Efectuarea unei evaluări a riscurilor de securitate cibernetică ajută organizațiile să își consolideze securitatea generală. Obiectivul principal al oricărui management al activelor este de a avea un profil de risc care să împletească riscurile cibernetice la adresa activelor
este de a determina mai întâi care sunt activele critice și dacă ce tip de amenințări cibernetice pot exploata aceste active. Și, mai ales, cât ar costa atenuarea acestor riscuri și protejarea acestor active critice împotriva unei încălcări.

Diversitatea tipurilor de active și volumul lor, chiar și în cazul organizațiilor mici, pot face ca gestionarea activelor cibernetice să fie o sarcină dificilă. Hardware, software, infrastructura virtuală, informațiile și conturile online trebuie să fie luate în considerare. Evaluarea și identificarea activelor vulnerabile la atacuri cibernetice și a tipului de incidente de securitate cibernetică este importantă și constituie un prim pas fundamental. Trebuie să aveți vizibilitatea corectă a activelor acolo unde este necesar, ceea ce vă oferă șansa de a lua măsuri de remediere, înainte ca un incident cibernetic să producă efecte depline și să se transforme într-o problemă irezolvabilă.

Pentru a efectua o evaluare a riscurilor de securitate cibernetică, trebuie să luați în considerare trei factori:

• Importanța activelor expuse la risc
• Gravitatea amenințării
• Vulnerabilitatea sistemului

Definiția generală a unei evaluări a riscurilor de securitate cibernetică este: O evaluare a riscurilor de securitate cibernetică reprezintă abordarea fundamentală pentru companii în vederea evaluării, identificării și modificării protocoalelor de securitate și a activării unor operațiuni de securitate puternice pentru a le proteja împotriva atacatorilor sau a tentativelor de încălcare a securității cibernetice.

Este bine să începem prin a evalua diferitele tipuri de date generate și stocate în cadrul organizației prin diverse eforturi. O organizație trebuie să determine valoarea datelor sale, este destul de dificil să prioritizeze și să aloce resursele acolo unde sunt cele mai necesare? Și de ce?

O evaluare a riscurilor de securitate cibernetică ia în considerare, de asemenea, modul în care o companie generează venituri, modul în care angajații și activele afectează profitabilitatea organizației și ce riscuri potențiale ar putea duce la pierderi monetare și financiare pentru companie. Identificarea tuturor acestor resurse și active ar îmbunătăți infrastructura IT pentru a investi în soluții specifice care ajută la reducerea riscurilor potențiale care ar putea duce la pierderi financiare pentru organizație.

În plus, o evaluare a riscurilor de securitate cibernetică trebuie să ajute și să informeze factorii de decizie și să sprijine reacțiile adecvate la riscuri și incidente. Cei mai mulți directori și profesioniști din cadrul managementului superior nu au timp să se implice în detaliile de bază ale operațiunilor de securitate cibernetică ale companiei, ale soluțiilor de gestionare a incidentelor sau ale mecanismelor de evitare a riscurilor. O analiză a riscurilor de securitate cibernetică servește drept rezumat pentru a-i ajuta să ia decizii în cunoștință de cauză cu privire la securitate

pentru organizația lor. Pentru evaluarea riscurilor cibernetice, trebuie să se revizuiască documentația, să se sublinieze importanța proprietarilor de date și să-i facă să înțeleagă valoarea datelor pe care le dețin și riscul de a le pierde în termeni de pierderi financiare. O companie trebuie să analizeze, de asemenea, infrastructura și sistemele IT.

Pasul 1: Determinați valoarea informațiilor deținute de o organizație.

Este important să se limiteze domeniul de aplicare al evaluării la cele mai importante informații de afaceri.
Organizația trebuie să investească timp și să aloce resurse adecvate pentru a defini un standard de determinare a importanței informațiilor și de stabilire a priorităților acestora. Societățile includ adesea valoarea activelor, importanța afacerii și statutul juridic. Standardul trebuie să fie integrat în soluția de analiză a riscurilor de securitate cibernetică a organizației, pentru a clasifica informațiile ca fiind minore, majore sau critice. Puneți următoarele întrebări experților dumneavoastră în domeniul datelor și informațiilor.

• Cât de valoroase sunt aceste informații pentru concurenți sau atacatori?
• În cazul în care aceste informații se pierd, ați putea să le reconstituiți? Cât timp ar dura? Care ar fi costurile asociate?

• Există sancțiuni financiare sau juridice asociate cu pierderea sau expunerea informațiilor?
• Pierderea informațiilor ar avea un impact asupra operațiunilor de zi cu zi ale companiei?
• Care ar fi pagubele financiare ale scurgerii sau furtului de date?
• Care ar fi impactul pe termen lung al pierderii totale sau al expunerii informațiilor? Ar cauza daune reputaționale? Cum v-ați putea recupera din asta?

Etapa 2: Identificarea și prioritizarea activelor

Al doilea pas cel mai important pentru realizarea unei evaluări a riscurilor de securitate cibernetică este evaluarea și determinarea domeniului de aplicare a evaluării. Aceasta înseamnă să identifici și să stabilești prioritățile în ceea ce privește activele de date care trebuie evaluate, prin efectuarea unei evaluări a tuturor angajaților, clădirilor, secretelor comerciale, datelor electronice,
sau dispozitive de birou. Este esențial să se întocmească o listă cuprinzătoare a tuturor activelor valoroase. Unele active ar putea fi valoroase deoarece au un impact major asupra veniturilor companiei, în timp ce altele ar putea fi valoroase deoarece asigură integritatea datelor pentru utilizatorii dumneavoastră. Identificarea activelor esențiale pentru evaluare este urmată de colectarea următoarelor informații:

• Date
• Scop
• Criticitate
• Software
• Cerințe funcționale
• Fluxul de informații
• Interfață
• Utilizatori finali
• Hardware
• Politici de securitate a informațiilor
• Arhitectura de securitate a informațiilor
• Topologia rețelei
• Controale tehnice de securitate
• Controale de securitate fizică
• Securitatea mediului
• Protecția stocării informațiilor
• Sprijin personal

Etapa 3: Identificarea amenințărilor cibernetice

Odată ce s-a finalizat identificarea și prioritizarea activelor, următorul pas este identificarea amenințărilor care ar putea avea un impact asupra organizației. O amenințare cibernetică poate fi definită ca un incident, o acțiune individuală sau orice acțiune electronică care are potențialul de a afecta operațiunile, sistemele și/sau de a exploata vulnerabilitățile pentru a eluda securitatea IT a organizației. Există o gamă largă de amenințări cibernetice care ar putea avea un impact asupra unei întreprinderi, de la malware, riscuri de securitate IT, amenințări din interior, atacatori etc. De exemplu:

• Scurgerile de date: Scurgerea de date sensibile, cum ar fi informațiile de identificare personală (PII). Aceste scurgeri de date ar putea avea loc din cauza unei configurații necorespunzătoare a serviciilor cloud, a unor politici de securitate IT insuficiente sau a unei autentificări slabe.
• Amenințări din interior: Adesea, utilizatorii autorizați abuzează de accesul lor la informații și provoacă încălcări ale securității datelor. Aceste amenințări reprezintă un risc major pentru companii, deoarece ar putea avea un impact financiar și reputațional devastator.
• Întreruperea serviciilor: Un atac cibernetic ar putea provoca întreruperi neașteptate ale serviciilor, ceea ce ar putea duce la pierderi de reputație și de venituri. Aceasta este o perturbare majoră, în special în contextul lumii digitalizate și integrate de astăzi.

Pasul 4: Identificați vulnerabilitățile

O vulnerabilitate este o slăbiciune care ar putea fi exploatată pentru a provoca încălcări ale securității datelor sau alte atacuri cibernetice. Identificarea vulnerabilităților poate fi în formă de off:

• Rapoarte de audit
• Analiza vulnerabilității
• Datele furnizorului
• Analize de securitate a software-ului (SSA)
• Echipe de răspuns la incidente (IRT)
• Portal de informații privind bazele de date privind vulnerabilitatea specifice fiecărei țări.

Absența unui patch într-un sistem de operare ar putea fi o simplă vulnerabilitate. Trebuie să acordăm o atenție deosebită acestor vulnerabilități de securitate bazate pe software, deoarece sunt ușor de remediat prin gestionarea corespunzătoare a patch-urilor prin intermediul unor actualizări automate forțate. Formularea de recomandări tehnice pentru a aborda vulnerabilitățile fizice este o altă modalitate de a evita vulnerabilitățile.

Take 5: Calcularea scenariilor de amenințări cibernetice și analiza impactului pe o bază anuală

Ar trebui să se evalueze în mod constant probabilitatea unor riscuri cibernetice comune și critice și să se efectueze calcule de scenarii în ceea ce privește impactul. Reducerea la minimum a amenințărilor cibernetice prin analiza virtuală a modelelor de nisip și a jocurilor de război poate contribui la atenuarea și reducerea pierderilor cauzate de incidente cibernetice. Mecanismele de conformitate cu standardele de securitate a informației sunt, de asemenea, măsuri bune pentru a face ca analiza de impact și o evaluare minimă a riscului de vulnerabilitate să se integreze automat în standardizarea și în mecanismele de conformitate specifice industriei. Dar respectarea standardelor de securitate nu poate proteja datele decât până la un anumit punct; pentru a proteja datele de atacatorii cibernetici, trebuie implementate strategii adecvate de atenuare și de apărare a securității cibernetice. Nivelul și profunzimea protocoalelor de securitate a informațiilor determină nivelul practicilor de luptă care se manifestă în timpul încălcărilor de date.

Măsura 6: Prioritizarea riscurilor cibernetice: Un echilibru între „costul prevenirii și valoarea informației

Următorul nivel de risc poate deveni o bază simplă pentru a determina ce acțiuni trebuie întreprinse pentru a reduce riscurile.

• Mare: O amenințare urgentă și semnificativă la adresa organizației, iar atenuarea riscurilor necesită o atenție imediată.
• Mediu: Există o amenințare viabilă la adresa organizației, iar atenuarea riscurilor trebuie să se facă într-o anumită perioadă de timp.
• Scăzut: Amenințările au un impact scăzut asupra activelor, dar pot ridica unele probleme mai târziu. Luați în considerare consolidarea politicilor de securitate a informațiilor și implementarea unor programe de securitate specifice.

Întotdeauna este vorba de un echilibru între costuri și valoarea informațiilor. Dacă protejarea unui activ care are un impact financiar sau organizațional redus sau neglijabil costă mai mult, s-ar putea să nu aibă prea mult sens să se investească masiv în protejarea acestuia. Cu toate acestea, există active care afectează reputația și încrederea pe care o organizație o are și, prin urmare, este important să se ia în considerare toate activele.

Take 7: Raport de evaluare a riscurilor

Elaborarea unui raport de analiză a riscurilor care să descrie valoarea, riscul și vulnerabilitățile pentru fiecare amenințare. Asigurați-vă că adăugați probabilitatea și impactul apariției și recomandările de atenuare.
Acest lucru va ajuta la luarea unor decizii în cunoștință de cauză cu privire la politici, proceduri și bugete. Este esențial să
credibilitatea faptului că raportul de evaluare a riscurilor surprinde toate informațiile necesare colectate pe parcursul evaluării. Existența unui raport coerent de analiză a riscurilor permite evaluatorului să comunice în mod clar cu persoanele responsabile și cu părțile interesate, ajutându-le să înțeleagă cum au fost descoperite aceste riscuri și ce trebuie să facă pentru a contribui la atenuarea lor. Un raport de analiză a riscurilor clar și coerent ajută la stabilirea de linii directoare și reguli care să ofere răspunsuri la ce vulnerabilități și amenințări ar putea cauza daune reputaționale și pierderi financiare și la atenuarea acestora.

Etapa 8: Implementarea și monitorizarea controalelor de securitate IT

După întocmirea raportului de evaluare a riscurilor în materie de securitate cibernetică, puneți în aplicare și monitorizați toate controalele esențiale de securitate IT pentru a minimiza sau elimina complet (dacă este posibil) vulnerabilitatea sau amenințarea. Punerea în aplicare a controalelor prin mijloace tehnice, cum ar fi software sau hardware, mecanisme de detectare a intruziunilor, actualizări automate, autentificare cu doi factori sau criptare, sau prin mijloace non-tehnice, cum ar fi mecanismele fizice, cum ar fi accesul prin carduri de acces, sunt toate protocoale comune de securitate IT. Monitorizarea continuă a acestor controale de securitate IT este esențială pentru a înțelege eficiența operațională a acestora. Punerea în aplicare a controalelor de securitate nu este un proces într-o singură etapă, ci necesită o monitorizare continuă pentru a asigura o performanță optimă.

Concluzie:

O organizație poate dispune de cele mai bune politici de securitate IT, dar în contextul actual al amenințărilor la adresa securității cibernetice, aflat în continuă schimbare, este important să se țină la curent cu cele mai recente incidente cibernetice și să continue să dobândească noi cunoștințe și practici inteligente de detectare a incidentelor, care ar putea reprezenta o amenințare pentru organizația proprie. Este important ca indivizii să beneficieze de un minim de formare în domeniul conștientizării cibernetice și ca fiecare angajat al unei organizații să înțeleagă că un risc cibernetic poate izbucni din cele mai necunoscute locuri și că toate resursele și activele sunt vulnerabile într-o anumită măsură, iar evaluarea riscurilor cibernetice poate contribui la prevenirea încălcărilor, la evitarea sancțiunilor și a amenzilor de reglementare și la protejarea informațiilor valoroase.

2023-03-23