Активи, загрози та вибір контролю в пропорції

Зусилля щодо забезпечення безпеки обмежені: час, гроші та те, скільки конфліктів ви і ваші колеги терпите, перш ніж відмовитися від захисту. Спеціальна публікація NIST 800-30, посібник уряду США з оцінки ризиків, існує, щоб зробити ці зусилля там, де це важливо. Він визначає оцінку ризиків як «процес виявлення, оцінки та визначення пріоритетів ризиків», і його основна ідея легко зменшується: НУО з двох осіб може пройти ті самі чотири запитання, що й велика агенція, тільки швидше та з меншою кількістю документів.

Чотири терміни, які роблять оцінку ризику ефективною

Спрацьований приклад: список донорів

Візьміть електронну таблицю донорів невеликої НУО, яка зберігається в спільній хмарній папці. Активом є імена, електронні адреси та суми подарунків жертводавців. Ймовірною загрозою є фішинговий електронний лист для тих, хто має доступ до редагування, з метою викрадення їх логіна. Уразливість полягає в тому, що для посилання на папку потрібен лише пароль, а не другий фактор, і цей пароль повторно використовується в інших місцях. Імовірність є значущою (фішинг — звичайне явище, згідно з попереднім уроком), і вплив реальний, але не катастрофічний: збентеження, можливо, певне занепокоєння донорів, а не фізична небезпека. Ця комбінація вказує на пропорційні засоби контролю: багатофакторна автентифікація в обліковому записі, унікальний пароль і обмеження доступу до редагування для людей, яким це дійсно потрібно, а не, наприклад, повне переведення списку в автономний режим або купівля корпоративного програмного забезпечення безпеки, яке організація не може підтримувати.

Працюючий приклад: ідентифікація джерела

Тепер візьмемо інформацію журналіста про конфіденційне джерело в урядовій установі. Актив – це ідентифікатор джерела. Загроза — це державний суб’єкт, який має законні повноваження вимагати записи та має достатню мотивацію, щоб фактично їх використати (пригадайте модель супротивника з першого уроку: цей суб’єкт має реальні ресурси та низьку несприйнятливість до ризику). Уразливість може полягати в тому, що телефонний оператор репортера реєструє, хто кому телефонував, або що нотатки існують у звичайній незашифрованій програмі для нотаток. Ймовірність може бути меншою, ніж у випадку фішингу, але наслідки серйозні — джерело може втратити роботу, свободу чи безпеку. Ця комбінація виправдовує контроль, непропорційний прикладу зі списком донорів: окремі пристрої для конфіденційних звітів, спілкування через Signal, а не звичайні дзвінки чи текстові повідомлення, і, на наступному уроці, розглядати це як випадок для допомоги експерта, а не як захист самоучки.

Співставте зусилля з ризиком, а не зі страхом

NIST 800-30 визначає це як оцінку ризику «стосовно технології, процесів, осіб [та] підприємства» та вибір відповіді: прийняти невеликий ризик, зменшити його за допомогою контролю або, у рідкісних випадках, перенести його або повністю уникнути (наприклад, просто не зберігаючи частину інформації взагалі). Дисципліна протистоїть двом протилежним помилкам: ставлення до кожного ризику як катастрофічного, що вигорає з людей і бюджетів на контроль, за яким ніхто не встигає, і розглядання кожного ризику як прийнятного, що залишає одну реальну загрозу без уваги. П’ятихвилинна версія цього аналізу, записана та переглянута, коли обставини зміняться, перемагає неписане відчуття, що «ми, ймовірно, повинні бути обережнішими».

Короткий контрольний список для повторного використання

• Перелічіть дві-три речі, які б найменше хотіли, щоб їх викрили, втратили чи знищили.
• Для кожного назвіть реалістичного противника з першого уроку — не найстрашнішого, якого ви можете собі уявити.
• Назвіть одну конкретну слабкість, якою може скористатися ворог.
• Оцініть вірогідність і вплив чесно, а потім виберіть контрольний розмір відповідно до цього рейтингу.
• Запишіть рішення; перегляньте його, якщо ваша робота, ваші дані або противник зміниться.