Kimlik avı girişimi: olası, orta düzeyde etki. Aynı gelen kutusu için mahkeme celbi: daha az olası, ciddi etki

Çalışılmış bir örnek: bağışçı listesi

Paylaşılan bir bulut klasöründe saklanan küçük bir STK'nın bağışçı e-tablosunu alın. Varlık, bağışçıların isimleri, e-postaları ve hediye tutarlarıdır. Makul bir tehdit, düzenleme erişimi olan kişilere, giriş bilgilerini çalmayı amaçlayan bir kimlik avı e-postasıdır. Güvenlik açığı, klasör bağlantısının ikinci bir faktöre değil, yalnızca bir parolaya ihtiyaç duyması ve bu parolanın başka bir yerde yeniden kullanılmasıdır. Olasılık anlamlıdır (önceki derse göre kimlik avı yaygındır) ve etki gerçektir ancak felaket değildir: utanç vericidir, muhtemelen bağışçının endişesidir, fiziksel tehlike değildir. Bu kombinasyon orantılı kontrollere işaret ediyor: hesapta çok faktörlü kimlik doğrulama, benzersiz bir parola ve düzenleme erişiminin buna gerçekten ihtiyacı olan kişilerle sınırlandırılması - örneğin listeyi tamamen çevrimdışına almak veya kuruluşun sürdüremeyeceği kurumsal güvenlik yazılımını satın almak değil.

Çalışılmış bir örnek: kaynağın kimliği

Şimdi bir gazetecinin bir devlet kurumu içindeki gizli bir kaynak hakkındaki bilgisini ele alalım. Varlık, kaynağın kimliğidir. Tehdit, kayıtları talep etme konusunda yasal güce ve bunları gerçekten kullanmak için yeterli motivasyona sahip bir devlet aktörüdür (ilk dersteki düşman modelini hatırlayın: bu aktörün gerçek kaynakları vardır ve riskten kaçınma düşüktür). Güvenlik açığı, muhabirin telefon operatörünün kimin kimi aradığını kaydetmesi veya notların sıradan, şifrelenmemiş bir not uygulamasında bulunması olabilir. Olasılık, kimlik avı vakasından daha düşük olabilir ancak etkisi ciddidir; kaynak işini, özgürlüğünü veya güvenliğini kaybedebilir. Bu kombinasyon, bağışçı listesi örneğiyle orantısız olan kontrolleri haklı çıkarıyor: hassas raporlama için ayrı cihazlar, düz aramalar veya mesajlar yerine Signal üzerinden iletişim ve bir sonraki derste, bunu kendi kendine öğretilen savunmalar yerine uzman yardımı gerektiren bir durum olarak ele almak.

Korkuyla değil, riskle eşleşen çaba

NIST 800-30 bunu "teknoloji, süreçler, bireyler ve kuruluş açısından" riskin değerlendirilmesi ve bir yanıtın seçilmesi olarak çerçeveliyor: küçük bir riski kabul edin, bir kontrolle azaltın veya nadir durumlarda onu aktarın veya tamamen önleyin (örneğin, hiçbir bilgi parçasını hiç saklamayarak). Disiplin iki zıt hataya direniyor: Her riske felaket muamelesi yapmak, kimsenin ayak uyduramadığı kontroller yüzünden insanları ve bütçeleri tüketen bir durum ve her riske kabul edilebilir muamelesi yaparak tek gerçek tehdidi ele alınmadan bırakmak. Bu analizin yazılıp koşullar değiştiğinde yeniden gözden geçirilen beş dakikalık versiyonu, "muhtemelen daha dikkatli olmalıyız" şeklindeki yazılı olmayan duyguyu yener.

Yeniden kullanmak için kısa bir kontrol listesi

Açığa çıkmasını, kaybolmasını veya yok edilmesini en az isteyeceğiniz iki veya üç şeyi listeleyin.
Her biri için, ilk dersteki gerçekçi rakibin adını verin; hayal edebileceğiniz en korkunç olanı değil.
Düşmanın gerçekten kullanabileceği somut bir zayıflık söyleyin.
Olasılığı ve etkiyi dürüstçe derecelendirin, ardından bu derecelendirmeye göre büyüklükte bir kontrol seçin.
Kararı yazın; Çalışmanız, verileriniz veya düşmanınız değişirse onu tekrar ziyaret edin.

Akılda kalsın

Risk değerlendirmesi varlıkları, tehditleri ve güvenlik açıklarını tanımlar, ardından bir yanıt seçmeden önce olasılığı ve etkiyi tahmin eder.
NIST SP 800-30, risk değerlendirmesini riski ortadan kaldırmak değil, tanımlamak, tahmin etmek ve önceliklendirmek olarak tanımlar.
Aynı varlık, gerçekçi düşmana ve başarısızlığın etkisine bağlı olarak çok farklı kontroller gerektirebilir.
Kontroller orantılı olmalıdır: çok azı gerçek riski ele alınmadan bırakır; fazlası insanları ve bütçeleri tüketir.
Kısa, yazılı bir risk analizi, yazılı olmayan "dikkatli olmalıyız" anlayışını yener ve işler değiştiğinde yeniden gözden geçirilmelidir.

Kendinizi sınayın

1. Risk analizi açısından “güvenlik açığı” nedir?
- Zarar vermek isteyen kişi veya grup
- Bir tehdidin yararlanabileceği veya tetikleyebileceği bir zayıflık — Doğru.
- Koruduğunuz şeyin değeri
- Bir sistemi savunmak için kullanılan bir araç
NIST, güvenlik açığını, bir tehdit kaynağının istismar edebileceği bir sistem, prosedür veya uygulamadaki zayıflık olarak tanımlar.
2. Bağışçı listesi tehdidi daha muhtemel olsa bile, gazetecinin kaynak kimliği riski neden STK'nın bağışçı listesi riskinden daha güçlü kontrolleri haklı kılıyor?
- Olasılık önemli olan tek faktördür
- Etki de önemlidir ve bir kaynağı kaybetmek ciddi, geri dönüşü olmayan bir zarar anlamına gelebilir — Doğru.
- Gazeteciler her zaman STK'lardan daha fazla tehditle karşı karşıyadır
- Donör listeleri asla korunmaya değmez
Risk, olasılık ve etkiyi birleştirir. Daha az olası ancak çok daha şiddetli bir sonuç, daha olası ancak daha hafif bir sonuç yerine daha güçlü kontrolleri haklı gösterebilir.
3. NIST SP 800-30 tanımlanmış bir riskle ne yapılmasını önerir?
- Maliyeti ne olursa olsun her zaman tamamen ortadan kaldırın
- Sabit bir eşiğin altındaki riskleri göz ardı edin
- Orantılı bir yanıt seçin: kabul edin, azaltın, aktarın veya kaçının — Doğru.
- Mevcut en pahalı güvenlik ürününü satın alın
Risk yönetimi, her duruma tek bir sabit tepki uygulamayı değil, seçenekleri tartmayı ve riske göre boyutlandırılmış bir yanıt seçmeyi içerir.

FireAI ile uygulayın

Bu dersi kendi Mac’inizde uygulamaya koyun.

Kaynaklar

Mac’inizde uygulayın

Tüm özellikleri 17 gün ücretsiz deneyin, kart gerekmez.

Mac için indir Belgeler