Оценка IT-рисков: стратегии, фреймворки и лучшие практики для защиты бизнеса

Майкл Аминзаде, Trustwave

Достижение безупречной защиты от киберпреступников почти невозможно, но систематические IT-оценки рисков дают организациям лучшую защиту от атак.

С ландшафтом угроз в постоянном флюксе, приоритизация risk-management ревью, таклющих ваши уникальные вызовы, существенна.

«Как только крупнейшие риски идентифицированы, внедрение оптимального уровня безопасности, адресующего ваши специфические нужды, может начаться», — говорит Майкл Аминзаде, вице-президент Global Compliance и Risk Services в Trustwave.

Выполнение комплексной информационно-безопасностной оценки рисков раскрывает самые критические пробелы и инейбляет разработку таргетированного митигационного плана. Перед началом вы должны понять свои бизнес-цели, идентифицировать потенциальные угрозы, оценить вероятность компрометации и количественно определить воздействие потери. Вовлечение сеньор-менеджмента, IT-администраторов и стейкхолдеров через глубинные интервью обеспечивает, что все организационные фасеты оценены на безопасностные пробелы.

Классическая CIA триада — конфиденциальность, целостность и доступность — служит фундаментальным гидом для кибербезопасностных оценок. Удар баланса между тремя вызовов; оверэмпхазис доступности может эродировать конфиденциальность и целостность, в то время как избыточный фокус на конфиденциальности или целостности может подорвать доступность.

После завершения оценки вы определяете, какие security controls лучше митигируют бизнес-риск. Эти контролы типично блендят технологию, политику, процессы и процедуры.

Фреймворки оценки рисков

Проводя security risk assessment, вы можете выбрать из нескольких устоявшихся фреймворков. Пять наиболее широко принятых — ISO 27000x Series, OCTAVE, COBIT, NIST 800-53 и NIST Cybersecurity Framework (CSF). NIST, агентство US Department of Commerce, предлагает бесплатные guidance документы, сделавшие CSF предпочтительным выбором для бизнеса, образовательных учреждений и гос. агентств по всему миру.

CSF структурирован вокруг трех компонентов: framework profile, framework core и implementation tiers. Его гибкость позволяет ему оперировать рядом с другими risk-management процессами, такими как ISO стандарты, и он релевантен для организаций вне США.

NIST 800-53 поддерживает комплаенс с US Federal Information Processing Standards (FIPS) и предшествует CSF. Он предоставляет доказательство эффективности контролов, инсайты в качество risk-management и информацию о силах и слабостях информационных систем.

Лучшие практики

По мере коммерциализации киберпреступности многие организации движутся за комплаенс к комплексным risk-mitigation и data-protection стратегиям. Современные методологии оценки рисков теперь покрывают всю цепочку поставок, включая third-party vendor доступ к внутренним системам.

BYOD тренд усилил потребность в надежной endpoint безопасности и глубоком понимании того, как эндпоинты влияют на риск-профиль организации. Учитывая эту добавленную сложность, партнерство с managed security services provider (MSSP) может быть бесценным. Их глубокая экспертиза помогает вам безопасить расширяющийся сетевой ландшафт.

Разработка risk-assessment модели требует senior management buy-in. Исполнители должны либо принять неотъемлемые риски, либо коммититься к remediation плану, выравнивающему risk posture с толерантностью организации. Идеально, CISO или CIO должны надзирать за графиком оценки, находками и remediation планами, и предоставлять регулярные апдейты исполнительной команде. Все сотрудники, однако, делят ответственность за безопасность организации.

Обучение должно покрывать, как споттить угрозы вроде malicious emails и очерчивать процедуры для репортинга подозрительных инцидентов. Пока идеальная безопасность недостижима, цель — достичь оптимального уровня безопасности для вашего бизнеса.

Установление риск-фреймворка и проведение IT-оценок рисков идентифицируют адекватный уровень безопасности для вашей организации. Как только слабости идентифицированы, они могут быть ремедированы, сафгардинг ваш бизнес.

Комбинируя оценки рисков с оценками зрелости безопасности, организации могут строить стратегический инвестиционный роудмап и демонстрировать ROI стейкхолдерам.

Автор блога: Майкл Аминзаде, вице-президент Global Compliance и Risk Services в Trustwave